Índice de contenidos
La directiva PSD3 que se está negociando en la UE introduce mayores exigencias a los bancos para proteger a los consumidores frente a las ciberestafas
En los próximos meses se aprobará en el seno de la Unión Europea la directiva PSD3 sobre servicios de pago y el reglamento que la acompaña (PSR, Payment Service Regulation). Uno de los objetivos de este nuevo paquete legislativo es incrementar el nivel de protección de los consumidores frente a los fraudes bancarios.
Esta nueva normativa viene a sustituir a la directiva PSD2, transpuesta en España a través de la Ley de Servicios de Pago. Hace unas semanas, e interpretando dicha norma, el Tribunal Supremo emitió una sentencia histórica en la que determinó que la víctima de un fraude puede recuperar el dinero de una estafa online si no se incurrió en una negligencia grave. ¿Por qué? Los bancos tienen una responsabilidad cuasi-objetiva.
La futura directiva camina en la misma dirección que su antecesora pero busca reforzar la seguridad de los ciudadanos y las empresas, a la vez que exigir medidas más ambiciosas a las entidades financieras europeas.
Los fraudes, un problema de primer nivel
En el proyecto de la directiva PSD3 se incluye una evaluación de impacto de su predecesora. Dicha evaluación dio como resultado que uno de los problemas del mercado financiero de la UE es que «los consumidores corren el riesgo de sufrir fraude y no tienen confianza en los pagos».
Como consecuencia de ello, «los usuarios (consumidores, comerciantes y pymes) siguen estando expuestos al riesgo de fraude», a pesar de los esfuerzos que han hecho las entidades financieras para fortalecer sus mecanismos de prevención y detección de las ciberestafas.
En la última década, se han multiplicado los intentos de fraudes bancarios a empresas o el fraude bancario por teléfono. Además, estas prácticas delictivas se han vuelto más sofisticadas y difíciles de detectar por parte de un consumidor medio.
Principales medidas de la directiva PSD3 y el reglamento PSR para proteger a los consumidores
El proyecto de la directiva PSD3 y del reglamento PSR abarca varias medidas que buscan reducir los riesgos de fraude a los que se enfrentan los consumidores europeos y reforzar su protección ante las estafas:
- Mejorar la aplicación de la autenticación reforzada de cliente.
- Potenciar el intercambio de información sobre los fraudes entre todos los actores del sector.
- Reforzar la obligación de educar a los clientes sobre los fraudes.
- Ampliar la verificación IBAN a todas las transferencias realizadas por los consumidores.
- Reversión condicional de la responsabilidad por fraude en pagos autorizados.
- Optimizar la accesibilidad a la autenticación reforzada de los clientes con discapacidad, que sean personas mayores o que puedan tener dificultades relacionadas con el uso de dicha autenticación.
- Mejorar la disponibilidad de efectivo.
- Incrementar los derechos de los usuarios y su acceso a la información.
Así, el proyecto de la directiva PSD3 contempla en su artículo 3 que los proveedores de servicios de pago que deseen obtener la autorización para operar deben facilitar:
«Una descripción de las medidas de control de la seguridad y de mitigación de los riegos para proteger adecuadamente a los usuarios de servicios de pago de los riesgos detectados, en particular el fraude y el uso ilegal de datos sensibles y personales».
¿Qué implicará la aprobación de la directiva PSD3 y su transposición en España?
Este nuevo paquete normativo de la Unión Europea busca, como ya señalamos antes, aumentar la protección de los usuarios y consumidores europeos ante la oleada de fraudes digitales a ciudadanos y empresas que estamos viviendo en los últimos años y que se prevé que vaya en aumento, gracias al uso malicioso de sistemas de IA para llevar a cabo deepfakes de voz y/o imagen que dificulten la capacidad de las víctimas de los fraudes de detectar que se están convirtiendo precisamente en eso: víctimas de los delincuentes.
Si revisamos las áreas en las que la directiva PSD3 pone el foco nos encontramos así con cuestiones capitales como:
- Los sistemas de autenticación para realizar pagos a través de la banca online o de las apps móviles de los bancos. Y, en especial, su uso por parte de colectivos especialmente vulnerables, como las personas mayores con menos aptitudes digitales.
- La verificación del IBAN antes de formalizar las transferencias realizadas por ciudadanos y empresas.
- La formación y concienciación de los ciudadanos y los negocios para que implementen buenas prácticas en su día a día que contribuyan a minimizar las estafas que se llevan a cabo.
La directiva PSD2 y la sentencia del Tribunal Supremo sobre la responsabilidad de los bancos en las ciberestafas
Mientras no se aprueba la directiva PSD3 y se transpone en nuestro país… ¿los consumidores están protegidos frente a los fraudes bancarios? Sí. Como señalamos antes, la directiva PSD2 y la Ley de Servicios de Pago están en vigor y establecen un marco normativo garantista con respecto a los consumidores que son víctimas de fraudes.
Así lo ha concluido el Tribunal Supremo al emitir una sentencia que reconoce el derecho de un consumidor a obtener una devolución por SIM Swapping por parte de su banco de 56.000€.
¿Cuáles son los aspectos más relevantes de la sentencia del Alto Tribunal?
- Los ciudadanos solo están obligados a:
- Desplegar medidas razonables para proteger sus credenciales de seguridad.
- Notificar inmediatamente cualquier uso fraudulento de sus medios de pago.
- Comunicar sin demora a su banco la realización de una operación de pago fraudulenta.
- Las entidades financieras deben:
- Implementar medidas adecuadas para prevenir y detectar los fraudes y demostrar que el fraude no se produjo por una deficiencia del servicio.
- Para no asumir su responsabilidad y tener que devolver el importe de los fraudes han de ser capaces de demostrar que los consumidores actuaron de manera fraudulenta o incurrieron en una negligencia grave.
Es decir, según el TS, la directiva PSD2 ya apunta hacia una responsabilidad cuasi-objetiva de los bancos en los fraudes que sufren sus clientes. Si la futura directiva PSD3 aún va a ser más exigente con las entidades financieras y garantista para los consumidores, cabe concluir que:
- Los bancos van a tener que incrementar aún más sus medidas de seguridad y sus mecanismos y políticas de lucha contra el fraude.
- Los ciudadanos van a gozar de un marco de protección más amplio.
