(1)

Komisijas Deleģētās regulas (ES) 2018/389 (2) 10. pantā ir paredzēts atbrīvojums no Direktīvas (ES) 2015/2366 97. pantā noteiktās prasības piemērot drošu lietotāju autentificēšanu, ja maksājumu pakalpojumu lietotājs piekļūst maksājumu konta atlikumam un nesenajiem darījumiem, neatklājot sensitīvus maksājumu datus. Šādā gadījumā maksājumu pakalpojumu sniedzējiem ir atļauts drošu lietotāju autentificēšanu nepiemērot attiecībā uz piekļuvi konta informācijai ar noteikumu, ka droša lietotāju autentificēšana ir bijusi piemērota brīdī, kad konta informācijai tika piekļūts pirmo reizi, un pēc tam vismaz reizi 90 dienās.

(2)

Minētā atbrīvojuma izmantošana ir radījusi ļoti atšķirīgu Deleģētās regulas (ES) 2018/389 piemērošanas praksi, kad daži kontu apkalpojošie maksājumu pakalpojumu sniedzēji pieprasa drošu lietotāju autentificēšanu ik pēc 90 dienām, citi – ar īsākiem laika intervāliem, bet vēl daži atbrīvojumu nepiemēro un drošu lietotāju autentificēšanu pieprasa attiecībā uz katru piekļuvi kontam. Šīs atšķirības klientu pieredzē ar konta informācijas pakalpojumu izmantošanu ir radījušas nevēlamas nesaskaņas un negatīvi ietekmējušas konta informācijas pakalpojumu sniedzēju pakalpojumus.

(3)

Lai nodrošinātu pienācīgu līdzsvaru starp Direktīvas (ES) 2015/2366 mērķiem uzlabot drošību, veicināt inovāciju un veicināt konkurenci iekšējā tirgū, ir nepieciešams sīkāk precizēt Deleģētās regulas (ES) 2018/389 10. pantā noteiktā atbrīvojuma piemērošanu gadījumos, kad konta informācijai piekļūst ar konta informācijas pakalpojumu sniedzēja starpniecību. Šādā gadījumā nebūtu jāļauj maksājumu pakalpojumu sniedzējiem izvēlēties, vai piemērot drošu lietotāju autentificēšanu, un būtu jānosaka, ka atbrīvojums ir obligāts, ievērojot nosacījumus, kuru mērķis ir nodrošināt maksājumu pakalpojumu lietotāju datu drošumu un drošību.

(4)

Atbrīvojums būtu jāattiecina tikai uz gadījumiem, kad tiek piekļūts maksājumu konta atlikumam un nesenajiem darījumiem un netiek atklāti sensitīvi maksājumu dati. Atbrīvojums būtu jāpiemēro tikai tad, ja maksājumu pakalpojumu sniedzēji jau ir piemērojuši drošu lietotāju autentificēšanu attiecībā uz pirmo piekļuvi ar attiecīgā konta informācijas pakalpojumu sniedzēja starpniecību, un tā būtu periodiski jāatjauno.

(5)

Lai nodrošinātu maksājumu pakalpojumu lietotāju datu drošumu un drošību, maksājumu pakalpojumu sniedzējiem būtu jāļauj jebkurā laikā piemērot drošu lietotāju autentificēšanu, ja tiem ir objektīvi pamatoti un atbilstoši pierādīti iemesli, kuri saistīti ar neatļautu vai krāpniecisku piekļuvi. Tas tā varētu būt gadījumā, kad kontu apkalpojošā maksājumu pakalpojumu sniedzēja darījumu uzraudzības mehānismi atklāj paaugstinātu neatļautas vai krāpnieciskas piekļuves risku. Lai nodrošinātu atbrīvojuma konsekventu piemērošanu, kontu apkalpojošajiem maksājumu pakalpojumu sniedzējiem šādos gadījumos būtu jādokumentē un pēc pieprasījuma pienācīgi jāpamato savas valsts kompetentajai iestādei iemesli, kāpēc tie piemēro drošu lietotāju autentificēšanu.

(6)

Ja maksājumu pakalpojumu lietotājs tieši piekļūst konta informācijai, maksājumu pakalpojumu sniedzējiem arī turpmāk būtu jāļauj izvēlēties, vai piemērot drošu lietotāju autentificēšanu. Tas ir tāpēc, ka šādos gadījumos nav novērotas īpašas problēmas, kuru dēļ būtu jāgroza Deleģētās regulas (ES) 2018/389 10. pantā noteiktais atbrīvojums, pretēji gadījumam, kad piekļuve tiek nodrošināta ar konta informācijas pakalpojumu sniedzēja starpniecību.

(7)

Lai nodrošinātu vienlīdzīgus konkurences apstākļus visiem maksājumu pakalpojumu sniedzējiem un saskaņā ar Direktīvas (ES) 2015/2366 mērķiem, proti, dot iespēju izstrādāt lietotājdraudzīgus un inovatīvus pakalpojumus, ir samērīgi noteikt vienādu 180 dienu termiņu gan attiecībā uz drošu lietotāju autentificēšanu gadījumos, kad konta informācijai piekļūst tieši ar kontu apkalpojošā maksājumu pakalpojumu sniedzēja starpniecību, gan gadījumos, kad piekļuve notiek ar konta informācijas pakalpojumu sniedzēja starpniecību. Drošas lietotāju autentificēšanas atjaunošana ar pašreizējo biežumu varētu klientu pieredzē radīt nevēlamas nesaskaņas un liegt konta informācijas pakalpojumu sniedzējiem piedāvāt savus pakalpojumus un lietotājiem – saņemt šos pakalpojumus.

(8)

Kontu apkalpojošajiem maksājumu pakalpojumu sniedzējiem, kuri piedāvā specializētu saskarni un ir ieviesuši ārkārtas pasākumu mehānismu, kā noteikts Deleģētās regulas (ES) 2018/389 33. panta 4. punktā, nevajadzētu būt pienākumam savās tiešajās klientu saskarnēs ieviest jauno obligāto atbrīvojumu ārkārtas pasākumu mehānisma vajadzībām, ar noteikumu, ka tie nepiemēro Deleģētās regulas (ES) 2018/389 10. pantā noteikto atbrīvojumu savās tiešajās klientu saskarnēs. Būtu nesamērīgi pieprasīt kontu apkalpojošajiem maksājumu pakalpojumu sniedzējiem, kuri piedāvā specializētu saskarni, kurā tiem ir jāīsteno jaunais obligātais atbrīvojums, ieviest atbrīvojumu arī savās tiešajās klientu saskarnēs ārkārtas pasākumu mehānisma vajadzībām.

(9)

Lai nodrošinātu, ka maksājumu pakalpojumu sniedzējiem ir pietiekami daudz laika veikt nepieciešamās izmaiņas savās sistēmās, kontu apkalpojošajiem maksājumu pakalpojumu sniedzējiem ne mazāk kā divus mēnešus pirms šādu izmaiņu ieviešanas maksājumu pakalpojumu sniedzējiem būtu jādara pieejamas izmaiņas, kas to saskarņu tehniskajās specifikācijās veiktas, lai nodrošinātu atbilstību šai regulai.

(10)

Tāpēc būtu attiecīgi jāgroza Deleģētā regula (ES) 2018/389.

(11)

Šīs regulas pamatā ir regulatīvo tehnisko standartu projekts, ko Komisijai iesniegusi Eiropas Banku iestāde.

(12)

Eiropas Banku iestāde ir veikusi atklātu sabiedrisko apspriešanu par regulatīvo tehnisko standartu projektu, kas ir šīs regulas pamatā, izvērtējusi potenciālās saistītās izmaksas un ieguvumus un pieprasījusi saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1093/2010 (3) 37. pantu izveidotās Banku nozares ieinteresēto personu grupas atzinumu,

(13)

Saskaņā ar Regulas (ES) 2018/1725 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kurš 2022. gada 7. jūnijā sniedza oficiālas piezīmes.

(14)

Lai nodrošinātu vienmērīgu pāreju uz šajā regulā noteiktajām jaunajām prasībām, maksājumu pakalpojumu sniedzējiem, kuri pirms šīs regulas piemērošanas dienas ir piemērojuši Deleģētās regulas (ES) 2018/389 10. pantā noteikto atbrīvojumu, būtu jāļauj turpināt piemērot minēto atbrīvojumu līdz 90 dienām no iepriekšējās reizes, kad piemērota droša lietotāju autentificēšana,

1)

regulas 10. pantu aizstāj ar šādu:

2)

iekļauj šādu 10.a pantu:

3)

regulas 30. pantā iekļauj šādu 4.a punktu: