(1)

Artikel 10 van Gedelegeerde Verordening (EU) 2018/389 van de Commissie (2) voorziet in een vrijstelling van de verplichting van artikel 97 van Richtlijn (EU) 2015/2366 om sterke cliëntauthenticatie toe te passen wanneer een betaaldienstgebruiker toegang heeft tot het saldo en de recente transacties van een betaalrekening zonder dat gevoelige betalingsgegevens worden vrijgegeven. In dat geval hoeven betalingsdienstaanbieders voor de toegang tot rekeninginformatie geen sterke cliëntauthenticatie toe te passen, op voorwaarde dat sterke cliëntauthenticatie werd toegepast wanneer de rekeninginformatie voor het eerst werd geraadpleegd, en daarna ten minste om de 90 dagen.

(2)

Het gebruik van die vrijstelling heeft geleid tot zeer uiteenlopende praktijken bij de toepassing van Gedelegeerde Verordening (EU) 2018/389, waarbij sommige rekeninghoudende betaaldienstverleners om de 90 dagen om sterke cliëntauthenticatie verzoeken, andere met kortere tussenpozen, en sommigen de vrijstelling niet hebben toegepast en voor elke toegang tot de rekening sterke cliëntauthenticatie hebben gevraagd. Dit verschil heeft geleid tot ongewenste wrijving in het cliëntentraject bij het gebruik van rekeninginformatiediensten en tot een negatief effect op de diensten van rekeninginformatiedienstverleners.

(3)

Om te zorgen voor een goed evenwicht tussen de doelstellingen van Richtlijn (EU) 2015/2366, namelijk het verhogen van de veiligheid, het vergemakkelijken van innovatie en het vergroten van de concurrentie op de interne markt, is het noodzakelijk de toepassing van de in artikel 10 van Gedelegeerde Verordening (EU) 2018/389 vastgestelde vrijstelling nader te bepalen voor gevallen waarin de rekeninginformatie toegankelijk is via een rekeninginformatiedienstverlener. Bijgevolg mag betaaldienstaanbieders in een dergelijk geval niet de keuze worden gelaten of zij al dan niet sterke cliëntauthenticatie toepassen, en moet de vrijstelling verplicht worden gesteld, mits is voldaan aan voorwaarden om de veiligheid en beveiliging van de gegevens van de betaaldienstgebruikers te waarborgen.

(4)

De vrijstelling moet beperkt blijven tot de toegang tot het saldo en de recente transacties van een betaalrekening zonder vrijgave van gevoelige betalingsgegevens. De vrijstelling mag alleen van toepassing zijn wanneer betaaldienstverleners reeds sterke cliëntauthenticatie hebben toegepast voor de eerste toegang via de betrokken rekeninginformatiedienstverlener, en moet periodiek worden hernieuwd.

(5)

Om de veiligheid en beveiliging van de gegevens van betaaldienstgebruikers te waarborgen, moet het betaaldienstverleners te allen tijde worden toegestaan sterke cliëntauthenticatie toe te passen wanneer zij objectief gerechtvaardigde en naar behoren aangetoonde redenen in verband met ongeoorloofde of frauduleuze toegang hebben. Dit kan het geval zijn wanneer de transactiemonitoringmechanismen van de rekeninghoudende betaaldienstverlener een verhoogd risico op ongeoorloofde of frauduleuze toegang detecteren. Om een consistente toepassing van de vrijstelling te waarborgen, moeten in dergelijke gevallen de redenen voor het toepassen van sterke cliëntauthenticatie door de rekeninghoudende betaaldienstverleners worden gedocumenteerd en, op verzoek van hun nationale bevoegde autoriteit tegenover haar worden verantwoord.

(6)

Wanneer de betaaldienstgebruiker rechtstreeks toegang heeft tot de rekeninginformatie, moeten betaaldienstverleners de keuze blijven hebben of zij sterke cliëntauthenticatie toepassen. De reden hiervoor is dat er in dergelijke gevallen geen specifieke problemen zijn vastgesteld die een wijziging van de in artikel 10 van Gedelegeerde Verordening (EU) 2018/389 vastgestelde vrijstelling vereisen, in tegenstelling tot het geval van toegang via een rekeninginformatiedienstverlener.

(7)

Om een gelijk speelveld voor alle betaaldienstverleners te waarborgen en in overeenstemming met de doelstellingen van Richtlijn (EU) 2015/2366 om de ontwikkeling van gebruiksvriendelijke en innovatieve diensten mogelijk te maken, is het evenredig om dezelfde termijn van 180 dagen vast te stellen voor zowel de hernieuwing van sterke cliëntauthenticatie om rechtstreeks toegang te krijgen tot rekeninginformatie bij de rekeninghoudende betaaldienstverlener als via een rekeninginformatiedienstverlener. Het vernieuwen van sterke cliëntauthenticatie met de huidige frequentie kan ongewenste wrijving veroorzaken in het cliëntentraject en aanbieders van rekeninginformatiediensten verhinderen hun diensten aanbieden en gebruikers ervan verhinderen deze diensten te ontvangen.

(8)

Rekeninghoudende betaaldienstverleners die een speciale interface aanbieden en een uitwijkvoorziening als bedoeld in artikel 33, lid 4, van Gedelegeerde Verordening (EU) 2018/389 hebben ingevoerd, mogen niet worden verplicht de nieuwe verplichte vrijstelling in hun directe cliëntinterfaces toe te passen ten behoeve van de uitwijkvoorziening, mits zij de vrijstelling van artikel 10 van Gedelegeerde Verordening (EU) 2018/389 niet toepassen op hun directe cliëntinterfaces. Het zou onevenredig zijn om rekeninghoudende betaaldienstverleners die een speciale interface aanbieden waarin zij de nieuwe verplichte vrijstelling moeten toepassen, te verplichten de vrijstelling ook toe te passen in hun directe cliëntinterfaces ten behoeve van de uitwijkvoorziening.

(9)

Om ervoor te zorgen dat betaaldienstverleners voldoende tijd hebben om de nodige wijzigingen in hun systemen aan te brengen, moeten rekeninghoudende betaaldienstverleners de wijzigingen die in de technische specificaties van hun interfaces zijn aangebracht om aan deze verordening te voldoen, ten minste twee maanden voordat deze wijzigingen worden doorgevoerd, ter beschikking stellen van de betaaldienstverleners.

(10)

Gedelegeerde Verordening (EU) 2018/389 moet dan ook dienovereenkomstig worden gewijzigd.

(11)

Deze verordening is gebaseerd op de ontwerpen van technische reguleringsnormen die de Europese Bankautoriteit aan de Commissie heeft voorgelegd.

(12)

De Europese Bankautoriteit heeft openbare raadplegingen gehouden over de ontwerpen van technische reguleringsnormen waarop deze verordening is gebaseerd, de mogelijke daaraan verbonden kosten en baten geanalyseerd en de bij artikel 37 van Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (3) opgerichte Stakeholdergroep bankwezen om advies verzocht,

(13)

De Europese Toezichthouder voor gegevensbescherming werd geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 en heeft op 7 juni 2022 formele opmerkingen ingediend.

(14)

Om een soepele overgang naar de nieuwe vereisten van deze verordening mogelijk te maken, moeten betaaldienstaanbieders die de vrijstelling van artikel 10 van Gedelegeerde Verordening (EU) 2018/389 toepassen vóór de datum van toepassing van deze verordening, die vrijstelling kunnen blijven toepassen tot 90 dagen na de laatste toepassing van sterke cliëntauthenticatie,