Di Antonio Pezzuto, ex Dirigente della Banca d’Italia
Il 13 gennaio 2018 è entrata in vigore la Direttiva 2015/2366/UE (c.d. PSD2, Payment Services Directive 2), in sostituzione della Direttiva 2007/64/CE (c.d. Payment Services Directive) in materia di servizi di pagamento, che mira a promuovere lo sviluppo di un mercato interno dei pagamenti al dettaglio efficiente, sicuro e competitivo, rafforzando la tutela degli utenti, sostenendo l’innovazione e implementando il livello di trasparenza e di sicurezza dei pagamenti elettronici[1].
La prima direttiva aveva introdotto un quadro giuridico armonizzato per la creazione di un mercato interno dei pagamenti a livello europeo. Suoi principali obiettivi erano: i) aumentare la concorrenza tra gli operatori dei singoli paesi; ii) garantire la parità di condizioni di accesso al mercato (level playing field); iii) accrescere la trasparenza per gli utilizzatori dei servizi di pagamento; iv) stimolare l’utilizzo di strumenti di pagamento elettronici e innovativi; e v) standardizzare i diritti e gli obblighi degli utenti e dei prestatori di servizi di pagamento.
Fissando regole armonizzate per l’esecuzione dei pagamenti, la PSD ha posto le basi giuridiche per la realizzazione dell’Area unica dei pagamenti in euro (SEPA, Single Euro Payments Area), che comprende i paesi dell’Unione e i tre paesi dello Spazio Economico Europeo (Islanda, Norvegia e Liechtenstein), oltre a Svizzera e Principato di Monaco. La PSD condivide con la SEPA gli obiettivi di favorire l’innovazione tecnologica e la concorrenza nell’offerta dei servizi di pagamento fissando regole armonizzate per l’esecuzione dei pagamenti più efficienti (bonifici, addebiti diretti, carte di credito) rispetto a quelli cartacei (contante e assegni) e introducendo una nuova figura di intermediario finanziario specializzato (l’istituto di pagamento), assoggettandolo a un regime prudenziale specifico e consentendogli di svolgere anche attività non finanziarie.
Il quadro giuridico dell’Unione sui servizi di pagamento è stato integrato dai seguenti ulteriori atti: il Regolamento CE/1781/2006, il quale dispone che i prestatori di servizi di pagamento comunichino i dati informativi relativi all’ordinante lungo tutta la catena di pagamento, al fine di prevenire, investigare e individuare i casi di riciclaggio di denaro e di finanziamento al terrorismo; il Regolamento CE/924/2009, che ha eliminato le differenze tra le commissioni applicate ai pagamenti transfrontalieri all’interno dell’UE e quelle richieste ai pagamenti effettuati nella stessa valuta all’interno di uno Stato membro; la Direttiva 2009/110/CE, che istituisce il quadro giuridico per l’emissione e il rimborso di moneta elettronica e allinea il regime prudenziale per gli IMEL ai requisiti applicabili agli IP; il Regolamento UE/260/2012, che ha definito i requisiti tecnici e commerciali applicabili ai bonifici e agli addebiti diretti paneuropei.
La normativa che disciplina i servizi di pagamento ha mostrato nel tempo, tuttavia, qualche lacuna soprattutto sotto il profilo regolamentare e dell’innovazione tecnologica. Ad esempio, i pagamenti tramite carta, internet e dispositivi mobili risultavano frammentati lungo i confini nazionali; inoltre, molti prodotti e servizi di pagamento innovativi erano esclusi, interamente o in buona parte, dall’ambito di applicazione della Direttiva 2007/64. È emersa quindi la necessità di stabilire nuove regole, al fine di eliminare le carenze regolamentari, “garantendo al contempo maggiore chiarezza giuridica e un’applicazione uniforme del quadro legislativo in tutta l’Unione” (Considerando n. 6 della PSD2).
In attuazione della Direttiva PSD2, la Commissione europea ha emanato il Regolamento delegato UE/2018/389 contenente norme tecniche in materia di autenticazione forte del cliente e comunicazione sicura (Common Secure Communication – CSC) tra prestatori di sistemi di pagamento e di radicamento del conto e le c.d. “terze parti”. Il Regolamento delegato è entrato in vigore il 14 marzo 2018 ma troverà applicazione il 14 settembre 2019.
Nell’ambito del nuovo quadro normativo l’EBA è stata chiamata a sviluppare una serie di atti di secondo livello, tra cui gli Orientamenti sulle misure di sicurezza per i rischi operativi e per la sicurezza dei servizi di pagamento (EBA/GL/2017/17)[2], in materia di segnalazione di gravi incidenti (EBA/GL/2017/17)[3] e di obblighi di segnalazione per i dati sulle frodi (EBA/GL/2018/05)[4], nonché norme tecniche di regolamentazione o di attuazione su il punto centrale di contatto (EBA/RTS/2017/19) e sui requisiti tecnici relativi allo sviluppo, alla gestione e al mantenimento del registro elettronico centrale, e all’accesso alle informazioni ivi contenute (EBA/RTS/2017/07).
La PSD2 è stata recepita nel nostro ordinamento dal d.lgs. 218/2017 che, entrato in vigore lo stesso giorno, ha apportato una serie di modifiche al Testo unico bancario (TUB) e al d.lgs. 11/2010 recante la normativa primaria in materia di servizi di pagamento. Il decreto ha altresì adeguato la normativa nazionale alle disposizioni contenute nel Regolamento UE/751/2015 (c.d. IFR, Interchange Fees Regulation), relativo alle commissioni interbancarie sulle operazioni di pagamento basate su carta, che mira ad accrescere il livello di concorrenza e di integrazione del mercato europeo delle carte di pagamento.
Di seguito si riportano le principali novità introdotte dal d.lgs. 218/2017 nella disciplina interna dei servizi di pagamento.
- Modifiche al d.lgs. 10/2010
Ambito di applicazione. Sotto il profilo soggettivo, le nuove disposizioni si applicano a tutti i prestatori di servizi di pagamento autorizzati dalla Banca d’Italia, ossia banche, istituti di pagamento (IP) e istituti di moneta elettronica (IMEL), nonché ai prestatori comunitari che operano in Italia tramite succursale o in libera prestazione di servizi e a quelli extra-comunitari operanti nel territorio nazionale in regime di stabilimento o in libera prestazione di servizi.
Rientrano nell’ambito di applicazione della nuova disciplina anche i “terzi prestatori di servizi” Third Party Providers, TPP), ossia gli operatori non finanziari, diversi da banche, IP e IMEL, che prestano servizi on-line di “informazione sui conti” (Account Information Service Provider, AISP) e di “disposizione di ordini di pagamento” (c.d. Payment Initiation Service Provider, PISP).
Il servizio di “informazione sui conti” è definito come “un servizio on-line che fornisce informazioni relativamente a uno o più conti di pagamento detenuti dall’utente di servizi di pagamento presso un altro prestatore di servizi di pagamento o presso più prestatori di servizi di pagamento” (art. 1, comma 1, lett. b-ter) del d.lgs. 11/2010). L’AISP aggrega le informazioni mettendo a disposizione dell’utente una piattaforma on-line attraverso la quale quest’ultimo può collegarsi a tutti i conti di pagamento in essere con uno o più intermediari e controllare l’andamento della propria situazione finanziaria.
Il servizio di “disposizione di ordine di pagamento” è definito come “un servizio che dispone l’ordine di pagamento su richiesta dell’utente di servizi di pagamento relativamente a un conto di pagamento detenuto presso un altro prestatore di servizi di pagamento” (art. 2, comma 1, lett. b-bis, del d.lgs. 11/2010). In questo caso, il PISP mette a disposizione dell’utente un software attraverso il quale l’utente medesimo può disporre un pagamento direttamente dal proprio conto a quello di un altro utente.
Si prevede che entrambi i servizi sopra indicati possano essere prestati esclusivamente da operatori autorizzati dalla Banca d’Italia (banche, IP o IMEL), a condizione che stipulino una polizza assicurativa o altra garanzia idonea, a copertura di eventuali danni cagionati a terzi.
I TPP sono abilitati inoltre a svolgere il servizio di “conferma di disponibilità di fondi” (c.d. fund checking o card issuer credit provider, CISP), che consente di emettere carte di pagamento a valere su uno o più conti del titolare della carta in essere presso una o più banche. Eseguito l’ordine di pagamento da parte del pagatore tramite la carta emessa dal CISP, quest’ultimo potrà richiedere direttamente la conferma della disponibilità dei fondi dalle banche su cui si appoggia la carta.
Il decreto in commento ridefinisce l’ambito di applicazione oggettivo della normativa, attraverso la specificazione dei servizi e delle operazioni incluse (c.d. positive scope) o escluse (c.d. negative scope).
Viene esteso l’ambito di applicazione (“positive scope”) della disciplina in tema di trasparenza delle condizioni e dei diritti ed obblighi delle parti anche alle operazioni di pagamento in tutte le valute nonché alle c.d. one-leg transactions quando soltanto uno dei prestatori di servizi di pagamento sia ubicato nell’Unione (art. 3, comma 2).
La rimodulazione delle esenzioni esistenti (“negative scope”) riguarda le seguenti tipologie di attività :
- operazioni di pagamento effettuate tramite un agente commerciale che agisca a favore soltanto di una delle due controparti (pagatore o suo beneficiario), indipendentemente dal fatto che l’agente sia o meno in possesso dei fondi dei clienti (art. 2, comma 2, lett. b);
- operazioni di cash back, che consistono nella consegna da parte del beneficiario di contante al pagatore nel contesto di un’operazione di pagamento per l’acquisto di beni e servizi, a seguito di una richiesta esplicita del pagatore stesso immediatamente precedente l’esecuzione dell’operazione di pagamento (art. 2, comma 2, lett. e);
- servizi basati su specifici strumenti di pagamento a spendibilità limitata (c.d. limited network), che soddisfino una delle seguenti condizioni: i) strumenti che possono essere utilizzati per acquistare beni o servizi solo nei locali dell’emittente o all’interno di una rete limitata di prestatori di servizi vincolati da un accordo commerciale con l’emittente; ii) strumenti che possono essere utilizzati unicamente per l’acquisto di una gamma molto limitata di beni o servizi; iii) strumenti che sono regolamentati da un’autorità pubblica nazionale o regionale per specifici scopi sociali o fiscali, per l’acquisto di beni o servizi specifici da fornitori aventi un accordo commerciale con l’emittente e che hanno validità solamente in un unico Stato membro (art. 2, comma 2, lett. m);
- operazioni di pagamento effettuate tramite fornitori di reti o servizi di comunicazione elettronica riservati agli abbonati e solo per acquisti di contenuti digitali e servizi vocali e acquisti compiuti da dispositivo elettronico con addebito in fattura nell’ambito di attività di beneficenza o acquisto di biglietti elettronici; in entrambi i casi il valore di ciascuna operazione di pagamento non deve superare i 50 euro, mentre il valore complessivo delle operazioni stesse, per un singolo abbonato, non deve eccedere i 300 euro mensili (art. 2, comma 2, lett. n).
Si affida alla Banca d’Italia il compito di definire modalità e termini per l’invio delle informazioni che tali prestatori di servizi sono tenuti a notificare (art. 2, comma 4-bis), nonché di comunicare all’Autorità bancaria europea (EBA) i servizi ad essa notificati (art. 2, comma 4-ter).
Istituzione del Registro elettronico centrale dei prestatori dei servizi di pagamento.
L’art. 15 della Direttiva PSD2 prevede l’obbligo, per l’EBA, di istituire un registro centrale contenente i nomi dei soggetti che prestano servizi di pagamento. Il registro, istituito il 15.3.2019, fornisce informazioni su: gli IP e gli IMEL autorizzati dalle autorità nazionali competenti, compresi i prestatori di servizi di disposizioni di ordini di pagamento e i prestatori di servizi di informazioni sui conti; il paese in cui sono stabiliti i suddetti prestatori e i servizi offerti; i servizi forniti negli Stati membri ospitanti. In conseguenza dell’istituzione del predetto registro, la Banca d’Italia non è più tenuta a iscrivere in un apposito albo le succursali in Italia degli IP e degli IMEL con sede legale in uno Stato comunitario o terzo. Nell’albo nazionale, infatti, vanno iscritti solo gli IP e gli IMEL italiani autorizzati e le relative succursali stabilite in uno Stato membro diverso dall’Italia (nuovi articoli 114-quater e 11-septies del TUB).
Trasparenza delle condizioni contrattuali e dei rapporti con i clienti. Il decreto 218/2017 ha rafforzato gli obblighi di disclosure in capo ai prestatori di servizi di pagamento, introducendo due novità : il principio generale in base al quale il pagatore e il beneficiario sostengono ciascuno le spese applicate dal proprio prestatore di servizi di pagamento (c.d. regola “share”) e il divieto, per il beneficiario del pagamento, di applicare a carico del pagatore spese aggiuntive per l’utilizzo di strumenti di pagamento (c.d. “divieto di surchage”, art. 3, comma 4). Ciò al fine di dismettere la prassi diffusa tra i commercianti di ribaltare sui consumatori i costi addebitati dai prestatori di servizi di pagamento per l’utilizzo di dispositivi elettronici di pagamento.
Si individua nell’Autorità garante della concorrenza e del mercato (AGCM) l’autorità competente a verificare l’osservanza del divieto di surchage e ad applicare le sanzioni pecuniarie previste dal Codice del consumo (art. 3, comma 4-bis). Infine, si dispone la collaborazione tra AGCM e Banca d’Italia mediante scambio di informazioni, per agevolare l’esercizio delle rispettive funzioni (art. 3, comma 4-ter).
Rafforzamento dei presidi di sicurezza.
Al fine di tutelare gli utenti da rischi di frodi e abusi, il decreto in commento ha introdotto disposizioni specifiche in merito a: i) l’accesso da parte di prestatori di sistemi di pagamento a dati e informazioni relativi a conti di pagamento dei soggetti pagatori; e ii) l’autenticazione rafforzata del cliente.
Con riferimento alle operazioni di pagamento con carta, si prevede che, su richiesta del prestatore di servizi di pagamento emittente strumenti di pagamento con carta, il prestatore di servizi di pagamento di radicamento del conto[5] deve confermare senza indugio se sul conto del pagatore vi è la disponibilità dell’importo richiesto, purché al momento della richiesta sia accessibile on line e il pagatore abbia prestato il consenso al prestatore di servizi di pagamento di radicamento del conto a rispondere a richieste di conferma da parte di uno specifico prestatore di servizi di pagamento in merito alla disponibilità sul conto del pagatore dell’importo corrispondente a una determinata operazione di pagamento con carta (art. 5-bis, comma 1).
Con riferimento ai conti di pagamento accessibili on-line, si stabilisce che le banche, gli IP e gli IMEL, previo consenso da parte dell’utente, intestatario del conto di pagamento on-line, siano tenuti a comunicare e a mettere a disposizione dei PISP e degli AISP tutti i dati e le informazioni necessari alla prestazione dei relativi servizi (articoli 5-ter e 5-quater).
È previsto, a carico dei prestatori di servizi di pagamento, l’obbligo di trasmettere alla Banca d’Italia i dati statistici sulle frodi commesse agli strumenti di pagamento (art. 6-ter, comma 1). Si affida alla Banca d’Italia il compito di definire modalità e termini per l’invio dei dati in questione (art. 6-ter, comma 2) e che li inoltri in forma aggregata all’EBA e alla BCE (art. 6-ter, comma 3).
Con riferimento al punto sub ii), si richiede ai prestatori di servizi di pagamento di adottare procedure di autenticazione rafforzata della clientela[6] (c.d. strong customer authentication), quando l’utente: i) accede al proprio conto di pagamento on-line; ii) dispone un’operazione di pagamento elettronico; e iii) effettua qualsiasi azione, tramite canali a distanza, che possa comportare rischi di frodi nei pagamenti e altri abusi (art. 10-bis, comma 1). Ai prestatori di servizi di pagamento si richiede altresì di predisporre misure adeguate a tutelare la riservatezza e l’integrità delle credenziali di sicurezza personalizzata degli utenti (art. 10-bis, comma 3).
Responsabilità dei prestatori di servizi di investimento e degli utenti.
In tema di responsabilità del prestatore di servizi, il decreto 218/2017 stabilisce che nel caso in cui sia stata eseguita un’operazione di pagamento non autorizzato, il prestatore è tenuto a rimborsare all’utente l’importo dell’operazione medesima immediatamente e, in ogni caso, al più tardi entro la fine della giornata operativa successiva a quella in cui prende atto dell’operazione o riceve una comunicazione in merito. Il rimborso avviene solo dopo l’effettivo addebito del conto (art. 11, comma 1).
Ove l’operazione sia disposta mediante un prestatore di servizi di disposizione di ordine di pagamento, il prestatore di servizi di pagamento di radicamento del conto rimborsa all’utente immediatamente e, in ogni caso, entro la fine della giornata operativa successiva, l’importo dell’operazione non autorizzata, potendosi rivalere poi nei confronti del prestatore di servizi di disposizione di ordine di pagamento, che è tenuto a restituire immediatamente (e senza che sia necessaria la costituzione in mora) il prestatore di servizi di pagamento di radicamento del conto. Qualora dovessero insorgere controversie tra i diversi prestatori circa la responsabilità per l’operazione non autorizzata, spetta al prestatore del servizio di disposizione di ordine di pagamento dimostrare che, nella fase del processo di pagamento ascrivibile alle sue responsabilità , l’operazione è stata autenticata, correttamente registrata e non ha subito le conseguenze di guasti tecnici o altri inconvenienti, con conseguente diritto alla restituzione delle somme versate al prestatore di servizi di radicamento del conto (art. 11, comma 2-bis).
In tema di responsabilità dell’utente, si stabilisce che questi: i) salvo il caso in cui abbia agito in modo fraudolento, non sopporta alcuna perdita se il prestatore di servizi di pagamento non esige un’autenticazione forte del cliente (art. 12, comma 2-bis); e ii) non sopporta alcuna perdita se lo smarrimento, la sottrazione o l’appropriazione indebita dello strumento di pagamento non potevano essere notati dallo stesso prima di un pagamento, salvo il caso in cui abbia agito fraudolentemente, o se la perdita è stata cagionata da atti o omissioni di dipendenti, agenti o succursali del prestatore o dell’ente cui sono state esternalizzate le relative attività (art. 12, comma 2-ter).
Viene previsto inoltre che l’utente possa essere obbligato a sopportare, a concorrenza massima di 50 euro (e non più 150 euro), la perdita relativa ad operazioni di pagamento non autorizzate derivanti dall’utilizzo di indebiti dello strumento di pagamento, in seguito a furto, smarrimento o appropriazione indebita (art. 12, comma 3). Tale limitazione non opera qualora l’utente abbia adempiuto ai suoi obblighi con dolo o colpa grave (art. 12, comma 4).
Regime sanzionatorio.
Il decreto di recepimento ha inasprito le misure sanzionatorie per le violazioni delle disposizioni in materia di servizi di pagamento. In particolare, sono state introdotte, a carico dei prestatori di servizi di pagamento (banche, IP e IMEL) nonché dei soggetti ai quali sono state esternalizzate funzioni aziendali essenziali e importanti e dei revisori legali dei conti, sanzioni pecuniarie fino al massimale di 5 milioni di euro ovvero fino al 10 per cento del fatturato, quando tale importo è superiore a 5 milioni e il fatturato è disponibile e determinabile (art. 32, comma 1).
Nel caso in cui il prestatore di servizi di pagamento mandante riscontri nel comportamento dell’agente in servizi di pagamento le violazioni delle disposizioni del decreto, adotta immediatamente misure correttive e trasmette la documentazione relative alle violazioni accertate all’Organismo per la gestione degli elenchi degli agenti in attività finanziaria e dei mediatori creditizi di cui all’art. 128-undicies del TUB (art. 32, comma 1-bis). È previsto inoltre che le predette sanzioni si applichino solo nell’eventualità che le infrazioni assumano carattere rilevante secondo i criteri definiti dalla Banca d’Italia[7] (art. 32, comma 1-ter). Da ultimo, se il vantaggio ottenuto dall’autore della violazione in conseguenza della violazione stessa è superiore ai massimali indicati nell’art. 32, le sanzioni pecuniarie sono elevate fino al doppio dell’ammontare del vantaggio ricavato, purché tale ammontare sia determinabile (art. 32, comma 1-quater).
Quanto ai soggetti che svolgono funzioni di amministrazione, di direzione o di controllo e al personale dipendente, le sanzioni pecuniarie sono state ridotte da 20 a 5 mila euro; quelle massime sono state invece aumentate da 200 mila a 5 milioni di euro (art. 32-bis, comma 1). È stata, inoltre, introdotta la sanzione accessoria dell’interdizione, da sei mesi a tre anni, dallo svolgimento di funzioni di amministrazione, direzione e controllo presso prestatori di servizi di pagamento autorizzati (art. 32-bis, comma 2). Nella determinazione dell’ammontare delle sanzioni pecuniarie o della durata delle sanzioni accessorie, si applica l’art. 144-quater del TUB, che stabilisce i criteri che la Banca d’Italia è tenuta ad osservare nella determinazione delle stesse (art. 32-ter). Si designa l’AGCM quale autorità competente a svolgere i controlli sui servizi di prelievo di contante tramite sportelli automatici, di cui all’art. 2, comma 2, lett. q) del D.lgs. 11/2010, sulla base dei poteri istruttori e sanzionatori previsti dal Codice del consumo (art. 32-quater).
Limiti all’applicazione di commissioni interbancarie.
Il decreto in esame ha introdotto il Titolo IV-bis al fine di dare attuazione al Regolamento 715/2015 che, come dinanzi detto, fissa requisiti tecnici e commerciali uniformi per le operazioni di pagamento con carta. Il nuovo Titolo è costituito da due capi: nel Capo I sono indicati i limiti alle commissioni interbancarie su operazioni di pagamento con carte nazionali (art. 34-bis e art. 34-ter) e sono individuate le autorità nazionali competenti ai sensi dell’art. 13 del suddetto Regolamento (art. 34-quater); il Capo II disciplina il regime sanzionatorio (articoli da 34-quinquies a 34-decies).
Con riferimento al Cao I, si stabilisce: i) che fino al 9 dicembre 2020, si può applicare una commissione interbancaria media ponderata non superiore allo 0,2 per cento del valore medio annuo dell’ammontare di tutte le operazioni nazionali effettuate con carte di debito all’interno dello stesso schema di carte di pagamento[8] (art. 34-bis, comma 1); ii) per il periodo successivo al 9 dicembre 2020, un limite della commissione interbancaria, per ciascuna operazione, pari allo 0,2 per cento del valore oppure pari a 0,05 euro. Quest’ultima misura può essere combinata con una percentuale massima non superiore allo 0,2 per cento del valore di ciascuna operazione, a patto che la somma non ecceda mai lo 0,2 per cento del valore totale annuo delle operazioni nazionali eseguite con carte di debito all’interno di ciascuno schema di pagamento (art. 34-bis, comma 3); iii) che le commissioni applicate a operazioni di pagamento effettuate con carta di debito, di importo inferiore a 5 euro, siano ridotte rispetto a quelle applicate alle altre operazioni (art. 34-bis, comma 4); iv) che per i pagamenti nazionali effettuati con carte di credito, le commissioni per operazioni fino a 5 euro siano inferiori a quelle applicabili a operazioni di importo pari o superiore (art. 34-ter, comma 1).
Si attribuisce alla Banca d’Italia il compito di definire le modalità e i termini per l’invio alla stessa, da parte degli schemi di carte di pagamento, delle informazioni necessarie per la verifica del rispetto degli obblighi di condotta previsti dal Regolamento e si precisa che tali informazioni devono essere certificate da revisori indipendenti (articoli 34-bis, comma 6 e 34-ter, comma 2)[9].
Si individua nella Banca d’Italia l’autorità nazionale incaricata di assicurare il rispetto delle disposizioni sopra esplicitate. Essa adotta le proprie decisioni previo parere dell’AGCM (art. 34-quater, comma 1). Si designa l’AGCM quale autorità competente per i provvedimenti relative alle pratiche commerciali scorrette e per la violazione delle disposizioni contenute nel Codice del consumo (art. 34-quater, comma 2). Si attribuiscono, infine, alla Banca d’Italia poteri di indagine, di controllo e sanzionatori, nonché all’AGCM i poteri previsti dall’art. 27 del Codice del consumo[10] (art. 34-quater, comma 5). Per facilitare il dialogo con gli operatori e lo scambio informativo, si stabilisce inoltre l’obbligo di costituzione di un ufficio di rappresentanza in Italia in capo agli schemi di carte di pagamento che prestano i propri servizi nel territorio nazionale (art. 34 quater, comma 6).
In merito al Capo II, viene prevista una sanzione pecuniaria nei confronti dei prestatori di servizi di pagamento, da 30 mila fino a 5 milioni di euro ovvero fino al 10 per cento del fatturato, quando tale importo è superiore alla soglia di 5 milioni e il fatturato è disponibile e determinabile, per la mancata osservanza delle norme sulle commissioni[11] (art. 34-quinquies, comma 1). La medesima sanzione si applica nei confronti: i) del prestatore di servizi di pagamento e dei soggetti ai quali sono state esternalizzate funzioni aziendali essenziali e importanti, per l’inosservanza delle disposizioni del Regolamento 715/2015 in calce indicate[12] (art. 34-sexies, comma 1); e ii) degli organi decisionali, organizzazioni o entità responsabili del funzionamento degli schemi di carte di pagamento, per l’inosservanza delle disposizioni di cui agli articoli 34-bis e 34-ter e delle norme del Regolamento pure in calce indicate[13] (art. 34-sexies, comma 3).
E’ previsto che le sanzioni siano irrogate dalla Banca d’Italia e che si applichino le disposizioni generali in materia sanzionatoria previste dal TUB, Titolo VIII, Capo VI, nei casi di violazione in relazione a sevizi offerti da prestatori di servizi di pagamento insediati in Italia e filiali di prestatori di servizi di pagamento comunitari che operano in regime di libero stabilimento nel territorio italiano, nonché a servizi offerti da schemi di carte di pagamento la cui sede legale o operativa è ubicata in Italia (art. 34-novies, commi 1 e 2). Nel caso, invece, di servizi prestati da schemi di pagamento la cui sede legale o operativa è situata in altri Stati membri, la Banca d’Italia è tenuta ad informare l’autorità competente di questi Stati delle violazioni riscontrate (art. 34-novies, comma 3).
Infine, si dispone che, in caso di violazione da parte di un prestatore di servizi di pagamento delle disposizioni del Regolamento e della relativa normativa di attuazione, gli utenti, le associazioni rappresentative e le altre parti interessate possono presentare esposti alla Banca d’Italia, senza che ciò possa pregiudicare la possibilità di adire l’autorità giudiziaria (art. 34-decies).
- Modifiche al Testo unico bancario
Si introduce nel TUB una nuova norma (art. 114-bis.1) che consente agli Stati membri di autorizzare gli IMEL a distribuire e rimborsare moneta elettronica attraverso persone fisiche o giuridiche convenzionate che agiscono a loro nome. Si prevede inoltre che le banche aventi sede legale in uno Stato terzo possano avvalersi di soggetti convenzionati per la distribuzione e il rimborso della moneta elettronica in Italia, a condizione che stabiliscano una succursale autorizzata dalla Banca d’Italia.
Si dispone che la Banca d’Italia iscriva in un apposito albo gli IMEL autorizzati in Italia e le succursali degli IMEL italiani ubicate in uno Stato membro diverso dall’Italia (art. 114-quater, comma 1). Ne consegue che nell’albo non sono più iscritte le succursali, stabilite nel territorio italiano, degli IMEL con sede legale in uno Stato comunitario o terzo. Sono poi previste forme di comunicazione tra Banca d’Italia ed EBA riguardo alle informazioni contenute nell’albo, ad ogni relativa modifica e alle ragioni che determinano la revoca dell’autorizzazione o specifiche esenzioni degli obblighi contemplati dalla normativa (art. 114-quater, comma 1-bis).
Si prevede che l’autorizzazione rilasciata dalla Banca d’Italia agli IMEL sia subordinata alla duplice condizione che abbiano la sede legale e la direzione generale in Italia e che svolgano almeno una parte dell’attività soggetta ad autorizzazione sul territorio nazionale (art. 114-quinquies, comma 1).
Si attribuisce alla Banca d’Italia il potere di condurre ispezioni presso succursali, agenti o soggetti a cui sono state esternalizzate importanti o essenziali funzioni degli IMEL italiani, e si chiarisce che la relativa notifica deve essere effettuata dalla Banca d’Italia all’autorità competente del paese ospitante (art. 114-quinquies.2, comma 4). Si disciplina anche il reciproco potere che hanno le autorità competenti del paese d’origine per condurre ispezioni presso succursali, agenti o soggetti a cui sono state esternalizzate importanti o essenziali funzioni degli IMEL che operano in Italia, dopo aver informato la Banca d’Italia (art. 114-quinquies.2, comma 5).
Si stabilisce che, in caso di violazione, da parte di IMEL comunitari che operano in Italia, degli obblighi previsti dal TUB, la Banca d’Italia, anziché ordinare la cessazione delle irregolarità , si limiti a informare l’autorità competente del paese d’origine affinché adotti i provvedimenti più opportuni per eliminare le manchevolezze rilevate (art. 114-quinquies, comma 6-bis). In caso di mancanza o insufficienza dei provvedimenti dell’autorità del paese d’origine e qualora le irregolarità accertate possano pregiudicare gli interessi generali o compromettere la tutela degli utenti e dei risparmiatori, la Banca d’Italia può adottare in via provvisoria le misure necessarie, dandone notizia all’autorità del paese d’origine (art. 114-quinquies, comma 6-ter).
Viene disposta, parallelamente con quanto previsto per l’albo degli IMEL, l’iscrizione all’albo degli IP autorizzati in Italia e delle succursali degli IP italiani stabiliti in uno Stato membro diverso dall’Italia (art. 114-septies, comma 1). Sono poi previsti: i) obblighi di comunicazione tra Banca d’Italia ed EBA in ordine alle informazioni scritte nell’albo (art. 114-septies, comma 1-bis); e ii) per i soggetti che prestano esclusivamente il servizio di informazione sui conti, obblighi di iscrizione in una sezione speciale dell’albo al ricorrere di specifiche condizioni e se hanno stipulato una polizza assicurativa della responsabilità civile o analoga garanzia per i danni arrecati al prestatore di servizi di pagamento di radicamento del conto o all’utente (art. 114-septies, comma 2-bis).
Si dispone che gli IP ottengano l’autorizzazione della Banca d’Italia all’esercizio dell’attività , oltre che al ricorrere delle condizioni di legge, solo se hanno la sede legale e la direzione generale in Italia e svolgano almeno una parte dell’attività soggetta ad autorizzazione sul territorio nazionale (art.114-novies, comma 1). La Banca d’Italia rilascia l’autorizzazione a disimpegnare il servizio di disposizione di ordini di pagamento, a patto che gli IP abbiano stipulato una polizza di assicurazione della responsabilità civile o analoga forma di garanzia per i danni cagionati da condotte proprie o di terzi (art. 114-novies, comma 1-bis).
Si chiarisce che gli IP italiani possono prestare i servizi di pagamento in un altro Stato comunitario senza stabilirvi succursali, nel rispetto delle procedure fissate dalla Banca d’Italia (art. 114-decies, comma 3).
Si precisa che gli IP che prestano i servizi elencati dalla Direttiva devono tutelare tutti i fondi ricevuti dagli utenti di servizi di pagamento, ivi compresi quelli registrati in conti di pagamento e tramite un altro prestatore di servizi di pagamento per l’esecuzione delle operazioni (art. 114-duodecies, comma 1-bis).
Si applicano agli IP le stesse disposizioni in tema di vigilanza ispettiva enunciate dall’art. 114-quinquies.2, commi 4 e 5 per gli IMEL (art. 114-quaterdicies, commi 4 e 5).
Si dispone che le banche non possano impedire agli IP di aprire e mantenere conti di pagamento, salvo che questo non sia in contrasto con obiettivi di ordine pubblico o di pubblica sicurezza o ricorrano altri giustificati motivi ostativi in base alle disposizioni in materia di contrasto al riciclaggio di denaro e di finanziamento al terrorismo (art. 114-octiesdecies, comma 1).
- Modifiche alla normativa di vigilanza prudenziale
In attuazione della PSD2 e in seguito all’emanazione del d.lgs. 218/2017, la Banca d’Italia ha pubblicato, in data 11 luglio 2018, un documento di consultazione che illustra le modifiche e le integrazioni che intende apportare alle disposizioni di vigilanza per gli IP e gli IMEL[14]. I principali interventi proposti hanno riguardato:
- l’autorizzazione. La modifica della disciplina autorizzativa alla prestazione di servizi di pagamento e all’emissione di moneta elettronica mira a recepire gli Orientamenti dell’EBA sulle informazioni che devono essere fornite dagli IP e dagli IMEL a corredo della richiesta di autorizzazione (EBA/GL/2017/09). In particolare, il contenuto del programma di attività da presentare alla Banca d’Italia è aggiornato ai nuovi requisiti e pertanto arricchito con informazioni di dettaglio.
- i fondi propri. Le nuove istruzioni di vigilanza prevedono l’applicazione a IP e IMEL della definizione di “fondi propri” introdotta per le banche e le imprese di investimento dalla Direttiva UE/575/2013 (Capital Requirement Regulation, CRR), allo scopo di accrescere la qualità e il livello minimo regolamentare dei fondi propri imponendo criteri più rigorosi per l’inclusione di vari strumenti nel capitale regolamentare e armonizzando il trattamento delle deduzioni[15];
- i requisiti in materia di organizzazione e dei controlli interni. La normativa di vigilanza rafforza i presidi organizzativi di cui IP e IMEL devono dotarsi per garantire una più efficace salvaguardia dai rischi, segnatamente quelli relativi alla sicurezza dei pagamenti. A tal fine, si richiede ai soggetti sopra indicati di definire: i) una specifica politica per il governo dei rischi di sicurezza; ii) procedure per la gestione e il controllo di tale tipologia di rischi; iii) sistemi per la prevenzione e il monitoraggio degli incidenti di sicurezza e delle frodi[16]; iv) le procedure per l’archiviazione, il monitoraggio, la tracciabilità e la limitazione dell’accesso ai dati sensibili relativi ai pagamenti[17];
- l’operatività degli istituti italiani in Italia e all’estero e degli istituti esteri in Italia. Le disposizioni recepiscono le previsioni della PSD2 e tengono conto del Regolamento delegato 2055/2017 contenente norme tecniche di regolamentazione per lo scambio di informazioni tra autorità competenti in relazione all’esercizio del diritto di stabilimento e della libera prestazione dei servizi degli istituti di pagamento. Più precisamente, viene aggiornato e integrato il set delle informazioni che gli istituti italiani rassegnano alla Banca d’Italia quando intendono operare all’estero. Si prevede, inoltre, che gli IP e gli IMEL comunitari che hanno manifestato l’intenzione di prestare in Italia servizi di pagamento tramite agenti designino un “punto di contatto centrale”[18];
- i requisiti in materia di tutela dei fondi della clientela. Le disposizioni di vigilanza recepiscono la nuova disciplina sui requisiti in materia di tutela dei fondi della clientela prevista dall’art. 114-duodecies del TUB, in base al quale tutti i fondi ricevuti dagli utenti di servizi di pagamento devono essere assoggettati a specifiche tutele nei casi in cui non siano trasferiti al beneficiario o a un altro prestatore di servizi di pagamento entro la prima giornata lavorativa operativa successiva al giorno in cui sono stati ricevuti.
Per rendere graduale il passaggio al nuovo regime prudenziale ed evitare che la sua applicazione possa incidere sulla capacità degli istituti di rispettare i requisiti patrimoniali, il documento di consultazione prevede un’apposita disciplina transitoria. In particolare, è previsto che: i) l’importo delle attività fiscali possa essere dedotto in percentuale progressivamente crescenti su un arco di cinque anni (fino al 2022); ii) gli impatti sul capitale primario di classe 1 derivanti dall’applicazione dell’IFRS9 possano essere distribuiti lungo un orizzonte temporale di cinque anni. La previsione di un così lungo periodo transitorio risponde all’esigenza di assicurare agli intermediari un arco di tempo congruo per effettuare i necessari interventi di ricapitalizzazione, riesaminare le proprie strategie di finanziamento e accedere, se del caso, al mercato dei capitali.
NOTE:
[1] La PSD2 consta di 116 articoli raggruppati in sei Titoli disciplinanti rispettivamente: 1) l’oggetto e l’ambito di applicazione della nuova normativa (articoli 1-4); 2) i prestatori dei servizi di pagamento (articoli(5-37); 3) la trasparenza delle condizioni e i requisiti informativi per i servizi di pagamento (articoli 38-60); 4) i diritti e gli obblighi relativi alla prestazione e all’uso dei servizi di pagamento (articoli 61-103); 5) l’attribuzione alla Commissione europea del potere di adottare gli atti delegati (articoli 104-106); e 6) le disposizioni finali (articoli 107-116).
[2]Il documento disciplina i presidi che i prestatori di servizi di pagamento devono adottare per minimizzare i rischi operativi e di sicurezza relativi alla prestazione di servizi di pagamento.
[3] Il documento stabilisce i criteri, le soglie e la metodologia che i prestatori di servizi di pagamento devono utilizzare per determinare se un incidente operativo o di sicurezza va considerato grave ed essere, di conseguenza, notificato all’autorità competente del paese d’origine
[4] Il documento fornisce informazioni dettagliate sui dati statistici relativi alle frodi connesse ai diversi mezzi di pagamento che i prestatori di servizi di pagamento devono segnalare alle rispettive autorità competenti, nonché sui dati aggregati che queste ultime devono condividere con EBA e BCE.
[5] È tale “un prestatore di servizi di pagamento che fornisce e amministra un conto di pagamento per un pagatore (art. 2, punto 17, della PSD2).
[6] Ai sensi dell’art. 1, comma 1, lett. q-bis, l’autenticazione forte è “un’autenticazione basata sull’uso di due o più elementi, classificati nelle categorie della conoscenza (qualcosa che solo l’utente conosce), del possesso (qualcosa che solo l’utente possiede) e dell’inerenza (qualcosa che caratterizza l’utente), che sono indipendenti, in quanto la violazione di uno non compromette l’affidabilità degli altri e che è concepita in modo tale da tutelare la riservatezza dei dati di autenticazione”.
[7] Tali criteri devono tener conto dell’incidenza dei comportamenti sulla complessiva organizzazione aziendale e sui profili di rischio.
[8] L’art. 2, punto 16, del Regolamento definisce lo schema di carte di pagamento come “un insieme unico di norme, prassi, standard e/o linee guida di attuazione per l’esecuzione di operazioni di pagamento basate su carta, separato da qualsiasi infrastruttura o sistema di pagamento che ne sostenga le operazioni, che includa specifici organi decisionali, organizzazioni o entità responsabili del funzionamento dello schema”.
[9] L’11 ottobre 2018 la Banca d’Italia ha emanato il Provvedimento di attuazione del Titolo IV-bis, Capo I, del d.lgs. 11/2010, applicabile agli schemi di carte di pagamento che prestano i propri servizi nel territorio italiano e la cui governance authority (organo decisionale, organizzazione o entità responsabile del funzionamento dello schema) ha sede legale in Italia o in un altro Stato membro. Esso individua le informazioni e i dati che detti schemi sono tenuti a notificare all’Istituto, e definisce la tempistica e le modalità di invio delle segnalazioni per consentire la verifica del rispetto dei massimali alle commissioni interbancarie. Inoltre, poiché il Regolamento 715/2015 stabilisce una serie di obblighi di condotta, il Provvedimento indica le informazioni che la governance authority deve produrre alla Banca d’Italia; tale segnalazione andrà effettuata una tantum e aggiornata solo in caso di cambiamenti relativi alle informazioni comunicate. Tutte le suddette informazioni devono essere inviate alla Banca d’Italia tramite l’ufficio di rappresentanza che gli schemi di pagamento operanti in Italia sono tenuti a istituire, nonché certificate da un revisore indipendente.
[10] L’art. 27 affida all’AGCM il compito, d’ufficio o su istanza di ogni soggetto o organizzazione che ne abbia interesse, di inibire la continuazione di pratiche commerciali scorrette e rimuoverne gli effetti. A tal fine, l’Autorità si avvale dei poteri investigativi ed esecutivi di cui al Regolamento 2006/2004/CE. L’Autorità può disporre, con provvedimento motivato, la sospensione provvisoria delle pratiche commerciali scorrette, laddove sussiste particolare urgenza. In caso di inottemperanza a quanto disposto dall’Autorità , questa può applicare sanzioni amministrative pecuniarie. Ad eccezione dei casi di manifesta scorrettezza e gravità della pratica commerciale, l’Autorità può ottenere dal professionista responsabile l’impegno di porre fine all’infrazione, cessandone la diffusione e modificandola in modo da eliminare i profili di illegittimità .
[11] La sanzione è irrogata per il mancato rispetto delle disposizioni di cui all’art. 34-bis, commi 1, 3, 4, 5 e 6, e all’art. 34-ter.
[12] Art. 8, par. 6; art. 9, par. 1; art. 10, par. 1; art. 10, par. 5; art. 11, par. 1; art. 11, par. 2.
[13] Art. 6; art. 7, par. 1, lett. a); art. 7, par. 1, lett. b); art. 7, par. 1, lett. c); art. 7, par. 3; art. 7, par. 4; art. 8, par. 1; art. 8, par. 4; art. 8, par. 6; art. 10, par. 1; art. 11, par. 1 e 2.
[14] Il 17 maggio 2016 la Banca d’Italia ha pubblicato le nuove “Disposizioni di vigilanza per gli IP e gli IMEL”, che recepiscono gli Orientamenti sui requisiti minimi di sicurezza dei pagamenti via Internet (EBA/GL/1014/12), emanati dall’EBA nel dicembre 2014. Le nuove disposizioni abrogano e sostituiscono le previgenti disposizioni del giugno 2012.
[15] Nello specifico, essa prevede che: i) i fondi propri degli IP e degli IMEL sono costituiti dal capitale di classe 1 più il capitale di classe 2; ii) il capitale di classe 1 è composto per almeno il 75 per cento da capitale primario di classe 1, come definito dall’art. 50 del CRR; il capitale di classe 2 è ammesso nel calcolo entro un massimo pari a un terzo del capitale di classe 1.
[16] Coerentemente con gli Orientamenti emanati dall’EBA, gli IP e gli IMEL comunicano direttamente alla Banca d’Italia i gravi incidenti occorsi (EBA/GL/2017/10).
[17] Nella identificazione delle misure di sicurezza, gli IP e gli IMEL si attengono a quanto previsto dagli Orientamenti dell’EBA in materia (EBA/GL/2017/17).
[18] Ai sensi dell’art. 1, comma 2, lett. i) del TUB, è tale “il soggetto o la struttura designato dalle banche, dagli IMEL e dagli IP comunitari che operano sul territorio della Repubblica in regime di diritto di stabilimento, senza succursale, tramite gli agenti di cui all’art. 1128-quater”.
Antonio Pezzuto, “Le nuove regole sui servizi di pagamento (PSD2)”, Magistra Banca e Finanza, 20 aprile 2019, ISSN 2039-7410, https://www.tidona.com/le-nuove-regole-sui-servizi-di-pagamento-psd2/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione preferita è quella indicata sopra, con collegamento all’URL originale dell’articolo.