Kommissionens delegerade förordning (EU) 2022/2360 av den 3 augusti 2022 om ändring av de tekniska tillsynsstandarder som fastställs i delegerad förordning (EU) 2018/389 vad gäller 90-dagarsundantaget för kontotillgång (Text av betydelse för EES)

(1)

Genom artikel 10 i kommissionens delegerade förordning (EU) 2018/389 (2) möjliggörs undantag från kravet i artikel 97 i direktiv (EU) 2015/2366 på att tillämpa stark kundautentisering om en betaltjänstanvändare endast har tillgång till ett betalkontos saldo och senaste transaktioner, utan att känsliga betalningsuppgifter lämnas ut. I sådana fall behöver betaltjänstleverantörer inte tillämpa stark kundautentisering för tillgång till kontoinformationen, förutsatt att stark kundautentisering tillämpades vid den första tillgången till kontoinformationen, och därefter minst var 90:e dag.

(2)

Användningen av detta undantag har lett till att delegerad förordning (EU) 2018/389 har tillämpats på vitt skilda sätt, där vissa kontoförvaltande betaltjänstleverantörer begär stark kundautentisering var 90:e dag, andra oftare, och vissa har inte tillämpat undantaget alls utan begärt stark kundautentisering vid varje kontoåtkomst. Denna skillnad har lett till oönskade störningar i konsumentupplevelsen vid användning av kontoinformationstjänster och till en negativ inverkan på de tjänster som tillhandahålls av leverantörer av kontoinformationstjänster.

(3)

För att säkerställa en lämplig balans mellan målen i direktiv (EU) 2015/2366, nämligen att öka säkerheten, underlätta innovation och öka konkurrensen på den inre marknaden, är det nödvändigt att ytterligare specificera tillämpningen av det undantag som anges i artikel 10 i delegerad förordning (EU) 2018/389 för de fall då tillgång till kontoinformationen ges via en leverantör av kontoinformationstjänster. I dessa fall bör betaltjänstleverantörer därför inte tillåtas välja om de vill tillämpa stark kundautentisering eller inte, och undantaget bör göras obligatoriskt, under villkor som syftar till att säkerställa att betaltjänstanvändarnas uppgifter är säkra och skyddade.

(4)

Undantaget bör begränsas till tillgång till ett betalkontos saldo och senaste transaktioner, utan att känsliga betalningsuppgifter lämnas ut. Undantaget bör endast gälla om stark kundautentisering redan tillämpats av betaltjänstleverantörer för den första tillgången via respektive leverantör av kontoinformationstjänster, och bör förnyas regelbundet.

(5)

För att säkerställa att betaltjänstanvändarnas uppgifter är säkra och skyddade bör betaltjänstleverantörer när som helst ha rätt att tillämpa stark kundautentisering om de har objektivt motiverade och vederbörligen styrkta skäl som rör icke auktoriserad eller bedräglig tillgång. Detta kan vara fallet om den kontoförvaltande betaltjänstleverantörens mekanismer för transaktionsövervakning upptäcker en förhöjd risk för icke auktoriserad eller bedräglig tillgång. För att säkerställa en enhetlig tillämpning av undantaget bör kontoförvaltande betaltjänstleverantörer i sådana fall dokumentera och vederbörligen motivera skälen för att tillämpa stark kundautentisering för sin nationella behöriga myndighet på dess begäran.

(6)

Om betaltjänstanvändaren har direkt tillgång till kontoinformationen bör betaltjänstleverantörerna även fortsättningsvis kunna välja om de vill tillämpa stark kundautentisering eller inte. Skälet är att det i dessa fall inte har konstaterats några särskilda problem som kräver en ändring av undantaget i artikel 10 i delegerad förordning (EU) 2018/389, till skillnad från tillgång via en leverantör av kontoinformationstjänster.

(7)

För att säkerställa lika villkor för alla betaltjänstleverantörer, och i linje med målen i direktiv (EU) 2015/2366 om att möjliggöra utveckling av användarvänliga och innovativa tjänster, är det en god avvägning att fastställa en och samma tidsfrist på 180 dagar för att förnya stark kundautentisering både för att få tillgång till kontoinformationen direkt hos den kontoförvaltande betaltjänstleverantören och för att få tillgång via en leverantör av kontoinformationstjänster. Nuvarande tidsintervall för att förnya stark kundautentisering skulle kunna orsaka oönskade störningar i konsumentupplevelsen och hindra leverantörer av kontoinformationstjänster från att erbjuda sina tjänster, och användare från att utnyttja dem.

(8)

Kontoförvaltande betaltjänstleverantörer som erbjuder ett särskilt gränssnitt och som har infört en beredskapsmekanism enligt artikel 33.4 i delegerad förordning (EU) 2018/389 bör inte vara skyldiga att genomföra det nya obligatoriska undantaget i sina direkta kundgränssnitt med avseende på beredskapsmekanismen, förutsatt att de inte tillämpar undantaget i artikel 10 i delegerad förordning (EU) 2018/389 i sina direkta kundgränssnitt. Det skulle vara oproportionerligt att kräva att kontoförvaltande betaltjänstleverantörer som erbjuder ett särskilt gränssnitt där de måste genomföra det nya obligatoriska undantaget även genomför undantaget i sina direkta kundgränssnitt med avseende på beredskapsmekanismen.

(9)

För att säkerställa att betaltjänstleverantörerna har tillräckligt med tid för att göra nödvändiga systemändringar bör kontoförvaltande betaltjänstleverantörer ge betaltjänstleverantörerna tillgång till de ändringar av de tekniska specifikationerna för deras gränssnitt som gjorts för att följa denna förordning minst två månader innan sådana ändringar genomförs.

(10)

Delegerad förordning (EU) 2018/389 bör därför ändras i enlighet med detta.

(11)

Denna förordning grundar sig på det förslag till tekniska tillsynsstandarder som Europeiska bankmyndigheten har lagt fram för kommissionen.

(12)

Europeiska bankmyndigheten har genomfört öppna offentliga samråd om förslaget till tekniska tillsynsstandarder som denna förordning bygger på, analyserat de möjliga kostnaderna och fördelarna samt begärt råd från den bankintressentgrupp som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordning (EU) nr 1093/2010 (3).

(13)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav formella kommentarer den 7 juni 2022.

(14)

För att möjliggöra en smidig övergång till de nya kraven i denna förordning bör betaltjänstleverantörer som har tillämpat undantaget i artikel 10 i delegerad förordning (EU) 2018/389 före den dag då denna förordning börjar tillämpas ha rätt att fortsätta att tillämpa det undantaget upp till 90 dagar från den sista tidpunkt då stark kundautentisering tillämpades.

1)

Artikel 10 ska ersättas med följande:

2)

Följande artikel ska införas som artikel 10a:

3)

I artikel 30 ska följande punkt införas som punkt 4a: