Dialogmøde den 30. januar 2017 Forslag til lov om betalinger
Dagsorden Velkomst og introduktion Proces, ikrafttrædelse og niveau 2-regulering Overgangsperiode Danske særregler Kontantreglen Betalingsdata Tredjeparter Adgang til et oprette konti Stærk autentifikation Hæftelses- og ansvarsregler Eventuelt 2
Proces, ikrafttrædelse og niveau 2-regulering
Proces og ikrafttræden Offentlig høring indtil 6. februar 2017. Lovforslaget forventes fremsat marts 2017. Medlemslandene skal implementere PSD2 senest 13. januar 2018. Loven forventes at træde i kraft 1. januar 2018 med undtagelse af 84, stk. 2, 86, stk. 2, 87, stk. 3, 89, stk. 1, 125, stk. 1, nr. 3 og 127, som først træder i kraft på et senere tidspunkt, der fastsættes af erhvervsministeren. Tidspunktet afhænger af den delegerede retsakt, som udstedes af Europa-Kommissionen, jf. artikel 98 i PSD2 (RTS om stærk autentifikation). 4
Niveau 2-regulering PSD2 giver en række mandater til Den Europæiske Banktilsynsmyndighed (EBA) til at udarbejde såkaldt niveau 2- regulering. Draft Regulatory Techincal Standards (RTS) Passporting og samarbejde mellem nationale myndigheder, centrale kontaktpunkter, stærk autentifikation og sikker kommunikation mellem betalingstjenesteudbydere. Guidelines (GL) Tilladelser, forsikring for tredjepartsudbydere, behandling af klager, hændelsesrapportering og håndtering af operationel sikkerhed. 5
RTS om stærk autentifikation og sikker kommunikation Feb 2017 EBA udarbejder udkast til RTS. Frist i PSD2: 13. januar 2017. EBA er pt. 1 måned forsinket. Maj 2017 Juni 2017 Kommissionen har derefter 3 måneder til at godkende udkastet. Kommissionen kan afvise udkastet, hvorefter det går tilbage til EBA. Europa-Parlamentet og Europa-Rådet har 1 måned (+ 1 måned mere, hvis nødvendigt) til at acceptere. Derefter offentliggøres det i EU-tidende. Dec 2018 Endelig ikrafttrædelse 18 måneder efter offentliggørelse. 6
Overgangsperiode
Overgangsperiode (1) Virksomheder, der udbyder tjenester omfattet af lovforslagets bilag 1, nr. 7 og nr. 8 de såkaldte tredjepartsudbydere. Fra 1. januar 2018 skal disse have tilladelse til at udbyde deres tjenester, herunder krav om forsikring. Virksomheder, som før loven træder i kraft allerede udbyder sådanne tjenester, kan fortsætte udbuddet mens ansøgningen behandles, såfremt lovens øvrige regler overholdes. Virksomheder, der ønsker at udbyde disse tjenester for første gang, skal opnå tilladelse før aktiviteten påbegyndes. En bruger af betalingstjenester har fra 1. januar 2018 ret til at anvende en tredjepartsudbyder. Når reglerne om stærk autentifikation og sikker kommunikation træder i kraft (forventeligt december 2018) skal tredjepartsudbydere såvel som andre udbydere af betalingstjenester også efterleve disse krav. 8
Overgangsperiode (2) Virksomheder med tilladelse som betalings- eller e-pengeinstitutter. Skal senest 13. juli 2018 dokumentere overfor Finanstilsynet, at de også lever op til de nye regler, der fastsættes med lovforslaget. Virksomheder med begrænset tilladelse til at udbyde betalingstjenester, jf. 37, stk. 1, nr. 2, eller til at udstede elektroniske penge, jf. 39 p, stk. 1, nr. 2. Skal senest 13. januar 2019 dokumentere overfor Finanstilsynet, at de også lever op til de nye regler, der fastsættes med lovforslaget. Virksomheder med tilladelse til at udstede betalingsinstrumenter med begrænset anvendelse, jf. 37, stk. 1, nr. 1, eller 39 p, stk. 1, nr. 1. Skal ikke længere have en tilladelse, men skal orientere Finanstilsynet om deres aktiviteter, jf. lovforslagets 61 og 62. 9
Danske særregler
Kontantpligten ( 81) Hovedregel: Betalingsmodtagere er forpligtet til at modtage kontanter, hvis de modtager betalingsinstrumenter omfattet af lovforslaget. Eksisterende undtagelse: Forpligtelsen gælder ikke ved fjernsalg og ubemandede selvbetjeningsmiljøer. Ny undtagelse: Kontantreglen finder ikke anvendelse i tidsrummet fra kl. 22-06. Der er tale om en afvejning mellem sikkerhed og retten til at betale kontant. Visse typer af betalingsmodtagere, fx døgnapoteker, har en særlig samfundsmæssig position. Erhvervsministeren kan derfor fastsætte, at visse typer af betalingsmodtagere skal modtage kontanter hele døgnet. 11
Betalingsdata (1) Udgangspunkt: Persondatalovgivningen finder anvendelse, dog med en række tilføjelser fastsat i lovforslagets 124, stk. 2-5. Udbyderen af betalingstjenester skal altid indhente brugerens udtrykkelige samtykke, hvis der behandles personoplysninger. Der må ikke behandles oplysninger om, hvor betaler har anvendt betalingstjenesten, og hvad den har været anvendt til, til brug for opstilling af forbrugsprofiler, forbrugsmønstre eller anden segmentering. Dvs. behandling af data kan godt ske i forbindelse med funktioner, som ikke indebærer en profilering af den enkelte forbruger, fx elektronisk opbevaring af kvitteringer eller generelle rabatter. Behandling: Enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som oplysninger gøres til genstand for." "Behandling" dækker blandt andet over: Registrering, opbevaring og videregivelse. 12
Betalingsdata (2) Oplysningerne kan dog behandles til brug for kontooplysningstjenester. En kontooplysningstjeneste er en tjenesteydelse, der giver en bruger konsolideret information om en eller flere af dennes betalingskonti, der udbydes af en eller flere kontoførende udbydere. Dette indebærer således alene behandling af brugerens egen data, der alene stilles til rådighed for brugeren selv, eksempelvis i form af et budget eller et forbrugsoverblik. Der kan ikke i den forbindelse i øvrigt ske opstilling af forbrugsprofiler, forbrugsmønstre eller anden segmentering med andre formål. Hvor en funktion, eksempelvis et loyalitetsprogram, er knyttet til en betalingstjeneste, og den tilknyttede funktion og betalingsfunktionen udgør klart adskilte og uafhængige funktioner, er den tilknyttede funktion ikke omfattet af bestemmelsen, da denne ikke udgør en betalingstjeneste. Det vil eksempelvis være tilfældet, hvor dataene behandles i særskilte systemer, behandlingen af den tilknyttede funktionen foretages uafhængigt af betalingsfunktionen, og det er muligt for brugeren at fravælge at bruge den tilknyttede funktionen i hver konkret betalingssituation. 13
Betalingsdata (3) Formålet med forslaget: Regeringen vil gerne give nye muligheder for at behandle data og tilbyde nye innovative produkter. Derfor tillades behandling af betalingsdata, hvis det tjener et konkret formål for forbrugeren. Fx til forbrugsoverblik, budgetter, elektronisk opbevaring af kvitteringer og lignende. Der er dog også lagt vægt på at finde en balance, så forbrugerne får størst mulig gavn af de nye muligheder, uden at gå på kompromis med forbrugerbeskyttelsen. Regeringen vil derfor opretholde forbuddet mod at videresælge data fra betalingskort eller bruge disse data til opstilling af forbrugsprofiler, der fx kan bruges til kreditvurderinger, fastlæggelse af præmier ved køb af forsikring el. lign for at beskytte forbrugeren mod, at private data bliver brugt på en måde, der ikke er i forbrugerens interesse.
Tredjepartsudbydere
Tredjepartsudbydere - tilladelser Der findes to typer af tredjepartsudbydere. Udbydere af kontooplysningstjenester, som giver brugeren konsolideret information om en eller flere af dennes betalingskonti. Udbydere af betalingsinitieringstjenester, som iværksætter en betalingsordre efter instruktion fra en bruger med henblik på at foretage en betalingstransaktion fra en betalingskonto. Udbydere af kontooplysningstjenester skal registreres ved Finanstilsynet. Finanstilsynet kan under visse forudsætninger undlade at foretage registreringen. Udbydere af betalingsinitieringstjenester skal have en tilladelse på linje med betalingsinstitutter. 16
Tredjepartsudbydere adgang til data (1) Hvordan afgrænses tredjepartsudbyderes adgang til kontooplysninger? 85, stk. 1 og 88, stk. 1: Udbydere af betalingsinitieringstjenester eller kontooplysningstjenester må kun anmode om, tilgå, anvende eller lagre oplysninger, som betaleren udtrykkeligt har anmodet om til brug for betalingsinitieringstjenesten eller kontooplysningstjenesten. 87, stk. 2: Udbydere af kontooplysningstjenester må kun tilgå oplysninger fra specifikt angivne betalingskonti og dertil hørende betalingstransaktioner. Føromtalte RTS, der udarbejdes af EBA, vil indeholde mere specifikke krav til, hvordan denne afgrænsning skal løses i praksis. 17
Tredjepartsudbydere adgang til data (2) Hvilke konti omfattes af pligten til at afgive oplysninger til tredjepartsudbydere? 83, stk. 1. Tredjepartsudbydere har adgang til online betalingskonti. Betalingskonto defineres i 7, stk. 1, nr. 16, som en konto oprettet med henblik på at gennemføre betalingstransaktioner. Det afgørende for definitionen af begrebet betalingskonto er om brugeren har etableret kontoen med henblik på at kunne gennemføre betalinger, fx ved at der er tilknyttet et betalingsinstrument. Begrebet betalingskonto omfatter derfor ikke en konto, der er oprettet med henblik på et andet formål, fx opsparingskonti eller pensionsordninger. Adgang til data, der ikke vedrører betalinger eller betalingskonti, er ikke reguleret i lovforslaget. 18
Adgang til at oprette bankkonti
Adgang til at oprette bankkonti Vil betalingsinstitutter have en lovgivningsmæssig ret til at oprette en bankkonto i en vilkårlig bank, og hvilke yderligere rettigheder skal banken i det tilfælde levere? Ja. Pengeinstitutter skal give betalingsinstitutter adgang til sine betalingskontotjenester, med mindre afvisningen kan begrundes på objektive, ikke-diskriminerende og proportionale vilkår. Adgangen omfatter som minimum adgang til en betalingskonto. Denne skal stilles til rådighed på en ikke-diskriminerende måde, der står i rimeligt forhold til det legitime formål, der søges opfyldt. Adgangen skal have et sådant omfang, at betalingsinstituttet kan udbyde sine tjenester uhindret og effektivt. Pengeinstitutter kan give afslag på adgang. Ethvert sådan afslag skal kunne behørigt begrundes, og Konkurrencestyrelsen skal underrettes om afslaget. Der skal således være tale om en konkret vurdering hver gang. OBS! Adgangen omhandler alene muligheden for, at betalingsinstituttet kan åbne en konto til sig selv og ikke til dennes kunder. 20
Stærk autentifikation
Stærk autentifikation (1) Ifølge lovforslagets 127 skal der anvendes stærk autentifikation hver gang en bruger foretager en elektronisk betaling, tilgår sin betalingskonto online eller foretager en anden handling via en enhed til fjernkommunikation, som indebærer en risiko for misbrug. Stærk autentifikation er baseret på anvendelsen af to eller flere elementer, der er kategoriseret som viden, besiddelse og iboende egenskab. Disse skal være uafhængige, så brud på ét element ikke svækker pålideligheden af de andre elementer. EBA fastsætter nærmere krav til stærk autentifikation, samt en række undtagelser for, hvornår dette krav kan fraviges. Senere ikrafttrædelse som tidligere beskrevet. 22
Stærk autentifikation (2) I fysisk handel vil fx en kortbetaling med chip og PIN-kode anses som stærk autentifikation. Hvor der foretages en fjernbetaling skal der anvendes dynamisk linking. Det indebærer, at autentifikationen skal indeholde elementer, der dynamisk knytter transaktionen til et specifikt beløb og en specifik betalingsmodtager. Dvs.: Betaler skal være bekendt med beløbet samt beløbsmodtager på den betaling, der gennemføres via en uafhængig kanal. Autentifikationskoden, der anvendes, skal være specifik knyttet til det beløb og den beløbsmodtager, som er oplyst til brugeren, således at autentifikationskoden ikke kan anvendes til at gennemføre en anden betaling. Føromtalte RTS om stærk autentifikation indeholder nærmere beskrivelse af kravene til dynamisk linking.
Hæftelses- og ansvarsregler
Hæftelses- og ansvarsregler Udgangspunkt: Udbyder hæfter for andres uberettigede brug af betalingstjenesten. Undtagelse: Betaler har handlet svigagtigt eller med forsæt har undladt at opfylde sine forpligtelser efter 93 (beskytte den personlige sikkerhedsforanstaltning, overholde betingelserne, underrette udbyderen). Undtagelse: Betaler hæfter med op til 375 kr., medmindre den uberettigede anvendelse ikke kunne opdages af brugeren og denne ikke har handlet svigagtigt. Undtagelse: Betaler hæfter med op til 8000 kr., hvis udbyderen kan godtgøre, at den personlige sikkerhedsforanstaltning har været anvendt, og: Betaler har undladt at underrette udbyderen om at betalingsinstrumentet er bortkommet, eller den personlige sikkerhedsforanstaltning er kommet andre til kendskab. Betaler har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse. Betaler har muliggjort den uberettigede anvendelse ved groft uforsvarlig adfærd. Undtagelse: Udbyder hæfter ubegrænset, hvis udbyder ikke giver betaler mulighed for at anvende stærk autentifikation, med mindre betaler har handlet med forsæt. Undtagelse: Betaler hæfter ubegrænset, hvis betaler har oplyst den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, og betaleren samtidig indså eller burde indse, at der var risiko for misbrug. 25
Eventuelt Spørgsmål?