Licenza gateway di pagamento in Spagna: quando serve?

Un gateway di pagamento (payment gateway) è la tecnologia che collega un esercente all’ecosistema dei pagamenti —acquirer, circuiti delle carte, banche— per autorizzare ed elaborare le operazioni. Nella sua versione più semplice, trasmette e protegge i dati senza arrivare a detenere i fondi.

La domanda chiave non è tecnologica ma regolamentare: se in qualche momento detiene i fondi o dispone il pagamento, smette di essere un semplice supporto tecnico.

Dipende. Se è un fornitore di servizi tecnici che offre supporto senza mai detenere i fondi, è escluso dall’autorizzazione ai sensi della PSD2 e del Real Decreto-ley 19/2018.

Se tocca i fondi, li aggrega o dispone pagamenti, presta un servizio di pagamento e ha bisogno di un’autorizzazione (istituto di pagamento), di una registrazione (PISP) oppure di operare come agente di un istituto autorizzato.

Quando la sua funzione si limita al supporto tecnologico —elaborazione e archiviazione dei dati, autenticazione, reti, terminali— e non entra in possesso dei fondi da trasferire. Questa esclusione è prevista dalla PSD2 e dal RD-ley 19/2018.

Importante: l’esclusione non copre la disposizione di ordini di pagamento né le informazioni sui conti, che sono regolamentate anche se il fornitore non detiene i fondi.

Si distinguono per il fatto di toccare o meno i fondi e per la loro autorizzazione:

• Il gateway tecnico trasmette dati senza detenere fondi: escluso dall’autorizzazione.
• L’aggregatore o facilitatore riceve i fondi e poi li accredita all’esercente: presta un servizio di pagamento.
• L’istituto di pagamento ha una licenza propria della Banca di Spagna per prestare servizi di pagamento e gestire fondi con tutela.

Un PISP (prestatore di servizi di disposizione di ordini di pagamento) dispone un ordine di pagamento dal conto bancario del cliente nel quadro dell’open banking. A differenza di un gateway tecnico, è regolamentato —richiede la registrazione presso la Banca di Spagna— anche se non arriva a detenere i fondi.

Molti gateway moderni includono la disposizione di ordini di pagamento, e questo li colloca dentro il perimetro regolamentato.

L’autenticazione forte del cliente (SCA) è l’obbligo previsto dalla PSD2 di verificare l’utente con almeno due fattori indipendenti (qualcosa che sa, che ha o che è) nei pagamenti elettronici. È sviluppata nel Regolamento delegato (UE) 2018/389 e ammette alcune esenzioni.

Il gateway deve supportare la SCA e gestire correttamente le esenzioni, per non aumentare l’attrito né assumersi la responsabilità per le frodi.

Se il gateway presta un servizio di pagamento, è un soggetto obbligato ai sensi della Legge 10/2014: deve implementare valutazione dei rischi, adeguata verifica della clientela (KYC), monitoraggio, designare un rappresentante presso il SEPBLAC e segnalare le operazioni sospette.

Un fornitore puramente tecnico che non presta servizi di pagamento non ha, per quell’attività, la qualifica di soggetto obbligato.

Sì. Un’alternativa a ottenere una licenza propria è operare come agente di un istituto di pagamento già autorizzato, iscrivendosi nel registro corrispondente e sotto la responsabilità di quell’istituto.

È una strada frequente per partire prima o per validare il modello, ma richiede un contratto solido e controlli che l’istituto principale supervisionerà.

Il PCI DSS (Payment Card Industry Data Security Standard) è lo standard di sicurezza dei dati del settore delle carte che devono rispettare coloro che archiviano, elaborano o trasmettono dati di carte. Non è una licenza, ma un obbligo contrattuale imposto dai circuiti delle carte; è però indispensabile per gestire un gateway in modo sicuro.

È il Real Decreto-ley 19/2018, del 23 novembre, sui servizi di pagamento e altre misure urgenti in materia finanziaria, che recepisce in Spagna la PSD2 (Direttiva (UE) 2015/2366). Disciplina chi può prestare servizi di pagamento, gli istituti di pagamento, la disposizione di ordini di pagamento, le informazioni sui conti e le esclusioni dall’ambito di applicazione.

È un’esclusione dalla PSD2 per gli strumenti che servono solo ad acquistare beni o servizi in una rete limitata di fornitori o per una gamma molto specifica di prodotti (per esempio, le gift card di una catena). Superate certe soglie, va notificata alla Banca di Spagna. È diversa dall’esenzione dell’agente commerciale.

La PSD3 e il Regolamento sui servizi di pagamento (PSR) sono in fase finale di iter (accordo politico a fine 2025 e testo di compromesso nel 2026, con applicazione pratica prevedibilmente verso il 2027). Sostituiranno la PSD2, unificheranno istituti di pagamento e istituti di moneta elettronica in un’unica categoria, rafforzeranno la SCA e la responsabilità per le frodi e amplieranno l’open banking. Conviene impostare il progetto tenendo conto di questo orizzonte.

È la domanda che definisce tutto. Se il denaro passa per i conti del gateway prima di arrivare all’esercente, oppure il gateway lo aggrega e lo accredita, allora detiene i fondi e presta un servizio di pagamento. Se il flusso va direttamente dal pagatore all’acquirer/esercente e il gateway si limita a trasmettere dati, non li detiene.

L’autorità di vigilanza dei servizi di pagamento in Spagna è la Banca di Spagna, che autorizza e tiene il registro di istituti di pagamento, agenti e prestatori di servizi di disposizione di ordini di pagamento e di informazione sui conti. Un fornitore puramente tecnico non si registra per questa attività, ma conviene documentare perché resta fuori dal perimetro.