PSD2 法規詳解

什麼是PSD2？

PSD2是一套監管框架，用於保障歐盟境內支付的安全性、便捷性與高效性。本次修訂的規則對訪問或聚合電子支付帳戶資訊的實體作出了規範，最終推動金融機構通過技術落地與基礎設施升級，全面提升電子銀行的用戶體驗。

修訂後的法規通過要求銀行使用應用程式編程介面（API），將開放銀行理念引入歐洲。符合特定安全要求（例如多因素認證（MFA））、獲PSD2認可的第三方提供商（TPP），均可調用這些開放API。

PSD2的制定目的是什麼？

PSD2的核心是通過推動支付市場現代化、促進歐洲支付行業競爭，強化消費者保障並提升用戶體驗。

從宏觀層面看，PSD2主要有三項目標：完善消費者權益、提升電子商務安全性、規範第三方對消費者金融帳戶的訪問行為。

消費者權益

PSD2從以下方面進一步保障消費者權益：

• 要求電子商務應用許可協議的附屬條款具備更高的透明度與公開性。

• 要求相關機構通過指定渠道及時受理並解決投訴。

• 確保交易完成後，發卡行允許用戶支取全部對應銀行資金。

• 禁止收取多數類型的附加費。

安全要求

PSD2通過明確的身份核驗要求強制實施多因素認證，該機制主要通過API實現，身份認證環節依托符合PSD2合規要求的證書完成。這些SSL/TLS 證書可對敏感數據進行加密，同時對銀行主體與第三方支付服務提供商（PSP）完成身份認證，保障網站交易可信。這套交易安全增強方案依托強客戶認證（SCA）機制落地，這是一項新增要求，引入了包括PSD2合規證書在內的具體技術標準。

第三方訪問

PSD2要求，在消費者發起授權的前提下，金融機構需允許指定TPP第三方訪問消費者的銀行帳戶數據、聚合數據與支付數據。該機制讓大型機構和商戶在支付發生時可直接從數據源獲取銀行業相關數據，去除支付環節的中間方。包括亞馬遜在內的諸多線上零售商可從該流程中獲益：他們能夠對客戶的金融身份進行額外核驗，並實時完成扣款結算。

PSD2有哪些合規要求？

根據PSD2的強客戶認證（SCA）規則，所有支付場景下消費者必須使用三類認證方式中的兩類完成驗證，本質即雙因素認證（2FA）。三類認證方式分別為知識類、固有特徵類、持有物類，三類要素必須相互獨立，不會相互影響導致安全失效：

• 知識類：消費者已知悉的資訊，例如密碼。

• 固有特徵類：用戶自身固有的生物特徵，例如指紋。

• 持有物類：用戶持有或可用於發送驗證資訊的物品，例如驗證碼生成應用。

包括銀行、支付服務提供商（PSP）在內的金融機構使用數碼證書驗證自身獲許可的業務範圍、加密通訊鏈路，部分場景下還可透過其為數據或交易提供防篡改封記。

鑑於金融服務交易的敏感性，《支付服務指令2》（PSD2）的監管技術標準（RTS）明確規定，僅可使用由合格信任服務提供商（QTSP）簽發的eIDAS（電子身份識別、認證與信任服務）證書對支付服務提供商（PSP）進行身份識別。

PSD2規定了兩類用於安全通訊的數碼證書：

合格網站認證證書 (QWAC) 配合IETF RFC 5246或IETF RFC 8446中定義的SSL/TLS協議使用，用於保護點對點通訊中的數據，並識別端點的控制主體。

合格電子印章證書 (QSealC) 用於建立電子印章，透過ETSI制定的PAdES、CAdES或XAdES等標準保護數據或文件，並證明其來自某個法人實體。

PSD2證書 僅可由Sectigo等機構，簽發給持有國家主管機關（NCA）頒發的PSD2授權編號的法人。

PSD2是否存在豁免情形？

PSD2針對其要求設置了若干豁免條款，當中多數與支付金額相關：30歐元以下的交易或定期付款可適用豁免；若銀行能夠透過風險分析證明交易風險低於特定水平，更高金額的交易也可適用豁免，對應標準例如：

• 欺詐率低於0.13%的，交易金額上限為100歐元。

• 欺詐率低於0.06%的，交易金額上限為250歐元。

• 欺詐率低於0.01%的，交易金額上限為500歐元。

哪些主體必須遵守PSD2？

儘管這一修訂後的監管框架於2013年作為2007年法例的修正案出台，但其直到2019年9月才全面生效。

該指令適用於歐盟境內所有金融服務提供商、銀行及第三方支付服務商（TPP）。TPP可包括應用程式開發者、金融科技程式設計師或零售商戶等實體。

儘管英國（UK）已不再是歐盟成員國，相關要求仍適用於該國境內的對應實體。不過英國並未簽署全部條款，也未出台法例落實PSD2中關於外幣交易定價透明度的要求。

值得一提的是，該法規也賦予了消費者一定的自主選擇權，消費者可將自己信任的特定商戶加入白名單。

PSD2對銀行意味着什麼？

PSD2的監管影響很大程度上集中在銀行領域。本次修訂相較於PSD1有幾項重大變更，要求銀行落實以下事項：

• 透過多因素認證（MFA）升級安全措施，使其與交易風險等級相匹配。

• 向TPP共享帳戶資訊與聚合數據，同時搭建全套內部基礎設施，以實現與TPP的正常交互及資訊的安全傳輸。

• 建立符合法規規定的時限要求與報告要求的爭議解決流程。

儘管該法規對銀行提出了嚴格要求，但其也在一定程度上推動創新，這類創新有望帶來正向價值，最終影響力還將延伸至歐盟以外地區。

PSD2的適用地域範圍是哪裏？

PSD2適用於歐盟全境。法例中的要求僅適用於發卡機構和收單銀行均位於歐洲經濟區（EEA）境內的場景。但在實際操作中，許多歐洲金融機構無論商戶或客戶位於何地，都會遵循這些規則。本質上，強客戶認證（SCA）要求適用於所有在歐洲經濟區開展業務的商戶。

PSD2對美國有何影響？

PSD2的約束對象為歐洲經濟區的機構，但不少美國機構也可能受這項法規影響，包括以下場景：

• 任何在歐盟境內設有經營據點的美國企業。

• 任何與歐盟公民有交易往來的美國企業。

• 任何與歐盟組織有重大業務往來的美國企業。

儘管這些規定不會直接對美國組織產生效力，但大型跨國組織或是符合上述任一條件的組織，一般仍需滿足相關合規要求。

此外，任何在歐盟設有實體的美國企業，都需要確保其歐洲實體符合PSD2要求，並具備SCA落實能力。否則這類企業將面臨授權通过率下降、甚至支付被拒的風險，繼而引發嚴重的客戶不滿與業務中斷。

深入了解作為受信任證書頒發機構（CA）的Sectigo如何提供符合PSD2要求的數碼證書與標識.