Il 14 settembre 2019 entrerà in vigore una nuova Direttiva europea (Payment Services Directive II, PSD2), che obbliga a usare l’autenticazione forte del cliente (strong customer authentication, SCA) per i pagamenti online. Lo scopo della direttiva è rendere questi pagamenti più sicuri all’interno dello spazio economico europeo (SEE – il quale include i paesi membri dell’Unione europea, nonché Islanda, Liechtenstein e Norvegia) e tutelare sia venditori che utenti. Ciò ha delle ripercussioni sui metodi di pagamento che devono essere adeguati, ecco cosa e come cambierà.
Cosa si intende con SCA?
La sigla SCA sta per strong customer authentication, ovvero “autenticazione forte del cliente”; all’interno della Direttiva PSD2, il termine indica un processo più rigoroso di convalida dei pagamenti online. Questo tipo di autenticazione verrà richiesto nel caso in cui sia l’emittente della carta di credito che il conto corrente su cui vengono versati i pagamenti si trovano sul territorio dello Spazio economico europeo (SEE).
Per essere conformi alla Direttiva PSD2, agli ospiti verrà chiesto di approvare i pagamenti online tramite due fattori di autenticazione, la cosiddetta autenticazione a due fattori (two-factor authentication, 2FA). Ci sono 3 diverse modalità di autenticazione accettate dalla Strong Customer Authentication:
- informazioni note esclusivamente all’utente, quali PIN, password o altro codice;
- beni personali dell’utente, ad esempio la carta di credito o il cellulare;
- informazioni biometriche ottenute tramite strumenti quali riconoscimento del volto, impronta digitale o scansione dell’iride.
Cosa si intende con 3D Secure?
L’autenticazione SCA viene effettuata tramite un processo chiamato 3D Secure (3DS) che è un metodo utilizzato dai prestatori di servizi di pagamento. Nel complesso indica un insieme di regole che offre una maggiore protezione a venditori e clienti durante le transazioni online. Per finalizzare una transazione che utilizza 3D Secure, al momento del pagamento l’utente verrà reindirizzato alla pagina della banca di appartenenza del titolare della carta di credito per procedere con l’autorizzazione. In base alle nuove disposizioni previste dalla Direttiva PSD2, l’intero processo è stato perfezionato con l’introduzione della modalità 3DS2, che diminuisce l’impatto del processo sull’esperienza online del cliente.
Con l’introduzione dell’autenticazione forte del cliente, cosa cambierà per albergatori e ospiti?
La Direttiva sui servizi di pagamento (PSD2) avrà un impatto sul settore di viaggi e turismo, in particolare per quanto riguarda le “prenotazioni hotel collect“. Poiché sarà necessaria l’autenticazione a due fattori, molte transazioni che riguardano gli hotel saranno affette dai cambiamenti della Direttiva, sia nella fase iniziale (che va dalla data di prenotazione a quella del soggiorno) che in quella successiva alla data di check-out.
Prima dell’entrata in vigore della Direttiva PSD2, all’agenzia di viaggio online (OTA) o al motore di prenotazione online bastava acquisire i dati della carta di credito dell’utente per autorizzare il pagamento, senza necessità di ulteriori convalide dei dati della carta o della persona che effettua il pagamento.
Con la Direttiva PSD2, invece, lo scenario cambierà. A partire dal 14 settembre 2019, infatti, OTA e motori di prenotazione dovranno effettuare il passaggio necessario per l’autenticazione SCA durante l’acquisizione dei dati della carta di credito, indipendentemente dal fatto che il pagamento venga corrisposto in fase di prenotazione o in un secondo momento (anticipo posticipato, penali per la cancellazione, no show). Per poter completare la transazione tramite carta (transazione avviata dal venditore), i dati della carta di credito dell’utente e la conferma di avvenuta autenticazione SCA devono passare attraverso una serie di intermediari quali OTA, motori di prenotazione e gateway di pagamento. Di conseguenza i pagamenti online potrebbero non andare a buon fine, nel caso in cui i dati della carta siano stati acquisiti senza eseguire l’autenticazione SCA e se la conferma di tale passaggio non è disponibile al momento dell’addebito sulla carta.
Cosa possono fare gli hotel per prepararsi all’arrivo dell’autenticazione SCA?
Sebbene i prestatori di servizi di pagamento quali banche e gateway di pagamento debbano facilitare il processo di autenticazione degli utenti, quest’ultimo coinvolgerà in modo significativo anche le transazioni degli hotel. Consigliamo quindi di valutare i processi di pagamento in uso, per avere un’idea più precisa di cosa potrebbe cambiare con l’arrivo dell’autenticazione SCA. Ecco alcuni aspetti da tenere in considerazione:
- Verificare che il gateway di pagamento sia in grado di autenticare in modo sicuro i dati della carta dell’utente durante il pagamento online.
- Le OTA potranno effettuare l’autenticazione SCA per le prenotazioni che avvengono tramite il proprio canale. Verificare che le OTA processino i dati di pagamento dell’utente tramite autenticazione SCA per evitare problemi in un secondo momento.
- Assicurarsi che l’OTA invii una carta virtuale per abilitare le transazioni poiché queste non rientrano nei parametri dell’autenticazione SCA.
- Le transazioni avviate dal venditore che utilizzano dati di carte già memorizzate tecnicamente non rientrano nei parametri dell’autenticazione SCA. Tuttavia, se tale autenticazione non è stata eseguita in fase di acquisizione dei dati della carta, e se la conferma di avvenuta autenticazione SCA non è stata trasmessa al prestatore del servizio di pagamento, la transazione potrebbe non andare a buon fine in futuro, in assenza della carta. Per evitare che ciò avvenga e garantire che il denaro venga trasferito correttamente, l’ideale è che gli ospiti effettuino il pagamento al momento della prenotazione e gli venga richiesto un deposito per cancellazioni e no show.
- Regolare i pagamenti in presenza dell’ospite, tramite le transazioni con carta che utilizzano chip e PIN.
- C’è il rischio che questi pagamenti non possano essere effettuati utilizzando una carta archiviata sul sistema. Per questo motivo, al momento del check-in è opportuno effettuare un’autorizzazione preventiva a copertura dell’intera spesa di soggiorno e di altre spese utilizzando, ad esempio, il lettore di carte. In questo modo è possibile addebitare i costi all’ospite, anche in caso di allontanamento di quest’ultimo o di spese extra.