Sicurezza dei pagamenti via internet: l’aggiornamento della Circolare Banca d’Italia n.285/2013 in recepimento degli Orientamenti dell’Autorità Bancaria Europea

Sommario: Introduzione – 1. Gli Orientamenti dell’Autorità Bancaria Europea sulla sicurezza dei pagamenti via internet recepiti nella disciplina di vigilanza – 1.1 Ambito di applicazione soggettivo – 1.2 Ambito di applicazione oggettivo – 1.3 Contenuto sostanziale degli Orientamenti: fattispecie di maggior rilievo – 1.3.1 L’assetto organizzativo per la prevenzione, il monitoraggio ed il controllo dei rischi connessi all’ambiente di sicurezza dei pagamenti via internet – 1.3.2 Le misure specifiche di controllo e sicurezza che impattano sui pagamenti via internet – 1.3.2.1 Identificazione inziale dei clienti e adempimenti di trasparenza – 1.3.2.2 Autenticazione forte del cliente – 1.3.2.3 Registrazione del cliente e monitoraggio delle operazioni – 1.3.3. L’assistenza al cliente: sensibilizzazione, educazione e comunicazione – 2. I dubbi degli operatori in sede di recepimento e le indicazioni della Banca d’Italia: ulteriori profili di riflessione – 2.1 L’eliminazione del principio comply or explain e la non vincolatività delle Migliori Prassi – Conclusioni.

Introduzione

Con la pubblicazione, in data 17 maggio 2016, del 16° aggiornamento della Circolare n. 285 del 17 dicembre 2013 recante “Disposizioni di vigilanza per le banche” (G.U. n. 127 del 1 giugno 2016 – Supplemento Ordinario n. 17), l’Autorità di vigilanza italiana ha provveduto a recepire le previsioni regolamentari elaborate dall’Autorità Bancaria Europea (di seguito per brevità, l’ABE) finalizzate ad accrescere il livello di sicurezza dei pagamenti via internet, nell’ambito di una cornice normativa comune su base europea.

Con il predetto aggiornamento si prefigurano una serie di nuovi adempimenti che impatteranno trasversalmente sull’organizzazione e sull’operatività dei soggetti destinatari delle previsioni in esso contenute, in attesa peraltro che venga recepita nell’ordinamento italiano[1] la Direttiva (UE) 2015/2366 del 25 novembre 2015 (di seguito, Direttiva PSD2)[2] recante la rinnovata disciplina relativa ai servizi di pagamento nel mercato interno, che abroga[3] la Direttiva 2007/64/CE (di seguito Direttiva PSD).

Il presente contributo si propone pertanto di illustrare sinteticamente le principali novità intervenute nel corpus normativo delle richiamate Diposizioni di vigilanza, al fine di individuarne i concreti effetti sui modelli di business e di governo dei processi per gli operatori economici coinvolti, anche alla luce delle problematiche emerse e delle indicazioni fornite dalla Banca d’Italia in sede di resoconto alle consultazioni.

1. Gli Orientamenti dell’Autorità Bancaria Europea sulla sicurezza dei pagamenti via internet recepiti nella disciplina di vigilanza

La pubblicazione sul sito dell’ABE lo scorso 5 marzo, degli “Orientamenti finali sulla sicurezza dei pagamenti via internet”[4] del 19 dicembre 2014 (di seguito, per brevità, gli Orientamenti) si inserisce all’interno di un quadro normativo europeo, quello della disciplina relativa ai servizi di pagamento nel mercato interno, recentemente oggetto di importanti modifiche[5].

Per quanto concerne l’impostazione adottata dall’ABE nella formulazione dei predetti Orientamenti, a seguito dei risultati emersi in sede di consultazione[6], l’Autorità di vigilanza europea optava per un approccio two-step, fondato:

1. sull’elaborazione ed implementazione di linee guida che replicano il contenuto delle raccomandazioni della Banca Centrale Europea[7] del 31 gennaio 2013 e che rappresentano, come indicato dalla Banca d’Italia, “il documento a fronte del quale le banche centrali, nell’esercizio della propria funzione di sorveglianza sui sistemi e sugli strumenti di pagamento, valutano la conformità agli standard di sicurezza dei pagamenti via internet[8]”;
2. sulla implementazione futura di requisiti più stringenti una volta attuata la Direttiva PSD2[9].

1.1 Ambito di applicazione soggettivo

Ai sensi del Titolo I punto 2 degli Orientamenti, risultano destinatari della rinnovata normativa regolamentare i prestatori di servizi di pagamento per come definiti dall’art. 1 della Direttiva PSD:

1. gli enti creditizi ai sensi dell’articolo 4, punto 1, lettera a), della direttiva 2006/48/CE;
2. gli istituti di moneta elettronica ai sensi dell’articolo 1, paragrafo 3, lettera a), della direttiva 2000/46/CE;
3. gli uffici postali che hanno il diritto di prestare servizi di pagamento a norma del diritto nazionale;
4. gli istituti di pagamento ai sensi della Direttiva PSD;
5. la Banca centrale europea e le banche centrali nazionali ove non agiscano in quanto autorità monetarie o altre autorità pubbliche;
6. gli Stati membri o le rispettive autorità regionali e locali ove non agiscano in quanto autorità pubbliche.

Volgendo lo sguardo alla disciplina italiana, le modifiche impattano in particolare le banche e le capogruppo di gruppi bancari, gli istituti di pagamento e gli istituti di moneta elettronica e gli intermediari finanziari di cui al Titolo V del Testo Unico Bancario (TUB) autorizzati alla prestazione di servizi di pagamento e/o all’emissione di moneta elettronica, iscritti ai relativi albi e inoltre Bancoposta.

1.2 Ambito di applicazione oggettivo

Con riferimento all’ambito di applicazione oggettivo, ovvero i servizi di pagamenti via internet attratti dalle, per utilizzare il termine dell’ABE, “aspettative minime” individuate negli Orientamenti[10], il punto7 del Titolo I li individua, indipendentemente dal dispositivo di accesso utilizzato, nelle fattispecie di seguito elencate:

• carte, per tali intendendosi l’esecuzione dei pagamenti con carta via Internet, compresi i pagamenti con carta virtuale, così come la registrazione dei dati relativi alle carte di pagamento per l’utilizzo in “soluzioni di tipo “Wallet”;
• bonifici, per tali intendendosi l’esecuzione dei bonifici via Internet;
• mandato elettronico, per tale intendendosi l’emissione e la modifica dei mandati elettronici di addebito diretto;
• moneta elettronica, per tale intendendosi i trasferimenti di moneta elettronica tra due conti di moneta elettronica via Internet.

Restano escluse – per espressa previsione degli Orientamenti – alcune fattispecie tra le quali emergono i pagamenti le cui istruzioni sono trasmesse per posta, per telefono, posta vocale o utilizzando la tecnologia basata su SMS; per tale ultima fattispecie, peraltro, gli intermediari avevano avanzato dubbi sulla loro esclusione in quanto foriera di possibili effetti distorsivi sulla concorrenza, che tuttavia la Banca d’Italia in sede di resoconto alla consultazioni parrebbe aver escluso, asserendo che “le ipotesi di esenzione sono definite dal legislatore UE con l’obiettivo di realizzare un bilanciamento tra servizi di pagamento riservati a intermediari autorizzati e fattispecie escluse dall’ambito di applicazione in ragione di alcune loro particolari caratteristiche[11]”.

1.3 Contenuto sostanziale degli Orientamenti: fattispecie di maggior rilievo

Con riferimento al contenuto sostanziale degli Orientamenti, il Titolo II individua tre macro aree di disciplina che verranno di seguito illustrate nei loro aspetti più rilevanti: la prima impatta sull’ assetto organizzativo dell’intermediario che deve essere in grado di prevenire, monitorare e controllare i rischi connessi all’ambiente di sicurezza dei pagamenti via internet; la seconda prevede tutta una serie di misure specifiche che nella concreta operatività dell’intermediario impattano sui rischi di sicurezza dei pagamenti via internet; la terza detta indicazioni sulla condotta degli intermediari, latu sensu riassumibile nei concetti di educazione finanziaria ed assistenza nel rapporto con i clienti.

1.3.1 L’assetto organizzativo per la prevenzione, il monitoraggio ed il controllo dei rischi connessi all’ambiente di sicurezza dei pagamenti via internet

Primo e fondamentale adempimento richiesto dagli Orientamenti (Titolo II punto 1) per strutturare un assetto organizzativo idoneo consiste, nella redazione, attuazione e riesame[12], di una formale policy di sicurezza per i servizi di pagamento via internet, che deve essere approvata dall’alta dirigenza e finalizzata a definire gli obiettivi di sicurezza e la propensione al rischio, mediante l’individuazione di ruoli e responsabilità dei vertici aziendali.

Nell’ambito dell’attività commerciale dell’intermediario, è richiesta poi una valutazione documentata dei rischi sia nella fase antecedente all’avvio dell’offerta dei servizi, che nel continuo, con frequenza regolare.

Elemento fondamentale per valutare la tenuta dei presidi di gestione del rischio adottati nella policy e attuati mediante le soluzioni tecnologiche utilizzate dall’intermediario, è l’incidente relativo alla sicurezza[13], la cui gestione deve essere documentata da una o più procedure che descrivano i flussi informativi interni verso l’alta dirigenza e i flussi informativi esterni verso le autorità competenti per l’ipotesi gravi incidenti[14].

Sempre nell’ottica di garanzia di flussi informativi e cooperazione nella gestione di gravi incidenti relativi alla sicurezza dei pagamenti, l’Autorità di vigilanza richiede ai prestatori di servizi di acquiring di intervenire sui contratti stipulati con gli operatori commerciali online che conservano, elaborano o trasmettono i dati sensibili relativi ai pagamenti, prevedendo un obbligo di cooperazione alla cui violazione l’intermediario dovrebbe “(…) procedere all’applicazione [dell’]obbligo contrattuale”[15] o alla risoluzione del contratto; alle medesime conseguenze dovrebbe giungersi nell’ipotesi in cui, sempre nel rapporto contrattuale tra i soggetti sopra indicati, gli operatori commerciali online non attuino le misure relative al controllo e alla mitigazione dei rischi individuati negli Orientamenti da 4.1 a 4.7 al fine di evitare il furto dei dati sensibili relativi ai pagamenti attraverso i loro sistemi.

Sul punto non sono mancati i dubbi espressi dagli intermediari in sede di resoconto alle consultazioni, che hanno evidenziato come:

1. l’imposizione ai prestatori di servizio di pagamento dell’obbligo di inserire la clausola di cooperazione in caso di gravi incidenti di sicurezza, “[sarebbe risultata] eccessivamente costosa rispetto ai potenziali benefici, in assenza di efficaci strumenti per assicurarne il rispetto[16]”;
2. l’inserimento delle clausole che obbligano l’esercente al rispetto delle misure di cui ai punti da 4.1 a 4.7 avrebbe presentato “(…) criticità sia per il contenuto estremamente tecnico delle stesse[17]” che per la circostanza che le regole di sicurezza potrebbero richiedere la necessità di aggiornamenti frequenti ed urgenti che mal si concilierebbero con le tempistiche in materia di modifica unilaterale dei contratti ex art. 126-sexies del TUB[18].

Ciò nondimeno, la Banca d’Italia, con riguardo al succitato punto i), ha chiarito la necessità di disciplinare contrattualmente gli obblighi di cooperazione poiché rappresentano un “fattore di rilievo per l’innalzamento dei livelli di sicurezza nel settore dei pagamenti via internet[19]”; con riferimento al successivo punto ii) l’Autorità di vigilanza ha precisato che i principi richiamati “(…) hanno natura esemplificativa e generale[20]” e pertanto la loro concreta imposizione seguirà ad una preventiva valutazione con riguardo all’effettivo livello di rischio del prestatore dei servizi di pagamento.

Avuto riguardo poi alle citate le misure relative al controllo ed alla mitigazione dei rischi, in estrema sintesi, l’ABE le individua nelle seguenti fattispecie:

– prospettazione di più livelli di difesa della sicurezza (difesa in profondità)[21];

– separazione dei compiti e dei ruoli negli ambienti della tecnologia dell’informazione[22];

– applicazione del principio del privilegio minimo[23] nell’accesso alle reti;

– creazione di “piste di controllo”, ovvero registri e procedimenti di tracciabilità dei dati per limitare l’accesso ai dati sensibili relativi ai pagamenti e risorse critiche quali reti, sistemi, banche dati[24];

– applicazione del principio “Data minimisation”, secondo cui la raccolta, il routing, l’elaborazione, la conservazione e la visualizzazione dei dati sensibili dovrebbero essere mantenute ad un livello di minimo assoluto;

– determinazione delle modalità di controllo, che coinvolgeranno:

1. la funzione controllo dei rischi, la quale dovrà supervisionare i test periodici[25] sulle misure di sicurezza garantire la loro robustezza ed efficacia[26];
2. la funzione internal audit, la quale dovrebbe verificare periodicamente le misure di sicurezza adottate proporzionalmente ai rischi per la sicurezza implicati e avvalendosi di soggetti esperti ed indipendenti rispetto allo sviluppo, alla realizzazione o alla gestione dei servizi di pagamento via internet prestati[27];
3. la funzione di conformità, la quale, in sede di validazione di eventuali contratti di esternalizzazione, dovrà prestare particolare attenzione all’inclusione dei principi e degli orientamenti dell’ABE;

– tracciabilità di tutte le transazioni e processi di gestione del mandato elettronico[28] mediante, tra gli altri, l’inclusione nel servizio offerto di meccanismi di sicurezza per la registrazione dettagliata dei dati delle operazioni e dei mandati elettronici, fra cui il numero sequenziale dell’operazione, la marcatura temporale per i dati delle operazioni, le modifiche alla parametrizzazione, e l’accesso ai dati delle operazioni e dei mandati elettronici[29].

1.3.2 Le misure specifiche di controllo e sicurezza che impattano sui pagamenti via internet

Il secondo ambito di regolamentazione inserito nel Titolo II degli Orientamenti rileva in quanto oggetto di intenso confronto tra gli intermediari e la Banca d’Italia, per come documentato nel resoconto alle consultazioni, in relazione agli aspetti operativi per l’implementazione delle misure richieste.

In ragione di ciò, come in precedenza, si cercherà di fornire una lettura combinata tra detti Orientamenti ed i successivi chiarimenti della Banca d’Italia in sede di resoconto alle consultazioni, al fine di rappresentare un quadro della disciplina che possa raccordare gli adempimenti di matrice europea con quelli nazionali.

1.3.2.1 Identificazione inziale dei clienti e adempimenti di trasparenza

In particolare, il punto 6 del citato Titolo II degli Orientamenti, oltre richiamare l’attenzione degli intermediari sul rispetto degli obblighi di adeguata verifica dei clienti prima che i medesimi siano autorizzati ad accedere ai servizi di pagamento via internet,[30] richiede che i clienti confermino preventivamente la volontà di effettuare i pagamenti via internet utilizzando i servizi prima di potervi accedere; circa le modalità per ottemperare a detto Orientamento parrebbe essere ritenuto adeguato dalla Banca d’Italia l’inserimento nel contratto quadro di un riferimento alla possibilità di utilizzare la carta di credito per effettuare operazioni di pagamento su internet[31], fermo restando che “(…) in ogni caso, sarà cura dell’intermediario adottare ogni misura utile a far sì che il cliente abbia piena consapevolezza di tale possibilità di utilizzo dello strumento[32]”.

Con riguardo poi al punto 6.2 degli Orientamenti, vengono richieste tutta una serie di informazioni integrative rispetto alle previsioni della PSD[33], che i prestatori di servizi di pagamento dovrebbero fornire ai clienti e che di seguito si segnalano:

• informazioni chiare sui requisiti del cliente in termini di apparecchiature utilizzate dall’utente, software o altri strumenti necessari (per esempio software antivirus, firewall);
• orientamenti per l’uso corretto e sicuro delle credenziali di sicurezza personalizzate;
• una descrizione passo passo della procedura con la quale il cliente inoltra e autorizza un’operazione di pagamento e/o ottiene informazioni, inclusi gli esiti di ogni azione;
• orientamenti per l’uso corretto e sicuro di tutto l’hardware e il software fornito al cliente;
• le procedure da seguire in caso di perdita o furto delle credenziali di sicurezza personalizzate, o dell’hardware o del software del cliente per l’accesso o l’esecuzione delle operazioni;
• le procedure da seguire in caso di abuso riscontrato o sospetto;
• una descrizione delle responsabilità e degli oneri del prestatore di servizi di pagamento e del cliente, rispettivamente, per quanto riguarda l’uso del servizio di pagamento via Internet.

Sul punto, per quanto attiene ai possibili interventi da effettuare in ottemperanza alla normativa secondaria della Banca d’Italia in materia di Trasparenza delle operazioni e dei servizi  bancari e finanziari e correttezza delle relazioni tra intermediari e clienti (di seguito, per brevità, Disposizioni di trasparenza) l’Autorità nazionale di vigilanza ha precisato che le citate informazioni di cui al punto 6.2 rappresentano “(…) una specificazione del principio di carattere generale di cui all’[orientamento] 6” e che esse dovranno “(…) essere rese nell’ambito dell’informazione preventiva di cui all’art 41 PSD così come recepito in Italia dal D.lgs. 11/2010 e dalle Disposizioni di Trasparenza”.

Conseguentemente, parrebbe doversi prospettare un intervento di aggiornamento dei fogli informativi, in quanto le citate informazioni sembrerebbero rientranti nell’ambito delle “caratteristiche e rischi tipici dell’operazione” di cui alla Sezione II par. 3 delle Disposizioni di trasparenza, richiamate dalla Sezione VI, par. 4.1.1 relativa all’informativa pre-contrattuale in materia di Servizi di pagamento.

In particolare, occorre altresì precisare come la Banca d’Italia non parrebbe aver accolti i dubbi espressi nel postion paper dell’ABI del 12 ottobre 2015 circa “(…) il rischio di fornire una tale quantità di informazioni la cui rilevanza non risulti immediatamente percepibile dalla clientela[34]”.

Oltre a ciò, interventi vengono richiesti sul contratto quadro nella parte in cui si prevede che il prestatore dei servizi di pagamento possa bloccare una specifica operazione o lo strumento di pagamento per problemi di sicurezza, dovendo pattuire: i) il metodo e i termini della comunicazione al cliente ii) le modalità per contattare il prestatore dei servizi di pagamento per sbloccare l’operazione di pagamento via internet o il servizio; par tale ultimo profilo, la Banca d’Italia ha precisato come, “(…) ove previste, [le fattispecie relative al blocco di singole transazioni per problemi di sicurezza debbano essere] comunque regolate in forma scritta[35]” dovendosi evitare sovrapposizioni con la fattispecie del blocco dello strumento di pagamento per problemi di sicurezza, puntualmente disciplinata nel suo contenuto dalla disposizione di legge di cui all’art. 6 del d.lgs. 11/2010.

1.3.2.2 Autenticazione forte del cliente

Un secondo aspetto relativo alle misure specifiche e di sicurezza per i pagamenti via Internet concerne la disciplina dell’autenticazione forte del cliente[36], della quale i prestatori di pagamento dovrebbero avvalersi a protezione dell’inoltro dei pagamenti via internet e dell’accesso ai dati sensibili relativi ai pagamenti, ai sensi del Titolo II punto 7 degli Orientamenti.

L’obbligatorietà dell’utilizzo di siffatta procedura viene prevista secondo una tecnica di redazione tale per cui, fissato il principio generale dell’autenticazione forte del cliente, alcuni dei successivi punti (da 7.1 a 7.9) individuano le esenzioni da tale principio; esenzioni parametrate sulla base dell’ambito di applicazione oggettivo degli Orientamenti: bonifico/ mandato elettronico/ moneta elettronica/ e carte.

In particolare, nel condurre l’analisi sulle citate esenzioni, laddove le medesime non siano dettagliate esattamente dall’ABE (si pensi al punto 7.1 relativo ai bonifici), l’Autorità di vigilanza richiede agli intermediari di utilizzare misure alternative di identificazione per categorie di operazioni a basso rischio pre-identificate sulla base di analisi risk-based delle operazioni o che coinvolgono pagamenti di basso valore di cui alla direttiva sui servizi di pagamento[37].

In sede di recepimento, poi, la Banca d’Italia parrebbe essere stata chiara nel sottolineare che il principio dell’autenticazione forte trova applicazione generale e che i casi di esclusione sono identificati direttamente dagli Orientamenti; a tale riguardo e a titolo semplificativo, non è stata accolta, per esempio, la richiesta di escludere le carte aziendali e corporate dall’ambito di applicazione degli Orientamenti[38], piuttosto che quella di esentare dall’autenticazione forte la registrazione di una carta in un wallet[39] o, ancora, la richiesta di introdurre margini di flessibilità nel ricorso all’autenticazione forte, ammettendo la derogabilità al principio in base al quale almeno un degli elementi richiesti per l’autenticazione sia non riutilizzabile e non replicabile e non atto ad essere indebitamente carpito via internet[40].

L’importanza della procedura di autenticazione forte trova, da ultimo, conferma anche nel testo delle Disposizioni, laddove è previsto che “(…) fermi restando i casi in cui gli Orientamenti prescrivono obblighi specifici (come nel caso dell’utilizzo dell’ “autenticazione forte”), le banche applicano le disposizioni contenute negli Orientamenti secondo il principio di proporzionalità, cioè tenuto conto della dimensione e complessità operative, della natura dell’attività svolta, della tipologia dei servizi prestati[41]”.

1.3.2.3 Registrazione del cliente e monitoraggio delle operazioni

Tra gli altri Orientamenti meritevoli di analisi si segnalano i numeri 8 e 10, recanti, rispettivamente, indicazioni in merito alla sicurezza della registrazione iniziale al servizio del cliente ed il monitoraggio delle operazioni volte a prevenire, rilevare e bloccare il traffico dei pagamenti fraudolenti prima dell’autorizzazione finale del prestatore del servizio di pagamento.

In particolare, l’articolato del punto 8 individua tre requisiti per la registrazione iniziale e la fornitura all’utente di strumenti di autenticazione e/o software per effettuare pagamenti:

1. procedure da effettuarsi in un ambiente sicuro e affidabile;
2. procedure efficaci e sicure per la consegna delle credenziali personalizzate;
3. autenticazione forte per le operazioni con carta indipendentemente da uno specifico acquisto su Internet; qualora sia disponibile l’attivazione durante lo shopping online, questa dovrebbe essere fatta reindirizzando il cliente verso un ambiente sicuro e affidabile.

Con riferimento al monitoraggio delle operazioni, l’Autorità di vigilanza europea richiede ai prestatori di servizi di pagamento di dotarsi di sistemi di rilevamento e prevenzione delle frodi per individuare operazioni sospette, tra gli altri, prima che il prestatore di servizi di pagamento autorizzi da ultimo le operazioni o i mandati elettronici e fondati, nella loro entità, complessità ed adattabilità sul rispetto della normativa in materia dei dati, nonché commisurati al risultato della valutazione dei rischi.

In sede di resoconto alle consultazioni, la Banca d’Italia ha precisato, tra l’altro, che: i) la valutazione dei rischi è rimessa agli intermediari i quali, per le finalità di cui all’Orientamento 8, potranno anche utilizzare statistiche aziendali[42]; ii) non è possibile identificare ex ante le azioni da intraprendersi a seguito dell’individuazione di una frode, rimettendo tale identificazione alla valutazione dei competenti organi aziendali sulla base della tipologia di frode accertata e della normativa eventualmente applicabile alla specifica violazione[43].

1.3.3. L’assistenza al cliente: sensibilizzazione, educazione e comunicazione

La terza ed ultima fattispecie afferente il contenuto sostanziale degli Orientamenti attiene al rapporto di assistenza cui sono tenuti gli intermediari nel rapporto con il cliente; in particolare, all’interno di tale fattispecie, si richiede ai prestatori dei servizi di pagamento di fornire supporto sia in una fase ex ante, mediante l’avvio di programmi di educazione e di sensibilizzazione dei clienti destinati a garantire la loro comprensione sulle necessità di proteggere le proprie credenziali di accesso gestendo la sicurezza del proprio dispositivo di accesso ai pagamenti a mezzo internet ed utilizzando il sito web autentico del prestatore dei servizi di pagamento[44], che in una fase ex post di possibili eventi patologici, per esempio illustrando in che modo il prestatore di servizi di pagamento informerà il cliente circa (potenziali) operazioni fraudolente o metterà in guardia il cliente circa il verificarsi di attacchi[45].

2. I dubbi degli operatori in sede di recepimento e le indicazioni della Banca d’Italia: ulteriori profili di riflessione

Con riguardo agli ulteriori spunti di confronto emersi in sede di resoconto alle consultazioni, due in particolare meritano di essere sinteticamente illustrati: il primo, afferente al principio del comply or explain; il secondo relativo alla vincolatività delle Migliori Prassi, allegate agli Orientamenti e finalizzate ad orientare le condotte “operative” degli intermediari ad un’aderenza uniforme ai principi contenuti negli Orientamenti.

2.1 L’eliminazione del principio comply or explain e la non vincolatività delle Migliori Prassi

Diversamente rispetto all’efficacia prescrittiva delle raccomandazioni della Banca Centrale Europea del 31 gennaio 2013, fondata sul principio del c.d. comply or explain, ossia sulla sussistenza di “ampi margini di flessibilità nella scelta delle concrete modalità di attuazione che risultano rimesse, nella sostanza, alla scelta degli operatori[46]” i quali “possono [giustificare] le ragioni per le quali le misure di sicurezza raccomandate sono adottate con modalità equivalenti a quelle direttamente previste dalle raccomandazioni stesse[47]”, gli Orientamenti dell’ABE fanno venire meno “(…) la richiamata facoltà riconosciuta agli operatori[48]”, con la conseguenza che “i prestatori di servizi di pagamento sono chiamati ad un rispetto puntuale delle misure di sicurezza in essi contenute e delle modalità attuative ivi specificate[49]”.

In estrema sintesi la Banca d’Italia, in sede di consultazione del provvedimento dell’ABE prevedeva la piena vincolatività sia degli Orientamenti che delle Migliori Prassi; su tale affermazione si sono concentrate gran parte delle richieste di modifica della normativa da parte degli intermediari, le cui principali criticità sottoposte all’Autorità di vigilanza italiana possono essere riassunte nelle seguenti:

1. possibili effetti rilevanti dell’eliminazione del margine di flessibilità legato al principio del “comply or explain” “[sull]’autonoma valutazione delle scelte tecnologiche e procedurali per la sicurezza dei pagamenti via Internet da parte delle strutture coinvolte nei processi sottostanti[50]” e consequenziale “necessità per le stesse, di rianalizzare criticamente le attività e le progettualità realizzate, con un conseguente impatto sui tempi di adeguamento[51]”;
2. possibili effetti rilevanti sulla competitività degli operatori nazionali dell’anticipata introduzione a livello nazionale di misure di sicurezza (le Migliori Pratiche) che, in termini anche più stringenti, verranno introdotte solo successivamente a livello europeo mediante l’entrata in vigore della PSD2[52].

Per quanto concerne il principio del comply or explain, la Banca d’Italia ha ritenuto di non accogliere le richieste degli intermediari chiarendo che “(…) la rimozione del principio del “comply or explain” rappresenta uno dei principali elementi di novità derivanti dall’incorporazione delle Raccomandazioni della Banca Centrale Europea negli Orientamenti dell’EBA, che, con tale trasposizione, si propone di accrescere il grado di armonizzazione e sicurezza nel settore dei pagamenti via internet[53]” e tuttavia riconoscendo ad essi “(…) un congruo periodo di tempo entro il quale implementare le disposizioni di recepimento degli Orientamenti[54]”.

A tale ultimo proposito, nella nota esplicativa del 23 maggio relativa alle Disposizioni, è stato individuato al 30 settembre 2016 il termine per adeguarsi alle disposizioni; gli intermediari dovranno altresì trasmettere alla Banca d’Italia – entro il 30 ottobre 2016 – una relazione, approvata dall’organo con funzione di supervisione strategica, sugli interventi effettuati sulla struttura organizzativa e di controllo nonché sui sistemi informativi, al fine di assicurare il rispetto degli obblighi introdotti con le modifiche del 17 maggio 2016.

Con riguardo alle Migliori Prassi poi, in parziale accoglimento delle richieste pervenute, la Banca d’Italia rilevando che “(…) la PSD2 disciplina gli obblighi di autenticazione della transazione con riferimento all’importo e al destinatario del pagamento, oggetto della MP 8, rimettendo all’EBA la definizione delle regole tecniche e dei casi di esenzione (…) nelle more del consolidamento del quadro normativo europeo, la cui completa attuazione sarebbe prevista non prima di ottobre 2018[55]”, ha ritenuto di non renderle obbligatorie, fermo restando tuttavia “(…) la possibilità per gli intermediari di tenerne conto al momento della definizione delle scelte da assumere per conformarsi al contenuto degli Orientamenti[56]”.

Conclusioni

Il rinnovato impianto normativo descritto si pone in linea di continuità con gli interventi regolamentari che – a vario titolo – le Autorità di vigilanza europee stanno richiedendo di introdurre all’interno del quadro normativo regolamentare nazionale.

Ciò che maggiormente emerge dagli Orientamenti, alla luce, in particolare, dell’eliminazione del principio comply or explain, parrebbe essere una sempre maggiore pervasività delle regole – gerarchicamente sovraordinate – europee che, sebbene riducano i margini di azione dell’Autorità di vigilanza nazionale, necessitano pur sempre del loro intervento chiarificatore, al fine di creare basi comuni e regole uniformi entro cui gli intermediari possano accrescere il livello di competitività nell’offerta dei propri servizi.