Autoridade Bancária Europeia publica normas sobre segurança nos pagamentos eletrónicos

A Autoridade Bancária Europeia (EBA) definiu normas de segurança para os pagamentos eletrónicos.

As normas técnicas inserem-se na implementação da nova Diretiva dos Serviços de Pagamento, que prevê regras harmonizadas para os pagamentos de retalho realizados na União Europeia, incluindo os efetuados por cartão, pela internet e por telemóvel.

Neste projeto, a EBA especifica os requisitos que os prestadores de serviços de pagamento devem observar no processo de autentificação forte dos clientes, os casos em que a autenticação forte não é requerida e os requisitos de segurança e interoperabilidade das soluções de comunicação entre os prestadores de serviços de pagamento.

Com estas normas técnicas, a EBA pretende aumentar a segurança das transações e a proteção do consumidor, assegurando, ao mesmo tempo, a conveniência de uso, a inovação e a concorrência nos serviços de pagamento.

O projeto de normas técnicas agora publicado (Draft Regulatory Technical Standards on Strong Customer Authentication and common and secure communication under article 98 Directive 2015/2366) foi submetido para adoção pela Comissão Europeia e subsequente aprovação pelo Conselho e Parlamento Europeu. As normas técnicas serão aplicáveis 18 meses após a respetiva entrada em vigor.

Autenticação forte do cliente

A autenticação forte do cliente é o procedimento através do qual o prestador de serviços de pagamento verifica, de forma robusta, a identidade do cliente ou valida o uso de um instrumento de pagamento (por exemplo, um cartão), incluindo as respetivas credenciais de segurança personalizadas.

A autenticação forte exige que o cliente, para validar as operações de pagamento que pretende efetuar, utilize dois ou mais elementos de autenticação, de entre os seguintes:

• Algo que só o cliente conhece – por exemplo, uma palavra-passe ou um número de identificação pessoal;
• Algo que só o cliente possui – por exemplo, um token ou um telemóvel;
• Algo do próprio cliente – por exemplo, uma impressão digital.

Estes elementos têm de ser independentes para que a violação de um deles não comprometa a fiabilidade do(s) outro(s). Da utilização destes elementos resulta um código de autenticação. Nos casos em que é legalmente exigida a autenticação forte do cliente, este deve usar o código de autenticação para validar a operação de pagamento que pretende efetuar.

Enquadramento

O projeto de normas técnicas de regulamentação sobre autenticação forte do cliente e comunicação segura e comum entre prestadores de serviços de pagamento agora publicado foi elaborado nos termos do disposto no artigo 98.º da Diretiva (UE) 2015/2366, do Parlamento Europeu e do Conselho, de 25 de novembro (PSD2).

O projeto de normas técnicas de regulamentação foi colocado em consulta pública em agosto de 2016.