PSD2 i silne uwierzytelnianie (SCA) — co zmienia w sklepie

PSD2 to Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366, która reguluje usługi płatnicze w Unii Europejskiej. Do polskiego prawa wprowadziła ją nowelizacja ustawy o usługach płatniczych.¹
Dla kupujących i małych sklepów znaczenie mają zwłaszcza silne uwierzytelnianie klienta (SCA) oraz wyjątki od niego. Wpływają one na przebieg zakupów, konwersję sklepu i obsługę płatności cyklicznych.

Czym jest PSD2 z perspektywy osoby płacącej?

PSD2 określa zasady korzystania z usług płatniczych na jednolitym rynku płatności w UE. Przy zakupach online liczą się przede wszystkim bezpieczeństwo transakcji, odpowiedzialność za płatność bez zgody użytkownika i obsługa reklamacji.
Dostawca odpowiada na reklamację dotyczącą usługi płatniczej zasadniczo w ciągu 15 dni roboczych od jej otrzymania². To termin liczony od wpływu zgłoszenia, nie od dnia zakupu.

Po co wprowadzono PSD2?

PSD2 miała ujednolicić rynek płatności w UE i zwiększyć bezpieczeństwo transakcji. Otworzyła też drogę do otwartej bankowości, czyli usług korzystających z rachunku za zgodą użytkownika.¹
Kupujący odczuwa skutki tych zasad zarówno podczas płatności, jak i wtedy, gdy kwestionuje transakcję. Sama zgoda na dostęp do rachunku pozostaje jego decyzją.

Co zyskuje osoba płacąca dzięki zasadom PSD2?

Osoba płacąca ma niższy limit odpowiedzialności za nieautoryzowaną transakcję płatniczą, czyli płatność wykonaną bez jej zgody. Bank Millennium wskazuje też krótszy termin odpowiedzi na reklamację transakcji płatniczej. Limit nie oznacza automatycznego obciążenia klienta przy każdym sporze; liczą się okoliczności płatności.
Według Banku Millennium limit odpowiedzialności klienta za nieautoryzowane transakcje spadł ze 150 do 50 euro³.

Tabela porównuje podane przez Bank Millennium limity odpowiedzialności i terminy odpowiedzi na reklamację przed zmianą oraz po niej.
Bank podaje, że termin odpowiedzi na reklamację transakcji płatniczej skrócił się z 30 dni kalendarzowych do 15 dni roboczych³. Różnica dotyczy więc nie tylko długości terminu, ale także sposobu jego liczenia.

Dane w tabeli: 1

Jakie zasady PSD2 warto znać przed zakupem online?

PSD2 nie zastępuje zgody płacącego na transakcję. Płatność bez zgody to inny problem niż spór ze sklepem o zakupiony towar. Pierwszą sprawę należy zgłosić dostawcy usług płatniczych, a w drugiej zacząć od kontaktu ze sprzedawcą.
Przy reklamacji transakcji płatniczej obowiązuje wskazany wyżej termin odpowiedzi liczony w dniach roboczych. Art. 73 PSD2 przewiduje zwrot kwoty nieautoryzowanej transakcji najpóźniej do końca następnego dnia roboczego po jej odnotowaniu lub zgłoszeniu, z wyjątkiem uzasadnionego podejrzenia oszustwa⁴.

Dalsze postępowanie zależy od tego, czy płacący kwestionuje płatność, czy realizację zakupu. Rozróżnienie tych sytuacji pozwala skierować zgłoszenie do właściwego podmiotu. Zgodnie z art. 71 PSD2 nieautoryzowaną transakcję trzeba zgłosić bez zbędnej zwłoki, najpóźniej w ciągu 13 miesięcy od obciążenia rachunku⁴.

Czym jest zakres dyrektywy PSD2 w płatnościach online?

PSD2 określa zasady świadczenia usług płatniczych istotne przy zakupie w sklepie internetowym i przy przelewie. To, która zasada ma zastosowanie, zależy między innymi od instrumentu płatniczego. Znaczenie mają również waluta i rodzaj transakcji.

Co PSD2 zmienia podczas płatności w sklepie?

PSD2 zakazuje doliczania opłaty za konsumencką płatność kartą. Według eService dodatkowa opłata za użycie karty biznesowej pozostaje dozwolona.⁵
Klient i sprzedawca powinni zatem rozróżniać karty konsumenckie i firmowe, zamiast zakładać jednakowe zasady dla obu. Zakaz dopłat za instrumenty objęte regulowanymi opłatami interchange oraz wskazane usługi płatnicze wynika z art. 62 ust. 4 PSD2⁴.

Dlaczego PSD2 nazywa się drugą dyrektywą o usługach płatniczych?

PSD2 jest drugą dyrektywą, bo rozwija wcześniejsze unijne przepisy o usługach płatniczych, znane jako PSD1. Dla kupującego ta nazwa oznacza kolejną wersję ram prawnych, nie nowy przycisk w kasie sklepu. Karta i przelew pozostają metodami płatności. Dyrektywa określa natomiast zasady działania uczestników transakcji.

Jakich płatności, usług i uczestników dotyczy PSD2?

PSD2 dotyczy usług płatniczych świadczonych użytkownikom przez dostawców, a nie tylko płatności kartą. Przy przelewie zagranicznym objętym zasadą SHA zleceniodawca i odbiorca dzielą koszty przelewu. Nie ponosi ich wyłącznie jedna strona.¹
Art. 62 ust. 2 PSD2 stanowi, że przy objętej nim transakcji płatnik pokrywa opłaty swojego dostawcy, a odbiorca – swojego⁴.

Przy płatności transgranicznej trzeba uwzględnić także walutę. Znaczenie ma również to, czy transakcja odbywa się w ramach Europejskiego Obszaru Gospodarczego, czy poza nim.

Jak polska ustawa o usługach płatniczych wiąże się z PSD2?

Ustawa o usługach płatniczych stanowi w Polsce punkt odniesienia dla praw i obowiązków stron płatności. Kupujący lub mały sklep może ustalić, które zasady dotyczą transakcji, na podstawie jej cech. Warto zacząć od następujących kwestii:

• Rodzaj płatności wskazuje, czy chodzi o kartę, przelew czy inną usługę płatniczą.
• Status płacącego i instrumentu pomaga odróżnić zakup konsumencki od płatności firmowej.
• Uczestnicy i waluta transakcji pozwalają ustalić zasady kosztów i realizacji przelewu transgranicznego.

PSD2 wyznacza ramy prawne dla usług płatniczych. Konkretna zasada ma jednak zastosowanie dopiero po uwzględnieniu cech płatności. Sam wybór metody nie zawsze wystarcza do jej ustalenia.

Czym jest silne uwierzytelnianie (SCA) przy płatności?

Silne uwierzytelnianie klienta potwierdza tożsamość za pomocą elementów z co najmniej 2 z 3 kategorii: wiedzy, posiadania i cechy klienta. PIN jest przykładem wiedzy, telefon – posiadania, a odcisk palca – cechy klienta.¹
Przy płatności zdalnej potwierdzenie musi odnosić się do konkretnej kwoty i odbiorcy; tę zasadę nazywa się Dynamic Linking.⁵ Art. 97 ust. 2 PSD2 wymaga takiego dynamicznego powiązania przy zdalnej płatności elektronicznej⁴.

3-D Secure służy do autoryzacji transakcji bez fizycznego użycia karty. eService wskazuje tę metodę i zapewnia jej obsługę klientom bramki płatności eCommerce.⁵
Jeśli płatność wymaga SCA, klient małego sklepu musi przejść dodatkowy ekran potwierdzenia. Art. 16 rozporządzenia 2018/389 dopuszcza odstąpienie od SCA przy zdalnej płatności do 30 euro, o ile spełnione są także warunki dotyczące wcześniejszych transakcji⁶.

Jak płacący potwierdza swoją tożsamość i kiedy może nie być potrzebny dodatkowy krok?

Płacący potwierdza tożsamość metodą wskazaną przez bank, na przykład kodem autoryzacyjnym albo Autoryzacją Mobilną w aplikacji. Nie każda płatność wymaga dodatkowego kroku. Decydują o tym rodzaj transakcji i możliwość zastosowania wyjątku od SCA.
Przy płatnościach cyklicznych trzeba odróżnić zgodę na rozpoczęcie cyklu od późniejszych obciążeń; bank może zażądać potwierdzenia także później. Art. 14 rozporządzenia 2018/389 wymaga SCA przy tworzeniu, zmianie lub pierwszym zainicjowaniu serii cyklicznych płatności tej samej kwoty dla tego samego odbiorcy⁶.

Tabela zestawia podane przez banki progi i odstępy, przy których może pojawić się dodatkowa weryfikacja rachunku lub płatności zbliżeniowej.
Art. 11 rozporządzenia 2018/389 dopuszcza odstąpienie od SCA przy pojedynczej płatności zbliżeniowej do 50 euro, pod warunkiem spełnienia pozostałych wymogów⁶. Nie oznacza to, że potwierdzenie nigdy się nie pojawi.

Dane w tabeli: 1,7,8,9

Sesja w serwisie internetowym PKO Banku Polskiego została skrócona z 10 minut do 5 minut.⁷
Bank Millennium wskazywał 14 września 2019 r. jako termin przygotowania odbioru H@seł SMS do korzystania z Millenetu i aplikacji mobilnej.¹ Krótsza sesja i okresowa weryfikacja dotyczą bankowości. Nie oznaczają obowiązku ponownego potwierdzania każdej płatności w sklepie⁸.

Czym jest otwarta bankowość w ramach PSD2?

Otwarta bankowość w ramach PSD2 pozwala klientowi korzystać z usług uprawnionego dostawcy zewnętrznego powiązanych z rachunkiem. Taki dostawca, określany jako TPP, działa w zakresie usługi wybranej przez klienta i za jego zgodą.¹
Kupujący może więc zlecić płatność przez TPP bez przenoszenia rachunku do innego banku. Art. 66 PSD2 przyznaje płatnikowi prawo do skorzystania z dostawcy inicjującego płatność z rachunku dostępnego online, po wyrażeniu zgody na płatność⁴.

Kiedy zewnętrzny dostawca może uzyskać dostęp do rachunku płacącego?

TPP może uzyskać dostęp potrzebny do wybranej usługi, jeśli klient udzieli mu zgody. Klient może też odmówić jej udzielenia albo później ją odwołać.^1,10
Taka zgoda nie daje dowolnemu podmiotowi prawa do korzystania z rachunku. W Banku Millennium zgoda na usługę CAF wymaga wcześniejszego zapisania jej w repozytorium zgód w Millenecie. Współwłaściciel rachunku może korzystać z usług TPP, ale pełnomocnik nie może.¹ Art. 65 PSD2 wymaga wyraźnej zgody płatnika, zanim dostawca prowadzący rachunek potwierdzi określonemu dostawcy dostępność środków na płatność kartową⁴.

Bank Millennium weryfikuje certyfikaty TPP. Nie realizuje też transakcji inicjowanych przez dostawcę, który utracił certyfikat. Klient może ustawić dzienny limit 0 zł dla płatności inicjowanych przez TPP.¹
Przed udzieleniem zgody należy rozpoznać nazwę dostawcy i wybraną usługę. Potwierdzenie w banku nie jest powodem, by przekazywać dostawcy hasło do bankowości¹¹.

Czym różnią się PSD1 i PSD2 z perspektywy użytkownika?

PSD2 zastąpiła PSD1 i rozszerzyła zakres regulacji usług płatniczych.⁹ Użytkownik może dzięki temu korzystać z usług TPP powiązanych z rachunkiem, jeśli udzieli odpowiedniej zgody. Samo posiadanie rachunku nie włącza tych usług automatycznie.

Kiedy wdrażano PSD2 w UE i Polsce?

PSD2 uchwalono 25 listopada 2015 r.¹²
eService wskazuje 5 czerwca 2018 r. jako datę polskiej nowelizacji ustawy o usługach płatniczych wdrażającej dyrektywę.⁵ Pierwsza data dotyczy uchwalenia przepisów unijnych, druga – wskazanej zmiany prawa krajowego. Żadna nie wyznacza terminu udzielenia przez konkretnego klienta zgody na usługę TPP.

Jakie usługi płatnicze rozwinęły się dzięki PSD2?

PSD2 umożliwiła rozwój usług AIS, PIS i CAF. Jedna dotyczy informacji o rachunku, inna zlecenia płatności, a kolejna potwierdzenia dostępności środków.
Art. 67 PSD2 reguluje AIS, czyli dostęp do informacji o rachunku dostępnym online, świadczony wyłącznie na podstawie wyraźnej zgody użytkownika⁴. Zakres usługi ma więc znaczenie przy podejmowaniu decyzji o zgodzie.

• AIS to usługa informacji o rachunku. Pozwala przedstawić klientowi w jednym miejscu dane o jego rachunkach w różnych bankach.¹
• PIS to usługa inicjowania płatności. Dostawca może na wniosek klienta rozpocząć płatność z jego rachunku na rzecz wskazanego odbiorcy. TPP nie staje się odbiorcą pieniędzy.¹
• CAF to usługa potwierdzenia dostępności środków. Pozwala sprawdzić, czy na rachunku są środki wystarczające do wykonania określonej płatności kartą. Według Erste odpowiedź brzmi „tak” albo „nie” i nie ujawnia salda.^1,10

API jest interfejsem umożliwiającym wymianę danych między systemami. Bank Millennium udostępnia certyfikowanym TPP API wraz z dokumentacją oraz środowiska produkcyjne i testowe. Bank BPS udostępnia API i środowisko testowe certyfikowanym TPP oraz podmiotom, które złożyły w Komisji Nadzoru Finansowego wniosek o zezwolenie na świadczenie usług PSD2.^1,13

Tabela pokazuje dostępność API PSD2 Banku BPS według kwartału, w porządku chronologicznym.

Dane w tabeli: 13

Niedostępność API PSD2 Banku BPS wynosiła 0,00% zarówno w III, jak i IV kwartale 2025 r. oraz 0,04% zarówno w I, jak i II kwartale 2026 r.¹³
Te wskaźniki opisują działanie interfejsu banku. Nie podają czasu potrzebnego klientowi na ukończenie konkretnego zakupu w sklepie.

Otwarta bankowość daje płacącemu wybór usługi dotyczącej jego rachunku. Zakres dostępu TPP wynika z wybranej usługi i zgody klienta. Bez tej zgody dostawca nie uzyskuje dostępu do rachunku.

Najczęściej zadawane pytania

Co to jest transakcja TPP?

To płatność z rachunku klienta inicjowana przez zewnętrznego dostawcę, na jego wniosek i za jego zgodą. TPP inicjuje płatność, ale nie staje się odbiorcą pieniędzy.

Czym jest transakcja PIS?

To płatność zainicjowana przez dostawcę usługi PIS z rachunku klienta na rzecz wskazanego odbiorcy. Klient zleca ją dostawcy, a pieniądze trafiają do odbiorcy.

Na czym polega Open Banking?

Open Banking pozwala korzystać z usług zewnętrznych dostawców powiązanych z rachunkiem, takich jak prezentowanie informacji o rachunkach czy inicjowanie płatności. Zakres usługi zależy od tego, na co zgodzi się klient.

Co to jest open bank?

W kontekście PSD2 określenie to odnosi się do korzystania z usług zewnętrznych dostawców powiązanych z rachunkiem, a nie do przeniesienia rachunku do innego banku.

Czy TPP potrzebuje hasła do bankowości internetowej?

Nie należy przekazywać TPP hasła do bankowości. Zgodę na usługę potwierdza się w banku, a bank weryfikuje dostawcę.

Ceny i warunki sprawdzone u źródeł: październik 2026.