prop · H50377 · 2018-01-30 00:00:00 — Regeringens förslag: En betaltjänstleverantör ska till Finansinspek- tionen rapportera vilka operativa risker och säkerhetsrisker som är förknippade med de betaltjänster som leverantören tillhandahåller och vilka åtgärder som har vidtagits för att hantera dessa risker. Betaltjänstleverantören ska till lämna statistiska uppgifter om svikliga förfaranden som har ägt rum i samband med användningen av leverantörens betaltjänster. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vilka uppgifter som ska lämnas till Finans- inspektionen i dessa avseenden samt hur och när uppgifterna ska lämnas. Regeringens bedömning: Skyldigheten för att tillhandahålla Europeiska bankmyndigheten och Europeiska central- banken en sammanställning av de uppgifter om bedrägerier som inspektionen tagit emot bör genomföras genom föreskrifter på förord- ningsnivå. Utredningens förslag överensstämmer med regeringens förslag. Utredningen gör ingen bedömning när det gäller skyldigheten för den behöriga myndigheten att tillhandahålla och en samman- ställning av de uppgifter om bedrägerier som tagits emot. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. anser att det vore olyck- ligt att begränsa statistikrapporteringen till bedrägerier och att denna skyldighet bör avse samtliga kortreklamationer och beviljade kort- reklamationer. Skälen för regeringens förslag och bedömning: Enligt andra betaltjänstdirektivet ska medlemsstaterna se till att betaltjänstleveran- törerna till den behöriga myndigheten , eller enligt kortare inter- vall som fastställs av den behöriga myndigheten, lämnar en uppdaterad och övergripande bedömning av operativa risker och säkerhetsrisker hos de betaltjänster som de tillhandahåller och om lämpligheten av de begränsningsåtgärder och kontrollmekanismer som genomförs för att hantera dessa risker (artikel 95.2). Vidare ska medlemsstaterna se till att betaltjänstleverantörerna åtminstone en gång tillhandahåller de behöriga myndigheterna statistiska uppgifter om bedrägerier i samband med olika betalningsmedel. De behöriga myndigheterna ska tillhanda- hålla och sådana uppgifter i aggregerad form (artikel 96.6). De nu aktuella reglerna i andra betaltjänstdirektivet bör genomföras i svensk rätt i motsvarande bestämmelser i betaltjänstlagen. Vidare bör regeringen eller den myndighet som regeringen bestämmer få meddela föreskrifter om vilka uppgifter betaltjänstleverantörerna ska rapportera i dessa avseenden samt när och i vilken form rapporteringen ska göras. Vid utformningen av nationella föreskrifter om den rapportering som rör operativa risker och säkerhetsrisker ska i förekommande fall riktlinjer från och eventuella tekniska standarder som antas av kommissionen beaktas (se avsnitt 11.2.1). Det är något oklart hur betaltjänstleverantörernas skyldighet att till- handahålla statistiska uppgifter om bedrägerier som har skett i samband med användningen av olika betalningsmedel (eng. means of payment) ska förstås. Regeringen instämmer med utredningen att betaltjänstleverantörernas skyldighet att lämna statistiska uppgifter om bedrägerier i stället bör avse bedrägerier i samband med användning av betaltjänster. Som utredningen framhåller är det också oklart vad termen ”bedrägerier” omfattar i direktivet. Det står t.ex. inte klart om termen avser anmälda eller endast konstaterade bedrägerier. Regeringen anser att uppgiftsskyldigheten bör utformas i enlighet med Lagrådets synpunkter och avse svikliga förfaranden, vilket omfattar bedrägerier. Vilka upp- gifter som ska rapporteras kommer vidare att vara föremål för detaljerade riktlinjer från , vilka håller på att tas fram (se Consultation Paper on Draft Guidelines on fraud reporting requirements under Article 96[6] of Directive [EU] 2015/2366 [PSD2] [/CP/2017/13]). anser att det vore olyckligt att begränsa statistik- rapporteringen till bedrägerier och att rapporteringsskyldigheten bör avse samtliga kortreklamationer och beviljade kortreklamationer. Regeringen bedömer att rapporteringsskyldigheten i detta avseende bör utformas i enlighet med direktivet och således motsvara sådana uppgifter som ska tillhandahållas och . Som framgår ovan kommer den närmare gränsdragningen av vilka svikliga förfaranden som bör ingå i statistiken vara föremål för riktlinjer från och den kan även preciseras i före- skrifter på lägre nivå än lag. Utredningen behandlar inte frågan om hur regeln om att den behöriga myndigheten ska tillhandahålla och en sammanställning av de uppgifter om bedrägerier som den tagit emot ska genomföras (artikel 96.6 andra meningen). Regeringen bedömer att en motsvarande skyldighet för bör tas in i föreskrifter på lägre nivå än lag. samlar med stöd av lagen (1988:1385) om riks- bank (i det följande benämnd riksbankslagen) in en mängd uppgifter och har i praktiken ansvar för ett flertal statistikområden. Det gäller dels den svenska betalningsbalansstatistiken, dels ett antal olika områden inom finansiell statistik, som t.ex. statistik över bankernas balansräkningar. ramen för sitt uppdrag att främja ett säkert och effektivt betalnings- väsende samlar också in information och statistik från aktörer på betalningsmarknaden, vilken redovisas i olika publikationer. Ett finansinstitut eller annat företag som står under tillsyn av Finans- inspektionen ska efter anmodan av lämna de uppgifter som anser nödvändiga för att följa utvecklingen på valuta- och kreditmarknaderna samt övervaka betalningssystemets stabilitet (6 kap. 9 § riksbankslagen). Även har alltså ett berättigat intresse av att ta del av information om svikliga förfaranden som förekommer i samband med användning av betalningsinstrument. myndigheter kan begära ut information från betaltjänstleverantörerna riskerar att öka den administrativa bördan för dessa. och är skyldiga att samråda med och lämna uppgifter till varandra i viktigare frågor som har samband med betalningssystemets stabilitet eller berör ansvar för valuta- och kreditpolitiken och för betalningsväsendet, respektive tillsynsverksamhet (4 kap. 3 § riksbankslagen och 7 § förordningen [2009:93] med instruktion Det är önskvärt att och Finans- inspektionen så långt det är möjligt samordnar sin informationsinsamling från betaltjänstleverantörerna för att minimera bördan för de uppgifts- De båda myndigheterna bör således sträva efter att deras informationsinhämtning inte medför mer dubbelarbete för den enskilde betaltjänstleverantören än att denne i praktiken ska förse dem med samma information . Skyldighet att rapportera allvarliga incidenter Regeringens förslag: En betaltjänstleverantör ska så snart det kan ske underrätta om en allvarlig operativ incident eller säkerhetsincident som uppkommit i verksamheten. Om incidenten påverkar eller kan påverka betaltjänstanvändarnas ekonomiska intressen, ska betaltjänstleverantören så snart det kan ske informera betaltjänstanvändarna om incidenten och om de åtgärder som kan vidtas för att begränsa risken för skada. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vad som utgör en allvarlig operativ incident eller säkerhetsincident, hur bedömningen av om en incident påverkar eller kan påverka betaltjänstanvändarnas ekonomiska intressen ska göras och hur betaltjänstanvändarna ska informeras. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. riksbank avstyrker förslaget att endast ska utses som behörig myndighet när det gäller rapportering av allvarliga operativa incidenter och säkerhets- I stället bör både och utses till behöriga myndigheter. påpekar att det kan vara svårt för en leverantör av en betalningsinitieringstjänst att informera betaltjänstanvändarna om incidenten då leverantören inte alltid har kontaktuppgifter till betalaren. Skälen för regeringens förslag: Enligt en ny regel i andra betaltjänstdirektivet ska betaltjänstleverantörerna utan onödigt dröjsmål underrätta den behöriga myndigheten i betaltjänstleverantörens hem- medlemsstat vid allvarliga operativa incidenter eller säkerhetsincidenter. Om incidenten påverkar eller kan påverka betaltjänstanvändarnas eko- nomiska intressen ska betaltjänstleverantören utan onödigt dröjsmål informera betaltjänstanvändarna om incidenten och om alla tillgängliga åtgärder de kan vidta för att begränsa incidentens negativa effekter (artikel 96.1). har i enlighet med direktivet (artikel 96.3 a) tagit fram riktlinjer för betaltjänstleverantörer om klassificeringen av allvarliga incidenter och om innehållet, formatet och förfarandet för att anmäla sådana incidenter (Riktlinjer för rapportering vid allvarliga incidenter enligt direktiv [EU] 2015/2366 [andra betaltjänstdirektivet] [/GL/2017/10]). De nu aktuella reglerna i det andra betaltjänstdirektivet om betaltjänst- leverantörernas rapporteringsskyldighet till behöriga myndigheter och betaltjänstanvändarna bör genomföras i svensk rätt i motsvarande bestämmelser i betaltjänstlagen. Vidare bör regeringen eller den myndig- het som regeringen bestämmer få meddela föreskrifter om vad som utgör en allvarlig operativ incident eller säkerhetsincident, hur bedömningen av om en incident påverkar eller kan påverka betaltjänstanvändarnas eko- nomiska intressen ska göras och hur betaltjänstanvändarna ska infor- meras om incidenten och om de åtgärder som de kan vidta för att be- gränsa risken för skada. Allmänt kan sägas att information till betaltjänstanvändarna om incidenter som kan påverka deras ekonomiska intressen ofta bör kunna ges via betaltjänstleverantörens webbplats eller via internetbanken för att snabbt nå så många användare som möjligt. Det kan emellertid övervägas om information i annan form, t.ex. genom utskick per post, bör göras i vissa fall för att säkerställa att samtliga användare nås av informationen. riksbank anser att det är viktigt den utan onödigt dröjsmål får del av information om allvarliga incidenter i betalningssystemet och det därför är angeläget att både och utses till behöriga myndigheter när det gäller rapportering om allvarliga operativa incidenter och säkerhetsincidenter. Regeringen delar upp- fattning att det är viktigt att så snart det kan ske får del av information om allvarliga operativa incidenter och säkerhetsincidenter. Enligt förslaget i avsnitt 11.3.2 ska vara skyldig att så snart det kan ske lämna sådan information till . Regeringen bedömer att behov av information i nu aktuellt avseende bör tillgodoses genom den information som ska lämna. Det finns därför inte skäl att utse till behörig myndighet. påpekar att det kan vara svårt för en leverantör av en betalningsinitieringstjänst att informera betaltjänstanvändarna om en incident, eftersom leverantören inte alltid har kontaktuppgifter till betalaren. Regeringen har i och för sig förståelse för att detta kan innebära en svårighet för en sådan betaltjänstleverantör, men ett sådant 2017/18:77 krav är av stor vikt för att skydda betaltjänstanvändarnas intressen. Det bör även vara möjligt för en leverantör av en betalningsinitieringstjänst att få kontaktuppgifter till betalaren från dennes kontoförvaltare. Det är i sammanhanget viktigt att framhålla att den aktuella betaltjänst- användaren ska informeras utan onödigt dröjsmål. Visst dröjsmål för att betaltjänstanvändaren måste göra efterforskningar för att få fram kontakt- uppgifter till en betalare kan inte anses som onödigt. skyldigheter i samband med Regeringens förslag: När har tagit emot en underrättelse om en allvarlig operativ incident eller säkerhetsincident ska inspektionen så snart det kan ske informera och andra berörda svenska myndigheter, Europeiska bankmyndigheten och Regeringens bedömning: Regeln i det andra betaltjänstdirektivet om att de behöriga myndigheterna på grund av en underrättelse från Europeiska bankmyndigheten och om en incident i förekommande fall ska vidta alla nödvändiga åtgärder för att skydda det finansiella systemets omedelbara säkerhet föranleder inte Utredningens förslag överensstämmer i huvudsak med regeringens Utredningen behandlar inte frågan om hur skyldigheten för den behöriga myndigheten att lämna uppgifter till andra myndigheter än och ECB ska genomföras. Utredningen gör inte någon bedömning när det gäller regeln i direktivet om att den behöriga myndigheten på grund av en underrättelse från och om en incident ska vidta alla nöd- vändiga åtgärder för att skydda det finansiella systemets omedelbara Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag och bedömning: Enligt andra betaltjänstdirektivet ska den behöriga myndigheten i hemmedlemsstaten, efter att ha mottagit en underrättelse om en allvarlig operativ incident eller säkerhetsincident som uppkommit i en betaltjänstleverantörs verksamhet, utan onödigt dröjsmål låta och ta del av relevanta uppgifter om Den behöriga myndigheten ska även, efter att ha bedömt incidentens relevans för berörda myndigheter i den medlemsstaten, informera dem i enlighet med detta. och ska, i samarbete med den behöriga myndigheten i hemmedlemsstaten, bedöma incidentens relevans för andra berörda unionsmyndigheter och nationella myndig- heter och informera dem i enlighet med detta. medlemmarna i Europeiska centralbankssystemet om frågor som är relevanta för betalningssystemet. På grundval av den underrättelsen ska de behöriga myndigheterna i förekommande fall vidta alla nödvändiga åtgärder för att skydda det finansiella systemets omedelbara säkerhet (artikel 96.2). har i enlighet med direktivet (artikel 96.3 b) tagit fram riktlinjer för behöriga myndigheter om kriterierna för att bedöma en incidents relevans för andra myndigheter och vilka uppgifter i incident- Prop. 2017/18:77 rapporter som andra myndigheter ska få del av (Riktlinjer för rapportering vid allvarliga incidenter enligt direktiv [EU] 2015/2366 [andra betaltjänstdirektivet]). För att genomföra andra betaltjänstdirektivet i denna del bör det i betal- tjänstlagen tas in en bestämmelse som innebär att , efter att ha tagit emot en underrättelse om en allvarlig incident, så snart det kan ske ska lämna och relevant information om den inträffade händel- sen. Enligt regeringens uppfattning bör det, i enlighet med direktivet, även tas in en bestämmelse i betaltjänstlagen som innebär att Finans- inspektionen så snart det kan ske ska lämna relevant information till berörda svenska myndigheter. Som framgår i avsnitt 11.3.1 delar regeringen uppfattning att så snart det kan ske bör få del av uppgifter om allvarliga operativa incidenter och säkerhets- incidenter. För att tydliggöra detta bör det i lagen uttryckligen anges att relevant information ska lämnas till . Enligt direktivet ska den behöriga myndigheten på grund av en under- rättelse från och om en incident vidta alla nödvändiga åtgärder för att skydda det finansiella systemets omedelbara säkerhet (artikel 96.2 tredje stycket). Regeringen bedömer att denna regel innebär en hand- lingsplikt för den behöriga myndigheten men inte att den ska ges ytter- ligare befogenheter. ansvarar bl.a. för tillsynen som rör finansiella marknader och finansiella företag och arbetar bl.a. för att det finansiella systemet ska vara stabilt och präglas av högt förtroende med väl fungerande marknader som tillgodoser hushållens och före- tagens behov av finansiella tjänster (1 och 2 §§ förordningen med instruktion för ). Av detta följer att Finansinspek- tionen har att vidta nödvändiga åtgärder för att skydda det finansiella systemets omedelbara säkerhet som föranleds av information från och . Direktivet i denna del föranleder därför inte någon lagstift- ningsåtgärd. Regeringens förslag: En betaltjänstleverantör ska tillämpa stark kundautentisering när betalaren loggar in på sitt betalkonto online, initierar en elektronisk betalningstransaktion eller genomför någon åtgärd på distans som kan innebära en risk för svikligt förfarande eller andra former av missbruk. För elektroniska betalningstransaktioner som genomförs på distans ska betaltjänstleverantören tillämpa stark kundautentisering som kopplar transaktionen till ett specifikt belopp och en specifik betal- ningsmottagare. Kraven på stark kundautentisering ska inte gälla om annat följer av tekniska standarder som antagits av kommissionen. En kontoförvaltande betaltjänstleverantör som tillhandahåller betal- tjänstanvändaren ett betalkonto som är tillgängligt online ska göra det möjligt för tredjepartsbetaltjänstleverantörer att förlita sig på den 2017/18:77 autentisering som den kontoförvaltande betaltjänstleverantören till- handahåller betaltjänstanvändaren. När stark kundautentisering tillämpas ska betaltjänstleverantören vidta särskilda åtgärder för att skydda betaltjänstanvändarens per- sonliga behörighetsfunktioner mot obehörig åtkomst och förvansk- ning. Utredningens förslag överensstämmer delvis med regeringens förslag. Utredningens förslag avviker från regeringens förslag genom att enligt utredningens förslag ska stark kundautentisering tillämpas endast av kontoförvaltande betaltjänstleverantörer och av betalningsmottagarens betaltjänstleverantör i vissa fall. Enligt utredningens förslag ska det i betaltjänstlagen tas in en särskild bestämmelse om ansvaret för stark kundautentisering när en betalning initieras via en leverantör av betal- ningsinitieringstjänster eller när information begärs via en leverantör av kontoinformationstjänster. Utredningen föreslår inte någon uttrycklig bestämmelse om att en kontoförvaltande betaltjänstleverantör ska möjlig- göra för tredjepartsbetaltjänstleverantörer att förlita sig på de autentise- ringsförfaranden som den tillhandahåller. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Datainspektionen påpekar att bestämmel- serna om stark kundautentisering väcker frågan om ska vara tillsynsmyndighet för bl.a. bankers it-säkerhet och hänvisar bl.a. till att Datainspektionen i tillsynsärenden har riktat kritik mot vissa bankers mobilappar, framför allt när det gäller hur bankerna säkerställde användarens identitet. framhåller att det är stor skillnad på att en leverantör av betalningsinitieringstjänster eller konto- informationstjänster enligt andra betaltjänstdirektivet ska kunna förlita sig på de autentiseringsförfaranden som den kontoförvaltande betaltjänst- leverantören förser betaltjänstanvändaren med (artikel 97.5) och att en sådan leverantör enligt utredningens förslag ska kunna använda de autentiseringsförfaranden som den kontoförvaltande betaltjänstleveran- tören förser betaltjänstanvändaren med. framför synpunkter när det gäller genomförandet av tekniska standarder om stark kund- autentisering och säker kommunikation. anser att direktivets regel om att en leverantör av betalningsinitieringstjänster eller konto- informationstjänster ska kunna förlita sig på de autentiseringsförfaranden som den kontoförvaltande betaltjänstleverantören förser betaltjänst- användaren med ska anges i lag (artikel 97.5). Även anser att denna regel måste anges i lag. anser vidare att den bestämmelse som utredningen föreslår om att kraven på stark kundautentisering ska gälla i tillämpliga delar för betalningsmottagarens betaltjänstleverantör när en betalning initieras via betalningsmottagaren bör förtydligas. framhåller i detta avseende att stark kund- autentisering ska tillämpas av betalarens kontoförvaltande betaltjänst- leverantör i de fall det i själva verket är betalaren som initierar betal- ningen, t.ex. i vissa fall då en ”card-on-file” etablerats och vid köp med kreditkort. Skälen för regeringens förslag I andra betaltjänstdirektivet har uttrycket stark kundautentisering införts. Stark kundautentisering definieras i direktivet som en autentisering som grundas på användning av två eller flera element, kategoriserade som kunskap (något som bara användaren vet), innehav (något som bara användaren har) och unik egenskap (något som användaren är), som är fristående från varandra så att det faktum att någon har kommit över ett av elementen inte äventyrar de andra elementens tillförlitlighet, och som är utformad för att skydda autentiseringsuppgifternas sekretess (artikel 4.30, se närmare om definitionen i avsnitt 5.3.4). När och av vem ska stark kundautentisering tillämpas? Enligt nya regler i andra betaltjänstdirektivet ska betaltjänstleveran- törerna tillämpa stark kundautentisering när en kund loggar in på sitt konto online, initierar en elektronisk betalningstransaktion eller genom- för någon åtgärd på distans som kan innebära en risk för betalnings- bedrägeri eller andra missbruk (artikel 97.1). När det gäller initieringen av elektroniska betalningstransaktioner ska medlemsstaterna säkerställa att betaltjänstleverantörerna för elektroniska betalningstransaktioner på distans tillämpar stark kundautentisering som ska omfatta inslag som på ett dynamiskt sätt kopplar transaktionen till ett specifikt belopp och en specifik betalningsmottagare (artikel 97.2). Noteras bör att i den svenska språkversionen av direktivet används uttrycket sträng kundautentisering i dessa regler vilket är fel (se definitionen i artikel 4.30 och den engelska språkversionen där det genomgåendes anges ”strong customer authenti- cation” samt notera att samma fel även förekommer i artikel 92.1). De nu aktuella reglerna i andra betaltjänstdirektivet (artikel 97.1 och 97.2) bör genomföras i motsvarande bestämmelser i betaltjänstlagen. I direktivet anges att betaltjänstleverantörerna ska tillämpa stark kund- autentisering. Enligt utredningens förslag ska kravet att tillämpa stark kundautentisering gälla för den kontoförvaltande betaltjänstleverantören. När den åtgärd för vilken stark kundautentisering ska tillämpas innebär tillgång till ett betalkonto bör det, som utredningen anger, primärt vara den kontoförvaltande betaltjänstleverantören som ska tillämpa stark kundautentisering. Så är fallet t.ex. vid kontobaserade betalningar och andra åtgärder som utförs online genom en tjänst som tillhandahålls betalaren av den kontoförvaltande betaltjänstleverantören. När en betal- ning initieras via betalningsmottagarens betaltjänstleverantör är dock situationen annorlunda. Då måste såväl den kontoförvaltande betaltjänst- leverantören som betalningsmottagarens betaltjänstleverantör tillämpa stark kundautentisering. Exempelvis behöver båda betaltjänstleveran- törerna tillämpa stark kundautentisering när betalaren gör en kortbetal- ning i en kortterminal hos betalningsmottagaren. I utredningens förslag fångas denna situation upp av en särskild bestämmelse i betaltjänstlagen om betalningar som initieras via betalningsmottagaren. Regeringen anser, till skillnad från utredningen, att i betaltjänstlagen bör kravet att tillämpa stark kundautentisering utformas på samma sätt som i direktivet och gälla för alla betaltjänstleverantörer. Därmed fram- går det tydligt att samtliga inblandade betaltjänstleverantörer har ett 2017/18:77 ansvar för att tillämpa stark kundautentisering. Vidare anges detaljerade bestämmelser om stark kundautentisering i en direkt tillämplig förord- ning som antagits av kommissionen. Det är därför lämpligt att tillämp- ningsområdet för bestämmelserna i betaltjänstlagen är detsamma som för motsvarande regler i direktivet (se nedan). Det innebär att det inte finns behov av en sådan särskild bestämmelse om betalningar som initieras via betalningsmottagaren som utredningen föreslår. framför synpunkter beträffande utredningens förslag när det gäller betalningar som initieras via betalningsmottagaren. Som redovisas ovan innebär regeringens förslag att de nu aktuella reglerna i direktivet genomförs på ett annat sätt än det som utredningen föreslår.