sou · H4B353d2 · 2016-08-31 00:00:00 — betalarens betalkonto som denne avser att använda sig av i samband med tjänsten ska stå i kontakt med ett data- system. Av betaltjänstlagen bör det således framgå att en betalare har rätt att använda sig av betalningsinitieringstjänster endast om det betalkonto som betalaren avser använda sig av är tillgängligt online. Det ska också klart framgå att rätten att använda sig att dessa tjänster ska vara oberoende av om det föreligger ett avtalsförhållande mellan den kontoförvaltande betaltjänstleverantören och leverantören av betalningsinitieringstjänster som reglerar användningen av sådana tjänster. En kontoförvaltande betaltjänstleverantör, t.ex. en bank, ska således inte ha rätt att kräva att det ska finnas ett avtal mellan banken och leverantören av betalningsinitieringstjänster för att betalaren ska kunna använda sig av dessa tjänster. Detta hindrar givetvis inte att en kontoförvaltande betaltjänstleverantör och en leverantör av betalningsinitieringstjänster ingår ett avtal i syfte att reglera t.ex. ansvarsfrågor som kan uppstå i samband med att en leverantör av betalningsinitieringstjänster är involverad i en betal- ningstransaktion. Skyldigheter för leverantören av betalningsinitieringstjänster I artikel 66.3 a–h9 anges de skyldigheter som ankommer på leve- rantörer av betalningsinitieringstjänster vid tillhandahållande av sina tjänster. a)får inte inneha betalarens medel i samband med tillhandahållandet av betalningsinitieringstjänsten, b)ska se till att betaltjänstanvändarens personaliserade behörighets- funktioner inte är tillgängliga för andra parter, med undantag för användaren och utgivaren av de personaliserade behörighets- funktionerna, och att de överförs via säkra och effektiva kanaler, c)ska se till att eventuell övrig information om betaltjänstanvändaren som erhållits vid tillhandahållande av betalningsinitieringstjänster endast lämnas till betalningsmottagaren och endast med betal- tjänstanvändarens uttryckliga godkännande, d)ska varje gång en betalning initieras identifiera sig mot konto- innehavarens kontoförvaltande betaltjänstleverantör och kommu- nicera med denne, betalaren och betalningsmottagaren på ett säkert sätt i enlighet med artikel 98.1 d, e)får inte lagra känsliga betalningsuppgifter som tillhör betaltjänst- användaren, f)får inte av betaltjänstanvändaren begära andra uppgifter än sådana som krävs för att tillhandahålla betalningsinitieringstjänster, g)får inte använda, ha tillgång till eller lagra uppgifter för andra ändamål än för att tillhandahålla den betalningsinitieringstjänst som uttryckligen begärs av betalaren och h)får inte ändra beloppet, betalaren eller något annat inslag i trans- aktionen. Som framgår av artikel 66.3 a får en leverantör av betalningsinitie- ringstjänster inte inneha betalarens medel. Detta avser en leveran- tör av enbart betalningsinitieringstjänster. Det kan förekomma att en leverantör av betalningsinitieringstjänster även har tillstånd att bedriva annan betaltjänstverksamhet (eller i fråga om t.ex. en bank, rätt att tillhandahålla betaltjänster utan tillstånd). I sådant fall kan det således vara möjligt för en leverantör av betalningsinitierings- tjänster att initiera en betalning till ett betalkonto som de förvaltar i egenskap av kontoförvaltande betaltjänstleverantör. En fråga i detta sammanhang är vad som avses med känsliga betalningsguppgifter och med personaliserade behörighetsfunktioner, som nämns i artikel 66.3 b) och e). Definitioner av dessa begrepp har införts i direktivets artikel 4.31 och 4.32. Begreppet har behand- lats i avsnitt 4.3 och utredningen föreslår att definitioner av dessa begrepp ska införas i betaltjänstlagen. I detta sammanhang kan på- pekas att det i artikel 4.32 i direktivet anges att kontohavarens namn och kontonummer inte utgör känsliga betalningsuppgifter beträffan- de verksamhet som bedrivs av leverantörer av betalningsinitierings- tjänster. Det kan också noteras att artikel 66.3 c) hindrar leverantören av betalningsinitieringstjänster att utan betaltjänstanvändarens uttryck- liga godkännande förse betalningsmottagaren eller annan part med sådan information som leverantören kan komma över vid tillgång till betaltjänstanvändarens betalkonto, som t.ex. uppgifter om spar- ande, krediter och kontots historik. Artiklarna 66.3 f) och g) hind- rar vidare leverantören av betalningsinitieringstjänster att efterfråga och lagra uppgifter i syfte att t.ex. göra kreditprövningar för annan parts räkning. För att genomföra regleringen i artikel 66.3 bör motsvarande bestämmelser som reglerar de skyldigheter som ankommer på leve- rantörer av betalningsinitieringstjänster införas i betaltjänstlagen. Den kontoförvaltande betaltjänstleverantörens skyldigheter Av artikel 66.2 följer att när en betalare godkänner en betalning som ska genomföras enligt artikel 64 ska den kontoförvaltande betal- tjänstleverantören vidta de åtgärder som anges i artikel 66.4 för att säkerställa betalarens rätt att använda sig av betalningsinitierings- tjänster. Enligt artikel 64.2 kan ett sådant godkännande lämnas via leverantören av betalningsinitieringstjänster, dvs. den kontoförval- tande betaltjänstleverantören mottar inte detta godkännande direkt från betaltjänstanvändaren. Enligt artikel 64 ska den kontoförvaltande betaltjänstleverantö- ren kommunicera säkert med leverantörer av betalningsinitierings- tjänster i enlighet med artikel 98.1 d. ska i sin tur enligt den sistnämnda artikeln utarbeta förslag till tekniska standarder för hur dessa aktörer ska kunna kommunicera via gemensamma och säkra öppna kommunikationsstandarder (artikel 66.4 a). Vidare är den kontoförvaltande betaltjänstleverantören enligt artikel 66.4 b) skyldig att efter mottagande av betalnings- ordern från en leverantör av betalningsinitieringstjänster tillhanda- hålla eller göra tillgänglig för denne all information om initieringen och genomförandet av betalningstransaktionen som är tillgänglig för den kontoförvaltande betaltjänstleverantören. Sådan informa- tion kan utgöras av besked om transaktionen har initierats, och om så inte har skett, skälen till varför initiering inte ägt rum, som t.ex. att det inte fanns medel för täckande av transaktionen på kontot. Slutligen anger artikeln att den kontoförvaltande betaltjänstleve- rantören endast om det finns objektiva skäl får behandla en betal- ningsorder som överförs via en leverantör av betalningsinitierings- tjänster på ett avvikande sätt när det gäller val av tidpunkt, priorite- ring eller avgifter jämfört med betalningsorder som betalaren överför direkt (artikel 66.4 c). Bestämmelsen innebär således att det inte får förekomma någon diskriminering vid behandlingen av en betalnings- order beroende på hur ordern har initierats, om det inte finns objek- tiva skäl att behandla ordern annorlunda. Den kontoförvaltande betaltjänstleverantören kan således inte ta ut en högre avgift för behandling av en betalningsorder som initieras via en leverantör av betalningsinitieringstjänster för att betalningsordern initieras på detta sätt. På frågan vad som skulle kunna utgöra objektiva skäl i detta hänseende kan en parallell dras till artikel 68.5, som reglerar under vilka omständigheter en leverantör av betalningsinitieringstjänster får vägras tillgång till ett betalkonto. Av denna artikel framgår att tillgång till konto får vägras endast om det finns objektivt motive- rade och vederbörligen styrkta skäl rörande att denne leverantör har obehörig eller bedräglig tillgång till betalkontot (mer om denna bestämmelse se avsnittet nedan). Ett sådant objektivt skäl som avses i artikel 66.4 c) kan således vara att den kontoförvaltande betal- tjänstleverantören kan styrka att leverantören av betalningsinitie- ringstjänster har obehörig tillgång till det aktuella betalkontot. För att genomföra artikel 66.4 bör en bestämmelse med motsvar- ande innehåll införas i betaltjänstlagen, och reglera vilka åtgärder som ankommer på den kontoförvaltande betaltjänstleverantören i samband med betalningsinitieringstjänster. För att säkerställa en betaltjänstanvändares rätt att använda sig av dessa tjänster och för att trygga en rättvis konkurrens på mark- naden bör det av betaltjänstlagen tydligt framgå att den konto- förvaltande betaltjänstleverantören inte får behandla en betalnings- order som överförs via en leverantör av betalningsinitieringstjänster på ett avvikande sätt om det inte finns objektiva skäl för en sär- behandling. Ikraftträdande av regler om säkerhetsåtgärder Som framgår av redogörelsen ovan är leverantören av betalnings- initieringstjänster enligt artikel 66.3 d) skyldig att varje gång en betalning initieras identifiera sig mot kontoinnehavarens kontoför- valtande betaltjänstleverantör och kommunicera med denne, betalaren och betalningsmottagaren på ett säkert sätt i enlighet med arti- kel 98.1 d). Den kontoförvaltande betaltjänstleverantören är å sin sida enligt artikel 66.4 a) skyldig att kommunicera säkert med leve- rantörer av betalningsinitieringstjänster i enlighet med artikel 98.1 d). ska emellertid först till överlämna sitt förslag på tekniska standarder för säker kommu- nikation enligt artikel 98.1. Enligt artikel 98.2 ska standarderna bl.a. syfta till att säkerställa en lämplig säkerhetsnivå för betaltjänst- användare och leverantörer av betaltjänster, säkerställa skydd för betaltjänstanvändarens medel och personuppgifter, upprätthålla rätt- vis konkurrens mellan alla betaltjänstleverantörer och möjliggöra utveckling av användarvänliga och innovativa betalningsmedel. Av artikel 115.4 följer att de säkerhetsåtgärder som avses i bl.a. artikel 66.3 d) och 66.4 a) ska tillämpas arton månader efter dagen för ikraftträdandet av de tekniska standarder för tillsyn som avses i artikel 98. Med säkerhetsåtgärder torde här avses formerna för sättet att kommunicera säkert, och inte att tredjepartsbetaltjänstleveran- törerna ska identifiera sig gentemot den kontoförvaltande betal- tjänstleverantören. Det är alltså inte nu möjligt att hänvisa till de tekniska standard- erna som avses i artikel 98 för säker kommunikation. I och med att bestämmelserna i artikel 66 angående säker kommunikation inte ska tillämpas förrän efter ikraftträdandet av dessa standarder, är det inte behövligt att det framgår vare sig av lag eller föreskrifter hur denna kommunikation ska utformas i väntan på att de tekniska standarderna träder ikraft. Artikel 115 senarelägger således ikraftträdandet av de säkerhets- åtgärder som avses i artiklarna 66.3 d) och 66.4 a). Detta innebär inte att ikraftträdandet av de övriga bestämmelserna i artikel 66 också senareläggs, utan dessa ska träda ikraft som de bestämmel- ser som genomför övriga artiklar i direktivet, vilket ska ske fr.o.m. (artikel 115.2) Av artikel 115.5 framgår tvärt- om att medlemsstaterna inte får förbjuda juridiska personer som före har bedrivit verksamhet som leverantörer av betalningsinitieringstjänster eller kontoinformationstjänster att fort- sätta att bedriva samma verksamhet under den övergångsperiod som avses i punkterna 2 och 4 i enlighet med den det regelverk som gäller i väntan på att det andra betaltjänstdirektivet träder ikraft. Vidare följer det av artikel 115.6 att medlemsstaterna ska se till att enskilda kontoförvaltande betaltjänstleverantörer, fram tills dess att kontoförvaltande betaltjänstleverantörer följer de tekniska standard- er som avses i punkt 4, inte missbrukar den bristande efterlevnaden för att blockera eller förhindra användningen av betalningsinitierings- och kontoinformationstjänster för de konton som de förvaltar. Av detta följer att leverantörerna av dessa tjänster ska identifiera sig mot och kommunicera med den kontoförvaltande betaltjänstleve- rantören via de kanaler som är tillgängliga i väntan på att de tekniska standarderna på området träder ikraft. Som framgår av artikel 97.5 (som behandlas närmare i avsnitt 10.4) har leverantörer av betalningsinitieringstjänster respektive kontoinformationstjänster rätt att använda sig av de autentiseringsförfaranden som tillhanda- hålls av den kontoförvaltande betaltjänstleverantören, vilket även torde vara fallet i fråga om den övergångsperiod som följer av arti- kel 115.4. Utredningen återkommer till denna reglering i avsnittet om övergångsbestämmelser. Tillgång till betalkonto för leverantören av betalningsinitieringstjänster I det andra betaltjänstdirektivets artikel 68 finns bestämmelser om begränsning av betalningsinstruments användning och tillgång till betalkonton för betaltjänstleverantörer. I artikel 68.1–68.4, som mot- svarar det första direktivets artikel 55.1–55.4, finns bl.a. bestämmel- ser om begränsning av betalningsinstruments användning. Reglerna har genomförts i 5 kap. 4 § betaltjänstlagen. I artikel 68.5, som är ny, anges att en kontoförvaltande betal- tjänstleverantör får vägra en leverantör av betalningsinitieringstjänster eller kontoinformationstjänster tillgång till ett betalkonto av objek- tivt motiverade och vederbörligen styrkta skäl rörande obehörig eller bedräglig tillgång till betalkontot, vilket inbegriper obehörig eller bedräglig initiering av en betalningstransaktion. I sådana fall ska den kontoförvaltande betaltjänstleverantören informera betalaren om att leverantören av betalningsinitieringstjänster eller kontoinforma- tionstjänster har vägrats tillgång till betalkontot och om skälen till detta. Den informationen ska, om möjligt, ges till betalaren innan tillgång vägras och senast direkt därefter, om inte tillhandahållandet av sådan information hindras av objektivt motiverade säkerhetsskäl eller förbjuds i annan relevant unionsrätt eller nationell rätt. Den kontoförvaltande betaltjänstleverantören ska medge tillgång till betalkontot när skälen för att vägra tillgång inte längre före- ligger. Av artikel 68.6 framgår att den kontoförvaltande betaltjänst- leverantören ska rapportera om en incident i de fall som avses i punkt 5 till den behöriga myndigheten. Myndigheten ska bedöma fallet och vid behov vidta lämpliga åtgärder. Informationen ska enligt bestämmelsen innefatta relevanta uppgifter om fallet och skälen till att åtgärder vidtas. I konsekvens med artikel 68 bör det i betaltjänstlagen anges att en kontoförvaltande betaltjänstleverantör endast får vägra en leve- rantör av betalningsinitieringstjänster tillgång till ett betalkonto om det finns sådana skäl som anges i artikeln. Detta bör uttryckas så att den kontoförvaltande betaltjänstleverantören ska kunna styrka att leverantören av betalningsinitieringstjänster har obehörig tillgång till betalarens betalkonto. Ett exempel på obehörig tillgång till betal- kontot torde vara om leverantören av betalningsinitieringstjänster obehörigen har initierat en betalningstransaktion från betalkontot. Vad som avses med att den kontoförvaltande betaltjänstleveran- tören ska kunna styrka obehörig tillgång till ett betalkonto beror på omständigheterna i det enskilda fallet. Ett bevis för att styrka obehörig tillgång till ett betalkonto skulle t.ex. kunna vara en be- kräftelse från betalkontots innehavare att denne inte har initierat en viss betalningstransaktion eller gett en leverantör av betalnings- initieringstjänster tillgång till kontot. Som huvudregel ska den kontoförvaltande betaltjänstleveran- tören på avtalat sätt informera betalaren om att leverantören av betalningsinitieringstjänster har vägrats tillgång till betalarens betal- konto och skälen till detta. Hur informationen ska lämnas bör alltså vara föremål för det avtal som träffats mellan den kontoförvaltande betaltjänstleverantören och betaltjänstanvändaren. Av betaltjänst- lagen bör framgå att sådan information ska lämnas innan leveran- tören av betalningsinitieringstjänster nekas tillgång till betalkontot om detta är möjligt, eller direkt efter att blockeringen har gjorts. Som följer av direktivet bör det dock anges att information inte får lämnas om det är oförenligt med annan lag eller om det är motiverat av säkerhetsskäl att inte göra det. En bestämmelse med motsvaran- de innehåll finns i 5 kap. 4 § tredje stycket betaltjänstlagen, som reglerar frågan om information till betalaren när ett betalnings- instrument är föremål för spärrning. Exempel på en situation när det kan vara oförenligt med annan lag att lämna information är om det finns misstanke att betalnings- instrumentet har använts för penningtvätt. Att i en sådan situation informera betalaren om att tillgång till betalkontot har vägrats pga. misstanke om penningtvätt skulle strida mot bestämmelsen om meddelandeförbud i 3 kap. 4 § första stycket lagen (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism. Vad som utgör sådana säkerhetsskäl som skulle medföra att information inte ska lämnas har inte utvecklats i direktivet. Regeringen har i förarbe- tena till bestämmelsen i 5 kap. 4 § tredje stycket behandlat frågan om vad som kan utgöra sådana säkerhetsskäl som kan hindra betal- tjänstleverantören från att meddela betaltjänstanvändaren om att ett betalningsinstrument är föremål för spärrning. Enligt regeringens bedömning bör bedömningen av om sådana säkerhetsskäl föreligger ha sin utgångspunkt i om informationen skulle öka risken i betal- ningssystemet eller på något annat sätt skada betalningssystemets stabilitet. Bedömningen av om betaltjänstleverantören ska underlåta att informera betalaren om spärren ska göras i varje enskilt fall och bör vara restriktiv.3 Regeringens uttalande i frågan om vad som utgör sådana säkerhetsskäl som avses i 5 kap. 4 § tredje stycket 3 a.a. s. 213. betaltjänstlagen bör även ha bäring på bedömningen om det finns sådana säkerhetsskäl som medför att information inte ska lämnas till betalaren i de fall en leverantör av betalningsinitieringstjänster nekas tillgång till ett betalkonto. I likhet med regleringen i 5 kap. 4 § fjärde stycket betaltjänst- lagen, som anger att en spärr av ett betalningsinstrument ska hävas så snart det inte längre finns skäl att låta den kvarstå, bör det i betal- tjänstlagen anges att den kontoförvaltande betaltjänstleverantören ska medge tillgång till betalkontot så snart det inte längre finns skäl att vägra sådan tillgång (jfr once i den engelska originaltexten). Den kontoförvaltande betaltjänstleverantören bör vidare åläggas en skyl- dighet att rapportera till när en leverantör av betalningsinitieringstjänster har vägrats tillgång till ett betalkonto och skälen för detta. ska vid behov vidta lämpliga åtgärder. En fråga i detta sammanhang är om betaltjänstanvändaren kan lämna besked till den kontoförvaltande betaltjänstleverantören om denne inte önskar att vissa leverantörer av betalningsinitierings- tjänster får ha tillgång till dennes betalkonto, dvs. om vägran till tillgång till betaltjänstanvändarens konto kan baseras på betaltjänst- användarens besked i frågan och inte på sådana misstankar som anges i artikel 68.5. I och med att betaltjänstanvändarens uttryck- liga godkännande krävs för att initiera en betalningstransaktion via en leverantör av sådana tjänster bör det vara möjligt för betaltjänst- användaren att i förväg lämna besked till den kontoförvaltande betaltjänstleverantörer att vissa angivna leverantörer av betalnings- initieringstjänster inte får ha tillgång till betalkontot ifråga. Betal- tjänstanvändaren måste dock när som helst ha rätt att återta ett sådant besked, för att rätten att använda sig av dessa tjänster enligt artikel 66.1 inte ska äventyras. På motsvarande sätt bör det vara möjligt för betaltjänstanvändaren att lämna besked till den konto- förvaltande betaltjänstleverantören om vilka leverantörer av betal- ningsinitieringstjänster som användaren godkänner har tillgång till betalkontot. Ett sådant godkännande bör dock inte hindra den kontoförvaltande betaltjänstleverantören att vägra en leverantör av betalningsinitieringstjänster tillgång till kontot om det föreligger sådana skäl som anges i artikel 68.5 i syfte att skydda betaltjänst- användarens medel. 6.2.8Vägran att initiera en betalningstransaktion Förslag: Det ska av betaltjänstlagen framgå att en betaltjänst- leverantör har samma skyldigheter vid vägran att initiera en betal- ningstransaktion som vid vägran att utföra en betalningsorder. Vidare bör det framgå att betaltjänstleverantören, om villkoren i ramavtalet med betalaren inte är uppfyllda, inte heller får vägra att utföra en betalningsorder som initierats av en betalare genom en leverantör av betalningsinitieringstjänster. Regler om vad som gäller när en betaltjänstleverantör vägrar att utföra en betalningsorder finns i artikel 79.1. I sådana fall ska betal- tjänstleverantören meddela betaltjänstanvändaren detta och ange både skälen för vägran och hur betaltjänstanvändaren ska gå tillväga för att korrigera eventuella fel från dennes sida som lett till vägran. Av artikel 79.1 framgår att samma skyldigheter åligger en betal- tjänstleverantör vid vägran att initiera en betalningstransaktion som vid vägran att genomföra en betalningsorder. Enligt artikel 79.2 får betalarens betaltjänstleverantör som huvudregel inte vägra att ut- föra en godkänd betalningsorder om alla villkor i ramavtalet med betalaren är uppfyllda. Detta gäller oavsett om betalningsordern initierats av en betalare, inklusive en leverantör av betalningsinitie- ringstjänster, eller av betalningsmottagaren. Artikel 79.1–2 motsva- rar i stort sett det första betaltjänstdirektivets artikel 65.1–2. De tillägg som har gjorts rör alltså endast betalningsinitieringstjänster. Det första betaltjänstdirektivets bestämmelser om vad som gäller vid vägran att utföra en betalningsorder har genomförts genom regleringen i 5 kap. 10–11 §§. För att genomföra det andra betal- tjänstdirektivets ändringar bör motsvarande tillägg om betalnings- initieringstjänster göras i de angivna paragraferna. 6.2.9Återkallelse av en betalningsorder Förslag: Det ska föreskrivas i betaltjänstlagen att om en betal- ningstransaktion har initierats via en leverantör av betalnings- initieringstjänster får betalaren inte återkalla betalningsordern efter att ha godkänt att leverantören initierar transaktionen. I det andra betaltjänstdirektivets artikel 80 regleras under vilka förhållanden en betalningsorder får återkallas. Artikeln motsvarar huvudsakligen det första betaltjänstdirektivets artikel 66 med undan- tag av ett tillägg i artikel 80.2 om återkallelse av betalningsorder som har initierats av en leverantör av betalningsinitieringstjänster. Av detta tillägg följer att om en betalningstransaktion initieras av en sådan leverantör får betalaren inte återkalla ordern efter att ha gett sitt godkännande till leverantören att initiera betalningstransak- tionen. En betalningstransaktion ska betraktas som godkänd om betalaren har lämnat sitt samtycke till den (artikel 64.1. och 5 kap. 3 § betaltjänstlagen). En bestämmelse som motsvarar det första betaltjänstdirektivets artikel 66.2 finns i 5 kap. 14 § första stycket betaltjänstlagen och reglerar frågan om återkallelse av betalningsorder som initierats av betalningsmottagaren (t.ex. vid en överföring med autogiro) eller genom denne (t.ex. vid betalning med kontokort i butik). För att genomföra det andra betaltjänstdirektivets regler om åter- kallelse av betalningsorder som initieras av en leverantör av betal- ningsinitieringstjänster bör det i den nämnda bestämmelsen i betal- tjänstlagen göras ett tillägg som omfattar betalningstransaktioner som initierats av dessa leverantörer och som motsvarar direktivets bestämmelse i artikel 80.2. Av artikel 80.5 (som motsvarar det försa betaltjänstdirektivets artikel 66.5) följer att efter utgången av de tidsfrister som anges i artikelns punkter 1–4 får betalningsordern återkallas endast om detta har avtalats av betaltjänstanvändaren och de berörda betaltjänstleve- rantörerna (tidigare endast betaltjänstleverantören).