prop · H50377 · 2018-01-30 00:00:00 — direktivet ska medlemsstaterna se till att betalaren har rätt att utnyttja en leverantör av betalningsinitieringstjänster för sådana tjänster, men att denna rätt inte ska gälla när betalkontot inte är tillgängligt online (artikel 66.1). Tillhandahållandet av betalningsinitieringstjänster får inte vara avhängigt av förekomsten av ett avtalsförhållande mellan leveran- törer av betalningsinitieringstjänster och kontoförvaltande betaltjänst- leverantörer i detta syfte (artikel 66.5). I skälen till direktivet betonas att det är nödvändigt att fastställa en tydlig rättslig ram med villkor för när leverantörer av betalningsinitieringstjänster ska kunna leverera sina tjänster med kontoinnehavarens medgivande utan att den kontoförval- tande betaltjänstleverantören kräver att de ska använda en särskild affärs- modell för denna typ av tjänster (skäl 93). Vidare anges att oberoende av vilken affärsmodell som används av leverantörerna av betalningsinitie- ringstjänster bör de kontoförvaltande betaltjänstleverantörerna möjliggöra för leverantörer av betalningsinitieringstjänster att förlita sig på de autentiseringsförfaranden som de kontoförvaltande betaltjänstleverantör- erna tillhandahåller för att initiera en specifik betalning för betalarens räkning (skäl 30). Reglerna i direktivet bör genomföras i svensk rätt genom att mot- svarande bestämmelser tas in i betaltjänstlagen. Rätten att använda sig av dessa tjänster bör i enlighet med direktivet vara villkorad av att betalkontot är tillgängligt online, dvs. det betalkonto som betalaren avser att använda sig av i samband med tjänsten ska stå i kontakt med ett datasystem (se närmare om termen online i avsnitt 5.2). I betaltjänstlagen bör det således 2017/18:77 anges att en betalare har rätt att använda sig av betalningsinitieringstjänster endast om det betalkonto som betalaren avser att använda sig av är tillgängligt online. Det bör också klart framgå att rätten att använda sig av dessa tjänster inte ska förutsätta att det finns ett avtalsförhållande mellan den kontoförvaltande betaltjänstleverantören och leverantören av betalningsinitieringstjänster. En kontoförvaltande betaltjänstleverantör, t.ex. en bank, ska således inte ha rätt att kräva att det ska finnas ett avtal mellan banken och leverantören av betalningsinitieringstjänster för att betalaren ska kunna använda sig av dessa tjänster. Detta hindrar givetvis inte att en kontoförvaltande betaltjänstleverantör och en leverantör av betalningsinitieringstjänster ingår ett avtal i syfte att reglera t.ex. ansvars- frågor som kan uppstå i samband med att en leverantör av betalnings- initieringstjänster medverkar vid en betalningstransaktion. 7.2.7Skyldigheter för leverantören av betalningsinitieringstjänster Regeringens förslag Vid tillhandahållandet av betalningsinitierings- tjänster får leverantören inte –inneha betalarens medel, –lagra känsliga betalningsuppgifter som tillhör betaltjänstanvän- daren, –begära andra uppgifter av betaltjänstanvändaren än sådana som krävs för att tillhandahålla betalningsinitieringstjänster, –använda, ha tillgång till eller lagra uppgifter för andra ändamål än för att tillhandahålla den betalningsinitieringstjänst som uttryckligen begärs av betalaren, eller –ändra beloppet, uppgift om betalaren eller något annat inslag i transaktionen. Leverantören av en betalningsinitieringstjänst ska säkerställa –att betaltjänstanvändarens personliga behörighetsfunktioner inte är tillgängliga för andra än leverantören samt användaren och utgivaren av behörighetsfunktionerna, och att dessa uppgifter överförs genom leverantören på ett säkert och effektivt sätt, och –att eventuell övrig information om betaltjänstanvändaren som leverantören har fått vid tillhandahållandet av tjänsten lämnas endast till betalningsmottagaren och med betaltjänstanvändarens uttryckliga godkännande. Leverantören av en betalningsinitieringstjänst ska identifiera sig gentemot betaltjänstanvändarens kontoförvaltande betaltjänstleveran- tör varje gång en betalning initieras. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: I andra betaltjänstdirektivet anges vissa skyldigheter för leverantörer av betalningsinitieringstjänster när det gäller tillhandahållandet av betalningsinitieringstjänster (artikel 66.3). a)får inte inneha betalarens medel i samband med tillhandahållandet av betalningsinitieringstjänsten, b)ska se till att betaltjänstanvändarens personliga behörighetsfunktioner inte är tillgängliga för andra parter, med undantag för användaren och utgivaren av de personliga behörighetsfunktionerna, och att de över- förs via säkra och effektiva kanaler, c)ska se till att eventuell övrig information om betaltjänstanvändaren som erhållits vid tillhandahållande av betalningsinitieringstjänster endast lämnas till betalningsmottagaren och endast med betaltjänst- användarens uttryckliga godkännande, d)ska varje gång en betalning initieras identifiera sig mot kontoinne- havarens kontoförvaltande betaltjänstleverantör och kommunicera med denne, betalaren och betalningsmottagaren på ett säkert sätt (i enlighet med tekniska standarder som antas av kommissionen med stöd av artikel 98.1 d och 98.4), e)får inte lagra känsliga betalningsuppgifter som tillhör betaltjänst- användaren, f)får inte av betaltjänstanvändaren begära andra uppgifter än sådana som krävs för att tillhandahålla betalningsinitieringstjänster, g)får inte använda, ha tillgång till eller lagra uppgifter för andra ändamål än för att tillhandahålla den betalningsinitieringstjänst som uttryckligen begärs av betalaren och får inte ändra beloppet, betalaren eller något annat inslag i transaktionen. En leverantör av betalningsinitieringstjänster får alltså inte inneha betalarens medel. Detta gäller i samband med tillhandahållandet av betal- ningsinitieringstjänster. Det kan förekomma att en leverantör av betal- ningsinitieringstjänster även har tillstånd att tillhandahålla andra betal- tjänster (eller i fråga om t.ex. en bank, rätt att tillhandahålla betaltjänster utan tillstånd) för vilken det kan vara nödvändigt att inneha betalarens medel. En leverantör av betalningsinitieringstjänster kan t.ex. komma att initiera en betalning till ett betalkonto som leverantören förvaltar i egenskap av kontoförvaltande betaltjänstleverantör. I de nu aktuella reglerna förekommer vidare uttrycken ”personliga behörighetsfunktioner” och ”känsliga betalningsuppgifter”. Definitioner av dessa uttryck behandlas närmare i avsnitten 5.3.5 och 5.3.6. I detta sammanhang kan påpekas att kontohavarens namn och kontonummer inte utgör känsliga betalningsuppgifter när det gäller verksamhet som drivs av leverantörer av betalningsinitieringstjänster. Det kan också noteras att regleringen hindrar leverantören av betal- ningsinitieringstjänster att utan betaltjänstanvändarens uttryckliga god- kännande förse betalningsmottagaren eller annan part med sådan information som leverantören kan komma över vid tillgång till betal- tjänstanvändarens betalkonto, som t.ex. uppgifter om sparande, krediter och kontots historik samt att efterfråga och lagra uppgifter i syfte att t.ex. göra kreditprövningar för annan parts räkning. Som framgår i avsnitt 7.2.8 har den kontoförvaltande betaltjänst- leverantören en skyldighet att kommunicera säkert med leverantören av betalningsinitieringstjänster (artikel 66.4 a). I den regel som är aktuell åläggs leverantören av betalningsinitieringstjänster att kommunicera säkert med dels den kontoförvaltande betaltjänstleverantören, dels betalaren och betalningsmottagaren. Vad detta innebär preciseras i tek- niska standarder som antagits av kommissionen (se artikel 98.1 d och 98.4 samt Commission delegated regulation [EU] supplementing Directive 2015/2366 of Parliament and of the Council with regard to regulatory technical standards for strong customer authenti- cation and common and secure open standards of communication). I avsnitt 5.3.16 föreslås att det i betaltjänstlagen ska införas en definition av säker kommunikation i vilken det anges att säker kommunikation är kommunikation enligt de tekniska standarderna. Som behandlas i avsnitt 15 ska kraven enligt de tekniska standarderna börja tillämpas 18 månader efter det att de trätt i kraft. De aktuella reglerna i andra betaltjänstdirektivet som reglerar de skyldigheter som ankommer på leverantörer av betalningsinitierings- tjänster bör genomföras i svensk rätt genom att motsvarande bestämmelser tas in i betaltjänstlagen. Regeringens förslag: När den kontoförvaltande betaltjänst- leverantören har tagit emot en betalningsorder från leverantören av betalningsinitieringstjänster och betalaren uttryckligen godkänt betal- ningstransaktionen, ska den kontoförvaltande betaltjänstleverantören ge leverantören av betalningsinitieringstjänster all tillgänglig informa- tion om initieringen och genomförandet av betalningstransaktionen. Informationen ska lämnas efter det att betalningsordern har tagits emot från leverantören av betalningsinitieringstjänsten. Den kontoförvaltande betaltjänstleverantören ska behandla en betalningsorder som tas emot från en leverantör av betalnings- initieringstjänster på samma sätt som en betalningsorder som tas emot direkt från betalaren när det gäller val av tidpunkt, prioritering och avgifter, om det inte finns objektiva skäl för en annan behandling. Den kontoförvaltande betaltjänstleverantören ska tillämpa säker kommunikation när den kommunicerar med leverantören av Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: När en betalare godkänner en betalning ska den kontoförvaltande betaltjänstleverantören, enligt andra betaltjänstdirektivet, vidta vissa i direktivet angivna åtgärder för att säkerställa betalarens rätt att använda sig av betalningsinitieringstjänster (artikel 66.2 och 66.4). Den kontoförvaltande betaltjänstleverantören är enligt dessa regler skyldig att efter mottagande av betalningsordern från en leverantör av betalningsinitieringstjänster tillhandahålla eller göra till- gänglig för denne all information om initieringen och genomförandet av betalningstransaktionen som är tillgänglig för den kontoförvaltande betaltjänstleverantören (artikel 66.4 b). Sådan information kan utgöras av besked om att transaktionen har initierats, och om så inte har skett, Prop. 2017/18:77 skälen till varför initiering inte ägt rum, som t.ex. att det inte fanns medel på kontot för täckande av transaktionen. Slutligen får den kontoförvaltande betaltjänstleverantören endast om det finns objektiva skäl behandla en betalningsorder som överförs via en leverantör av betalningsinitieringstjänster på ett avvikande sätt när det gäller val av tidpunkt, prioritering eller avgifter jämfört med betalnings- order som betalaren överför direkt (artikel 66.4 c). Reglerna innebär således att det inte får förekomma någon särskild behandling vid hanteringen av en betalningsorder beroende på hur ordern har initierats, om det inte finns objektiva skäl för att behandla ordern annorlunda. Den kontoförvaltande betaltjänstleverantören får således t.ex. inte ta ut en högre avgift för behandling av en betalningsorder som initieras via en leverantör av betalningsinitieringstjänster för att betal- ningsordern initieras på detta sätt. De nu aktuella reglerna i andra betaltjänstdirektivet bör genomföras i svensk rätt genom att motsvarande bestämmelser tas in i betaltjänstlagen. För att säkerställa en betaltjänstanvändares rätt att använda sig av dessa tjänster och för att trygga en rättvis konkurrens på marknaden bör det av betaltjänstlagen tydligt framgå att den kontoförvaltande betaltjänst- leverantören ska behandla en betalningsorder som tas emot från en leverantör av betalningsinitieringstjänster på samma sätt som en betal- ningsorder som tas emot direkt från betalaren när det gäller val av tid- punkt, prioritering och avgifter, om det inte finns objektiva skäl för en annan behandling. Som framgår i avsnitt 7.2.7 har leverantören av betalningsinitierings- tjänster en skyldighet att kommunicera säkert med den kontoförvaltande betaltjänstleverantören (artikel 66.3 d). Den kontoförvaltande betaltjänst- leverantören har en motsvarande skyldighet. En motsvarande bestäm- melse bör därför tas in i betaltjänstlagen. Innebörden av säker kommuni- kation preciseras i tekniska standarder som antagits av kommissionen (se artikel 98.1 d och 98.4 samt Commission delegated regulation [EU] supplementing Directive 2015/2366 of Parliament and of the Council with regard to regulatory technical standards for strong customer authentication and common and secure open standards of communication). Kraven enligt de tekniska standarderna ska börja tillämpas 18 månader efter att det de trätt i kraft (se närmare om detta i avsnitt 15). 7.2.9Åtkomst till betalkonto för leverantörer av betalningsinitieringstjänster Regeringens förslag: En kontoförvaltande betaltjänstleverantör ska få vägra en leverantör av betalningsinitieringstjänster åtkomst till ett betalkonto endast om den kontoförvaltande betaltjänstleverantören av skäl som är objektivt motiverade och tillräckligt underbyggda gör bedömningen att leverantören av betalningsinitieringstjänster obehörigen har fått åtkomst till betalkontot eller obehörigen har initierat en betalningstransaktion från betalkontot. En kontoförvaltande betaltjänstleverantör som vägrar en leverantör av betalningsinitieringstjänster åtkomst till ett betalkonto ska på avtalat sätt underrätta betaltjänstanvändaren om att åtkomst till betalkontot har vägrats och om skälen för detta. Betaltjänstanvändaren ska informeras innan åtkomst till betalkontot vägras eller därefter. Någon information till betaltjänstanvändaren får dock inte lämnas om det skulle vara oförenligt med andra föreskrifter. Detsamma gäller om det är motiverat av säkerhetsskäl att inte lämna underrättelsen. Den kontoförvaltande betaltjänstleverantören ska medge åtkomst till betalkontot så snart det inte längre finns skäl för vägran. Den kontoförvaltande betaltjänstleverantören ska under- rätta om en leverantör av betalningsinitierings- tjänster har vägrats åtkomst till ett betalkonto och om skälen för detta. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningens förslag avviker från regeringens förslag genom att utredningens förslag innebär att den kontoförvaltande betaltjänst- leverantören ska ”styrka” att leverantören av betalningsinitieringstjänsten har obehörig tillgång till betalkontot för att ha rätt att vägra tillgång. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. anser att orda- lydelsen bör vara densamma som i direktivet, dvs. att vägran ska grundas på ”objektivt motiverade och vederbörligen styrkta skäl rörande icke auktoriserad eller bedräglig tillgång till betalkontot”. Vidare anser att utredningens förslag om att leverantören ska ”ha obehörig tillgång” till betalkontot är mer begränsat än direktivets lydelse. Slutligen anser att även situationen att en aktör försöker skaffa sig tillgång till kontot bör omfattas. , och instämmer inte i utredningens bedömning att ett bevis för att styrka obehörig tillgång till ett betalkonto skulle kunna vara en bekräft- else från betalkontots innehavare att denne inte har initierat transaktionen eller gett en leverantör av en betalningsinitieringstjänst tillgång till kontot samt att betaltjänstanvändaren i förväg ska kunna lämna besked till den kontoförvaltande betaltjänstleverantören om att vissa angivna leverantörer av betalningsinitieringstjänster inte får ha tillgång till betal- kontot. avstyrker att en betaltjänstanvändare ska ha möjlighet att i förväg neka tillgång till betalkontot. När det gäller denna fråga menar däremot att reglerna måste tolkas så att det ska vara möjligt för betaltjänstanvändaren att i förväg lämna besked om att vissa angivna leverantörer av betalningsinitieringstjänster inte ska få ha tillgång till betalkontot i fråga. framhåller att det ska vara kunden som har mandat att bestämma över vilka aktörer som ska få tillgång till kontoinformation. Skälen för regeringens förslag: Enligt nya regler i andra betaltjänst- direktivet får en kontoförvaltande betaltjänstleverantör neka en leverantör av betalningsinitieringstjänster (eller kontoinformationstjänster, se av- snitt 7.3.11) tillgång till betalkonto av objektivt motiverade och veder- börligen styrkta skäl rörande icke auktoriserad eller bedräglig tillgång till betalkontot av den leverantören av betalningsinitieringstjänster, inbegripet icke auktoriserad eller bedräglig initiering av en betalnings- transaktion (artikel 68.5 första stycket första meningen). I sådana fall ska den kontoförvaltande betaltjänstleverantören på avtalat sätt informera betalaren om att tillgången till betalkontot har nekats och om skälen till detta (artikel 68.5 första stycket andra meningen). Den informationen ska, om möjligt, ges till betalaren innan tillgång nekas och senast direkt därefter, om inte tillhandahållandet av sådan information hindras av objektivt motiverade säkerhetsskäl eller förbjuds i annan relevant unions- rätt eller nationell rätt (artikel 68.5 första stycket tredje meningen). Den kontoförvaltande betaltjänstleverantören ska vidare medge tillgång till betalkontot när skälen för att neka tillgång inte längre föreligger (artikel 68.5 andra stycket). Slutligen ska den kontoförvaltande betaltjänstleverantören rapportera till den behöriga myndigheten om att tillgång till ett betalkonto har vägrats (artikel 68.6 första meningen). Informationen ska innefatta relevanta uppgifter om fallet och skälen till att åtgärder vidtas och den behöriga myndigheten ska bedöma fallet och vid behov vidta lämpliga åtgärder (artikel 68.6 andra och tredje meningarna). De nu aktuella reglerna i andra betaltjänstdirektivet bör genomföras i svensk rätt genom att motsvarande bestämmelser tas in i betaltjänstlagen. Som Lagrådet föreslår bör i detta sammanhang termen ”åtkomst” till betalkonto användas. Det bör således i betaltjänstlagen anges att en kontoförvaltande betaltjänstleverantör endast får vägra en leverantör av betalningsinitieringstjänster åtkomst till ett betalkonto om leverantören av betalningsinitieringstjänster har obehörig åtkomst till betalkontot eller obehörigen har initierat en betalningstransaktion från betalkontot. Enligt utredningens förslag ska den kontoförvaltande betaltjänst- leverantören kunna ”styrka” att leverantören av betalningsinitierings- tjänster har obehörig tillgång till betalarens betalkonto. anser att bestämmelsen i betaltjänstlagen bör ha samma lydelse som i direktivet och poängterar att det är en skillnad mellan att styrka något i en rättsprocess och ha objektivt motiverade och veder- börligen styrkta skäl för sitt agerande. Regeringen anser att det inte av direktivets lydelse går att utläsa att ett särskilt angivet beviskrav ska införas på det sätt som utredningen före- slår. Att de förhållanden på vilka den kontoförvaltande betaltjänst- leverantören grundar sin bedömning ska vara ”objektivt motiverade” markerar enligt regeringens uppfattning snarare att den kontoförvaltande betaltjänstleverantören ska göra gedigna bedömningar som på ett tydligt sätt går att motivera. I direktivet är det formulerat som att det ska finnas ”vederbörligen styrkta skäl” (i den engelska språk- versionen ”duly evidenced”). Det bör förstås som att de förhållanden på vilka den kontoförvaltande betaltjänstleverantören grundar sin bedöm- ning ska kunna bevisas på sedvanligt sätt. I svensk rätt finns inte något tydligt definierat beviskrav i dessa situationer och direktivet kan inte heller anses ge någon vägledning i denna fråga. Vilken typ av bevisning och vilken styrka denna ska ha för att den kontoförvaltande betaltjänst- leverantören ska kunna neka tillträde till ett betalkonto beror på omständigheterna i det enskilda fallet. Detta är ytterst en fråga för rätts- tillämpningen att avgöra. Regeringen instämmer med Lagrådet att det i betaltjänstlagen bör anges att skälen för vägran ska vara ”tillräckligt underbyggda”. framför att förslaget bör omfatta även den situationen att en aktör försöker skaffa sig tillgång till kontot. denna situation inte uttryckligen anges i direktivet är det, enligt regeringens uppfattning, uppenbart att den omfattas av den föreslagna bestämmelsen eftersom effekten av tillämpningen av densamma är att aktören nekas åtkomst. Agerandet kommer alltså i de flesta fall att stanna Som huvudregel ska den kontoförvaltande betaltjänstleverantören på avtalat sätt informera betaltjänstanvändaren om att leverantören av betal- ningsinitieringstjänster har vägrats åtkomst till betalkontot och skälen för Hur informationen ska lämnas bör alltså vara föremål för det avtal som träffats mellan den kontoförvaltande betaltjänstleverantören och I betaltjänstlagen bör det anges att sådan informa- tion ska lämnas innan åtkomst till betalkontot vägras eller så snart som möjligt efter vägran. På motsvarande sätt som i direktivet bör det även i lagen anges att information inte får lämnas om det är oförenligt med andra föreskrifter eller om det är motiverat av säkerhetsskäl att inte göra det. En motsvarande regel, som reglerar frågan om information till betalaren när ett betalningsinstrument är föremål för spärrning, finns i första betaltjänstdirektivet (artikel 55), vilken i svensk rätt har genom- förts i en bestämmelse i betaltjänstlagen (5 kap. 4 § tredje stycket). införandet av den bestämmelsen gav regeringen som exempel på en situation när det kan anses vara oförenligt med annan lag att lämna information, att det finns misstanke att betalningsinstrumentet har (se prop. 2009/10:220 s. 213). berörde i det sammanhanget även frågan om vad som kan utgöra sådana säkerhetsskäl som kan hindra betaltjänstleverantören från att meddela betaltjänstanvändaren om att ett betalningsinstrument är föremål för spärrning och slog fast att bedömningen av om sådana säkerhetsskäl föreligger bör ha sin utgångspunkt i om informationen skulle öka risken i betalningssystemet eller på något annat sätt skada betalningssystemets stabilitet (se samma prop.). Regeringen konstaterade också att bedöm- ningen av om betaltjänstleverantören ska underlåta att informera betalaren om spärren ska göras i varje enskilt fall och bör vara restriktiv. De nämnda förarbetsuttalandena när det gäller vad som utgör sådana säkerhetsskäl som utgör grund för att inte informera om spärrning bör enligt regeringens uppfattning ha bäring på bedömningen om det finns sådana säkerhetsskäl som medför att information inte ska lämnas till betaltjänstanvändaren i de fall en leverantör av betalningsinitierings- tjänster nekas åtkomst till ett betalkonto. I likhet med nämnda bestämmelse i betaltjänstlagen, som anger att en spärr av ett betalningsinstrument ska hävas så snart det inte längre finns skäl att låta den kvarstå, bör det i betaltjänstlagen tas in en bestämmelse om att den kontoförvaltande betaltjänstleverantören ska medge åtkomst till betalkontot så snart det inte längre finns skäl att vägra sådan åtkomst. Den kontoförvaltande betaltjänstleverantören bör vidare åläggas att rapportera till när en leverantör av betalningsinitieringstjänster har vägrats åtkomst till ett betalkonto och skälen för detta. om betaltjänstanvändaren ska kunna lämna besked till den kontoförvaltande betaltjänstleverantören om att denne inte Prop. 2017/18:77 önskar att vissa leverantörer av betalningsinitieringstjänster ska få ha åtkomst eller tillträde till dennes betalkonto. Det är i det sammanhanget viktigt att framhålla att betaltjänstanvändarens uttryckliga godkännande är en förutsättning för att initiera en betalningstransaktion via en leverantör av sådana tjänster (artikel 66.2 i andra betaltjänstdirektivet).