PSD3, Regulamento dos Serviços de Pagamento e FiDA: a grande revisão dos pagamentos na Europa

Há três dossiês a reescrever ao mesmo tempo os pagamentos europeus, e fala-se deles muitas vezes como se fossem um só, quando não são. A PSD3 e o Regulamento dos Serviços de Pagamento (PSR) substituem a PSD2. O FiDA alarga o acesso aos dados para lá dos pagamentos, ao resto dos serviços financeiros. Têm âmbitos diferentes, calendários diferentes e graus de certeza diferentes.

Se desenvolve produtos de pagamento, integrações bancárias, software de contabilidade ou qualquer coisa que consuma APIs de open banking, é este o conjunto de regras que mais vai mudar a sua arquitetura na segunda metade da década.

Em que ponto está cada um

A PSD3 e o PSR. O Conselho e o Parlamento chegaram a um acordo político provisório a 27 de novembro de 2025, e os textos finais foram publicados a 23 de abril de 2026. É o dossiê mais avançado. A Comissão dos Assuntos Económicos e Monetários aprovou o texto acordado a 5 de maio de 2026, mas, a 10 de outubro de 2026, o Conselho ainda não adotou a sua posição em primeira leitura e nenhum dos textos está publicado no Jornal Oficial. A ficha do processo no Parlamento aponta 14 de dezembro de 2026 como data indicativa da sessão plenária, pelo que a publicação no início de 2027 é mais provável. Segundo os textos acordados, o PSR aplica-se 21 meses após a entrada em vigor e as disposições sobre confirmação do beneficiário após 27 meses, e os Estados-Membros têm 21 meses para transpor a PSD3. Isso coloca a aplicação, no mínimo, no final de 2028.

O FiDA. É o dossiê mais atribulado da legislação europeia de serviços financeiros. Proposto juntamente com a PSD3 em junho de 2023, esteve quase a ser abandonado e depois foi recuperado. As negociações em trílogo começaram em 2025 e acabaram por estagnar. A 6 de abril de 2026, a Comissão enviou ao Conselho um documento informal (non-paper) com opções para as concluir, que, segundo as notícias, propõe uma implementação em três fases ao longo de cerca de quatro anos, cada uma a começar apenas depois de uma revisão pela Comissão. A 10 de outubro de 2026 não há acordo, e a ficha do processo no Parlamento continua a indicar que o dossiê aguarda a posição do Parlamento em primeira leitura. A aplicação seria faseada ao longo de vários anos, e o âmbito final é genuinamente incerto.

A distinção entre diretiva e regulamento importa. A PSD3 é uma diretiva, por isso os Estados-Membros transpõem-na e vai haver variações nacionais nas disposições sobre licenciamento e supervisão. O PSR é um regulamento, pelo que se aplica direta e uniformemente. As regras de conduta, as disposições sobre fraude e os requisitos de open banking ficam sobretudo no regulamento, o que é uma boa notícia para quem sofreu com 27 transposições nacionais da PSD2.

O que a PSD3 e o PSR mudam

A responsabilidade pela fraude muda de lado

É a mudança principal. A PSD2 repartia a responsabilidade pelas operações não autorizadas, mas deixava em grande medida a cargo da vítima a fraude em pagamentos autorizados, em que a própria vítima é enganada e faz ela mesma o pagamento.

O novo quadro alarga a responsabilidade em circunstâncias específicas, nomeadamente na fraude por usurpação de identidade, em que o burlão se faz passar de forma convincente pelo banco ou por outra entidade de confiança. Os prestadores de serviços de pagamento passam a ser responsáveis em casos definidos.

O que isto significa em termos de engenharia: a deteção de fraude deixa de ser um centro de custos que protege as suas próprias perdas e passa a ser um controlo direto da responsabilidade. A economia do investimento em deteção muda substancialmente quando é o prestador a suportar a perda.

A autenticação forte do cliente muda

A SCA está em vigor desde 2019 e gerou muito atrito, isenções e soluções de contorno. O novo quadro ajusta o regime: clarifica o tratamento das isenções, cria obrigações de acessibilidade da autenticação para utilizadores que não podem usar um smartphone e inclui disposições dirigidas à isenção por análise de risco da operação.

O que isto significa: se implementou a SCA em 2019 e não voltou a mexer-lhe, conte com retrabalho. A acessibilidade da autenticação, em particular, é um requisito real que se cruza com o Ato Europeu da Acessibilidade.

A verificação do IBAN e do nome alarga-se

A obrigação de confirmação do beneficiário, que chegou com o Regulamento das Transferências Imediatas em outubro de 2025, é alargada e generalizada no novo quadro e passa a cobrir mais tipos de pagamento, e não apenas as transferências a crédito em euros.

O que isto significa: o tratamento dos quatro resultados possíveis que construiu para os pagamentos imediatos passa a ser o padrão geral, e não um caso especial.

O desempenho das APIs de open banking passa a ser exigível

A PSD2 obrigou os bancos a disponibilizar interfaces de acesso. Na prática, não os obrigou a que essas interfaces fossem boas. O resultado foram anos de queixas dos prestadores terceiros sobre indisponibilidade, dados inconsistentes, exigências agressivas de nova autenticação e interfaces dedicadas com pior desempenho do que o canal usado pelo cliente.

O PSR responde com requisitos de desempenho, uma proibição de obstáculos e o fim da obrigação de interface de recurso (fallback) em troca de verdadeiras normas de qualidade para a interface dedicada.

O que isto significa: se consome APIs de open banking, o nível mínimo de fiabilidade sobe. Se as disponibiliza, a fasquia de conformidade passa da mera existência para o desempenho.

Os regimes de instituição de pagamento e de instituição de moeda eletrónica fundem-se

Duas categorias de licença passam a uma. Para a maioria das empresas, isto simplifica as coisas. Para as que têm as duas, ou cujo modelo de negócio estava cuidadosamente de um dos lados da linha, há trabalho de transição.

O que o FiDA mudaria

O FiDA é o dossiê com mais peso arquitetónico, se for aprovado tal como proposto, porque estende o modelo de open banking ao resto dos serviços financeiros.

Hoje, o acesso regulado aos dados abrange as contas de pagamento. O FiDA alargá-lo-ia às contas de poupança e de investimento, às pensões, ao crédito à habitação, aos seguros não vida e a mais produtos, criando uma nova categoria regulada: o prestador de serviços de informação financeira.

O mecanismo difere do da PSD2 num ponto importante. A PSD2 impôs o acesso. O FiDA assenta em sistemas de partilha de dados financeiros: acordos de mercado entre detentores e utilizadores de dados que fixam as normas técnicas e o modelo de compensação. Os detentores de dados poderiam cobrar aos utilizadores de dados, ao contrário do que acontece com a PSD2, em que o acesso é gratuito.

Porque é que isto importa: responde à principal queixa dos bancos em relação à PSD2, a de terem sido obrigados a construir e manter interfaces de que outros tiravam proveito sem contribuir. Significa também que as condições comerciais são negociadas e não legisladas, o que traz uma incerteza própria.

Porque é que tem tido dificuldades: o âmbito é enorme, o modelo de compensação é contestado, o setor segurador opôs-se com força à sua inclusão e o interesse é menos evidente do que nos pagamentos. Esteve muito perto de ser retirado.

O que isto significa se desenvolve software financeiro

Se consome APIs de open banking

A vida melhora, devagar. As obrigações de desempenho, a proibição de obstáculos e regras mais claras sobre a nova autenticação resolvem as queixas operacionais que tornaram penosa a agregação em open banking. Conte com uma melhoria desigual de banco para banco.

Se o FiDA for aprovado, o conjunto de dados acessíveis cresce enormemente, mas deve contar com pagar pelo acesso e aderir a um sistema de partilha, em vez de se apoiar num direito regulamentar.

Se presta serviços de pagamento

A mudança na responsabilidade pela fraude é a que tem de planear. Modele a sua exposição segundo a nova repartição antes de esta se aplicar, porque a resposta determina quanto investimento em deteção se justifica.

A autenticação tem de ser revista, tanto pelas alterações às isenções como pela acessibilidade. O alargamento da verificação do nome exige o mesmo tratamento de quatro estados que os pagamentos imediatos.

Se desenvolve integrações de contabilidade, tesouraria ou ERP

Está a jusante de tudo isto. Na prática, os dados que consegue obter tornam-se mais amplos e mais fiáveis, e o processo de autenticação fica mais normalizado. O principal risco é desenvolver em função das particularidades atuais de cada banco, que as novas regras de desempenho vão eliminar.

Se desenvolve checkout de comércio eletrónico

O impacto direto é menor do que talvez espere. As mudanças que o afetam são os ajustes à autenticação e a tendência geral para os pagamentos de conta a conta, que a Wero e o euro digital também representam.

A questão de arquitetura que vale a pena sublinhar

Os três dossiês, mais o Regulamento das Transferências Imediatas, a Wero, o euro digital e a Carteira Europeia de Identidade Digital, apontam no mesmo sentido: os pagamentos e os dados financeiros na Europa caminham para circuitos de conta a conta, identidade verificada ao nível da infraestrutura, interfaces normalizadas e preços regulados.

A consequência para a arquitetura é a mesma em todos eles. Os sistemas que tratam um meio de pagamento, uma fonte de dados ou um mecanismo de autenticação como um módulo encaixável absorvem isto a baixo custo. Os sistemas em que as especificidades estão entranhadas em todo o código pagam cada mudança em separado.

Se retiver uma só coisa, que seja esta: o trabalho de abstração é o mesmo para cada um destes dossiês. Fazê-lo uma vez para a Wero paga-se, e tudo o que vem depois sai quase de graça.

O calendário, com franqueza

A PSD3 e o PSR têm acordo político, o que significa que o essencial está praticamente decidido. A aplicação ainda está a anos de distância, e as normas técnicas que determinam o que vai realmente desenvolver só surgem depois da adoção. Desenvolver já seria prematuro. Conhecer a direção não é.

O FiDA é genuinamente incerto. Pode chegar com um âmbito amplo, chegar muito reduzido ou não chegar. Desenvolver em função dele seria imprudente. Conceber o seu modelo de dados de forma a que acrescentar uma nova fonte de dados financeiros seja uma alteração de configuração, e não um projeto, é sensato em qualquer cenário.

Onde isto se encaixa

A lista completa de legislação em preparação está no nosso panorama da legislação digital da UE. As regras de pagamentos que já se aplicam estão no nosso guia dos pagamentos imediatos e da confirmação do beneficiário, e o quadro mais amplo de conformidade no nosso guia de conformidade digital na UE para 2026.

Como podemos ajudar

Desenvolvemos integrações de pagamento, ligações bancárias e sistemas financeiros para empresas que operam em toda a Europa, incluindo agregação em open banking, reconciliação e o trabalho de máquinas de estados que determina se os fluxos de pagamento são fiáveis.

Se a sua camada de pagamentos precisa do trabalho de abstração que tudo isto recompensa, ou se quer uma opinião sobre a sua exposição à responsabilidade pela fraude segundo a nova repartição, escreva para office@c9group.dev. Saiba mais sobre o nosso trabalho na Europa na página de entrada no mercado da UE.

Somos engenheiros, não consultores regulatórios. As questões de licenciamento e as posições sobre responsabilidade são assunto para os seus advogados.