Директива о платёжных услугах

Директива о платёжных услугах (англ. Payment Services Directive, PSD) — совокупность нормативных правовых актов Европейского союза, регулирующих предоставление платёжных услуг на территории ЕС и Европейской экономической зоны (ЕЭЗ). Основная цель директив — создание единого рынка платежей, повышение конкуренции, снижение стоимости транзакций, усиление защиты прав потребителей и стимулирование развития инновационных платёжных технологий. Первая директива (PSD1) была принята в 2007 году, а в 2015 году её сменила обновлённая версия — PSD2 (Revised Payment Services Directive).

История

До принятия PSD1 рынок платёжных услуг в Европе был фрагментирован: каждая страна имела собственное законодательство, что затрудняло трансграничные переводы и ограничивало конкуренцию. В 2001 году Европейская комиссия начала работу над концепцией единого платёжного пространства (SEPA), которая предусматривала гармонизацию правил для банковских переводов, прямых дебетов и карточных платежей. Однако для полноценного регулирования новых участников рынка (например, небанковских платёжных сервисов) потребовался отдельный закон.

PSD1 (2007)

Директива 2007/64/EC (PSD1) была принята Европейским парламентом и Советом ЕС 13 ноября 2007 года и вступила в силу 1 ноября 2009 года. Она установила единые правила для всех поставщиков платёжных услуг, включая банки, электронные деньги и платёжные учреждения. Ключевые положения PSD1:

• Введение лицензирования для небанковских платёжных учреждений (Payment Institutions).
• Обязательство прозрачности тарифов и сроков исполнения платежей.
• Сокращение максимального срока зачисления средств на счёт получателя (до D+1).
• Установление ответственности поставщика за несанкционированные транзакции (с ограничением ответственности клиента до 150 евро при утрате платёжного инструмента).

PSD1 способствовала росту числа финтех-компаний, но оставила нерешёнными вопросы доступа к банковским счетам и регулирования так называемых «третьих сторон» (Third Party Providers, TPP) — сервисов, которые инициируют платежи или агрегируют информацию о счетах без непосредственного участия банка.

PSD2 (2015)

Директива (EU) 2015/2366 (PSD2) была принята 25 ноября 2015 года и вступила в силу 13 января 2018 года, с полным применением с 14 сентября 2019 года. Она заменила PSD1 и ввела принципиально новые правила, направленные на открытие банковских данных (Open Banking). Основные нововведения:

• Обязательное предоставление банками доступа к счетам клиентов (через API) для авторизованных TPP.
• Введение двух типов TPP: сервисы инициирования платежей (Payment Initiation Service Provider, PISP) и сервисы предоставления информации о счетах (Account Information Service Provider, AISP).
• Усиление аутентификации клиентов (Strong Customer Authentication, SCA) — требование двухфакторной проверки для большинства электронных платежей.
• Расширение ответственности поставщиков за несанкционированные операции (снижение лимита ответственности клиента до 50 евро, а в случае утери или кражи — до 0 евро при своевременном уведомлении).
• Запрет на взимание дополнительной комиссии за использование определённых платёжных инструментов (например, кредитных карт) в большинстве розничных транзакций.

Классификация и виды участников

Директивы выделяют несколько категорий субъектов, оказывающих платёжные услуги:

Платёжные учреждения (Payment Institutions)

Юридические лица, получившие лицензию на предоставление платёжных услуг без статуса банка. Они могут выполнять переводы, выпускать электронные деньги, обслуживать платёжные карты, но не имеют права привлекать депозиты. Примеры: PayPal, TransferWise (ныне Wise), Revolut.

Банки и кредитные учреждения

Традиционные финансовые организации, которые автоматически считаются поставщиками платёжных услуг. Они обязаны соблюдать все требования директив, включая открытие API для TPP.

Электронные деньги (E-money institutions)

Специализированные организации, выпускающие электронные средства платежа (например, WebMoney, Яндекс.Деньги). Их регулирование частично пересекается с PSD, но дополнительно регламентируется Директивой об электронных деньгах (EMD).

Третьи стороны (TPP)

• PISP — сервисы, которые инициируют платёж по поручению пользователя напрямую со счёта в банке, минуя карточные схемы. Пример: Klarna, Sofort.
• AISP — сервисы, которые собирают и агрегируют информацию о счетах пользователя из разных банков для предоставления финансовой аналитики. Пример: Mint, Yolt.

Основные требования и характеристики

Лицензирование и пруденциальный надзор

Все поставщики платёжных услуг, кроме банков, обязаны получить лицензию в национальном регуляторе (например, в Великобритании — FCA, в Германии — BaFin). Для этого необходимо соблюдать минимальные требования к капиталу (от 20 000 до 125 000 евро в зависимости от объёма операций), а также вести раздельный учёт средств клиентов.

Прозрачность и информация

Директивы обязывают поставщиков предоставлять клиентам до подписания договора и после каждой операции:

• Полную стоимость услуги (включая комиссии, сборы, курсы валют).
• Сроки исполнения платежа.
• Порядок обжалования и возврата средств.
• Условия ответственности сторон.

Аутентификация и безопасность

PSD2 ввела обязательное применение сильной аутентификации клиента (SCA) для онлайн-платежей на сумму более 30 евро, а также для доступа к информации о счетах. SCA требует как минимум двух из трёх факторов:

• Знание (пароль, PIN-код).
• Владение (телефон, токен, карта).
• Биометрия (отпечаток пальца, лицо).

Исключения допускаются для низкорисковых операций (например, подписки на небольшие суммы) и для платежей в торговых точках.

Ответственность и возмещение

В случае несанкционированной транзакции клиент имеет право на полное возмещение, если уведомил банк в течение 13 месяцев (для PSD2 — 13 месяцев, для PSD1 — 70 дней). Если клиент сам утратил платёжный инструмент, его ответственность ограничена 50 евро (PSD2) или 150 евро (PSD1). При мошенничестве со стороны поставщика — ответственность полностью на нём.

Применение и значение

Влияние на финтех-индустрию

PSD2 стала катализатором развития открытого банкинга (Open Banking) в Европе. Банки были вынуждены предоставить доступ к своим API, что позволило финтех-компаниям создавать инновационные продукты: агрегаторы счетов, сервисы управления личными финансами, мгновенные кредиты на основе анализа транзакций. По данным Европейской комиссии, к 2023 году количество лицензированных платёжных учреждений в ЕС превысило 500.

Влияние на потребителей

Для конечных пользователей директивы привели к:

• Снижению комиссий за переводы (особенно трансграничные).
• Появлению удобных сервисов для оплаты онлайн без ввода данных карты.
• Повышению безопасности благодаря SCA.
• Возможности бесплатного доступа к истории операций через AISP.

Критика и ограничения

Основные претензии к PSD2:

• Высокие затраты банков на внедрение API (по оценкам, до 10 млрд евро по всему ЕС).
• Риски утечки персональных данных при передаче данных TPP.
• Сложности с аутентификацией (SCA) для пользователей старшего возраста или с ограниченными возможностями.
• Неравномерное применение в разных странах (например, в Германии и Франции переход на PSD2 затянулся до 2021 года).

Перспективы

В 2023 году Европейская комиссия начала работу над PSD3, которая должна устранить недостатки PSD2. Ожидаемые изменения:

• Упрощение лицензирования для небольших стартапов.
• Усиление требований к безопасности API.
• Введение единых стандартов для мгновенных платежей.
• Расширение регулирования на криптовалютные платёжные сервисы (в рамках MiCA).

Интересные факты

• PSD2 стала первой в мире директивой, обязавшей банки открыть доступ к данным клиентов для сторонних сервисов. Аналогичные законы позже приняли в Великобритании (Open Banking), Австралии (Consumer Data Right) и Индии (UPI).
• Термин «сильная аутентификация» (SCA) был введён именно PSD2 и затем заимствован другими регуляторами, включая ЦБ РФ (в законе «О национальной платёжной системе»).
• По оценкам Европейской комиссии, PSD2 ежегодно экономит потребителям ЕС около 5 млрд евро за счёт снижения комиссий и повышения конкуренции.

Источники

• Directive 2007/64/EC of the European Parliament and of the Council of 13 November 2007 on payment services in the internal market (PSD1).
• Directive (EU) 2015/2366 of the European Parliament and of the Council of 25 November 2015 on payment services in the internal market (PSD2).
• European Commission. «Payment Services Directive (PSD2): Regulatory Technical Standards (RTS)». 2018.
• European Banking Authority. «Guidelines on strong customer authentication and secure communication». 2019.
• «Open Banking: The New Era of Financial Services» — Deloitte, 2020.
• «The Impact of PSD2 on the European Payment Market» — McKinsey & Company, 2021.