En 2018 los consumidores podemos empezar a considerar que, por una vez, los legisladores se han puesto de acuerdo en regular determinadas actividades para estar más protegidos frente a posibles actuaciones ilícitas en dos ámbitos críticos de la última década: la desintermediación en el flujo de pagos y el uso de los datos de carácter personal.

La crisis financiera, por un lado, ha desvelado el desencuentro entre sociedad y el modelo bancario imperante y, por otro, la revelación del uso de información personal por parte de algunas empresas para beneficiar gobiernos y manipular decisiones de los ciudadanos, han aconsejado la puesta en marcha de dos directivas europeas que van a definir un nuevo escenario de relaciones entre empresas y clientes.

La PSD2, o Directiva de Servicios de Pago, mejora la protección del consumidor mediante la innovación de los procesos y la defensa de la competencia. Desde su entrada en vigor, los bancos dejan de centralizar e intermediar el pago de cualquier servicio y ceden el protagonismo al cliente, quien decidirá con qué empresa lo realiza, pudiendo ésta acceder a su cuenta bancaria con su consentimiento previo y expreso. Así, las nuevas compañías tecnológico-financieras han visto reforzadas sus posiciones aunque ya contaban con una regulación previa al operar en zona SEPA (Área Única de Pagos en Europa).

Con la PSD2, el cliente bancario es el propietario de sus datos y, por ello, es libre de transferirlos a terceros para que puedan acceder, con total seguridad, a la plataforma de su banco y realizar operaciones en su nombre. Estas terceras empresas, han sido diferenciadas como Proveedores de Servicios de Pago (TPP) que, a su vez, pueden operar como Proveedores de Servicios de Información de Cuentas (AISP) o como Proveedores de Servicios de Iniciación de Pagos (PISP). Los primeros podrán realizar ofertas personalizadas de productos y servicios financieros y los segundos (PISP) podrán ejecutar pagos por orden del cliente.

La clave del éxito de este nuevo ecosistema será la transparencia y, sobre todo, la seguridad. Por lo que los protocolos de comunicación para acceder a la información mediante procesos de autenticación de cliente (utilización de varias firmas digitales o contraseñas o coordenadas biométricas) se están perfeccionando junto con el uso de complejos métodos de cifrado para transferir los datos (tokenización). A todo ello, hemos de estar atentos a los desarrollos en blockchain que incrementarán los parámetros de seguridad a niveles de absoluta inviolabilidad.

El horizonte para que las entidades financieras, entidades de pago, de dinero digital y Fintech puedan cumplir con la PSD2 se ha fijado a mediados de 2018, habiendo entrado en vigor en enero pasado. Y la próxima semana, 25 de mayo, finaliza el plazo de la moratoria de dos años para que todas las empresas ajusten el tratamiento de los datos de carácter personal al nuevo Reglamento General de Protección de Datos (RGPD).

La coincidencia de la entrada en vigor de ambas directivas va a tener consecuencias importantes en el mercado. La PSD2, por su parte, va a rediseñar los procesos financieros poniendo, de verdad, al cliente en le centro de este ecosistema. Y el RGPD va a dejar fuera del mercado a aquellas empresas que no se ajusten a la normativa, muy estricta por cierto, pero sobre todo va a favorecer a las sociedades europeas que podrán operar en todo el territorio de la UE, mientras que el resto van a tener más complicado poder hacerlo si no establecen los estándares previstos para seguir haciendo uso de los datos de millones de usuarios residentes en Europa (o su cesión a terceros) sin que estos hayan dado conformidad expresa e inequívoca.

Ambas directivas garantizan a las personas la seguridad de sus transacciones y de sus datos, al tiempo que permitirán el surgimiento de nuevos modelos de negocio más seguros y fiables con la trazabilidad de las operaciones y la finalidad del uso de datos que puedan servir para componer perfiles de consumo o realizar predicciones de comportamiento.

Además, las dos se complementan: la PSD2, como hemos comentado, hace propietario al cliente de sus cuentas y el RGPD da el poder a los usuarios de decidir los datos que quieren ceder y los que no. Y desde el punto de vista de la empresas, la primera las obliga a establecer un marco más abierto y transparente para las transacciones de movimiento de dinero al tiempo que más seguro; y el segundo determinará la implantación de medidas organizativas y tecnológicas más adecuadas, no solo para prevenir posibles intrusismos o fraudes, sino para protocolizar los procesos en los que haya flujo de datos personales con la finalidad de ofrecer mejores servicios, dejando fuera la opción de “mercadear” con ellos.

Por tanto, creo que podemos admitir el acierto de ambas directivas y proponer ligarlas de alguna manera, como expresa el título de este artículo: “PSD2 ^ RGPD”, usando el símbolo o conector lógico “^” para expresar que ambas propuestas son necesarias de forma independiente y que la conjunción de las dos es también conveniente por la bondad del conjunto.

José Manuel Navarro Llena

@jmnllena