Формально они правы. Кроме того, возможно требование паспорта - является условием обслуживающего их банка. Тоже сталкивалась с этим, но не думаю, что тут есть на что жаловаться. У нас в России это обязательное условие для идентификации владельца карты. Как еще Вы сможете доказать, что карта принадлежит Вам? Т.е. транзакция будет небесспорной. Знание пина - не доказательство, может Вы карту подруги своей предъявили.
И вообще, вводить пин везде и всюду - небезопасно, для Вас же.