Pagamentos ficam mais seguros. Isto é tudo o que muda a partir de hoje

O paradigma dos pagamentos muda este sábado, e com ele também a forma como os portugueses e os europeus vão passar a realizar um conjunto de operações bancárias. A “autenticação forte” é a expressão chave para a explicação das mudanças que os clientes bancários vão sentir. Mas é por uma boa razão: tornar os pagamentos mais seguros. É por isso, por exemplo, que vai deixar de ser possível usar a caderneta para levantar ou transferir de dinheiro. Mas as mudanças não se ficam por aí.

A partir deste dia 14 de setembro, os prestadores de serviços de pagamento (PSP) são obrigados a fazer a “autenticação forte” dos seus clientes. Esse grau de autentificação será exigido sempre que estes façam o acesso online à sua conta bancária, iniciem uma operação de pagamento eletrónico ou realizem uma ação, através de um canal remoto, que possa envolver risco de fraude no pagamento ou outros abusos.

As novas regras decorrem da Diretiva dos Serviços de Pagamentos revista (PSD 2) que foi transposta por Portugal em novembro do ano passado.

A “autenticação forte” passará a ser exigida pelos prestadores de serviços de pagamentos e bancos aos clientes. Mas o que é que esta significa e implica? A “autenticação forte” do cliente acontece quando o procedimento de autenticação é efetuado com recurso a dois ou mais elementos pertencentes a, pelo menos, duas entre três categorias. Designadamente, de “conhecimento” (algo que só o utilizador conhece, por exemplo uma palavra-passe), “posse” (algo que só o utilizador possui, por exemplo o seu telemóvel) e “inerência” (algo inerente ao utilizador e que o identifica, por exemplo uma impressão digital).

“Por se considerar que as operações de pagamento remotas implicam um maior risco de fraude do que as operações presenciais, os PSP/bancos têm de garantir que, neste tipo de operações, a autenticação forte do cliente inclui um elemento adicional que associe de forma dinâmica a operação em causa ao montante e beneficiário específico”, explica o Banco de Portugal.

Face a esta nova realidade há um conjunto de operações que passam a processar-se de uma forma diferente.

As principais mudanças

• Caderneta deixa de movimentar dinheiro

As cadernetas bancárias deixam de permitir a realização de levantamentos ou pagamentos porque a banda magnética não cumpre as regras de segurança agora exigidas. No entanto, podem continuar a ser utilizadas para atualização de movimentos e consulta de saldos.

• Cartões bancários sem alterações

No que respeita aos cartões de débito e de crédito não haverá alterações, porque quase todos têm “chip” metálico. Gradualmente, os cartões que apenas têm banda magnética, como cartões de refeição, vão ser substituídos, mas não existe, atualmente, qualquer limitação à sua utilização.

• Acesso ao homebanking mais exigente

O acesso ao homebanking passa a ter de respeitar a “autenticação forte”, deixando de bastar o username e password. Aquilo que a generalidade dos bancos estão a fazer é a garantir essa autenticação forte com o envio complementar de um SMS para o telemóvel. Essa autenticação forte terá de ser feita de três em três meses no que respeita ao acesso ao homebanking. Dentro desse intervalo de tempo, os bancos podem não a exigir nos acessos realizados, mas o cliente apenas terá acesso à informação do saldo e dos movimentos dos últimos três meses. Para ter mais informação terá de ser feita a “autenticação forte”. O mesmo acontece sempre que decidirem dar seguimento a operações a partir do homebanking ou app.

• Compras online de fora… apenas para já

A realização de compras online está, para já, dispensada do cumprimento dos requisitos de autenticação forte. Apesar do risco que habitualmente está associado a este tipo de operações, os operadores vão beneficiar de um período transitório em que não são obrigados a cumprir as novas regras e que resulta do facto de ainda existirem muitos operadores a nível europeu que não estão preparados. A duração desse período será determinado nas próximas semanas pelas autoridades europeias, mas previsivelmente será no mínimo entre 12 e 18 meses. Tal não invalida que já haja compras online em que já sejam exigidas.

As exceções

Não há regras sem exceções. E isso também é verdade no que respeita às novas regras para os pagamentos. Há um conjunto de situações em que pode não ser aplicada a autenticação forte. Aí incluem-se os pagamentos entre contas de PSP/bancos detidas pelo mesmo titular, para beneficiários fiáveis que sejam incluídos numa lista definida pelo cliente (ex: transferências habituais para pagar a mensalidade do colégio ou do ginásio) ou operações que sejam consideradas recorrentes.

Nessa lista está ainda o pagamento de tarifas de transporte e de estacionamento, através de terminais automáticos (ex: Via Verde), bem como os pagamentos contactless. Ou seja, continua a ser possível fazer um pagamento apenas com a aproximação do cartão, o que decorre dos limites que são impostos a esse método de pagamento. Sem que seja exigida a introdução de um PIN, é possível fazer pagamentos até 50 euros, desde que não sejam excedidas cinco operações num montante global máximo de 150 euros.

Operações de pequeno valor também são avalizadas sem “autenticação forte”. Ou seja até 30 euros, no limite de cinco operações e no valor máximo global de 100 euros. Também são dispensadas de cumprir com os novos requisitos de autenticação operações que o banco considere terem baixo risco.

A existência desse conjunto de exceções não dispensa, contudo, as instituições prestadores de serviços de pagamento de responsabilidades. Os respetivos clientes só suportarão eventuais perdas financeiras decorrentes da operação caso tenham atuado fraudulentamente.