Conformità

Raggiungi la conformità negli ambienti maggiormente regolamentati

Scarica il white paper PSD2

Conformità Regolamentare

Seleziona leggi, regolamenti, norme e quadri di riferimento

Cibersicurezza e autenticazione avanzata

Americhe​

NYDFS: Requisiti di cibersicurezza per le società di servizi finanziari

L’NYDFS disciplina circa 1.500 banche e istituti finanziari. Tra questi figurano istituti statunitensi e molti istituti internazionali con sede operativa a New York. Il regolamento Requisiti di cibersicurezza per le società di servizi finanziari consiste in 22 disposizioni che richiedono alle organizzazioni di servizi finanziari di proteggere meglio i dati. Gli istituti finanziari devono implementare controlli efficaci per prevenire l’accesso non autorizzato ai sistemi informatici o alle informazioni non pubbliche attraverso la valutazione del rischio e i mezzi per farlo possono essere l’autenticazione a più fattori, l’autenticazione biometrica o l’autenticazione risk-based. Maggiori informazioni in questo blog: NYDFS – Requisiti di cibersicurezza per le società di servizi finanziari

EMEA

PSD2: Direttiva sui servizi di pagamento 2

La Direttiva UE sui servizi di pagamento (PSD2) contiene alcuni requisiti relativi alla Strong Customer Authentication (SCA). Gli istituti finanziari devono conformarsi a questi requisiti entro il settembre 2019. Tuttavia, specifici provider di servizi di pagamento (PSP) potrebbero aver diritto a un’estensione eccezionale nel contesto dei pagamenti con carta per il commercio elettronico secondo un recente parere dell’ABE.

Questi requisiti includono cinque criteri di conformità:

  • Autenticazione avanzata: L’autenticazione deve essere basata su due o più fattori, tra cui password o PIN, token o dispositivi mobili, o biometria.
  • Analisi del rischio della transazione: Obbliga all’uso dell’analisi del rischio della transazione per scoraggiare i pagamenti fraudolenti.
  • Protezione antireplica: La PSD2 impone l’uso di contromisure dedicate per la clonazione delle app di dispositivi mobili nelle applicazioni.
  • Link dinamico: Per le transazioni di pagamento, il codice di autenticazione deve essere collegato dinamicamente sia all’importo che al beneficiario.
  • Elementi indipendenti: I provider di servizi di pagamento devono adottare misure di sicurezza per ridurre il rischio derivante da dispositivi mobili compromessi.

Quadro di certificazione della cibersicurezza nell’UE

Il nuovo Quadro di certificazione della cibersicurezza nell’UE, originariamente proposto nel 2017, è stato sviluppato per migliorare la cibersicurezza dei servizi online e dei dispositivi dei consumatori, compresi i dispositivi IoT. Una volta approvato formalmente dal Parlamento europeo, verrà pubblicato nella Gazzetta ufficiale dell’UE ed entrerà ufficialmente in vigore immediatamente. Per maggiori informazioni, leggi il comunicato stampa ufficiale.

Saudi Arabian Monetary Authority (SAMA)

Per migliorare la resilienza contro le minacce informatiche, la Saudi Arabian Monetary Authority (SAMA) ha introdotto il Quadro di cibersicurezza SAMA nel maggio 2017. Quest’ultimo segue una tendenza globale con cui gli organismi di regolamentazione dei governi e del settore bancario in tutto il mondo stanno introducendo standard di cibersicurezza e apposite linee guida.

I quattro aspetti chiave del quadro sono:

  • Gestione dell’identità e dell’accesso
  • Canale di comunicazione sicuro per l’online e il mobile banking
  • Application shielding per dispositivi mobili
  • Rilevamento e prevenzione delle frodi

Maggiori informazioni in questo blog: Conformità al Quadro di cibersicurezza SAMA

Turchia: Regolamento sui sistemi informatici delle banche e sui servizi bancari elettronici

Il 15 marzo 2020, l’Agenzia di regolamentazione e supervisione bancaria della Turchia ha pubblicato il Regolamento sui sistemi informatici delle banche e sui servizi bancari elettronici.
Il regolamento è entrato in vigore il 1° luglio 2020 e ha un impatto significativo su banche, aziende di audit, aziende tecnologiche che offrono servizi esternalizzati alle banche e aziende che offrono soluzioni di open banking.

Il regolamento tratta:

  • La creazione e la gestione dei sistemi informatici delle banche
  • La sicurezza delle informazioni delle banche
  • I servizi bancari elettronici

Learn the impact on SMS-OTP, 2FA, mobile application security, transaction security, and more: https://www.onespan.com/blog/financial-regulatory-landscape-in-turkey

Asia Pacifico

Singapore: Linee guida Technology Risk Management (TRM) e Business Continuity Management (BCM)

La Monetary Authority of Singapore (MAS) ha emesso le linee guida Technology Risk Management (TRM) e Business Continuity Management (BCM).

Le linee guida TRM forniscono indicazioni per la sicurezza nello sviluppo del software, la sorveglianza informatica, la simulazione di attacchi e come gestire i rischi informatici correlati con l’Internet delle cose. Le TRM includono anche una sezione sulla "Sicurezza dei servizi finanziari online", che tratta quanto segue:

  • Sec. 14.1.7 "I dispositivi mobili rooted o jailbroken devono essere inibiti dall’accesso alle applicazioni mobili degli istituti finanziari per eseguire transazioni finanziarie, dal momento che tali dispositivi sono più suscettibili a malware e vulnerabilità della sicurezza."

  • Sec. 14.2.1 "L’autenticazione a più fattori deve essere implementata al momento del login per i servizi finanziari online per rendere sicura la procedura di autenticazione del cliente."

  • Sec. 14.2.4 “L’istituto finanziario può applicare un approccio risk-based e implementare un’adeguata autenticazione risk-based o adattiva che presenti ai clienti opzioni di autenticazione commisurate al livello di rischio della transazione e alla sensibilità delle informazioni."

  • Sec. 14.2.8 “Ove vengano usati token software per l’autenticazione del cliente, devono essere implementate misure appropriate, tra cui la verifica dell’identità del cliente, il rilevamento e il blocco dei dispositivi rooted o jailbroken e l’esecuzione del binding del dispositivo, per la procedura di consegna del token software."

  • Sez. 14.3.1 “L’istituto finanziario deve implementare sistemi di monitoraggio o sorveglianza delle frodi in real time per identificare e bloccare transazioni online sospette o fraudolente."

Globale

PCI DSS 3.2

Standard di sicurezza dei dati del settore delle carte di pagamento

Il PCI DSS 3.2 è uno standard di sicurezza delle informazioni per le organizzazioni che gestiscono carte di credito dei principali enti emittenti di carte. È stato messo in atto per affrontare le minacce alla sicurezza delle informazioni di pagamento dei clienti. Tutte le entità coinvolte nel trattamento delle carte di pagamento devono conformarsi al PCI DSS, compresi gli acquirenti, gli emittenti, i commercianti, i responsabili del trattamento e i provider di servizi. Questo si applica anche a tutte le altre entità che memorizzano, trattano o trasmettono i dati dei titolari di carte.

Il requisito 8.3, diventato obbligatorio nel 2018, richiede alle organizzazioni di incorporare l’autenticazione a più fattori per tutti gli accessi non console all’ambiente dei dati dei titolari di carte, oltre agli accessi remoti alla rete effettuati dall’esterno della rete dell’entità.

Programma di sicurezza clienti SWIFT

Per adattarsi all’ambiente mutevole delle minacce e contrastare i criminali informatici, SWIFT (Society for Worldwide Interbank Financial Telecommunication) ha introdotto il Quadro dei controlli di sicurezza SWIFT e il Customer Security Programme (CSP). Per maggiori informazioni su come SWIFT contribuisce a garantire la sicurezza e l’integrità dei sistemi che si connettono alla rete SWIFT, consulta questo blog.

Privacy e protezione dei dati

America del Nord

USA: Gramm-Leach-Bliley Act

La Federal Trade Commission (FTC) degli Stati Uniti ha annunciato nel marzo 2019 la sua intenzione di implementare modifiche alla “Safeguards Rule” e alla “Privacy Rule” come stabilito nel Gramm-Leach-Bliley Act. Le modifiche sono le seguenti:

 

  • Safeguards Rule:
    In vigore dal 2003, la Safeguards Rule richiede agli istituti finanziari di mettere in atto misure per mantenere sicure le informazioni dei clienti. Gli istituti sono inoltre responsabili di assicurare che le loro consociate e i loro provider di servizi salvaguardino le informazioni dei clienti. (La prassi migliore è implementare l’autenticazione a più fattori).

 

  • Privacy Rule:
    In vigore dal 2000, la Privacy Rule richiede che un istituto finanziario informi i clienti relativamente alle sue pratiche di condivisione delle informazioni e permetta ai clienti di rinunciare alla condivisione delle loro informazioni con alcune terze parti.

 

USA: HIPAA Privacy Rule

L’Health Insurance Portability and Accountability Act del 1996 (HIPAA) Data Privacy Rule fornisce standard e linee guida per la protezione adeguata delle cartelle cliniche dei pazienti e delle informazioni sanitarie personali. Si applica ai piani sanitari, ai centri di raccolta e smistamento di dati sanitari e agli operatori sanitari che conducono determinate transazioni per via elettronica.

La nostra soluzione di firma elettronica, OneSpan Sign, facilita la conformità con tutti i requisiti dell’HIPAA che si applicano al personale commerciale.

USA: California Consumer Privacy Act (CCPA)

Il California Consumer Privacy Act è stato modellato sulla falsa riga del GDPR e la sua finalità è proteggere i dati dei residenti nello Stato della California. Include molti degli stessi servizi di condivisione del GDPR, tra cui:

 

  • Requisiti di consenso ampliati
  • Diritto di accesso
  • Diritto all’oblio

 

Inoltre, molti stati USA sono in procinto di approvare una legislazione modellata almeno in parte sul California Consumer Privacy Act.

Leggi sulla protezione dei dati assicurativi degli Stati Uniti

Vari stati USA hanno emanato una legislazione per applicare i requisiti di autenticazione a più fattori (MFA) a qualsiasi individuo che acceda a "informazioni non di pubblico dominio", tra cui le informazioni sulle assicurazioni private.

 

  • Carolina del Sud: La legge n. 171 è entrata in vigore il 1° gennaio 2019, obbligando i licenziatari della Carolina del Sud a implementare un programma di sicurezza delle informazioni entro il 1° luglio 2019. Gli stessi devono anche rispettare i requisiti di due diligence per i provider terzi di servizi entro il 1° luglio 2020.

 

  • Michigan: L’House Bill 6491 entrerà in vigore il 20 gennaio 2021, obbligando i licenziatari del Michigan a implementare un programma di sicurezza delle informazioni entro il 20 gennaio 2022. Gli stessi devono anche rispettare i requisiti di due diligence per i provider terzi di servizi entro il 20 gennaio 2023.

 

  • Ohio: Il Senate Bill 273 è entrato in vigore il 20 marzo 2019 e si applica a tutti gli assicuratori dell’Ohio. Il disegno di legge prevede una serie di misure di sicurezza da attuare entro il 20 marzo dell’anno successivo.

 

  • Mississippi: Il Senate Bill 2831 è entrato in vigore il 1° luglio 2019. I licenziatari devono implementare la MFA entro il 1° luglio 2020. Inoltre, gli stessi devono anche rispettare i requisiti di due diligence per i provider terzi di servizi entro il 1° luglio 2021.

Canada: Personal Information Protection and Electronic Documents Act (PIPEDA)

Il PIPEDA è il regolamento federale che disciplina i requisiti di sicurezza relativi alla raccolta, all’uso e alla divulgazione di informazioni personali in Canada. Si applica sia alla pubblica amministrazione che ai privati che raccolgono, usano e divulgano informazioni personali come parte della rispettiva attività, tra cui gli istituti finanziari.

EMEA

UE: Il Regolamento Generale sulla Protezione dei Dati (GDPR)

Il Regolamento Generale sulla Protezione dei Dati dell’Unione europea (GDPR) si applica alla protezione dei dati personali di tutti i cittadini dell’UE. Si applica a qualsiasi azienda che tratta o raccoglie dati personali da un cittadino dell’UE, indipendentemente dal fatto che l’organizzazione sia basata nell’UE, quindi in tutto il mondo.

 

Il GDPR stabilisce sette principi chiave:

 

  • Liceità, correttezza e trasparenza
  • Limitazione della finalità
  • Riduzione al minimo dei dati
  • Precisione
  • Limitazione della memorizzazione
  • Integrità e riservatezza (sicurezza)
  • Responsabilità

 

Ai sensi dell’articolo 32, “le aziende considerate come titolari del trattamento o responsabili del trattamento di dati personali sono obbligate a implementare misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio". L’ENISA, l’Agenzia dell’Unione europea per la cibersicurezza, consiglia gli stati membri e le organizzazioni del settore privato nell’attuazione della legislazione dell’UE e, come tale, fornisce linee guida su come adottare misure appropriate per conformarsi al GDPR.

 

  • Per il controllo dell’accesso e l’autenticazione: L’ENISA raccomanda di implementare l’autenticazione a due fattori nei casi ad alto rischio e in alcuni casi a medio impatto, come segue: "L’autenticazione a due fattori deve essere usata preferibilmente per accedere a sistemi che trattano dati personali. I fattori di autenticazione potrebbero essere password, token di sicurezza, chiavi USB con un token segreto, biometria, ecc.”.

 

  • Per i dispositivi mobili: L’ENISA consiglia di prestare particolare attenzione a non compromettere i dati aziendali. Di conseguenza, la linea guida indica che “l’autenticazione a due fattori è consigliata per l’accesso ai dispositivi mobili e i dati personali memorizzati sul dispositivo mobile devono essere crittografati”.
  • Per lo sviluppo di applicazioni: L’ENISA raccomanda di prendere nella dovuta considerazione la sicurezza dei dati personali. Durante il ciclo di vita dello sviluppo, questo include “attenersi alle prassi migliori, allo stato dell’arte e alle prassi di sviluppo sicuro ben riconosciute, ai quadri di riferimento o alle norme”, anche per i casi a basso rischio. Scopri di più sull’autenticazione a due fattori in questo blog.

 

Inoltre, nessun dato personale può essere trattato senza una base giuridica. Una di queste basi è il "consenso". Qualsiasi organizzazione che valuta la propria politica di consenso e i meccanismi per conformarsi al GDPR potrebbe prendere in considerazione l’uso della firma elettronica, soprattutto quando si tratta di dati personali sensibili, come informazioni finanziarie personali o cartelle cliniche. Le firme elettroniche sono una soluzione sicura, verificabile e facile da usare per coadiuvare l’implementazione di misure tecniche e organizzative in conformità al GDPR. Questa tecnologia è un buon metodo per i titolari del trattamento per acquisire il consenso, rispettare il requisito di opt-in attivo e dimostrare i dettagli di come il consenso è stato ottenuto, compreso a cosa è stato acconsentito, quando e da chi. Scopri di più su come acquisire il consenso dei clienti in questo blog.

America del Sud

Cile: Legge n. 19.628 sulla protezione della sfera privata o legge sulla protezione dei dati personali

Questa legge definisce i requisiti relativi al trattamento delle informazioni personali nelle banche dati pubbliche e private.

Brasile: Lei Geral de Proteção de Dados (LGPD)

La Lei Geral de Proteção de Dados (LGPD) entra in vigore nell’agosto 2020. Il regolamento include alcune delle disposizioni del GDPR in Europa. Tuttavia, applica anche ulteriori obblighi di conformità alle organizzazioni che trattano dati o offrono servizi ai privati in Brasile. Le aziende sono tenute ad acquisire il consenso esplicito della persona prima di raccogliere i dati. La persona deve essere informata esattamente su quali dati vengono raccolti, sul motivo della loro raccolta e sulla durata della loro memorizzazione. Inoltre, quando un’azienda non ha più bisogno dei dati acquisiti, gli stessi devono essere distrutti.

Asia Pacifico

Thailandia: Personal Data Protection Act B.E. 2562 (2019) (PDPA)

Approvata nel maggio 2019 e destinata a entrare in vigore nel 2020, la PDPA definisce i dati personali come qualsiasi informazione che può essere utilizzata per identificare una persona. Quest’ampia definizione si applica a qualsiasi dato appartenente a clienti, dipendenti e aziende e la PDPA applica importanti restrizioni alla raccolta e all’utilizzo.

 

Inoltre, la PDPA consente alle persone di esercitare diritti relativi ai dati personali simili al GDPR, come il diritto di accesso, il diritto di cancellazione, il diritto di opposizione e il diritto alla portabilità dei dati.

Firma elettronica

America del Nord

USA: ESIGN Act e UETA

Negli Stati Uniti le leggi federali e statali attribuiscono alle firme elettroniche lo stesso status legale delle firme autografe. Il Federal Electronic Signatures in Global and National Commerce Act (ESIGN) dà il riconoscimento legale alle firme elettroniche e alle registrazioni in modo che soddisfino i requisiti legali “per iscritto” nelle transazioni, comprese le divulgazioni, e permette alle organizzazioni di soddisfare i requisiti legali di conservazione dei documenti solo attraverso l’uso di registrazioni elettroniche. L’ESIGN richiede il consenso di una persona per condurre attività commerciali elettronicamente.

 

A livello statale, quarantasette stati, il Distretto di Columbia, Porto Rico e le Isole Vergini hanno adottato l’Uniform Electronic Transactions Act (UETA). Inoltre, la legge federale ESIGN prevede che le firme elettroniche siano legalmente applicabili per il commercio tra stati e negli stati che non hanno adottato l’UETA.

USA: 21st Century IDEA Act

Il 20 dicembre 2018, il 21st Century Integrated Digital Experience Act (21st Century IDEA) è stato convertito in legge. Quest’ultimo introduce funzionalità e standard di sicurezza minimi per le agenzie federali negli Stati Uniti con l’obiettivo di migliorare le interazioni digitali tra cittadini e pubblica amministrazione. Per esempio, richiede alle agenzie di offrire versioni digitali di tutti i servizi cartacei e di accettare firme elettroniche dai cittadini.

 

Maggiori informazioni in questo blog.

USA: Autorità di regolamentazione dell’industria finanziaria

Il FINRA Rule 4512(a)(3) statunitense (Informazioni sul conto del cliente) in precedenza richiedeva alle società di intermediazione di ottenere la firma manuale di ogni persona fisica designata e autorizzata a esercitare discrezione in un conto prima di aprirlo. Il 16 aprile 2019, la Security Exchange Commission (SEC) statunitense ha approvato una proposta di modifica al regolamento 4512(a)(3) che dà ai membri la possibilità di ottenere una firma elettronica anziché una firma manuale.

 

Maggiori informazioni in questo blog.

USA: Leggi statali sull’autenticazione notarile online a distanza

Numerosi stati USA hanno approvato o stanno esaminando la legislazione che autorizzerebbe i loro notai statali a eseguire notarizzazioni online a distanza. Questo include:

 

Canada: Legge provinciale

Simile alle leggi UETA degli Stati Uniti, le leggi provinciali canadesi sulla firma elettronica attribuiscono alle firme elettroniche lo stesso status legale delle firme autografe.

 

In tutto il Canada sono state emanate leggi sul commercio elettronico e sulla firma elettronica sostanzialmente uniformi. Tutte le province e i territori hanno statuti autonomi di applicazione generale sul commercio elettronico, basati su leggi modello promulgate dalle Nazioni Unite e dalla Uniform Law Conference of Canada (ULCC).

 

Per esempio, in Ontario, l’Electronic Commerce Act, 2000 (ECA) disciplina l’uso di documenti elettronici nelle transazioni commerciali. In un rapporto intitolato Electronic Signatures in Canadian Law, il principale studio legale canadese Stikeman Elliott LLP afferma: “Nonostante alcune variazioni, gli statuti provinciali sul commercio elettronico generalmente stabiliscono che le firme, i documenti e gli originali non sono non validi o inapplicabili per il solo fatto di essere in forma elettronica”.

 

Per saperne di più, leggi la guida legale di Stikeman Elliott sulle firme elettroniche.

EMEA

UE: eIDAS (identificazione elettronica e servizi fiduciari per le transazioni elettroniche)

Il Regolamento per l’identificazione elettronica e i servizi fiduciari per le transazioni elettroniche nel mercato interno (eIDAS) del 2014 è entrato in vigore in tutta l’Unione europea il 1° luglio 2016, sostituendo la direttiva 1999/93/CE sulle firme elettroniche. A differenza della direttiva, il regolamento eIDAS si applica allo stesso modo a ogni Stato membro dell’UE.

 

L’eIDAS facilita il riconoscimento transfrontaliero delle firme e delle identità elettroniche. Identifica inoltre tre livelli di firma elettronica: la firma elettronica semplice, avanzata e qualificata.

 

Scopri l’applicabilità legale dei tre livelli di firma elettronica in questo white paper: eIDAS e firma elettronica: una prospettiva legale, a cura di Lorna Brazell di Osborne Clarke LLP.

Turchia: Legge n. 7247

Il 26 giugno 2020 la legge n. 7247 è stata pubblicata nella Gazzetta Ufficiale. La legge modifica diverse leggi esistenti che riguardano i contratti elettronici. I cambiamenti ora autorizzano le società di servizi finanziari ad accettare le firme elettroniche per aprire conti bancari, richiedere prestiti, leasing e carte di credito.

Learn more details in this blog: https://www.onespan.com/blog/financial-regulatory-landscape-in-turkey

America del Sud

Brasile

In Brasile, l’uso della firma elettronica rientra in due categorie:

 

  • Neutrale dal punto di vista tecnologico: La legge brasiliana permette la firma elettronica nei casi in cui il tipo di firma non è specificato dalla legge. In questo approccio, la firma elettronica deve garantire l’integrità del documento firmato e l’autenticità dell’autore della firma, ma la legge non specifica la tecnologia da utilizzare. La libertà di forma nella legge brasiliana implica questo approccio neutrale rispetto alla tecnologia.
  • Tecnologia specifica: Alcuni tipi di documenti e firmatari richiedono l’uso di un certificato digitale rilasciato al firmatario dall’infrastruttura ICP-Brasil. Si tratta di un sistema con tecnologia specifica in cui i certificati ICP-Brasil forniscono una verifica esterna attendibile della firma elettronica. ICP-Brasil stabilisce l’infrastruttura a chiave pubblica per il paese, che fornisce la marcatura temporale e le politiche necessarie per creare l’equivalente di una firma digitale qualificata.

Scopri di più in questo white paper in portoghese sulle Firme elettroniche e la legge in Brasile, scritto in collaborazione con Opice Blum LLP.

Colombia

La legge 527 del 1999 ha stabilito che la firma elettronica è equivalente alla firma autografa. Dà alle firme elettroniche la stessa validità e lo stesso effetto giuridico di una firma autografa, a condizione che la firma elettronica rispetti i requisiti di affidabilità indicati nel decreto 2364 del 2012.

 

Scopri di più in questo white paper in spagnolo sulle Firme elettroniche e la legge in Colombia, scritto in collaborazione con Erick Rincón Cárdenas, partner di Rincón Cárdenas & Moreno.

Perù

Nel 2000 il Congresso della Repubblica del Perù ha approvato la legge n. 27269 sulle firme e i certificati digitali, che recita quanto segue: "Lo scopo di questa legge è regolare l’uso delle firme elettroniche, concedendo loro la stessa validità ed efficacia legale delle firme autografe o simili che implicano una dichiarazione di volontà".

 

Scopri di più in questo white paper in spagnolo sulle Firme elettroniche e la legge in Perù, scritto in collaborazione con Erick Rincón Cárdenas, partner di Rincón Cárdenas & Moreno.

Asia Pacifico

Australia: Electronic Transaction Act

Nel 1999 il parlamento australiano ha approvato l’Electronic Transactions Act, modificato nel 2011. L’Electronic Transactions Act dà alle firme elettroniche lo stesso status legale delle firme autografe.

 

Secondo il governo australiano, "se una legge del Commonwealth richiede di dare informazioni per iscritto, fornire una firma autografa, produrre un documento in forma materiale o registrare o conservare informazioni, l’Electronic Transactions Act significa che si possono fare queste cose elettronicamente".

 

Scopri di più nel nostro eBook Firme elettroniche e aspetti legislativi: Rassegna legislativa globale.

Giappone: L’Electronic Signatures and Certification Business Act

In vigore dal 2001, l’Electronic Signatures and Certification Business Act del Giappone riconosce l’applicabilità legale di due tipi di firme elettroniche usate in tutto il mondo: le firme elettroniche avanzate e le firme elettroniche qualificate.

 

Scopri di più nel nostro eBook Firme elettroniche e aspetti legislativi: Rassegna legislativa globale.

Singapore: Electronic Transactions Act (ETA)

Nata nel 1998, questa legge fornisce la base legale per le firme elettroniche e dà prevedibilità e certezza ai contratti elettronici. Secondo il governo di Singapore, “nel mondo elettronico le firme autografe possono essere sostituite dalle firme digitali. Come le firme scritte, le firme digitali possono essere usate per stabilire l’identità di una parte o per vincolarsi legalmente. L’Electronic Transactions Act prevede il riconoscimento delle firme digitali secondo la legge di Singapore”.

 

Scopri di più nel nostro eBook Firme elettroniche e aspetti legislativi: Rassegna legislativa globale.

 

Open Banking

EMEA

UE: PSD2: Direttiva sui servizi di pagamento 2

L’open banking promette di sbloccare l’innovazione che migliorerà profondamente l’esperienza bancaria e introdurrà nuovi servizi finanziari. Ad esempio, i Third-Party Provider (TPP) possono fornire applicazioni che permettono ai consumatori di consultare più conti bancari da una sola applicazione o app che rendono più facile per le imprese condividere i dati con i loro contabili.

 

Secondo la PSD2, le banche devono offrire un’interfaccia che permetta ai TPP di comunicare con loro. In questo modo, se il consumatore desidera usare provider di servizi finanziari diversi dalla banca, questi provider potranno accedere ai sistemi della banca e servire i clienti della banca attraverso l’interfaccia di comunicazione aperta.

 

L’introduzione di API aperte rende le banche dipendenti dalla sicurezza dei TPP che usano queste API. Le banche devono adottare una serie di misure di sicurezza tecniche e organizzative per affrontare queste e altre minacce. Nel contesto dell’open banking, le banche possono ridurre il rischio in più modi:

 

  1. Utilizzando l’analisi del rischio della transazione
  2. Scegliendo il giusto modello di autenticazione
  3. Proteggendo il canale di comunicazione con i TPP
  4. Richiedendo ai TPP report di audit di sicurezza indipendenti
  5. Evitando le vulnerabilità di sicurezza nell’implementazione delle API

Per saperne di più, si rimanda a questo blog sulle API per l’open banking secondo la PSD2.

Bahrain: Central Bank of Bahrain (CBB) – Regole per l’open banking

La Central Bank of Bahrain (CBB) ha diverse regole in vigore per quanto riguarda l’open banking. Tra queste figura una regola secondo la quale i Payment Initiation Service Provider (PISP) devono avere in atto una procedura di Strong Customer Authentication. (Per saperne di più sull’autenticazione)

 

Le regole implicano anche che i clienti condividano i loro dettagli di accesso direttamente con i provider esterni, anziché attraverso un meccanismo basato sul reindirizzamento in cui il cliente viene reindirizzato a una schermata di accesso gestita dalla sua banca.

 

Gli Account Information Service Provider (AISP) non potranno accedere alle informazioni di un cliente oltre a quelle che si trovano in un account designato o memorizzare i dati per alcun motivo diverso dalla fornitura del servizio d’informazioni sull’account "esplicitamente richiesto dal cliente".

Turchia: Legge sui sistemi di pagamento e di regolamento dei titoli, sui servizi di pagamento e sugli istituti di moneta elettronica

Nel novembre 2019 sono stati promulgati gli emendamenti alla legge turca sui sistemi di pagamento e di regolamento dei titoli, sui servizi di pagamento e sugli istituti di moneta elettronica (legge n. 7192).

La legge originale del 2013 ha fornito il quadro giuridico per le società di pagamento, i sistemi di pagamento e di regolamento titoli e le società di moneta elettronica.

La legge rivista è entrata in vigore il 1° gennaio 2020. La modifica migliora significativamente la legge esistente per l’open banking in Turchia.

To learn more: https://www.onespan.com/blog/financial-regulatory-landscape-in-turkey

Asia Pacifico

Nuova Zelanda: Norme sulle API per l’open banking

Payments NZ è un gruppo operante nel settore dei pagamenti composto da banche, responsabili del trattamento e provider di infrastrutture. Dopo un progetto pilota durato un anno, il gruppo ha pubblicato degli standard per le API.

 

Gli standard sono limitati alle API per l’avvio dei pagamenti e i servizi di informazione sugli account, ma assomigliano alle iniziative di open banking di altri paesi.

 

La New Zealand Bankers’ Association ha dichiarato che le banche del paese “sostengono pienamente” lo standard comune.

Hong Kong: Linea guida sulle API aperte per le banche

La Hong Kong Monetary Authority (HKMA) ha pubblicato una linea guida sulle API aperte per le banche e gli istituti finanziari che operano a Hong Kong.

 

Nelle sue fasi iniziali, il quadro di riferimento è incentrato esclusivamente sul retail banking, ma se altre banche lo trovano appropriato, la HKMA le incoraggia a estendere lo standard ad altre linee di business.

Giappone: Modifiche al Banking Act

Nel giugno 2018 il Giappone ha approvato delle modifiche al Banking Act che hanno stabilito requisiti per le partnership tra istituti finanziari e operatori di pagamento con tecnologia finanziaria.

Repubblica di Corea: Modifiche all’Electronic Financial Transaction Act del 2007

Per aumentare la concorrenza e l’innovazione nei servizi finanziari e nei settori di tecnologia finanziaria, la Repubblica di Corea ha modificato il suo Electronic Financial Transaction Act. Le modifiche obbligano le banche coreane ad aprire i loro sistemi di pagamento a organizzazioni di tecnologia finanziaria esterne e ad altre banche.

 

Questa decisione dà ai clienti la possibilità di accedere ai loro conti in diverse banche ed effettuare pagamenti da una singola applicazione.

Americhe

Canada: Consultazione sull’open banking

Il Dipartimento delle finanze del Canada ha istituito un Comitato consultivo per indagare sul potenziale di una politica di open banking nel settembre 2018. Il comitato ha quindi rilasciato un documento di consultazione per orientare l’opinione pubblica sul fatto che l’open banking offra benefici significativi, come devono essere gestiti i rischi relativi alla protezione dei consumatori, alla privacy e alla sicurezza e qual è il ruolo della pubblica amministrazione in qualsiasi implementazione.

USA: API di open banking

Il Financial Data Exchange (FDX) è un’organizzazione non profit del settore finanziario e una consociata del Financial Services Information Sharing and Analysis Center (FS-ISAC). La sua missione è creare uno standard comune, interoperabile ed esente da royalty in grado di offrire alle imprese e ai consumatori un accesso sicuro ai loro dati finanziari.

Messico: LABORA

Il centro di coordinamento della strategia digitale nazionale (CEDN), in collaborazione con la commissione nazionale delle banche e dei titoli (CNBV), C Minds, l’Open Data Institute e Dev.f hanno profuso uno sforzo in tutto il settore per sviluppare uno standard di open banking. Lo standard è incentrato in particolare sulla standardizzazione delle API e dei dati aperti attraverso lo sviluppo di un progetto pilota.

 

​Il progetto pilota, denominato LABORA, ha cercato di confermare la solidità dell’implementazione di uno standard di open banking in Messico. Ha testato da tre a quattro endpoint e ha effettuato un’implementazione controllata con utenti esperti per valutare l’usabilità, l’interoperabilità e il valore delle API esistenti, nonché l’implementazione degli endpoint definiti dallo standard.

Le informazioni contenute in questa pagina sono solo a scopo informativo, fornite senza alterazione dello stato corrente alla data di pubblicazione e non devono essere considerate come una consulenza legale o parere per determinare in che modo la legge si applica alla tua azienda o organizzazione. Non costituiscono una consulenza legale. Ti invitiamo a rivolgerti al tuo consulente legale per conoscere la legge che si applica specificamente alla tua azienda o organizzazione e per scoprire come assicurare la conformità.