PSD2

PSD2 (Payment Services Directive 2) — вторая европейская директива о платёжных услугах. Она определяет, кто может оказывать платёжные услуги в ЕС, какие требования к безопасности они должны соблюдать и как между банками и сторонними сервисами организован обмен данными. Директива применяется с января 2018 года и обязательна для всех стран-участниц ЕЭЗ, но её положения переносятся в национальное законодательство.

Что вводит PSD2

Во-первых, сильную аутентификацию клиента (Strong Customer Authentication, SCA): для подтверждения платежа или входа в онлайн-банк нужны минимум два независимых фактора из трёх групп — знание (пароль, PIN), владение (телефон, карта, токен) и присущность (биометрия). Во-вторых, открытый банкингОткрытый банкингОткрытый банкинг — модель, при которой банки по стандартизированным API с согласия клиента передают сторонним провайдерам данные о счетах и инициируют платежи.: банки-эмитентыБанк-эмитентБанк-эмитент — банк, который выпускает платежную карту клиенту, ведет его счет и решает, одобрить ли операцию по карте. Противоположная сторона платежа — банк-эквайер, обслуживающий продавца. обязаны предоставлять лицензированным сторонним провайдерам доступ к данным счёта (сервис информации о счетах, AIS) и к инициированию платежей (сервис инициирования платежей, PIS) через стандартизированные API.

Как это работает на практике

При оплате картой в интернете SCA обычно реализуется через протокол 3-D Secure3-D Secure3-D Secure — протокол дополнительной аутентификации держателя карты при онлайн-оплате: банк-эмитент подтверждает, что платёж совершает владелец карты. 2.x: эмитент получает данные транзакции и решает, нужен ли дополнительный шаг — подтверждение в приложении банка или одноразовый код. Исключения (low-value, transaction risk analysis, доверенные получатели, повторяющиеся платежи после первого подтверждённого) задаются техническими стандартами Европейского банковского управления (RTS). Каждое исключение зависит от условий и решения банка-эмитента, поэтому заранее на него рассчитывать нельзя.

Где встречается в рисковых вертикалях

В финтехе и платежах PSD2 влияет на конверсию чекаута, одобряемость транзакций и подписки с рекуррентнымиРекуррентные платежиРекуррентные платежи — регулярные автоматические списания с сохранённой карты или счёта клиента по его предварительному согласию, например ежемесячно за подписку или БАД. списаниями. Высокий процент отказов из-за недоступной аутентификации снижает approval rateApproval rateApproval rate — доля одобренных заявок, платежей или лидов от общего числа отправленных. Показывает, насколько легко проходит конверсионный этап: оплата, регистрация, верификация или приём трафика. и напрямую ударяет по выручке мерчантаМерчант-аккаунтСчёт компании у эквайера или PSP, через который она принимает оплату.. Открытый банкинг используется для pay-by-bank, проверки доходов и верификации счёта при онбординге.

Частые ошибки

Типичная ошибка — считать, что PSD2 действует одинаково во всех странах ЕС: национальные регуляторы и банки по-разному трактуют исключения и сроки внедрения. Вторая ошибка — не передавать в платёжный запрос данные, которые нужны для применения исключений (например, признаки повторного платежа по сохранённой карте), из-за чего банк требует полную аутентификацию. Третья — путать PSD2 с GDPR: директива регулирует платежи и доступ к счёту, а не общие правила обработки персональных данных.

Что меняет PSD3