Pagamento sicuro: standard e certificazioni per l'e-commerce

In materia di pagamento online, la domanda non è se si verificherà un incidente, ma chi ne sosterrà il costo. La risposta dipende da due elementi: il rispetto dello standard applicabile ai dati della carta e l'utilizzo effettivo dell'autenticazione forte. Un commerciante conforme su questi due punti sostiene un rischio limitato; un commerciante che ha aggirato l'autenticazione per rendere più fluido il proprio percorso di acquisto sostiene l'intera responsabilità degli insoluti fraudolenti.

L'autenticazione forte, e chi paga in caso di frode

La direttiva europea sui servizi di pagamento impone un' autenticazione forte del cliente per la maggior parte delle operazioni online. Si basa su almeno due elementi indipendenti tra tre categorie: qualcosa che il cliente sa (password, codice), qualcosa che possiede (telefono, carta), qualcosa che è (impronta digitale, riconoscimento facciale).

La regola di responsabilità che ne deriva è semplice e spesso mal compresa:

• Quando l'autenticazione forte è stata applicata, l'onere di un'operazione fraudolenta contestata non ricade sul commerciante.
• Quando è stata esclusa — a seguito di un'esenzione invocata dal commerciante o dal suo prestatore — il rischio ricade su chi ha richiesto l'esenzione.

Esistono esenzioni: operazioni di importo ridotto, beneficiari di fiducia registrati dal cliente, analisi del rischio in tempo reale a determinate condizioni. Rendono più fluido il percorso di acquisto, al prezzo di un trasferimento di responsabilità che deve essere assunto consapevolmente.

Il cliente dispone inoltre di un diritto al rimborso in caso di operazione non autorizzata, che la sua banca deve eseguire senza indugio, salvo sospetto di frode da parte sua. La controversia viene poi risolta tra gli istituti e il commerciante.

Lo standard applicabile ai dati della carta

Qualsiasi entità che memorizza, elabora o trasmette dati di carte è soggetta allo standard di sicurezza del settore, indipendentemente dal proprio volume di attività. Il livello di rigore varia in base al numero di transazioni annuali, ma il principio non è negoziabile.

Il modo più efficace per ridurre questo onere è ridurre il perimetro. Un commerciante che non ha mai accesso ai dati della carta — perché l'inserimento avviene in un campo ospitato dal prestatore di pagamento, o su una pagina reindirizzata — vede i propri obblighi notevolmente alleggeriti.

Due pratiche annullano questo vantaggio e si riscontrano regolarmente: ricevere un numero di carta via e-mail o per telefono e inserirlo personalmente, e conservare numeri in un file «per facilitare gli ordini successivi». In entrambi i casi, il perimetro si estende a tutta l'infrastruttura che ha trattato il dato.

La tokenizzazione è la risposta alla necessità di pagamento ricorrente: il commerciante conserva un token inutilizzabile al di fuori del proprio contesto, mai il numero stesso.

Ciò che riguarda la protezione dei dati

I dati di pagamento sono dati personali, e il loro trattamento si aggiunge agli obblighi settoriali senza sostituirli.

Tre punti strutturano la conformità: una base giuridica per ogni trattamento, una durata di conservazione limitata a quanto necessario, e un quadro contrattuale del prestatore di pagamento in qualità di responsabile del trattamento.

La conservazione delle coordinate bancarie per facilitare un acquisto successivo presuppone il consenso specifico del cliente, distinto dall'accettazione delle condizioni generali. Una casella unica che copre contemporaneamente le condizioni generali e la conservazione della carta non soddisfa questo requisito — stesso ragionamento esposto per i tracciatori e cookie, dove il consenso deve essere raccolto per singola finalità.

Gli insoluti e la lotta contro la frode

Due rischi distinti gravano su un commerciante, e richiedono risposte diverse.

L'insoluto fraudolento deriva da una carta rubata o da un furto d'identità. L'autenticazione forte lo neutralizza trasferendo l'onere. È l'unico dispositivo che protegge realmente.

Lo storno abusivo si verifica quando un cliente contesta un'operazione che ha comunque effettuato. In questo caso, l'autenticazione non basta: occorre poter dimostrare la consegna e la conformità della prestazione. Le prove utili sono la tracciabilità della spedizione, la prova di consegna e lo storico degli scambi — argomento approfondito nel nostro articolo sugli obblighi di consegna e reso.

Un terzo dispositivo limita entrambi: il limite massimo e il filtraggio delle operazioni atipiche, per importo, per frequenza o per area geografica.

Scenari d'uso

Negozio online standard. Utilizzare un campo di inserimento ospitato dal prestatore, non toccare mai i dati della carta, mantenere l'autenticazione forte attivata di default. È la configurazione che minimizza sia l'onere di conformità sia il rischio finanziario.

Abbonamento ricorrente. Ricorrere alla tokenizzazione, con un consenso specifico del cliente per la conservazione del metodo di pagamento, distinto dall'accettazione delle condizioni generali.

Vendita telefonica. È la situazione più rischiosa: nessuna autenticazione forte, dati dettati oralmente. Preferire l'invio di un link di pagamento, che riporta l'operazione all'interno di un quadro sicuro e lascia una traccia.

Domande frequenti

L'autenticazione forte è obbligatoria? Sì, per la maggior parte delle operazioni online, salvo esenzioni regolamentate. Invocare un'esenzione trasferisce l'onere della frode a chi la richiede.

Chi paga in caso di frode con la carta? Se l'autenticazione forte è stata applicata, l'onere non ricade sul commerciante. Se è stata esclusa tramite un'esenzione, ricade su chi l'ha richiesta.

È necessario essere certificati per vendere online? Lo standard si applica non appena i dati della carta vengono memorizzati, elaborati o trasmessi. Il livello di rigore dipende dal volume, ma il perimetro si riduce fortemente quando il commerciante non accede mai ai dati.

Si può conservare un numero di carta? Non in chiaro, e non senza consenso specifico. La tokenizzazione consente il pagamento ricorrente senza conservare il numero stesso.

Un numero ricevuto via e-mail può essere inserito? È da evitare assolutamente: il dato entra così nel perimetro di conformità di tutta l'infrastruttura che lo ha trattato, inclusa la posta elettronica.

Come difendersi da una contestazione abusiva? Con la prova di consegna e di conformità: tracciabilità della spedizione, prova di consegna, storico degli scambi. La sola autenticazione non risponde a questa contestazione.

Da ricordare

Due decisioni determinano l'esposizione di un commerciante online, ed entrambe vengono prese nel momento in cui si sceglie il proprio percorso di pagamento.

La prima è non accedere mai ai dati della carta, lasciando che l'inserimento avvenga presso il prestatore. Questo riduce l'onere di conformità in misura considerevole ed elimina il rischio di fuga di dati.

La seconda è mantenere l'autenticazione forte piuttosto che invocare esenzioni per rendere più fluido il percorso. Ogni esenzione fa guadagnare qualche punto di conversione e trasferisce il costo della frode. Il calcolo merita di essere fatto esplicitamente, mettendo a confronto il tasso reale di insoluti con il guadagno in conversione — è uno degli arbitraggi strutturali del quadro legale di un negozio online.