Fintech Meetings: DSP2 – A chegada do open banking · Fintech Meeting - Open Banking e Portugal FinLab 23 maio 2019 DSP2 – Chegada do open banking | Interfaces de comunicação

BdP

Agenda

1. Abertura

2. DSP2 – Chegada do open banking

3. FinLab – Where regulation meets innovation

4. Q&A

5. Encerramento e cocktail

23 maio 2019Fintech Meeting - Open Banking e Portugal FinLab2

Agenda

1. Abertura



4. Q&A



Abertura


API

Agenda

1. Abertura



4. Q&A



DSP2 – Chegada do open banking | Regime Jurídico dos Serviços de Pagamento


Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (RJSPME)

. Regulamento Delegado (UE) 2018/389, de 27 de novembro (RTS SCA CSC)

. Orientações da EBA sobre as condições para beneficiar de uma isenção do mecanismo de contingência

. Opinion of the European Banking Authority on the implementation of the RTS on SCA and CSC

. Opinion of the European Banking Authority on the use of eIDAScertificates under the RTS on SCA and CSC


DSP2 – Chegada do open banking | Regime Jurídico dos Serviços de Pagamento

Serviço de iniciação de pagamento (PIS)

Serviço de informação sobre contas (AIS)

Fonte: https://www.paymentscardsandmobile.com/opportunities-unlocked-revised-psd2/

Prestador de serviços de pagamento que gere a conta

(ASPSP)

Interface de

utilizador (adaptada)

Interface dedicada

(API)

DSP2 – Chegada do open banking

Mas como devem funcionar os interfaces?

Que requisitos têm?



DSP2 – Chegada do open banking | Interfaces de comunicação

Disponibilizar as especificações técnicas gratuitamente aos TPP e, no caso de as mesmas serem alteradas, informar com 3 meses de antecedência

Ter um dispositivo de teste, com suporte técnico, para os TPP poderem testar as suas aplicações

Utilizar normas de comunicação internacionais ou europeias

Solicitar a identificação dos TPP com recurso aos certificados eIDAS (QSealC e QWAC)

Assegurar a existência de uma comunicação segura e auditável com os TPP e a mitigação do risco de fraude

Permitir que os TPP recorram aos serviços de facilitadores técnicos (TSP)

Assegurar que todas as sessões de comunicação têm associado: i) um identificador único de sessão; ii) mecanismos de segurança para o registo da operação e; iii) marcas temporais da operação

Disponibilizar um canal de comunicação seguro para troca de credenciais de segurança personalizadas

Permitir a reautenticação de AISP a cada 90 dias

Assegurar que as ordens de pagamento transmitidas pelo PISP são executadas sem qualquer discriminação

O que deve ter uma interface de comunicação?

Interface de

utilizador (adaptada)

Interface dedicada

(API)


DSP2 – Chegada do open banking | Interfaces de comunicação

Permitir a iniciação de pagamentos com todos os instrumentos disponíveis nos canais do utilizador

Permitir ao AISP a contagem do número de pedidos de informação sobre contas (com e sem interação do utilizador com o TPP)

Permitir ao AISP aceder à mesma informação sobre contas de pagamento que é disponibilizada ao utilizador

Fornecer ao PISP todas as informações relativas à iniciação e execução das operações de pagamento

Permitir a confirmação imediata da disponibilidade de fundos numa conta de pagamento

Possibilitar a revogação de operações de pagamento iniciadas através de PISP

Permitir que o TPP possa recorrer aos mesmos procedimentos de autenticação e às mesmas isenções que são disponibilizadas nos canais do utilizador

Fornecer ao TPP códigos e mensagens de erro que identifiquem falhas em qualquer fase do processo

Adicionalmente, caso seja uma interface dedicada (API) deverá ainda…

Interface dedicada

(API)


DSP2 – Chegada do open banking | Isenção do mecanismo de contingência

ASPSP tem de implementar mecanismo

de contingência

Banco de Portugal pode isentar os ASPSP dessa

obrigação

Interface dedicada

(API)

Acesso pelos TPP através da interface

dos utilizadores (homebanking)

Orientações da EBA sobre as condições para beneficiar de uma isenção do

mecanismo de contingência nos termos do artigo 33.º, n.º 6, do Regulamento

(UE) 2018/389



Nível de serviço, disponibilidade e desempenho

Ter objetivos de nível de serviço, pelo menos, tão exigentes quanto as interfaces do utilizador, quanto a: i) resolução de problemas; ii) suporte fora do horário laboral; iii) monitorização; iv) planos de contingência; v) manutenção

Ter indicadores de desempenho para: i) disponibilidade; ii) performance

Dados estatísticos

Ter um plano para a publicação trimestral de estatísticas diárias sobre os indicadores de desempenho da API e das várias interfaces do utilizador

Testes de esforço

Realizar testes de esforço para avaliar a disponibilidade e performance da API quando submetida a um número extremamente alto de solicitações

Obstáculos

Disponibilizar métodos de autenticação que não constituam um obstáculo à prestação de serviços pelos AISP e PISP

Permitir que, quando o utilizador acede à sua conta através de um TPP, a experiência do utilizador não sofre atrasos ou atritos desnecessários

Não requerer autorizações ou registos adicionais dos TPP

O que deve ter uma interface dedicada (API) para beneficiar da isenção?



O que deve ter uma interface dedicada (API) para beneficiar da isenção?

Não efetuar verificações do consentimento dado pelo cliente aos AISP e PISP

Conceção e testes a contento dos prestadores de serviços de pagamento

Fornecer a descrição da interface dedicada quanto às suas especificações funcionais e técnicas

Envolver os TPP na conceção da API

Seguir uma iniciativa de mercado no desenvolvimento da API (opcional)

Efetuar testes de conformidade desenvolvidos pela iniciativa de mercado (opcional)

Fornecer um resumo da utilização do dispositivo de testes

Ampla utilização da interface

Fornecer dados que comprovem a ampla utilização da interface dedicada durante 3 meses

Resolução de problemas

Ter sistemas ou procedimentos para detetar, resolver e corrigir problemas relativos à API, em conformidade com os objetivos de nível de serviço


Não. O consentimento é dado pelos utilizadores diretamente ao AISP e PISP e o ASPSP não pode revogar o consentimento.

Sim. O TPP deverá identificar-se junto do ASPSP através da utilização de certificados eIDAS (QSealC e QWAC). Uma vez que a informação relativa à autorização consta do certificado, o ASPSP pode, complementarmente, validar esta informação face aos registos públicos nacionais (ou face ao EBA Register).

Não. Os certificados eIDAS não incluem informação relativa aos países onde o TPP pode operar. Neste sentido, o ASPSP não pode validar o âmbito territorial da atividade do TPP.

O consentimento dado pelo utilizador ao TPP pode ser revogado pelo ASPSP?

O ASPSP pode verificar se o TPP está autorizado?

O ASPSP pode verificar se o TPP está autorizado a operar em Portugal?

DSP2 – Chegada do open banking | EBA Q&A



Caso o ASPSP não seja isentado da implementação do mecanismo de contingência, em que data tem de estar disponível o referido mecanismo?

Na eventualidade da interface dedicada não cumprir os requisitos necessários à isenção, o mecanismo de contingência terá de estar disponível a partir de 14 de setembro de 2019.

Caso tenha sido concedida uma isenção ao ASPSP, quanto tempo tem para implementar o mecanismo de contingência na eventualidade da isenção ser revogada?

Na eventualidade da isenção do mecanismo de contingência ser revogada, o ASPSP dispõe de um período de 2 meses para assegurar a implementação daquele mecanismo.


Como me posso posicionar para aproveitar as oportunidades criadas pelos novos serviços?



ASPSP | AISP | PISP

Implica autorização/registo junto de uma Autoridade Competente de um Estado membro

TSP - Prestadores de serviços técnicos

Serviços técnicos que não implicam autorização/registo


Open banking

ASPSP

AISP

TSP

PISP

Que atividades pode um TSP desempenhar?

Processamento e o armazenamento de dados

Serviços de proteção da confiança e da privacidade

Autenticação de dados e entidades

Redes de tecnologias da informação e comunicação

Fornecimento e manutenção de terminais e

dispositivos utilizados para serviços de pagamento


DSP2 – Chegada do open banking | Prestador de serviços técnicos

Não pode prestar serviços de

iniciação de pagamentos e

serviços de informação sobre

contas

DSP2 – Chegada do open banking | Prestador de serviços técnicos


Toma posse de fundos

Inicia ordens de pagamento

Acede a contas de pagamento

Não toma posse de fundos

Inicia ordens de pagamento

Acede a contas de pagamento

Não toma posse de fundos

Disponibiliza serviços técnicos

Não acede a contas de

pagamento

ASPSP AISP e PISP TSP


O que necessito de fazer para prestar os novos serviços?


Instituições de Pagamento e Instituições de Moeda Eletrónica

Pedido de alteração do objeto social [nos termos do disposto na alínea b) do n.º 1 do artigo 25.º do RJSPME]

Subscrição de seguro de responsabilidade civil profissional (consultar as Guidelines da Autoridade Bancária Europeia - EBA/GL/2017/08)

Sujeito a autorização prévia pelo Banco de Portugal

Cumprimento de todas as condições e requisitos estabelecidos no RJSPME

Bancos

Encontram-se habilitados a prestar todos os serviços de pagamento estabelecidos no artigo 4.º do RJSPME

Não existe qualquer processo de autorização/registo para o efeito

Cumprimento de todas as condições e requisitos estabelecidos no RJSPME


DSP2 – Chegada do open banking | Acesso à atividade

Condições de acesso à atividade para prestação dos novos serviços de pagamento (AIS e PIS)

Registo junto do Banco de Portugal – elenco de requisitos simplificado




Prestadores de serviços de

informação sobre contas em exclusivo

(AISP)Prestadores equiparados a Instituições de Pagamento - Direito de estabelecimento e de livre prestação de serviços

Prestação exclusiva deste serviço de pagamento

Subscrição de Seguro de Responsabilidade Civil Profissional

Inexiste previsão de capital social mínimo (sem prejuízo do disposto no Código das Sociedades Comerciais)

Prazo máximo para decisão pelo Banco de Portugal: 3 meses após entrega de processo de registo instruído




Prestadores de serviços de iniciação

de pagamento em exclusivo

(PISP)Prazo máximo para autorização pelo Banco de Portugal: 3 meses após entrega de processo de autorização instruído

Autorização junto do Banco de Portugal –mediante o cumprimento da totalidade dos requisitos aplicáveis às IP

Subscrição de Seguro de Responsabilidade Civil Profissional (também aplicável a IP e IME que prestem este serviço)

Capital social mínimo: € 50.000,00 (cinquenta mil euros)

Inexistem obrigações adicionais de requisitos de fundos próprios

Prestação exclusiva deste serviço de pagamento



Necessito de ter certificados eIDAS?

DSP2 – Chegada do open banking | Certificados eIDAS

O ETSI estabeleceu a norma técnica a ser utilizada pelos QualifiedTrust Service Providers (QTSP) na emissão dos certificados eIDAS para a DSP2

Os certificados incluem: a Autoridade Competente Nacional junto de qual a entidade está registada/autorizada; o número de autorização emitido pela Autoridade Competente Nacional; os serviços que a entidade detentora do certificado está habilitada a prestar

Os QTSP apenas emitem certificados a prestadores de serviços de pagamento autorizados


Os AISP e PISP necessitam de certificados eIDAS para efeitos de identificação junto das interfaces de comunicação disponibilizadas pelos ASPSP

QWAC

QSealC+

Elemento adicional

QWAC +

QSealC

Certificados de selos eletrónicos qualificados (QSealC)

Os QSealC “assinam” e comprovam a origem do conteúdo da informação transmitida

Certificados qualificados de autenticação de sítios Web (QWAC)

Os QWAC asseguram a confidencialidade, integridade e autenticidade da transmissão pelos canais de comunicação.


DSP2 – Chegada do open banking | Certificados eIDAS

Compete ao ASPSP, enquanto entidade que fornece a interface de comunicação, decidir qual dos cenários deverá ser utilizado para aceder às suas contas



Qual o conteúdo do certificado eIDAS caso o acesso envolva agentes ou TSP?

O TPP continua a ser responsável mesmo que aceda às contas ou inicie pagamentos através de agentes ou de um TSP.

Dado que o ASPSP deve estar em condições de identificar inequivocamente o PSP autorizado a aceder, os certificados eIDAS devem ser emitidos em nome do TPP.



Como subscrevo o Seguro de Responsabilidade Civil Profissional?

Montante do seguro

Portaria com os critérios de fixação do montante monetário mínimo do seguro de responsabilidade civil profissional ou de outra garantia equivalente aguarda publicação

Montante será definido de acordo com as Orientações da EBA (EBA/GL/2017/08)

A EBA disponibiliza no seu site uma “Tool for calculating the minimum monetary amount of the PII under PSD2”


DSP2 – Chegada do open banking | Seguro de responsabilidade civil profissional

Agenda

1. Abertura



4. Q&A



Princípio e objetivos do FINLAB

Plataforma de comunicação entre as 3 autoridades de supervisão nacionais e os inovadores no setor financeiro

Apoio ao desenvolvimento de soluções inovadoras na área financeira

Clarificação do contexto regulatório dos projetos submetidos pelos inovadores, de forma a proporcionar uma visão integrada dos requisitos necessários para a sua implementação


FinLab – Where regulation meets innovation O FinLab é o 1º Innovation Hub no setor financeiro português

FinLab – Where regulation meets innovation | Entidades envolvidas


Destinatários Autoridades

S T A R T - U P S

I N C U M B E N T E S

FinLab – Where regulation meets innovation


FinLab – Where regulation meets innovation | Etapas e calendário


C A N D I D A T U R A S R E L A T Ó R I O SA N Á L I S EA V A L I A Ç Ã O &S E L E Ç Ã O

P R I M E I R A F A S E :

S E G U N D A F A S E :

10set18 – 7out18 11out18 – 29out18

5nov18 – 3dez18 3dez18 – 21dez19

30out18 – 20jan19

23dez18 -17fev19

5fev19

8abr19

F E E D B A C K

P R I M E I R A F A S E : P R I M E I R A F A S E : P R I M E I R A F A S E : P R I M E I R A F A S E :

S E G U N D A F A S E : S E G U N D A F A S E : S E G U N D A F A S E : S E G U N D A F A S E :

25mar19; 2/23abr19

3/6mai19

24

15

FinLab – Where regulation meets innovation | Balanço da 1ª edição

Maior proximidade das 3 autoridades de supervisão face à inovação

A reação do mercado foi positiva (4 vezes mais candidatos do que vagas)

50% dos participantes no Portugal FinLab foram empresas estrangeiras

Nenhuma candidatura de incumbentes

Diversidade de áreas abrangidas nos projetos apresentados: Pagamentos [5]; Crypto/Blockchain [2]; P2P e P2B lending [2], RegTech [1]

40% dos projetos participantes no Portugal FinLab enquadram-se no âmbito das áreas de competência partilhada do BdP e da CMVM


Agenda

1. Abertura



4. Q&A



Legislação relevante

… DIRETIVA (UE) 2015/2366 DO PARLAMENTO EUROPEU E DO CONSELHO, de 25 de novembro de 2015, relativa aos serviçosde pagamento no mercado interno

… REGULAMENTO DELEGADO (UE) 2018/389 DA COMISSÃO de 27 de novembro de 2017 que complementa a Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação relativas à autenticação forte do cliente e às normas abertas de comunicação comuns e seguras

… Orientações sobre as condições para beneficiar de uma isenção do mecanismo de contingência (EBA/GL/2018/07)

… Opinion of the European Banking Authority on the transition from PSD1 to PSD2 (EBA/Op/2017/16)

… Opinion of the European Banking Authority on the implementation of the RTS on SCA and CSC (EBA/Op/2017/16)

… Opinion on the use of eIDAS certificates under PSD2 (EBA-Op-2018-7)

… Orientações sobre os critérios de fixação do montante monetário mínimo do seguro de responsabilidade civil profissional ou de outra garantia equivalente (EBA/GL/2017/08)


https://eur-lex.europa.eu/legal-content/pt/TXT/?uri=CELEX:32015L2366

https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX:32018R0389

https://eba.europa.eu/regulation-and-policy/payment-services-and-electronic-money/guidelines-on-the-conditions-to-be-met-to-benefit-from-an-exemption-from-contingency-measures-under-article-33-6-of-regulation-eu-2018/389-rts-on-sca-csc-

https://www.eba.europa.eu/-/eba-publishes-opinion-on-the-transition-from-psd1-to-psd2

https://www.eba.europa.eu/-/eba-publishes-opinion-on-the-implementation-of-the-rts-on-strong-customer-authentication-and-common-and-secure-communication

https://eba.europa.eu/-/eba-publishes-an-opinion-on-the-use-of-eidas-certificates-under-psd2

https://eba.europa.eu/regulation-and-policy/payment-services-and-electronic-money/guidelines-on-the-criteria-on-how-to-stipulate-the-minimum-monetary-amount-of-the-professional-indemnity-insurance-under-psd2

Documents

Fintech Meetings: DSP2 – A chegada do open banking · Fintech Meeting - Open Banking e Portugal FinLab 23 maio 2019 DSP2 – Chegada do open banking | Interfaces de comunicação