3D Secure

Nazwa protokołu odwołuje się do trzech domen uczestniczących w uwierzytelnieniu: domeny wydawcy karty, domeny akceptanta wraz z agentem rozliczeniowym oraz domeny interoperacyjności, czyli infrastruktury organizacji kartowej. Specyfikację EMV 3-D Secure utrzymuje EMVCo. Wdrożenia handlowe organizacji kartowych to Visa Secure, wcześniej Verified by Visa, oraz Mastercard Identity Check, wcześniej SecureCode.

Podstawą obowiązku jest art. 97 dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/2366 (PSD2), w prawie polskim art. 32i ustawy z 19 sierpnia 2011 r. o usługach płatniczych. Standardy techniczne określa rozporządzenie delegowane Komisji (UE) 2018/389, stosowane od 14 września 2019 r. Silne uwierzytelnianie wymaga zastosowania co najmniej dwóch z trzech niezależnych elementów: wiedzy (hasło, PIN), posiadania (telefon, karta) i cechy klienta (dane biometryczne). Przy transakcjach na odległość kod uwierzytelniający musi być dynamicznie powiązany z kwotą i odbiorcą transakcji (art. 5 rozporządzenia 2018/389).

Rozporządzenie przewiduje zwolnienia, dlatego część transakcji kartowych przechodzi bez potwierdzenia przez posiadacza:

Dalsze zwolnienia obejmują analizę ryzyka transakcji przez dostawcę (art. 18), odbiorców zaufanych oraz transakcje cykliczne o stałej kwocie i tym samym odbiorcy. Zastosowanie zwolnienia jest decyzją dostawcy, a nie posiadacza karty, dlatego w praktyce ten sam sklep może raz żądać potwierdzenia, a raz nie.

Rozłożenie odpowiedzialności zależy od zastosowania silnego uwierzytelniania. Gdy dostawca go nie wymagał, płatnik nie ponosi odpowiedzialności za nieautoryzowaną transakcję, chyba że działał umyślnie (art. 46 ust. 4a ustawy o usługach płatniczych). W pozostałych przypadkach odpowiedzialność płatnika za transakcje sprzed zgłoszenia utraty karty jest ograniczona do równowartości 50 EUR (art. 46 ust. 2).

Źródła: dyrektywa (UE) 2015/2366; rozporządzenie delegowane (UE) 2018/389; ustawa z 19 sierpnia 2011 r. o usługach płatniczych; specyfikacja EMV 3-D Secure (EMVCo).