La PSD2 es una de esas normas europeas que casi nadie ha le\u00eddo pero que aplica cada vez que confirmas un pago online con el m\u00f3vil, autorizas una app a leer los movimientos de tu cuenta o reclamas un cargo que no reconoces. Es la base de las reglas actuales del pago electr\u00f3nico en la Uni\u00f3n Europea, y en 2026 empieza a renovarse con la PSD3 y el nuevo Reglamento de Servicios de Pago.<\/p>\n
La Directiva PSD2 (Directiva UE 2015\/2366) fue aprobada en 2015 y entr\u00f3 en vigor en enero de 2016. Sustituy\u00f3 a la primera Directiva de Servicios de Pago de 2007, que ya no daba respuesta a un mercado con banca online masiva, comercio electr\u00f3nico creciente y nuevas fintech operando fuera del per\u00edmetro bancario tradicional. En Espa\u00f1a se traspuso a trav\u00e9s del Real Decreto-ley 19\/2018<\/a>, con la autenticaci\u00f3n reforzada en compras online plenamente exigible desde el 1 de enero de 2021.<\/p>\n Su objetivo no era crear una tecnolog\u00eda nueva, sino ordenar el mercado de pagos electr\u00f3nicos en toda la UE bajo tres ejes: reforzar la seguridad de las transacciones online, abrir el sector bancario a nuevos actores (fintech, plataformas de pago, agregadores) y proteger mejor al consumidor frente al fraude. Antes de la PSD2, cada pa\u00eds aplicaba reglas distintas y cada banco impon\u00eda sus condiciones sin un marco com\u00fan.<\/p>\n La norma se aplica a todos los proveedores de servicios de pago que operan en la UE: bancos, entidades de dinero electr\u00f3nico como la que emite Bitsa, pasarelas de pago, fintech de open banking y emisores de tarjetas.<\/p>\n Uno de los cambios m\u00e1s visibles para el usuario es la autenticaci\u00f3n reforzada, conocida t\u00e9cnicamente como SCA (Strong Customer Authentication). La PSD2 obliga a confirmar los pagos online con al menos dos factores independientes entre tres categor\u00edas: algo que sabes (una contrase\u00f1a o PIN), algo que tienes (un m\u00f3vil o token) y algo que eres (huella, cara).<\/p>\n Por eso hoy, cuando compras en una tienda online por encima de 30 euros, te salta una confirmaci\u00f3n al m\u00f3vil, un SMS con c\u00f3digo o una validaci\u00f3n biom\u00e9trica en la app del banco. Este proceso combina el est\u00e1ndar 3D Secure con los sistemas de autenticaci\u00f3n del emisor de la tarjeta. En Bitsa, cada operaci\u00f3n online pasa por el protocolo 3D Secure con confirmaci\u00f3n en la app<\/a> antes de cargarse en el saldo de la tarjeta.<\/p>\n Hay excepciones tasadas: pagos por debajo de 30 euros, compras a listas blancas de comercios de confianza, ciertos pagos recurrentes o cargos de bajo riesgo detectados por el emisor. Fuera de esos casos, la doble autenticaci\u00f3n es la regla, no la excepci\u00f3n.<\/p>\n La otra gran novedad de la PSD2 es el Open Banking. Bajo esta norma, los bancos est\u00e1n obligados a compartir los datos de tus cuentas con terceros autorizados si t\u00fa das el consentimiento. Ese tercero puede ser una app de gesti\u00f3n de finanzas personales, un comparador de pr\u00e9stamos, una plataforma de contabilidad o incluso un comercio que quiera iniciar un pago sin pasar por la pasarela tradicional.<\/p>\n En la pr\u00e1ctica, la PSD2 reconoce dos figuras nuevas. Los AISP (Account Information Service Providers) leen la informaci\u00f3n de tus cuentas para agregarla en una app \u00fanica o para ofrecerte servicios personalizados. Los PISP (Payment Initiation Service Providers) ejecutan pagos en tu nombre directamente desde tu cuenta, sin necesidad de tarjeta ni de intermediario extra. En ambos casos, el acceso requiere tu autorizaci\u00f3n expresa y se canaliza a trav\u00e9s de APIs reguladas por el banco.<\/p>\n Para el usuario, esto se traduce en m\u00e1s control sobre sus datos, m\u00e1s competencia en el sector y aplicaciones que unifican cuentas de distintos bancos en una sola pantalla. Tambi\u00e9n abre la puerta a que entidades de dinero electr\u00f3nico como Bitsa operen bajo licencia europea, sin depender de convenios bilaterales con cada banco.<\/p>\n La PSD2 endurece la responsabilidad del proveedor de servicios de pago cuando ocurre un cargo no autorizado. Si te reclaman un pago que no reconoces, la entidad debe reembolsar el importe de forma inmediata, salvo que pueda demostrar que hubo negligencia grave por tu parte (por ejemplo, haber compartido tus credenciales de forma consciente).<\/p>\nAutenticaci\u00f3n reforzada al pagar online<\/strong><\/h2>\n
Open Banking y el acceso de terceros a tus datos bancarios<\/strong><\/h2>\n
Protecci\u00f3n al consumidor frente al fraude<\/strong><\/h2>\n