(1)

A norma dell’articolo 10 del regolamento delegato (UE) 2018/389 della Commissione (2) è prevista un’esenzione dall’obbligo di cui all’articolo 97 della direttiva (UE) 2015/2366 di applicare l’autenticazione forte del cliente se un utente dei servizi di pagamento accede al saldo e alle operazioni recenti di un conto di pagamento senza che siano divulgati dati sensibili relativi ai pagamenti. In tal caso, i prestatori di servizi di pagamento sono autorizzati a non applicare l’autenticazione forte del cliente per accedere alle informazioni sui conti, a condizione che detta autenticazione sia stata applicata al momento del primo accesso alle informazioni sui conti e successivamente almeno ogni 90 giorni.

(2)

Il ricorso a tale esenzione ha comportato prassi alquanto divergenti nell’applicazione del regolamento delegato (UE) 2018/389, per cui alcuni prestatori di servizi di pagamento di radicamento del conto chiedono l’autenticazione forte del cliente ogni 90 giorni, altri a intervalli più ravvicinati e altri ancora non hanno applicato l’esenzione e chiedono l’autenticazione forte del cliente per ciascun accesso ai conti. Tali divergenze hanno causato attriti indesiderati nell’esperienza di utilizzo dei servizi di informazione sui conti da parte del cliente e hanno inciso negativamente sui servizi di informazione sui conti forniti dai prestatori.

(3)

Al fine di mantenere il giusto equilibrio tra gli obiettivi della direttiva (UE) 2015/2366 di potenziare la sicurezza, favorire l’innovazione e rafforzare la concorrenza nel mercato interno, è necessario specificare ulteriormente l’applicazione dell’esenzione di cui all’articolo 10 del regolamento delegato (UE) 2018/389 nei casi in cui l’accesso alle informazioni sui conti avviene mediante un prestatore di servizi di informazione sui conti. Di conseguenza, in tal caso, i prestatori di servizi di pagamento non dovrebbero essere autorizzati a scegliere se applicare o meno l’autenticazione forte del cliente e l’esenzione dovrebbe essere resa obbligatoria purché siano soddisfatte condizioni volte a garantire la sicurezza e la protezione dei dati degli utenti dei servizi di pagamento.

(4)

L’esenzione dovrebbe essere limitata all’accesso al saldo e alle operazioni recenti di un conto di pagamento senza che siano divulgati dati sensibili relativi ai pagamenti. L’esenzione dovrebbe inoltre applicarsi solo se l’autenticazione forte del cliente è già stata applicata dai prestatori di servizi di pagamento per il primo accesso mediante il rispettivo prestatore di servizi di informazione sui conti e dovrebbe essere rinnovata periodicamente.

(5)

Per garantire la sicurezza e la protezione dei dati degli utenti dei servizi di pagamento, i prestatori di servizi di pagamento dovrebbero essere autorizzati, in qualsiasi momento, ad applicare l’autenticazione forte del cliente qualora abbiano motivi obiettivamente giustificati e debitamente comprovati connessi all’accesso non autorizzato o fraudolento. Ciò potrebbe verificarsi nel caso in cui i meccanismi di monitoraggio delle operazioni del prestatore dei servizi di pagamento di radicamento del conto rilevino un rischio elevato di accesso non autorizzato o fraudolento. In tali casi, al fine di assicurare un’applicazione coerente dell’esenzione, i prestatori di servizi di pagamento di radicamento del conto dovrebbero documentare e giustificare debitamente presso la rispettiva autorità nazionale competente, su richiesta della stessa, i motivi dell’applicazione dell’autenticazione forte del cliente.

(6)

Se l’utente dei servizi di pagamento accede direttamente alle informazioni sui conti, i prestatori di servizi di pagamento dovrebbero continuare a poter scegliere se applicare o meno l’autenticazione forte del cliente. In effetti, in tali casi non sono stati osservati problemi particolari che richiedano una modifica dell’esenzione di cui all’articolo 10 del regolamento delegato (UE) 2018/389, contrariamente al caso dell’accesso mediante un prestatore di servizi di informazione sui conti.

(7)

Al fine di assicurare condizioni di parità tra tutti i prestatori di servizi di pagamento e in linea con gli obiettivi della direttiva (UE) 2015/2366 di permettere lo sviluppo di servizi innovativi e di facile utilizzo, è proporzionato stabilire lo stesso termine di 180 giorni per il rinnovo dell’autenticazione forte del cliente, sia per accedere alle informazioni sui conti direttamente con il prestatore di servizi di pagamento di radicamento del conto che per accedere mediante un prestatore di servizi di informazione sui conti. Il rinnovo dell’autenticazione forte del cliente alla frequenza attuale potrebbe causare attriti indesiderati nell’esperienza del cliente e impedire ai prestatori di servizi di informazione sui conti di offrire i propri servizi e agli utenti di riceverli.

(8)

I prestatori di servizi di pagamento di radicamento del conto che offrono un’interfaccia dedicata e che hanno attuato un meccanismo di emergenza come previsto dall’articolo 33, paragrafo 4, del regolamento delegato (UE) 2018/389 non dovrebbero essere tenuti ad attuare la nuova esenzione obbligatoria nelle loro interfacce dirette con i clienti ai fini del meccanismo di emergenza, a condizione che non applichino l’esenzione di cui all’articolo 10 del regolamento delegato (UE) 2018/389 nelle loro interfacce dirette con i clienti. Sarebbe sproporzionato imporre ai prestatori di servizi di pagamento di radicamento del conto che offrono un’interfaccia dedicata in cui devono attuare la nuova esenzione obbligatoria di applicare l’esenzione anche nelle loro interfacce dirette con i clienti ai fini del meccanismo di emergenza.

(9)

Per far sì che i prestatori di servizi di pagamento dispongano del tempo necessario per apportare le dovute modifiche ai propri sistemi, i prestatori di servizi di pagamento di radicamento del conto dovrebbero mettere a disposizione dei prestatori di servizi di pagamento le modifiche apportate alle specifiche tecniche delle loro interfacce al fine di conformarsi al presente regolamento almeno 2 mesi prima dell’attuazione di tali modifiche.

(10)

È pertanto opportuno modificare di conseguenza il regolamento delegato (UE) 2018/389.

(11)

Il presente regolamento si basa sui progetti di norme tecniche di regolamentazione che l’Autorità bancaria europea ha presentato alla Commissione.

(12)

L’Autorità bancaria europea ha condotto consultazioni pubbliche aperte sui progetti di norme tecniche di regolamentazione sui quali è basato il presente regolamento, ha analizzato i potenziali costi e benefici collegati e ha chiesto la consulenza del gruppo delle parti interessate nel settore bancario istituito a norma dell’articolo 37 del regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio (3).

(13)

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato osservazioni formali il 7 giugno 2022.

(14)

Per agevolare la transizione alle nuove prescrizioni stabilite nel presente regolamento, i prestatori di servizi di pagamento che hanno applicato l’esenzione di cui all’articolo 10 del regolamento delegato (UE) 2018/389 prima della data di applicazione del presente regolamento dovrebbero poter continuare ad applicare tale esenzione fino a 90 giorni dall’ultima volta in cui è stata applicata l’autenticazione forte del cliente,