EBA, con Q&A n. 7606/2025, in tema PSD 2 (Direttiva (UE) 2015/2366), chiarisce se con l’espressione “authentication procedures” (procedure di autenticazione), di cui al parere di EBA sugli ostacoli (EBA/OP/2020/10), si faccia riferimento solo al metodo SCA finale oppure all’intero percorso end-to-end dell’utente necessario per completare l’autenticazione.
In aggiunta ha precisato se ciò significhi che eventuali passaggi aggiuntivi nel flusso del TPP (Third-Party Provider) – quali la necessità di cliccare sull’immagine di un codice QR o di inserire manualmente un nome utente per avviare l’app di autenticazione, che non sono presenti nel canale diretto – costituiscano una mancata conformità alla stessa procedura di autenticazione.
In particolare, il par. 14 del citato parere di EBA afferma che nel caso in cui le interfacce fornite dagli ASPSP non supportino tutte le procedure di autenticazione messe a disposizione dall’ASPSP ai propri utenti di servizi di pagamento (PSU), ciò costituirebbe una violazione dell’art. 30, par. 2, del Regolamento delegato (UE) 2018/389 e un ostacolo ai sensi dell’art. 32, par. 3, del medesimo Regolamento, ovvero alla fornitura di servizi di avvio dei pagamenti e di informazione sui conti.
Vi è, quindi, ambiguità relativamente al significato del termine authentication procedures.
Alcuni ASPSP sembrano interpretare questo termine in senso restrittivo, riferendosi esclusivamente al metodo finale di applicazione della SCA (ad esempio, l’uso di dati biometrici o di un PIN). Tuttavia, questi ASPSP spesso antepongono a tale metodo finale di SCA una serie di passaggi aggiuntivi presenti solo nel percorso del TPP. Tali passaggi possono includere la richiesta all’utente di cliccare su un’immagine di codice QR non immediatamente riconoscibile su una schermata web per avviare l’app, oppure l’obbligo per l’utente finale di inserire manualmente il proprio nome utente per attivare una notifica push di autenticazione.
Questi passaggi intermedi non fanno parte del percorso di autenticazione quando l’utente accede al proprio conto direttamente tramite l’app mobile dell’ASPSP.
Non è quindi chiaro se un percorso che preveda tali passaggi aggiuntivi possa essere considerato la stessa procedura di autenticazione equivalente offerta agli utenti quando accedono direttamente ai propri conti di pagamento.
EBA, nella risposta alla questione posta, ricorda innanzitutto come l’art. 30, par. 2, del Regolamento delegato (UE) 2018/389 prevede che, ai fini dell’autenticazione dell’utente l’interfaccia di cui all’art. 30, paragrafo 1, di tale Regolamento deve consentire “ai prestatori di servizi di informazione sui conti e ai prestatori di servizi di disposizione di ordine di pagamento di avvalersi di tutte le procedure di autenticazione fornite dal prestatore di servizi di pagamento di radicamento del conto all’utente dei servizi di pagamento”.
L’art. 4, par. 29, della PSD 2 (Direttiva (UE) 2015/2366) definisce l’autenticazione come “la procedura che consente al prestatore di servizi di pagamento di verificare l’identità di un utente di servizi di pagamento o la validità dell’uso di uno specifico strumento di pagamento, compreso l’uso delle credenziali di sicurezza personalizzate dell’utente”.
Il par.7 del citato parere di EBA (EBA/OP/2020/10) ha chiarito che la procedura di autenticazione presso l’ASPSP nell’ambito di un percorso AISP (prestatore di servizi di informazione sui conti) o PISP (prestatore di servizi di disposizione di ordini di pagamento) non dovrebbe includere passaggi superflui né richiedere all’utente di fornire informazioni superflue rispetto alle modalità con cui l’utente può autenticarsi quando accede direttamente ai propri conti di pagamento o avvia un pagamento presso l’ASPSP.
Allo stesso modo, il par.15 di tale parere ha ulteriormente chiarito che l’autenticazione dell’utente presso l’ASPSP nel percorso di un AISP/PISP, sia in un approccio di reindirizzamento che in uno disaccoppiato, non dovrebbe creare difficoltà superflue né aggiungere passaggi non necessari nel percorso del cliente rispetto alla procedura di autenticazione equivalente offerta agli utenti quando accedono direttamente ai propri conti di pagamento o avviano un pagamento con l’ASPSP.
Il riferimento contenuto nel parere alla procedura di autenticazione comprende tutte le azioni necessarie per verificare l’identità dell’utente o la validità dell’uso del suo specifico strumento di pagamento.
