W dniu 28 czerwca 2023 r. Komisja Europejska opublikowała pakiet projektów nowych aktów prawnych, w tym projekty dyrektywy w sprawie usług płatniczych 3 (Payment Services Directive 3, PSD3) i rozporządzenia w sprawie usług płatniczych (Payment Services Regulation, PSR). Nowe projekty są konsekwencją oceny dyrektywy PSD2 przeprowadzonej przez Komisję Europejską w 2022 r., w tym porad Europejskiego Urzędu Nadzoru Bankowego (EUNB), a także konsultacji publicznych i raportu przygotowanego przez niezależnych konsultantów.
Dlaczego dyrektywa PSD2 zostanie zmieniona?
Ocena PSD2 wykazała, że dyrektywa osiągnęła wiele ze swoich celów: poprawę bezpieczeństwa transakcji poprzez wprowadzenie silnego uwierzytelniania klienta (SCA), a także zwiększenie wyboru instrumentów płatniczych dla konsumentów. Niektóre obszary wymagają jednak poprawy:
(i) oszustwa płatnicze nadal stanowią problem;
(ii) należy rozwiązać kwestię braku bezpośredniego dostępu niebankowych dostawców usług płatniczych (Payment Service Providers, PSP) do niektórych kluczowych systemów, które są niezbędne do sfinalizowania płatności;
(iii) PSP powinni mieć silne prawo do posiadania rachunku bankowego, czego często odmawiają im banki;
(iv) przeszkody w dostępie do danych przez dostawców usług dostępu do informacji o rachunku (Account Information Service, AIS), jak również dostawców usług inicjowania płatności (Payment Initiation Service, PIS) – otwarta bankowość wymaga poprawy w tym aspekcie;
(v) usługi płatnicze i ramy pieniądza elektronicznego powinny zostać ujednolicone.
Jakie są planowane środki przeciwdziałania oszustwom płatniczym?
Komisja Europejska zauważyła kilka nowych rodzajów oszustw, w przypadku których środki przewidziane w dyrektywie PSD2 są niewystarczające. Dyrektywa PSD3 zajmie się na przykład "spoofingiem" (oszustwem polegającym na podszywaniu się), które zaciera różnicę między nieautoryzowanymi i autoryzowanymi transakcjami, ponieważ zgoda udzielona przez klienta na autoryzację transakcji jest przedmiotem technik manipulacyjnych ze strony oszusta, który na przykład wykorzystuje numer telefonu lub adres e-mail PSP.
Proponowane środki zapobiegawcze obejmują:
- zobowiązanie PSP płatnika do świadczenia usługi dopasowywania nazwy klienta do IBAN (IBAN / name matching) dla wszystkich poleceń przelewu, co oznacza, że PSP płatnika będzie musiał skontaktować się z PSP odbiorcy i potwierdzić zgodność numeru IBAN i nazwy posiadacza rachunku. W przypadku rozbieżności PSP płatnika będzie zobowiązany do powiadomienia swojego klienta przed sfinalizowaniem zlecenia płatniczego przez płatnika. Usługa ta będzie bezpłatna, a płatnik będzie miał prawo zrezygnować z transakcji w przypadku niezgodności;
- podstawę prawną dla PSP do udostępniania danych związanych z oszustwami;
- zwiększenie monitorowania transakcji;
- zwiększenie praw klientów do zwrotu środków;
- zobowiązanie PSP do prowadzenia działań edukacyjnych / zwiększających świadomość wśród swoich klientów.
Zapewnienie dostawcom usług płatniczych dostępu do kluczowych systemów transakcyjnych
Propozycja PSD3 wyraźnie wskazuje instytucje płatnicze jako możliwych bezpośrednich uczestników wyznaczonych systemów płatności. Operatorzy systemów płatności będą zobowiązani do dopuszczenia instytucji płatniczych jako uczestników pod warunkiem pozytywnego wyniku przeprowadzonej oceny ryzyka. Dyrektywa PSD3 przewiduje krótki, 6-miesięczny termin dla państw członkowskich na transpozycję nowych przepisów do prawa krajowego.
Zapewnienie dostawcom usług płatniczych prawa do rachunku bankowego
Jak zauważyła Komisja Europejska, banki często odmawiają otwarcia rachunku dla dostawców usług płatniczych lub zamykają istniejące rachunki bankowe, zwykle w oparciu o pewne ogólne / niejasne obawy dotyczące kontroli przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.
Zgodnie z PSD3:
(i) banki będą zobowiązane do dokładnego wyjaśnienia każdej odmowy dostępu do rachunku bankowego, obejmującej również wycofanie takiej usługi, przy czym uzasadnienie takiej decyzji banku będzie musiało opierać się na konkretnej sytuacji danego PSP;
(ii) PSP będą mieli prawo odwołać się od decyzji banku do organów krajowych;
(iii) banki centralne będą teraz również mogły – według własnego uznania – świadczyć usługi prowadzenia rachunków na rzecz PSP.
Ulepszenia w zakresie otwartej bankowości
Proponowane kluczowe zmiany w otwartej bankowości obejmują m.in:
(i) nałożenie dedykowanego interfejsu dostępu do danych;
(ii) zniesienie wymogu utrzymywania przez dostawców usług płatniczych zapewniających i utrzymujący rachunek płatniczy dla płatnika (Account Servicing Payment Service Providers, ASPSP) interfejsu "awaryjnego”;
(iii) ASPSP będą zobowiązani do zapewnienia swoim klientom środków do zarządzania ich danymi za pośrednictwem otwartej bankowości w przejrzysty sposób, w tym wprowadzenie pulpitu nawigacyjnego umożliwiającego wycofanie dostępu do danych dowolnemu dostawcy.
Połączenie Instytucji Pieniądza Elektronicznego (EMI) i Instytucji Płatniczych (PI)
Według Komisji Europejskiej, lokalne organy nadzorcze doświadczyły praktycznych trudności w rozróżnieniu systemów prawnych dotyczących pieniądza elektronicznego i usług płatniczych. Co więcej, Komisja Europejska zauważa znaczące różnice interpretacyjne (np. w rozumieniu, czym jest pieniądz elektroniczny) między organami regulacyjnymi UE.
W związku z tym te dwa systemy najprawdopodobniej zostaną połączone. Zgodnie z PSD3 Instytucje Pieniądza Elektronicznego (Electronic Money Institutions, EMI) przestaną istnieć, ponieważ będą istnieć jedynie Instytucje Płatnicze (Payment Insitutions, PI), które będą mogły uzyskać zezwolenie na oferowanie usług pieniądza elektronicznego oraz usług płatniczych.
Kiedy PSD3 wejdzie w życie?
Obecnie jesteśmy na wczesnym etapie procesu legislacyjnego. Zakłada się, że ostateczna wersja dyrektywy zostanie wdrożona około 2026 roku.
