Upłynął już niemal rok od momentu przyjęcia przez Parlament Europejski projektu Rozporządzenia w sprawie usług płatniczych w ramach rynku wewnętrznego (PSR), a proces legislacyjny nie został jeszcze zakończony. Mimo to debata na temat wyzwań i szans dla sektora bankowego i finansowego w świetle projektowanych zmian nadal trwa.

Nowe regulacje zastępujące PSD2

Rozporządzenie PSR wraz z Dyrektywą w sprawie usług płatniczych i usług związanych
z pieniądzem elektronicznym (PDS3) ma zastąpić obowiązującą Dyrektywę PSD2. Znaczna  jej część zostanie zastąpiona bezpośrednio stosowanym rozporządzeniem, natomiast Dyrektywa PSD3 dotyczyć będzie regulacyjnych aspektów działalności dostawców usług płatniczych –  w tym przede wszystkim banków.

Przyczyny zmian

Potrzeba poszukiwania nowych rozwiązań wynikała z dynamicznych zmian w technologii i praktykach płatniczych oraz zwiększonej obecności na rynku nowych podmiotów i usług (takich jak portfele cyfrowe i płatności zbliżeniowe). Głównym celem nowych regulacji jest zwiększenie bezpieczeństwa płatności elektronicznych, poprawa konkurencyjności usług otwartej bankowości oraz skuteczniejsze egzekwowanie przepisów w krajach UE.

Nowe obowiązki dostawców usług płatniczych

Wejście w życie pakietu PSD3 będzie wiązało się dla dostawców usług płatniczych z pojawieniem się dodatkowych ryzyk i koniecznością poniesienia kosztów związanych ze wdrożeniem rozwiązań zgodnych z nowymi przepisami. Rozporządzenie PSR nakłada bowiem na dostawców usług płatniczych nowe, liczne obowiązki.

Dla przykładu w przypadku poleceń przelewu (z wyjątkami) dostawca usług płatniczych odbiorcy będzie zobowiązany do bezpłatnej weryfikacji zgodności nr IBAN i odbiorcy oraz powiadomienia o wszelkich ujawnionych rozbieżnościach oraz stopniu tych rozbieżności dostawcy usług płatniczych płatnika, który będzie zobowiązany do przekazania tych informacji płatnikowi. Jeżeli po otrzymaniu powiadomienia o wykrytej rozbieżności płatnik autoryzuje polecenie przelewu, a transakcja zostaje wykonywana zgodnie z unikatowym identyfikatorem podanym przez płatnika, transakcję uznaje się za wykonaną prawidłowo, zaś w przypadku braku powiadomienia – to dostawca płatnika ponosi odpowiedzialność w zakresie pełnej kwoty transakcji.

Rozporządzenie PSR przewiduje również dla dostawców usług płatniczych obowiązek wprowadzenia mechanizmów monitorowania transakcji, które mają opierać się na analizie poprzednich transakcji płatniczych i dostępie do rachunków płatniczych w trybie online, a także na udostępnionych danych dotyczących oszustw i zaobserwowanych schematach oszustw. Zgodnie z treścią projektu m.in. dostawcy usług płatniczych muszą dysponować technikami zapobiegania oszustwom i ograniczania ich skutków, a w przypadku braku wdrożenia tych mechanizmów dostawca będzie odpowiedzialny za pokrycie strat finansowych klienta wynikających z oszustwa. Rozporządzenie PSR przewiduje również obowiązek blokady instrumentu płatniczego w przypadku obiektywnie uzasadnionego ryzyka związanego z bezpieczeństwem instrumentu płatniczego, podejrzeniem nieuprawnionego lub nielegalnego użycia instrumentu płatniczego. W sytuacji, gdy blokada nie ma miejsca – mimo uzasadnionych podstaw, aby podejrzewać oszustwo, płatnik nie ponosi żadnych konsekwencji finansowych – z wyjątkiem sytuacji, gdy płatnik działał w nieuczciwych zamiarach.

Rozporządzenie zaostrza wymagania dotyczące silnego uwierzytelnienia klienta (SCA). Nowe przepisy nakładają na dostawców  obowiązek zapewnienia, by wszyscy klienci, w tym osoby z niepełnosprawnościami, osoby starsze oraz osoby nieposiadające dostępu co kanałów cyfrowych lub instrumentów płatniczych miały do dyspozycji co najmniej jeden środek umożliwiający im przeprowadzenie silnego uwierzytelniania. Rozporządzenie wprowadza jednocześnie przepisy dotyczące odpowiedzialności dostawców usług technicznych i operatorów schematów płatności za brak wsparcia dla SCA.

Zmiany w zakresie transakcji nieautoryzowanych

Również w zakresie zagadnienia transakcji nieautoryzowanych pojawiają się nowe rozwiązania – w sytuacji, gdy użytkownik usług płatniczych zaprzecza, że autoryzował wykonaną transakcję płatniczą, lub twierdzi, że transakcja płatnicza została wykonana nieprawidłowo, na dostawcy usług płatniczych spoczywa ciężar udowodnienia, że transakcja ta została autoryzowana (a zatem odmiennie niż w Dyrektywie PSD2, zgodnie z którą przesłanką dowodową autoryzacji jest wykazanie uwierzytelnienia). Co prawda obecny kształt polskiej ustawy o usługach płatniczych przewiduje konieczność wykazania autoryzacji, to dotychczas sporne pozostawało, czy wprowadzenie takiej regulacji stanowiło wyraz przemyślanej decyzji ustawodawcy czy stanowiło konsekwencję błędu w tłumaczeniu polskiej wersji Dyrektywy PSD1 oraz – w jego następstwie – błędnej implementacji dyrektywy PSD2.

Nowe zasady dotyczące spoofingu

Rozporządzenie PSR rozszerza zakres odpowiedzialności dostawców usług płatniczych w przypadku ,,spoofingu”, czyli sytuacji, gdy oszuści podszywają się pod pracownika banku lub innej instytucji, aby nakłonić klienta do wykonania transakcji. Warunkiem odpowiedzialności dostawcy jest niezwłocznie zgłoszenie przez konsumenta oszustwa policji oraz powiadomienie dostawcy usług płatniczych. Wyjątkiem są przypadki, gdy klient działał w nieuczciwych zamiarach lub dopuścił się rażącego niedbalstwa (ciężar dowodu w tym zakresie spoczywa na dostawcy usług płatniczych) lub odmawia udziału w dochodzeniu prowadzonym przez dostawcę usług płatniczych lub dostarczenia stosownych informacji dotyczących okoliczności zdarzenia.

Jednocześnie – co istotne w kontekście tych przepisów – Europejski Urząd Nadzoru Bankowego ma wydać wytyczne techniczne dotyczące pojęcia rażącego niedbalstwa w kontekście rozporządzenia (w terminie 12 miesięcy od daty wejścia w życie rozporządzenia).

Współpraca między dostawcami usług

Rozporządzenie wprowadzaobowiązek współpracy między dostawcami usług łączności elektronicznej a dostawcami usług płatniczych. Ponadto przewiduje w określonych przypadkach  możliwość regresu dostawcy usług płatniczych wobec operatora lub platformy internetowej.

Wyzwania i szanse

Choć pakiet PSD3 niesie za sobą liczne wyzwania, takie jak zwiększona ekspozycja na ryzyko operacyjne oraz konieczność poniesienia dodatkowych kosztów (m.in. w zakresie inwestycji w nowe technologie, szkoleń pracowników i edukacji klientów), stwarza on także szanse na rozwój innowacyjnych usług, automatyzację procesów i lepsze zarządzanie ryzykiem.

Autor: Lidia Padewska, adwokat, Senior Associate w Lawspective. Autorka specjalizuje się w prawie bankowym oraz ubezpieczeniowym.

E-mail: lidia.padewska@lawspective.pl