Strong Customer Authentication (SCA)
Domande frequenti
Se non viene applicata un’autenticazione forte del cliente bisogna mettere in conto un tasso di annullamento notevolmente maggiore nell’elaborazione delle transazioni da parte dell’issuer.
La SCA sarà obbligatoria dal 14.09.2019 per tutti i fornitori di servizi di pagamento con sede nello Spazio economico europeo.
La regolamentazione delle eccezioni concesse dall’ABE è molto complessa e a potervi fare ricorso è solo l’acquirer. È quest’ultimo a decidere se un esercente può beneficiare o meno di una deroga.
In questo caso è richiesta la SCA?Cosa succede se l’addebito deve avvenire prima dell’arrivo? MIT o SCA?
La prima transazione con una carta non precedentemente memorizzata dall’esercente deve sempre essere prevedere un’autenticazione forte del cliente. Un addebito prima dell’arrivo può avvenire senza SCA solo se l’esercente ha memorizzato la carta nel sistema e in precedenza era già stata eseguita con successo una SCA.
L’ospite tuttavia è già partito. È possibile risolvere questo credito con la procedura «Card on File»?
Se la carta è già stata memorizzata presso l’esercente, non è necessario procedere a un’ulteriore SCA. In caso contrario, non è possibile effettuare un ulteriore addebito sulla carta senza SCA.
Non rientrano nell’ambito di applicazione della SCA, ma devono essere segnalate separatamente nel protocollo GICC.
In questo caso viene effettuata una transazione Card on File con indicatore MIT corretto, cosa che fa sì che non debba essere eseguita una nuova SCA.
In genere, attualmente l’esercente è già vincolato all’uso del protocollo 3D (tranne poche eccezioni). Per questo motivo non è necessario un adeguamento dei contratti. Concardis invierà tuttavia una speciale informativa agli esercenti che esclude una futura tolleranza delle transazioni non autenticate tramite protocollo 3D.
Il numero di carta di credito viene immesso manualmente al terminale: si tratta di una transazione ‘Key Entry’, considerata soggetta all’obbligo di SCA (secondo le affermazioni dell’emittente). Se il titolare della carta è fisicamente presente, digitando il NIP soddisfa i requisiti della SCA. Se NON è presente, può non digitare il NIP, ma deve farlo nel rispetto dei requisiti SCA. Per questo motivo, questi casi speciali vengono spesso svolti come transazioni MOTO (pratica che non corrisponde ai requisiti di compliance, ma viene tollerata).
L'inversione di responsabilità motivata dalla SCA vale solo per le carte del SEE (Spazio economico europeo)
L’attuazione tecnica della SCA nella gestione di rete avviene a cura del gestore della rete (per es. Cardtech). Il gestore della rete commerciale usa solo soluzioni di questi fornitori. A sostenere il rischio commerciale (inversione di responsabilità) è il gestore della rete commerciale.
Non esiste alcuna limitazione temporale dal punto di vista normativo. È assolutamente possibile che PSP/NSP (Payment Service Provider / Network Service Provider) abbiano stabilito corrispondenti periodi massimi di validità.
Le transazioni MOTO NON sono soggette all’obbligo di SCA.
In quanto acquirer, Concardis non offre interfacce per il processo di autenticazione vero e proprio (fingerprint/ face ID). Queste interfacce vengono messe a disposizione SOLO dalle banche emittenti.
No, non è previsto alcun mandato agli esercenti. C’è tuttavia una raccomandazione operativa alle banche emittenti, che da ottobre 2020 sono tenute per es. a svolgere verifiche SCA.
Payment Service Provider
Una procedura non esclude l'altra. Un ciclo di pagamento di un abbonamento può essere attuato dal PSP con l’aiuto di un framework MIT. I dettagli corrispondenti devono essere sempre chiesti al PSP.
Ecco il link al BaFin.