a.

rafforzare la protezione degli utenti e la loro fiducia nei pagamenti, in particolare migliorando l’applicazione dell’autenticazione forte del cliente, creando una base giuridica che preveda lo scambio di informazioni in materia di frodi, estendendo la verifica del numero di conto bancario internazionale («IBAN») a tutti i bonifici e migliorando i diritti dell’utente e le informazioni fornitegli;

b.

migliorare la competitività dei servizi bancari aperti i) richiedendo ai prestatori di servizi di pagamento di radicamento del conto di predisporre un’interfaccia dedicata per l’accesso ai dati e «pannelli di gestione delle autorizzazioni» volti a consentire agli utenti di gestire le autorizzazioni di accesso ai servizi bancari aperti concesse; e ii) definendo specifiche maggiormente dettagliate dei requisiti minimi per le interfacce di dati per i servizi bancari aperti;

c.

migliorare l’esecuzione e l’attuazione del quadro giuridico per i servizi di pagamento negli Stati membri, in particolare sostituendo la PSD2 con un regolamento direttamente applicabile («proposta PSR»), chiarendo gli aspetti della PSD2 che sono poco chiari e migliorando la cooperazione tra le autorità competenti e altre autorità; e

d.

migliorare l’accesso (diretto o indiretto) dei prestatori di servizi di pagamento non bancari ai sistemi di pagamento e ai conti bancari, compresi i prestatori di servizi di disposizione di ordine di pagamento e i prestatori di servizi di informazione sui conti.

a.

stabilirebbe prescrizioni in materia di trasparenza delle condizioni e dei requisiti informativi per i servizi di pagamento (8);

b.

stabilirebbe diritti e obblighi in relazione alla prestazione e all’uso di servizi di pagamento, comprese norme sulle interfacce per l’accesso ai dati per i servizi di informazione sui conti e i servizi di disposizione di ordine di pagamento (9) e sulla gestione dell’accesso ai dati da parte degli utenti di servizi di pagamento (10); sulla protezione dei dati (11); sulla segnalazione delle frodi nonché sui meccanismi di monitoraggio delle operazioni e condivisione dei dati sulle frodi (12); sull’autenticazione forte del cliente (13); sulle procedure di esecuzione, sulle autorità competenti e sulle sanzioni (14); sui poteri di intervento dell’Autorità bancaria europea (ABE) (15).

(1)

distinguere chiaramente tra il termine «autorizzazione» e la base giuridica per il trattamento ai sensi del RGPD, chiarendo nel considerando 62 della proposta PSR che «l’autorizzazione non dovrebbe essere intesa come “consenso” o “consenso esplicito” o “necessità di esecuzione di un contratto” ai sensi del regolamento (UE) 2016/679»;

(2)

chiarire, mediante un considerando, che la concessione dell’autorizzazione da parte dell’utente di servizi di pagamento non pregiudica, in particolare, gli obblighi dei prestatori di servizi di disposizione di ordine di pagamento e dei prestatori di servizi di informazione sui conti ai sensi dell’articolo 6 e dell’articolo 9 del regolamento (UE) 2016/679;

(3)

riesaminare il divieto applicabile ai prestatori di servizi di pagamento di radicamento del conto di verificare l’autorizzazione di cui all’articolo 49, paragrafo 4, della proposta PSR o introdurre adeguate garanzie alternative nell’articolato della proposta PSR per tutelare gli utenti di servizi di pagamento dal rischio di una potenziale condivisione illecita di dati personali da parte dei prestatori di servizi di pagamento di radicamento del conto che tale divieto potrebbe comportare;

(4)

modificare l’articolo 46, paragrafo 2, lettera a), e l’articolo 47, paragrafo 2, lettera a), della proposta PSR per stabilire che i prestatori di servizi di disposizione di ordine di pagamento e i prestatori di servizi di informazione sui conti non hanno accesso alle credenziali di sicurezza personalizzate;

(5)

chiarire la definizione di «dati sensibili relativi ai pagamenti» di cui all’articolo 3, paragrafo 38, della proposta PSR, specificando in particolare i tipi di dati personali che rientrano in tale definizione;

(6)

specificare in relazione a quale tipo specifico/quali tipi specifici di servizio di pagamento designato/servizi di pagamento designati i sistemi di pagamento e il prestatore di servizi di pagamento sarebbero autorizzati a trattare determinate categorie particolari di dati personali nell’articolo 80 della proposta PSR;

(7)

fornire giustificazioni (in un considerando) sui motivi per i quali il trattamento delle categorie particolari di dati personali per il servizio di pagamento designato/i servizi di pagamento designati di cui all’articolo 80 della proposta PSR è necessario e proporzionato e non può essere evitato mediante mezzi tecnici alternativi;

(8)

inserire un riferimento alla registrazione del log-in (per verificare un eventuale accesso indebito) tra le garanzie di protezione dei dati di cui all’articolo 80 della proposta PSR;

(9)

aggiungere all’articolo 43, paragrafo 2, lettera a), un riferimento al servizio di pagamento designato/ai servizi di pagamento designati per i quali l’autorizzazione è concessa dall’utente di servizi di pagamento;

(10)

aggiungere all’articolo 47, paragrafo 2, relativo agli obblighi dei prestatori di servizi di informazione sui conti, la prescrizione di cui all’articolo 46, paragrafo 2, lettera b), secondo cui i prestatori di servizi di pagamento non chiedono all’utente di servizi di pagamento dati diversi da quelli necessari a prestare il servizio richiesto;

(11)

richiedere ai prestatori di servizi di pagamento e ai prestatori di servizi di informazione sui conti di cui all’articolo 43, paragrafo 4, lettera b), di informare i prestatori di servizi di pagamento di radicamento del conto in merito al conto cliente al quale si chiede l’accesso e in merito alla base giuridica di cui all’articolo 6, paragrafo 1, del RGPD e (se del caso) all’eccezione di cui all’articolo 9, paragrafo 2, del RGPD che utilizzerebbero per accedere ai dati personali dell’utente di servizi di pagamento;

(12)

specificare nell’articolo 43, lettera b), che il pannello di gestione non dovrebbe essere concepito in modo tale da incoraggiare o indurre indebitamente gli utenti di servizi di pagamento a concedere o revocare le autorizzazioni;

(13)

determinare chiaramente le categorie di dati personali che i prestatori di servizi di pagamento sarebbero autorizzati a trattare nel contesto dei meccanismi di monitoraggio delle operazioni (in particolare, fornendo una definizione di «informazioni sull’utente di servizi di pagamento» di cui all’articolo 83, paragrafo 2, lettera a));

(14)

definire adeguati periodi di conservazione dei dati per i dati personali raccolti ai sensi dell’articolo 83;

(15)

includere una definizione di «accordo di condivisione delle informazioni» nell’articolo 3 della proposta PSR;

(16)

indicare nella proposta PSR che qualsiasi trattamento di dati personali ai fini dell’osservanza degli obblighi legali in materia di prevenzione delle frodi di cui all’articolo 83 può avvenire solo per tale finalità specifica e non può comportare la cessazione del rapporto con il cliente da parte del prestatore di servizi di pagamento né incide sull’on-boarding dell’utente di servizi di pagamento da parte di un altro prestatore di servizi di pagamento;

(17)

menzionare esplicitamente le autorità di controllo responsabili del monitoraggio e dell’esecuzione della normativa in materia di protezione dei dati nell’articolo 93, paragrafo 3, della proposta PSR.