PSD3 και PSR: Τι πρέπει να αλλάξουν στην πράξη οι έμποροι

Στο πλαίσιο της PSD2, οι καθημερινοί κανόνες συμπεριφοράς — χρόνος επιστροφών, ευθύνη για απάτη, διαχείριση παραπόνων — καθορίζονταν από μια οδηγία. Οι οδηγίες δεν εφαρμόζονται απευθείας. Κάθε ένα από τα 27 κράτη-μέλη έπρεπε να ενσωματώσει την PSD2 στο εθνικό του δίκαιο, και το καθένα το έκανε με το δικό του χρονοδιάγραμμα, τα δικά του κενά και τη δική του τοπική ερμηνεία. Ένας έμπορος που λειτουργούσε σε πέντε χώρες της ΕΕ λειτουργούσε, στην πραγματικότητα, υπό πέντε ελαφρώς διαφορετικά εγχειρίδια κανόνων, παρότι όλα υποτίθεται ότι εφάρμοζαν «την ίδια» οδηγία.

Το νέο πακέτο μοιράζει τη δουλειά διαφορετικά. Η PSD3 παραμένει οδηγία και καλύπτει κυρίως την αδειοδότηση, την εποπτεία και την πρόσβαση στην αγορά για τα ιδρύματα πληρωμών — δηλαδή κάτι που επηρεάζει το κανονιστικό καθεστώς του PSP σας, όχι το checkout σας. Οι κανόνες συμπεριφοράς που αγγίζουν πραγματικά τους εμπόρους — ευθύνη για απάτη, υποχρεώσεις επιστροφής χρημάτων, απαιτήσεις πιστοποίησης, διαχείριση παραπόνων — μεταφέρονται στον PSR, έναν κανονισμό. Οι κανονισμοί εφαρμόζονται απευθείας και με τον ίδιο τρόπο σε κάθε κράτος-μέλος, χωρίς στάδιο εθνικής ενσωμάτωσης και χωρίς περιθώριο για τοπικές ιδιαιτερότητες στη διατύπωση.

Σύμφωνα με νομικές αναλύσεις των συμφωνηθέντων κειμένων, αυτό αποτελεί σκόπιμη απάντηση στο πρόβλημα κατακερματισμού που δημιούργησε η PSD2 — ο PSR έχει σχεδιαστεί για να δώσει στους εμπόρους και τους PSP ένα ενιαίο εγχειρίδιο κανόνων αντί για 27 τοπικές παραλλαγές (η επισκόπηση της Freshfields για τα συμφωνηθέντα κείμενα). Για τους εμπόρους, αυτό σημαίνει ότι η αξιολόγηση συμμόρφωσης που κάνετε για τη γερμανική οντότητά σας θα πρέπει, μόλις εφαρμοστεί ο PSR, να παράγει τις ίδιες απαντήσεις με την αξιολόγηση για την ιρλανδική ή την πορτογαλική σας οντότητα. Αυτό είναι μια πραγματική απλοποίηση, αλλά σημαίνει επίσης ότι δεν υπάρχει πλέον το επιχείρημα «ο τοπικός ρυθμιστής είναι πιο χαλαρός σε αυτό» για να στηριχθείτε.

Οι κανόνες ευθύνης της PSD2 βασίζονταν σε μια αρκετά περιορισμένη ιδέα της «μη εξουσιοδοτημένης» συναλλαγής — μιας συναλλαγής που ο πελάτης δεν είχε εγκρίνει. Η απάτη έχει εξελιχθεί από τότε. Οι απάτες κοινωνικής μηχανικής, όπου ένας απατεώνας υποδύεται υπάλληλο τράπεζας ή πείθει έναν πελάτη να εξουσιοδοτήσει απευθείας μια μεταφορά, παράγουν τεχνικά μια «εξουσιοδοτημένη» συναλλαγή υπό το παλιό πλαίσιο, γεγονός που ιστορικά άφηνε τον πελάτη (και, κατ' επέκταση, τον έμπορο που βασίζεται σε αυτή την πληρωμή) με λιγότερα περιθώρια αντίδρασης.

Ο PSR επεκτείνει την ευθύνη σε αρκετές κατευθύνσεις που έχουν σημασία για τους εμπόρους:

• Η απάτη μέσω πλαστοπροσωπίας (spoofing) — όπου ένας απατεώνας υποδύεται προσωπικό ή εμπορικό σήμα ενός PSP — μετακυλίει περισσότερη ευθύνη στους παρόχους υπηρεσιών πληρωμών, αντί να αφήνει τον πελάτη να απορροφήσει τη ζημία.
• Η αδυναμία προσφοράς ή σωστής εφαρμογής της ισχυρής ταυτοποίησης πελάτη (SCA) επιρρίπτει την ευθύνη σε όποιο μέρος της αλυσίδας δεν την εφάρμοσε σωστά, κάτι που περιλαμβάνει acquirers και, σε ορισμένες ροές, εμπόρους που παρακάμπτουν την πιστοποίηση.
• Η αργή διαχείριση αναφορών απάτης από έναν PSP μπορεί από μόνη της να δημιουργήσει ευθύνη, κάτι που στοχεύει να ωθήσει τράπεζες και PSP προς ταχύτερο χρόνο απόκρισης στις αναφορές απάτης αντί να αντιμετωπίζουν κάθε αίτημα ως μακρόχρονη έρευνα.

Για τον έμπορο, το πρακτικό αποτέλεσμα είναι ότι οι διαφορές για απάτη θα βασίζονται όλο και περισσότερο σε αποδεικτικά στοιχεία για το τι συνέβη κατά την πιστοποίηση, όχι απλά στο αν ο πελάτης δηλώνει ότι δεν εξουσιοδότησε την πληρωμή. Αυτό κάνει τα αρχεία καταγραφής πιστοποίησης και τα δεδομένα αποτελεσμάτων SCA μέρος των αποδεικτικών στοιχείων σας σε μια διαφορά, όχι απλά ένα αρχείο συμμόρφωσης που κρατάτε και ξεχνάτε.

Μία από τις πιο συγκεκριμένες αλλαγές για τις ροές checkout αφορά την επαλήθευση ότι το όνομα σε έναν λογαριασμό αντιστοιχεί πράγματι σε αυτόν στον οποίο ο πληρωτής πιστεύει ότι στέλνει χρήματα. Αυτό βασίζεται στον μηχανισμό Επαλήθευσης Δικαιούχου (Verification of Payee, VoP) που ήδη απαιτείται για τις άμεσες πιστωτικές μεταφορές βάσει του Κανονισμού για τις Άμεσες Πληρωμές της ΕΕ, και το νέο νομοθετικό πακέτο επεκτείνει αυτή τη λογική περαιτέρω σε όλες τις υπηρεσίες πληρωμών.

Στην πράξη, η VoP σημαίνει ότι η τράπεζα του πληρωτή ελέγχει το όνομα του κατόχου του λογαριασμού σε σχέση με το IBAN πριν ολοκληρωθεί μια μεταφορά, και επισημαίνει μια ασυμφωνία — «no match» ή «close match» — στον πληρωτή πριν επιβεβαιώσει την πληρωμή. Αυτό στοχεύει ευθέως στην απάτη τύπου authorized push payment, όπου ο πελάτης εξαπατάται να μεταφέρει χρήματα σε έναν λογαριασμό που δεν είναι αυτός που πιστεύει.

Για τους εμπόρους, αυτό επηρεάζει κάθε ροή όπου ένας πελάτης ξεκινά τραπεζική μεταφορά για να σας πληρώσει — μεθόδους πληρωμής από λογαριασμό σε λογαριασμό, πληρωμές μέσω ανοιχτής τραπεζικής, ή οποιοδήποτε βήμα του checkout όπου εμφανίζετε τα δικά σας στοιχεία δικαιούχου για να ολοκληρώσει ο πελάτης μια μεταφορά:

• Το επίσημο όνομα που έχει καταχωρηθεί στον εμπορικό τραπεζικό λογαριασμό σας πρέπει να ταιριάζει ακριβώς με την εμπορική επωνυμία που βλέπουν οι πελάτες στη σελίδα checkout σας, διαφορετικά οι πελάτες θα ξεκινήσουν να βλέπουν προειδοποιήσεις ασυμφωνίας που φαίνονται σαν ενδείξεις απάτης, ακόμα κι όταν δεν υπάρχει κανένα πρόβλημα.
• Αν λειτουργείτε με εμπορική επωνυμία διαφορετική από την επίσημη ονομασία της οντότητάς σας, τώρα είναι η κατάλληλη στιγμή είτε να τις ευθυγραμμίσετε, είτε να φροντίσετε ώστε το checkout σας να εξηγεί με σαφήνεια την απόκλιση πριν ο πελάτης συναντήσει μια προειδοποίηση VoP στη μέση της πληρωμής.
• Κάθε εσωτερική τεκμηρίωση που παραθέτει τα στοιχεία του λογαριασμού διακανονισμού σας για σκοπούς συμφωνίας θα πρέπει να ελεγχθεί σε σχέση με ό,τι είναι πραγματικά καταχωρημένο στην τράπεζά σας, καθώς μια παρωχημένη καταγραφή θα εμφανιστεί ως ασυμφωνία σε κάθε πελάτη που χρησιμοποιεί μέθοδο βασισμένη σε μεταφορά.

Αυτή είναι μια περίπτωση όπου ένας πενταλεπτος διοικητικός έλεγχος — η επιβεβαίωση ότι το καταχωρημένο όνομα του τραπεζικού λογαριασμού σας ταιριάζει με την επωνυμία του καταστήματός σας — αποτρέπει ένα κύμα σύγχυσης στους πελάτες, μόλις οι έλεγχοι τύπου VoP τεθούν ευρέως σε ισχύ.

Η PSD2 έδινε στις τράπεζες που τηρούν λογαριασμούς δύο επιλογές για την έκθεση δεδομένων λογαριασμού σε τρίτους: ένα ειδικό API, ή μια εναλλακτική διασύνδεση (fallback) βασισμένη στις υπάρχουσες οθόνες online τραπεζικών υπηρεσιών προς τους πελάτες τους. Στην πράξη, οι εναλλακτικές διασυνδέσεις ήταν συχνά πιο αργές, λιγότερο αξιόπιστες και ανομοιόμορφα συντηρημένες, γεγονός που έκανε τις ροές checkout βασισμένες σε ανοιχτή τραπεζική — επιλογές πληρωμής μέσω τράπεζας, πληροφορίες λογαριασμού για αξιολόγηση κινδύνου και παρόμοιες λειτουργίες — λιγότερο αξιόπιστες σε σχέση με τις πληρωμές με κάρτα.

Το νέο πλαίσιο εντείνει αυτή την απαίτηση. Οι τράπεζες θα αντιμετωπίσουν σαφέστερες, πιο εφαρμόσιμες υποχρεώσεις σχετικά με την απόδοση των ειδικών διασυνδέσεων — πιο κοντά στην ισοδυναμία με την αξιοπιστία των δικών τους καναλιών προς τους πελάτες, με σαφείς προσδοκίες σχετικά με τη διαθεσιμότητα και τους χρόνους απόκρισης, αντί για το χαλαρά εφαρμοζόμενο πρότυπο της «εύλογης προσπάθειας» που χαρακτήριζε τμήματα της εφαρμογής της PSD2 (η ανάλυση της MoFo για τις εξελίξεις PSD3/PSR).

Για εμπόρους που προσφέρουν ή εξετάζουν επιλογές checkout πληρωμής μέσω τράπεζας ή άλλες επιλογές από λογαριασμό σε λογαριασμό, αυτό έχει σημασία με δύο τρόπους:

• Λιγότερες αποτυχημένες ή χρονικά ληγμένες προσπάθειες εξουσιοδότησης θα πρέπει να σημαίνουν λιγότερα εγκαταλελειμμένα καλάθια σε μεθόδους πληρωμής βασισμένες σε μεταφορά, οι οποίες ιστορικά είχαν χαμηλότερη απόδοση σε σχέση με τις κάρτες ως προς το ποσοστό ολοκλήρωσης, εν μέρει λόγω της αξιοπιστίας της διασύνδεσης.
• Αν βασίζεστε σε υπηρεσίες πληροφοριών λογαριασμού για αποφάσεις κινδύνου — επαλήθευση της κυριότητας λογαριασμού ή έλεγχο υπολοίπων πριν από την αποστολή παραγγελιών υψηλής αξίας — αυτές οι ροές δεδομένων θα πρέπει να γίνουν πιο σταθερές για να χτίσετε πάνω τους διαδικασίες εργασίας, αντί να αναγκάζεστε να χτίζετε λογική επανάληψης (retry) και εναλλακτικούς χειρισμούς.

Τίποτα από αυτά δεν εξαλείφει την ανάγκη να δοκιμάσετε την ενσωμάτωσή σας έναντι της πραγματικής συμπεριφοράς των τραπεζών μόλις οι κανόνες τεθούν σε ισχύ. Σημαίνει όμως ότι το επίπεδο βασικής αξιοπιστίας έναντι του οποίου δοκιμάζετε θα πρέπει να βελτιωθεί.

Αυτό είναι το κομμάτι που παραλείπεται στις περισσότερες νομικές περιλήψεις. Δείτε τι αλλάζει στη δική σας πλευρά.

Οι συμβάσεις σας με τον PSP και τον acquirer. Επανεξετάστε τις ρήτρες κατανομής ευθύνης στις υπάρχουσες συμβάσεις υπηρεσιών πληρωμών σας. Στις συμβάσεις εποχής PSD2, η διατύπωση περί ευθύνης συχνά υπέθετε τον παλιό, πιο περιορισμένο ορισμό της «μη εξουσιοδοτημένης συναλλαγής» και τους παλιούς κανόνες εξαίρεσης SCA. Μόλις εφαρμοστούν οι διατάξεις ευθύνης του PSR, συμβάσεις που δεν έχουν ενημερωθεί ενδέχεται να αναφέρονται σε πρότυπα που δεν συμβαδίζουν πλέον με τον νόμο, κάτι που δημιουργεί ασάφεια ακριβώς τη στιγμή που χρειάζεστε σαφήνεια — στη μέση μιας διαφοράς. Ρωτήστε απευθείας τον PSP σας εάν οι τυπικοί όροι για εμπόρους θα ενημερωθούν ώστε να αντικατοπτρίζουν την κατανομή ευθύνης του PSR, και λάβετε την απάντηση γραπτώς αντί να υποθέτετε ότι έχει διεκπεραιωθεί.

• Το checkout σας. Τρεις συγκεκριμένες αλλαγές που πρέπει να ελέγξετε:
• Επιβεβαιώστε ότι το επίσημο όνομα που συνδέεται με τον λογαριασμό διακανονισμού σας ταιριάζει με την επωνυμία του καταστήματός σας, για να αποφύγετε αδικαιολόγητες προειδοποιήσεις ασυμφωνίας VoP σε μεθόδους πληρωμής βασισμένες σε μεταφορά.
• Φροντίστε ώστε η ροή πρόκλησης SCA σας (3DS ή ισοδύναμο) να υποβαθμίζεται με ασφαλή τρόπο — ένας πελάτης που εγκαταλείπει μια αγορά επειδή ένα βήμα πιστοποίησης αποτύχει τεχνικά, και όχι επειδή το απέρριψε, είναι ακριβώς το σενάριο που έχουν σχεδιαστεί να εντοπίζουν οι νέοι κανόνες ευθύνης, και δεν θέλετε να βρεθείτε στη λάθος πλευρά όταν εξετάζεται μια διαφορά.
• Αν προσφέρετε πληρωμή μέσω τράπεζας ή άλλες επιλογές από λογαριασμό σε λογαριασμό, σχεδιάστε να επαναδοκιμάσετε τα ποσοστά ολοκλήρωσης μόλις ισχύσουν οι νέες υποχρεώσεις απόδοσης API — οι παραδοχές αξιοπιστίας πάνω στις οποίες χτίσατε τη λογική εναλλακτικής διαδρομής σας ενδέχεται να μην είναι πλέον ο δεσμευτικός περιορισμός.

• Η διαδικασία διαφορών σας. Τα αποδεικτικά στοιχεία που καθορίζουν μια διαφορά για απάτη ή chargeback αλλάζουν. Ενώ οι διαφορές εποχής PSD2 συχνά βασίζονταν στο αν εφαρμόστηκε γενικά η SCA, οι διαφορές εποχής PSR θα βασίζονται συχνότερα στο πώς εφαρμόστηκε, αν εκτελέστηκε έλεγχος VoP και τι αποτέλεσμα επέστρεψε, και πόσο γρήγορα κλιμακώθηκε μια αναφορά απάτης. Αυτό σημαίνει ότι:
• Η ομάδα υποστήριξής σας χρειάζεται πρόσβαση σε αρχεία καταγραφής αποτελεσμάτων πιστοποίησης, όχι μόνο στην κατάσταση της συναλλαγής, όταν απαντά σε μια διαφορά.
• Η τεκμηρίωσή σας για την υποβολή αποδεικτικών στοιχείων θα πρέπει να ενημερωθεί ώστε να περιλαμβάνει τα αποτελέσματα match/no-match της VoP ως τυπικό πεδίο, μόλις αυτά τα δεδομένα υπάρχουν στα αρχεία συναλλαγών σας.
• Οι εσωτερικές συμφωνίες επιπέδου υπηρεσίας (SLA) για την κλιμάκωση υποψίας απάτης προς τον PSP σας θα πρέπει να γίνουν αυστηρότερες, καθώς η καθυστέρηση αποτελεί πλέον από μόνη της παράγοντα ευθύνης και όχι ένα ουδέτερο διοικητικό βήμα.

Η μετάβαση από την PSD2 στον PSR έχει λιγότερο να κάνει με νέες υποχρεώσεις που εμφανίζονται εκ του μηδενός και περισσότερο με το κλείσιμο υπαρχόντων κενών.

Οι έμποροι που αντιμετώπιζαν την ευθύνη για απάτη, την SCA και τα αποδεικτικά στοιχεία διαφορών σαν «ό,τι λέει η τοπική τράπεζα» θα διαπιστώσουν ότι αυτή η απάντηση δεν ισχύει πλέον, μόλις εφαρμοστεί το ίδιο κείμενο κανονισμού σε κάθε κράτος-μέλος. Η δουλειά είναι διοικητική — ενημέρωση συμβάσεων, κειμένων checkout και προτύπων αποδεικτικών στοιχείων — αλλά πρέπει να γίνει πριν από τη γενική εφαρμογή, όχι μετά την πρώτη διαφορά υπό τους νέους κανόνες που αποκαλύψει το κενό.

Τίποτα από αυτά δεν απαιτεί επαναδημιουργία του checkout σας σε νέα πλατφόρμα. Απαιτεί να αντιμετωπίσετε τη σύμβαση με τον PSP σας, τα καταχωρημένα στοιχεία λογαριασμού σας και τα πρότυπα αποδεικτικών στοιχείων διαφορών σας ως ζωντανά έγγραφα που χρειάζονται επανεξέταση σε συγκεκριμένο χρονοδιάγραμμα — αυτό είναι το νόημα της παρακάτω λίστας ελέγχου.

Η ακριβής ημερομηνία γενικής εφαρμογής εξαρτάται από το πότε η Επίσημη Εφημερίδα θα δημοσιεύσει το τελικό κείμενο, αλλά η σειρά των βημάτων είναι σταθερή. Χρησιμοποιήστε αυτό ως ένα λειτουργικό χρονοδιάγραμμα και όχι ως σταθερή προθεσμία, και επιβεβαιώστε τις ημερομηνίες μόλις επιβεβαιωθεί η δημοσίευση στην Επίσημη Εφημερίδα.

• Έως το 4ο τρίμηνο του 2026 — Αναμένεται η δημοσίευση στην Επίσημη Εφημερίδα (Ιούνιος–Ιούλιος 2026). Μόλις δημοσιευτεί, υπολογίστε την οριστική σας ημερομηνία γενικής εφαρμογής των 21 μηνών και εντάξτε την στο ημερολόγιο συμμόρφωσης σας. Ξεκινήστε την επανεξέταση της σύμβασης με τον PSP σας τώρα, αντί να περιμένετε την προθεσμία.
• Κατά τη διάρκεια του 2027 — Επιβεβαιώστε το σχέδιο του PSP σας για την ενημέρωση των όρων για εμπόρους, ώστε να αντικατοπτρίζουν την κατανομή ευθύνης του PSR. Ελέγξτε το καταχωρημένο επίσημο όνομα του λογαριασμού διακανονισμού σας σε σχέση με την επωνυμία του checkout σας. Χαρτογραφήστε ποιες ροές checkout χρησιμοποιούν SCA και τεκμηριώστε την τρέχουσα λογική εξαιρέσεων, ώστε να μπορέσετε να τη συγκρίνετε με τις οριστικές απαιτήσεις του PSR.
• Αρχές 2028 — Δοκιμάστε τη διαδικασία αποδεικτικών στοιχείων διαφορών σας από την αρχή έως το τέλος: μπορεί η ομάδα υποστήριξής σας να ανακτήσει πραγματικά τα δεδομένα αποτελέσματος SCA και αντιστοίχισης VoP για μια συναλλαγή κατόπιν αιτήματος, ή αυτό απαιτεί αίτημα προς την ομάδα μηχανικών; Διορθώστε αυτό το κενό πριν το δοκιμάσει μια πραγματική διαφορά.
• Κατά τη γενική εφαρμογή (εκτίμηση Μάρτιος–Απρίλιος 2028) — Επιβεβαιώστε ότι οι ενημερωμένες συμβάσεις με τον PSP έχουν υπογραφεί, ότι το κείμενο του checkout αντικατοπτρίζει τυχόν απαιτήσεις για το όνομα του δικαιούχου, και ότι η τεκμηρίωση διαφορών σας περιλαμβάνει τα νέα πεδία αποδεικτικών στοιχείων. Αντιμετωπίστε την ημερομηνία γενικής εφαρμογής ως το σημείο μέχρι το οποίο όλα τα παραπάνω θα πρέπει ήδη να λειτουργούν, όχι ως το σημείο από το οποίο ξεκινάτε.

Η Cost+ λειτουργεί με τιμολόγηση IC++ (Interchange Plus Plus) ακριβώς επειδή πιστεύουμε ότι οι έμποροι λαμβάνουν καλύτερες αποφάσεις όταν τα επιμέρους στοιχεία μιας πληρωμής — interchange, scheme fee και η προσαύξησή μας — είναι ορατά και όχι συγχωνευμένα. Η ίδια αρχή ισχύει και για τις κανονιστικές αλλαγές: όσο πιο νωρίς μπορείτε να δείτε τι πραγματικά αλλάζει στις απαιτήσεις ευθύνης και αποδεικτικών στοιχείων, τόσο λιγότερο διασπαστική είναι η μετάβαση. Αν θέλετε να συζητήσετε πώς εναρμονίζεται η τρέχουσα ρύθμιση του checkout και της διαδικασίας διαφορών σας με το χρονοδιάγραμμα του PSR, επικοινωνήστε με την ομάδα μας ή ελέγξτε την τρέχουσα δομή χρεώσεών σας σε σχέση με τη δημοσιευμένη τιμολόγηση χαμηλού κινδύνου στον ιστότοπό μας, όσο επανεξετάζετε τις συμβάσεις σας.