PSR

Definição

O PSR (Payment Services Regulation, ou Regulamento de Serviços de Pagamento) é o regulamento europeu que a Comissão propôs em 28 de junho de 2023 junto com a DSP3, sob a referência COM(2023) 367. A DSP3 fica com a autorização e a supervisão das instituições. O PSR retoma o restante da DSP2: os direitos e as obrigações ligados aos pagamentos, o acesso dos TPP às contas, a SCA e o combate à fraude.

Os números de artigo citados nesta página são os do texto de compromisso de 17 de abril de 2026 (Conselho, doc. 8221/26). Essa numeração é provisória, e a revisão dos juristas-linguistas provavelmente vai alterá-la antes da publicação no Jornal Oficial.

Por que um regulamento

A DSP2 é uma diretiva. Cada Estado a transpôs do seu jeito, e tanto os bancos quanto os TPP trabalham com regras nacionais um pouco diferentes. Um regulamento se aplica como está em todos os Estados-membros, sem transposição. As autoridades nacionais continuam responsáveis pela fiscalização e devem fazer remover os obstáculos que um TPP lhes apontar (art. 48), mas o texto que elas aplicam é o mesmo em toda parte.

Situação do texto

O PSR não foi adotado nem publicado no Jornal Oficial. O procedimento dele, o 2023/0210(COD), segue o mesmo caminho que o da DSP3.

Em 4 de outubro de 2026, o Observatório Legislativo do Parlamento indica uma sessão plenária em 14 de dezembro de 2026, em caráter indicativo. Por enquanto, o texto acordado só existe em inglês.

Como se calcula a aplicação

O artigo 112 não traz nenhuma data de calendário. O regulamento entra em vigor no vigésimo dia após a publicação no Jornal Oficial. Essa data é chamada de T.

• Em T, só se aplicam os artigos 85a (dispensa de SCA para certas transferências recorrentes) e 108a (pagamentos em tokens de moeda eletrônica).
• Em T + 21 meses, todo o restante do regulamento passa a se aplicar e a DSP2 é revogada (art. 48 da DSP3).
• Em T + 27 meses, passam a se aplicar a verificação do beneficiário estendida a todas as transferências (art. 50) e a responsabilidade que a acompanha (art. 57).

Até T + 21 meses, a DSP2 e o regulamento delegado 2018/389 sobre SCA e comunicação continuam valendo. A EBA deve entregar seus novos projetos de RTS sobre SCA e interfaces doze meses após a entrada em vigor (art. 89). O texto não diz o que acontece com o regulamento 2018/389 depois de T + 21 meses se esses RTS ainda não forem aplicáveis.

O Open Banking, artigos 33 a 48

A interface dedicada passa a ser obrigatória para todo banco que oferece uma conta de pagamento acessível online (art. 35(1)). O mecanismo de contingência pela interface do cliente, que os RTS atuais impõem salvo isenção, deixa de existir. Restam duas saídas. A autoridade pode, a pedido do banco, autorizá-lo a expor a interface do cliente no lugar da dedicada ou dispensá-lo de ter interface (art. 39). Um TPP também pode usar "excepcionalmente" outra interface segura e eficiente (art. 45(1)), com o acordo do banco, segundo o considerando 68a.

O texto não fixa nenhum limite numérico de disponibilidade, latência ou taxa de erro. Ele exige paridade com a interface do cliente em tempo de resposta, disponibilidade e desempenho (art. 36(1)(c), 37(1) e 38). A interface é presumida indisponível após cinco requisições consecutivas que recebem erro de servidor ou ficam sem resposta em 30 segundos. Uma manutenção planejada é anunciada com um mês de antecedência e normalmente acontece entre 0h e 6h, no horário local do banco (art. 38). O banco publica a cada trimestre suas estatísticas de disponibilidade e desempenho, ao lado das da interface do cliente (art. 35(5)). A EBA deve definir o formato dessas estatísticas e o prazo de restabelecimento após uma falha em um RTS esperado nove meses após a entrada em vigor (art. 38(5)).

Uma mudança nas especificações da interface é publicada pelo menos dois meses antes de entrar em produção, contra três meses hoje (art. 35(4)).

O banco deve integrar à sua interface um painel de consentimentos. Ele mostra os consentimentos dados aos AISP e, no caso de pagamentos múltiplos ou recorrentes, os dados aos PISP (art. 43). Nele o cliente vê o TPP, a conta, a finalidade, a duração e as categorias de dados. Ele pode revogar um acesso a qualquer momento, restabelecê-lo em até 48 horas e consultar o histórico por dois anos. O TPP transmite ao banco as informações de cada novo consentimento, e o banco avisa o TPP de qualquer revogação, nos dois casos "sem demora injustificada". O texto não exige tempo real.

O artigo 44 lista doze obstáculos proibidos, e a lista não é exaustiva. Entre eles estão, por exemplo, pedir mais SCA do que no canal direto do banco, acrescentar etapas em um fluxo redirect ou decoupled, ou exigir duas SCA no mesmo fluxo de iniciação.

Do lado do AISP, o banco atende as requisições com o cliente presente ou não (art. 41). O limite de quatro acessos por dia sem o cliente, que está nos RTS atuais, não aparece no texto de compromisso.

Do lado do PISP, o artigo 36(4) fixa um mínimo: ordens permanentes, pagamentos com data futura, pagamentos a vários beneficiários e verificação do nome do titular da conta antes da iniciação. O PISP recebe uma resposta sim ou não sobre a disponibilidade dos fundos (art. 36(5)). O serviço autônomo de confirmação de fundos para emissores de cartão (CBPII, artigo 65 da DSP2) é eliminado.

O acesso regulado continua sem contrato com o banco (art. 34). Um banco pode oferecer APIs pagas para serviços que vão além do regulamento, e o considerando 56 cita os pagamentos recorrentes variáveis.

A SCA, artigos 85 a 89

A definição de SCA não muda (art. 3(35)). O banco só aplica sua SCA no primeiro acesso de um determinado AISP, salvo suspeita de fraude (art. 86(3)). Depois disso, é o AISP que aplica uma SCA quando o cliente consulta seus dados por meio dele, pelo menos a cada 180 dias, com a própria SCA ou com a do banco (art. 86(4)).

O PISP escolhe o procedimento de autenticação quando o banco oferece mais de um (art. 36(4)(ha)). As isenções ficam para os RTS da EBA, que vai fixar os critérios (art. 85(11)). O texto de compromisso não traz nenhum limite em euros. Por fim, um PSP deve oferecer gratuitamente pelo menos um meio de SCA adequado a cada cliente e não pode fazer a SCA depender de o cliente ter um smartphone, a menos que ele tenha escolhido um serviço exclusivamente mobile (art. 88).

Fraude e reembolso

O artigo 59 cria um único direito novo ao reembolso. Ele cobre o consumidor manipulado por alguém que se passa pelo próprio banco dele, usando canais atribuídos a esse banco (número de telefone, endereço de e-mail, site, aplicativo, inclusive cópias fraudulentas). O banco reembolsa o valor total se o cliente o avisou sem demora e registrou boletim de ocorrência. O banco tem quinze dias úteis para reembolsar ou justificar uma recusa. As outras fraudes por manipulação (falso investimento, golpe do amor, falsa fatura, falso policial) não são cobertas por esse direito.

Os PSP devem participar de mecanismos de compartilhamento de dados de fraude (art. 83a). A verificação do beneficiário se estende a todas as transferências, inclusive fora do euro, em T + 27 meses (art. 50). O prazo para contestar uma operação não autorizada passa de 13 para 18 meses (art. 54).

Sanções

Para os descumprimentos do capítulo de Open Banking e dos artigos 85 a 87 sobre SCA, os Estados-membros devem prever uma multa cujo teto chegue a pelo menos 10% do faturamento anual para uma pessoa jurídica e a pelo menos 3 milhões de euros para uma pessoa física (art. 97). Multas diárias são possíveis por no máximo seis meses (art. 98).

O que ainda falta escrever

O texto de compromisso atribui à EBA onze normas e orientações para o PSR e sete para a DSP3, segundo uma contagem feita nos textos. No fim de setembro de 2026, a EBA não tinha publicado nem lista, nem roadmap, nem consulta. Os primeiros projetos vencem nove meses após a entrada em vigor (estatísticas das interfaces) e depois em doze meses (SCA, isenções, padrões de comunicação) e dezoito meses (dados sobre o acesso dos TPP a entregar às autoridades, art. 48(8)). O texto não fala de certificados eIDAS nem de um padrão de API específico. A identificação dos TPP será detalhada nesses RTS (art. 89), e até lá os certificados qualificados do regulamento 2018/389 continuam valendo.

PSR vs DSP3: o que cada um contém

• A DSP3 (diretiva) trata da autorização, do capital, da proteção dos fundos e da supervisão das instituições de pagamento, incluindo os emissores de moeda eletrônica.
• O PSR (regulamento) trata das regras de execução dos pagamentos: informação aos clientes, Open Banking, SCA, fraude, responsabilidades e reembolsos.

No ecossistema PSD2

Para um banco ou um TPP, o PSR é o texto a ler. Os artigos 35 a 44 e 85 a 89 já descrevem a maior parte das obrigações de interface. O que falta já se sabe: a identificação dos TPP, os limites de isenção de SCA e o formato das estatísticas.

Exemplos concretos

• Um banco que hoje mantém uma interface de contingência poderá desativá-la. Em compensação, terá de publicar a cada trimestre a disponibilidade e o desempenho da interface dedicada, comparados com os do seu site e do seu aplicativo.
• Um agregador não vai mais mandar os clientes de volta ao banco para uma nova SCA a cada 180 dias. Ele mesmo vai aplicar uma SCA quando o cliente consultar as contas por meio dele. Do lado do banco, os tempos de vida de tokens e de consentimentos calibrados pela regra atual precisam ser revistos.
• Um cliente que revoga o acesso de um agregador pelo painel de consentimentos do banco pode restabelecê-lo durante 48 horas. Isso exige uma API nos dois sentidos entre banco e TPP. O STET 1.6.3 hoje não tem nem status de consentimento nem notificação para essa troca.
• Um cliente que recebe a ligação de um falso gerente exibindo o número do banco dele, e que faz uma transferência seguindo as instruções, poderá pedir o reembolso integral se tiver avisado o banco e registrado boletim de ocorrência. O mesmo cliente, vítima de um falso investimento em cripto, não tem esse direito com base no PSR.
• Um PISP poderá programar uma transferência permanente ou pagar vários beneficiários em qualquer banco, já que o artigo 36(4) torna isso um mínimo.