(1)

Člankom 10. Delegirane uredbe Komisije (EU) 2018/389 (2) predviđeno je izuzeće od zahtjeva iz članka 97. Direktive (EU) 2015/2366 za primjenu pouzdane autentifikacije klijenta ako korisnik platnih usluga pristupa stanju i nedavnim transakcijama po računu za plaćanje bez otkrivanja osjetljivih podataka o plaćanju. U tom je slučaju pružateljima platnih usluga dopušteno da ne primjenjuju pouzdanu autentifikaciju klijenta za pristup informacijama o računu, pod uvjetom da je pouzdana autentifikacija klijenta primijenjena pri prvom pristupu informacijama o računu, a nakon toga najmanje svakih 90 dana.

(2)

Korištenje tog izuzeća dovelo je do vrlo različitih praksi u primjeni Delegirane uredbe (EU) 2018/389, u kojima neki pružatelji platnih usluga koji vode račune zahtijevaju pouzdanu autentifikaciju klijenta svakih 90 dana, neki pružatelji to zahtijevaju u kraćim vremenskim intervalima, a neki nisu primijenili izuzeće i zahtijevaju pouzdanu autentifikaciju klijenta za svaki pristup računu. Ta razlika uzrok je neželjenih iskustava korisnika pri korištenju usluga pružanja informacija o računu i negativnog utjecaja na usluge pružatelja usluga pružanja informacija o računu.

(3)

Kako bi se osigurala odgovarajuća ravnoteža između ciljeva Direktive (EU) 2015/2366 koji se odnose na poboljšanje sigurnosti, poticanje inovacija i jačanje tržišnog natjecanja na unutarnjem tržištu, potrebno je dodatno utvrditi primjenu izuzeća iz članka 10. Delegirane uredbe (EU) 2018/389 za slučajeve u kojima se informacijama o računu pristupa preko pružatelja usluga pružanja informacija o računu. Stoga u tom slučaju pružateljima platnih usluga ne bi trebalo biti dopušteno birati hoće li primjenjivati pouzdanu autentifikaciju klijenta, a izuzeće bi trebalo postati obvezno, pod uvjetima kojima se nastoji osigurati poštovanje sigurnosti i zaštite podataka korisnika platnih usluga.

(4)

Izuzeće bi trebalo ograničiti na pristup stanju i nedavnim transakcijama na računu za plaćanje bez otkrivanja osjetljivih podataka o plaćanju. Izuzeće bi se trebalo primjenjivati samo ako su pružatelji platnih usluga već primijenili pouzdanu autentifikaciju klijenta za prvi pristup preko odgovarajućeg pružatelja usluga pružanja informacija o računu te bi ga trebalo periodično obnavljati.

(5)

Kako bi se osigurala sigurnost i zaštita podataka korisnika platnih usluga, pružateljima platnih usluga trebalo bi u svakom trenutku dopustiti primjenu pouzdane autentifikacije klijenta ako imaju objektivno utemeljene i valjano utvrđene razloge da je riječ o neovlaštenom ili prijevarnom pristupu. To može biti slučaj kada mehanizmi za praćenje transakcija pružatelja platnih usluga koji vodi račun otkriju povećani rizik od neovlaštenog ili prijevarnog pristupa. Kako bi se osigurala dosljedna primjena izuzeća, pružatelji platnih usluga koji vode račune trebali bi u takvim slučajevima svojem nacionalnom nadležnom tijelu, na njegov zahtjev, dokumentirati i propisno obrazložiti razloge za primjenu pouzdane autentifikacije klijenta.

(6)

Ako korisnik platnih usluga izravno pristupa informacijama o računu, pružateljima platnih usluga trebalo bi i dalje biti dopušteno da odluče hoće li primijeniti pouzdanu autentifikaciju klijenta. Naime, u takvim slučajevima nisu uočeni posebni problemi koji bi zahtijevali izmjenu izuzeća iz članka 10. Delegirane uredbe (EU) 2018/389, za razliku od pristupa preko pružatelja usluga pružanja informacija o računu.

(7)

Kako bi se osigurali jednaki uvjeti među svim pružateljima platnih usluga i u skladu s ciljevima Direktive (EU) 2015/2366 da se omogući razvoj inovativnih usluga prilagođenih korisnicima, proporcionalno je utvrditi isti rok od 180 dana za obnovu pouzdane autentifikacije klijenta radi izravnog pristupa informacijama o računu preko pružatelja platnih usluga koji vodi račun i putem pružatelja usluga pružanja informacija o računu. Obnavljanje pouzdane autentifikacije klijenta trenutačnom učestalošću moglo bi dovesti do neželjenih iskustava korisnika i spriječiti pružatelje usluga pružanja informacija o računu da nude svoje usluge, a korisnike da te usluge koriste.

(8)

Od pružatelja platnih usluga koji vode račune i nude namjensko sučelje i uspostavili su mehanizam za izvanredne situacije iz članka 33. stavka 4. Delegirane uredbe (EU) 2018/389 ne bi trebalo zahtijevati da u svojim izravnim sučeljima za korisnike uvedu novo obvezno izuzeće za potrebe mehanizma za izvanredne situacije, pod uvjetom da na svojim izravnim sučeljima za korisnike ne primjenjuju izuzeće iz članka 10. Delegirane uredbe (EU) 2018/389. Bilo bi nerazmjerno od pružatelja platnih usluga koji vode račune i nude namjensko sučelje na kojem moraju uvesti novo obvezno izuzeće zahtijevati i uvođenje izuzeća na njihovim izravnim sučeljima za korisnike za potrebe mehanizma za izvanredne situacije.

(9)

Kako bi se osiguralo da pružatelji platnih usluga imaju dovoljno vremena za potrebne promjene u svojim sustavima, pružatelji platnih usluga koji vode račune trebali bi pružateljima platnih usluga staviti na raspolaganje izmjene tehničkih specifikacija svojih sučelja radi usklađivanja s ovom Uredbom najmanje dva mjeseca prije provedbe tih izmjena.

(10)

Delegiranu uredbu (EU) 2018/389 trebalo bi stoga na odgovarajući način izmijeniti.

(11)

Ova se Uredba temelji na nacrtu regulatornih tehničkih standarda koji je Komisiji dostavilo Europsko nadzorno tijelo za bankarstvo.

(12)

EBA je provela otvorena javna savjetovanja o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirala moguće povezane troškove i koristi te zatražila mišljenje Interesne skupine za bankarstvo osnovane u skladu s člankom 37. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća (3).

(13)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 te je on dao službeno očitovanje 7. lipnja 2022.

(14)

Kako bi se omogućio neometan prijelaz na nove zahtjeve utvrđene u ovoj Uredbi, pružateljima platnih usluga koji su primijenili izuzeće iz članka 10. Delegirane uredbe (EU) 2018/389 prije datuma početka primjene ove Uredbe trebalo bi dopustiti da nastave primjenjivati to izuzeće u razdoblju do 90 dana od posljednje primjene pouzdane autentifikacije klijenta,