a także mając na uwadze, co następuje:(1) Art. 10 rozporządzenia delegowanego Komisji (UE) 2018/389 2 zawiera wyłączenie z określonego w art. 97 dyrektywy (UE) 2015/2366 wymogu stosowania silnego uwierzytelniania klienta w przypadku, gdy użytkownik usług płatniczych uzyskuje dostęp do informacji o saldzie rachunku płatniczego lub o transakcjach płatniczych przeprowadzonych niedawno za pośrednictwem rachunku płatniczego, bez ujawniania szczególnie chronionych danych dotyczących płatności. W takim przypadku dostawcy usług płatniczych mogą nie stosować silnego uwierzytelniania klienta w celu uzyskania dostępu do informacji o rachunku, pod warunkiem że silne uwierzytelnianie klienta zastosowano w momencie uzyskania po raz pierwszy dostępu do tych informacji i co najmniej co 90 dni po takim pierwszym dostępie.
(2) Stosowanie tego wyłączenia doprowadziło do bardzo rozbieżnych praktyk, jeżeli chodzi o stosowanie rozporządzenia delegowanego (UE) 2018/389, ponieważ niektórzy dostawcy usług płatniczych prowadzący rachunek żądają silnego uwierzytelnienia co 90 dni, inni żądają go w krótszych odstępach czasu, a niektórzy nie stosują wyłączenia w ogóle i żądają silnego uwierzytelnienia przy każdym dostępie do rachunku. Rozbieżność ta prowadzi do niepożądanych utrudnień napotykanych przez klientów przy korzystaniu z usług informacji o rachunku i ma negatywny wpływ na usługi dostawców świadczących usługę dostępu do informacji o rachunku.
(3) Aby zapewnić właściwą równowagę między celami dyrektywy (UE) 2015/2366, jakimi są zwiększenie bezpieczeństwa, ułatwienie innowacji i zwiększenie konkurencji na rynku wewnętrznym, należy doprecyzować stosowanie wyłączenia określonego w art. 10 rozporządzenia delegowanego (UE) 2018/389 w przypadkach, w których dostęp do informacji o rachunku uzyskuje się za pośrednictwem dostawcy świadczącego usługę dostępu do informacji o rachunku. W takim przypadku dostawcy usług płatniczych nie powinni zatem mieć możliwości wyboru między stosowaniem lub niestosowaniem silnego uwierzytelniania klienta, a wyłączenie powinno mieć charakter obowiązkowy i podlegać warunkom mającym na celu zagwarantowanie bezpieczeństwa i ochrony danych użytkowników usług płatniczych.
(4) Wyłączenie powinno ograniczać się do dostępu do informacji o saldzie rachunku płatniczego i ostatnich transakcjach na rachunku płatniczym bez ujawniania szczególnie chronionych danych dotyczących płatności. Wyłączenie powinno mieć zastosowanie wyłącznie wówczas, gdy dostawcy usług płatniczych zastosowali już silne uwierzytelnianie klienta na potrzeby uzyskania po raz pierwszy dostępu za pośrednictwem danego dostawcy świadczącego usługę dostępu do informacji o rachunku i to silne uwierzytelnianie klienta powinno być okresowo odnawiane.
(5) Aby zapewnić bezpieczeństwo i ochronę danych użytkowników usług płatniczych dostawcy usług płatniczych powinni mieć możliwość zastosowania silnego uwierzytelniania w dowolnym momencie, jeżeli mają ku temu obiektywnie uzasadnione i należycie udokumentowane powody związane z nieuprawnionym lub nielegalnym dostępem. Może tak być w przypadku, gdy mechanizmy monitorowania transakcji stosowane przez dostawcę usług płatniczych prowadzącego rachunek wykryją zwiększone ryzyko nieuprawnionego lub nielegalnego dostępu. Aby zapewnić spójne stosowanie wyłączenia, dostawcy usług płatniczych prowadzący rachunek powinni w takich przypadkach dokumentować i należycie uzasadnić swojemu właściwemu organowi krajowemu, na jego żądanie, powody zastosowania silnego uwierzytelniania klienta.
(6) Jeżeli użytkownik usług płatniczych uzyskuje bezpośredni dostęp do informacji o rachunku, dostawcy usług płatniczych powinni nadal mieć możliwość wyboru, czy stosować silne uwierzytelnianie klienta. W takich przypadkach nie odnotowano bowiem żadnych szczególnych problemów wymagających zmiany wyłączenia określonego w art. 10 rozporządzenia delegowanego (UE) 2018/389, inaczej niż w przypadku dostępu za pośrednictwem dostawcy świadczącego usługę dostępu do informacji o rachunku.
(7) Aby zapewnić równe warunki działania wszystkim dostawcom usług płatniczych oraz zgodnie z celem dyrektywy (UE) 2015/2366, jakim jest ułatwienie rozwoju przyjaznych dla użytkowników i innowacyjnych usług, proporcjonalne jest ustanowienie okresu tej samej długości, wynoszącego 180 dni, w odniesieniu do odnowienia silnego uwierzytelniania klienta w celu uzyskania dostępu do informacji o rachunku zarówno bezpośrednio u dostawcy usług płatniczych, jak i za pośrednictwem dostawcy świadczącego usługę dostępu do informacji o rachunku. Odnawianie silnego uwierzytelniania klienta z obecnie obowiązującą częstotliwością mogłoby prowadzić do niepożądanych utrudnień napotykanych przez klientów przy korzystaniu z usług informacji o rachunku oraz uniemożliwiać dostawcom świadczącym usługę dostępu do informacji o rachunku oferowanie odpowiednich usług, a klientom - korzystanie z tych usług.
(8) Dostawcy usług płatniczych prowadzący rachunek, którzy oferują specjalny interfejs i którzy wdrożyli mechanizm awaryjny określony w art. 33 ust. 4 rozporządzenia delegowanego (UE) 2018/389, nie powinni być zobowiązani do wdrożenia nowego obowiązkowego wyłączenia w ramach swoich interfejsów bezpośredniego kontaktu z klientami do celów mechanizmu awaryjnego, jeżeli nie stosują oni wyłączenia określonego w art. 10 rozporządzenia delegowanego (UE) 2018/389 w swoich interfejsach bezpośredniego kontaktu z klientami. Nieproporcjonalne byłoby wymaganie od dostawców usług płatniczych prowadzących rachunek, którzy oferują specjalny interfejs, w ramach którego muszą wdrożyć nowe obowiązkowe wyłączenie, wdrożenie tego wyłączenia również w ramach swoich interfejsów bezpośredniego kontaktu z klientami do celów mechanizmu awaryjnego.
(9) Aby zapewnić dostawcom usług płatniczych wystarczająco dużo czasu na dokonanie niezbędnych zmian w swoich systemach, dostawcy usług płatniczych prowadzący rachunek powinni udostępnić dostawcom usług płatniczych informacje o zmianach, których dokonali w specyfikacjach technicznych swoich interfejsów w celu zapewnienia zgodności z niniejszym rozporządzeniem, najpóźniej dwa miesiące przed wprowadzeniem takich zmian.
(10) Należy zatem odpowiednio zmienić rozporządzenie delegowane (UE) 2018/389.
(11) Podstawę niniejszego rozporządzenia stanowi projekt regulacyjnych standardów technicznych przedłożony Komisji przez Europejski Urząd Nadzoru Bankowego.
(12) Europejski Urząd Nadzoru Bankowego przeprowadził otwarte konsultacje publiczne na temat projektu regulacyjnych standardów technicznych, który stanowi podstawę niniejszego rozporządzenia, dokonał analizy potencjalnych powiązanych kosztów i korzyści oraz zwrócił się o opinię do Bankowej Grupy Interesariuszy powołanej na podstawie art. 37 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1093/2010 3 .
(13) Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który swoje uwagi przekazał w dniu 7 czerwca 2022 r.
(14) Aby umożliwić sprawne przejście na nowe wymogi określone w niniejszym rozporządzeniu, dostawcy usług płatniczych, którzy stosowali wyłączenie określone w art. 10 rozporządzenia delegowanego (UE) 2018/389 przed datą rozpoczęcia stosowania niniejszego rozporządzenia, powinni mieć możliwość dalszego stosowania tego wyłączenia przez okres maksymalnie 90 dni od ostatniego zastosowania silnego uwierzytelniania klienta,
PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:
Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich pań stwach członkowskich.Sporządzono w Brukseli dnia 3 sierpnia 2022 r.
