prop · H50377 · 2018-01-30 00:00:00 — Skälen för regeringens förslag: Enligt andra betaltjänstdirektivet får en betaltjänstleverantör som huvudregel inte ta ut någon avgift för att till- handahålla information som ska tillhandahållas enligt avdelning III i direktivet (artikel 40.1). En motsvarande regel finns i första betaltjänst- direktivet (artikel 32.1) och den har i svensk rätt genomförts i en bestämmelse i betaltjänstlagen (4 kap. 1 §). Enligt andra betaltjänstdirektivet är den aktuella regeln inte tillämplig på leverantörer av kontoinformationstjänster (artikel 33.2). Utredningen föreslår dock att leverantörer av kontoinformationstjänster ska omfattas av bestämmelserna i betaltjänstlagen om avgifter för information. Förvaltningsrätten i anser att frågan om förslaget är förenligt med direktivet bör utredas närmare. Regeringen anser att det skulle framstå som anmärkningsvärt om leve- rantörer av kontoinformationstjänster skulle ha möjlighet att ta ut avgift för information som de enligt direktivet är skyldiga att lämna sina an- vändare. Detta kan inte anses vara direktivets syfte. Regeringen finner därför, i likhet med utredningen, att även dessa aktörer som huvudregel inte bör ha rätt att ta ut avgift för den information som de har en skyldig- het att förse sina användare med. Bestämmelserna i betaltjänstlagen om avgifter för information bör därför gälla även för leverantörer av konto- informationstjänster. Regeringens bedömning: Det behöver inte anges i betaltjänstlagen att betaltjänstleverantören har bevisbördan för att den har uppfyllt sin informationsplikt enligt den lagen. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen eller har inget att invända mot den. Förvaltningsrätten i anser att det kan finnas en risk för att direktivets uttryckliga regel om bevis- bördans placering inte på ett tillräckligt tydligt sätt införlivas med svensk rätt om den inte kommer till uttryck i lag. Skälen för regeringens bedömning: Enligt andra betaltjänstdirektivet ska medlemsstaterna föreskriva att bevisbördan ligger på betaltjänst- leverantören när det gäller att visa att denne har uppfyllt de informations- krav som anges i direktivet (artikel 41). En motsvarande regel finns i första betaltjänstdirektivet men uttrycks där som en valmöjlighet för medlemsstaterna (artikel 33). Vid genomförandet av första betaltjänstdirektivet fann regeringen att en uttrycklig bestämmelse med motsvarande innehåll inte var nödvändig (jfr prop. 2009/10:220, bilaga 5, s. 454). Förvaltningsrätten i anser att det finns en risk för att den uttryckliga regeln i direktivet inte genomförs på ett tillräckligt tydligt sätt om den inte kommer till uttryck i lag. Regeringen anser emellertid att det får anses följa av allmänna principer att en part som åläggs att lämna viss information också har att visa att skyldigheten har fullgjorts. Regeringen bedömer således att omständigheterna ingår i det som betaltjänst- leverantören har bevisbördan för utan att det krävs någon uttrycklig bestämmelse i lag. Det krävs därför inte något förtydligande i betal- tjänstlagen om bevisbördans placering. 7.3.8Rätt att använda kontoinformationstjänster Regeringens förslag: En betaltjänstanvändare ska ha rätt att använda kontoinformationstjänster om det berörda betalkontot är tillgängligt online. Denna rätt ska gälla oberoende av om det finns ett avtal om detta mellan leverantören av kontoinformationstjänster och den konto- förvaltande betaltjänstleverantören. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: Enligt nya regler i andra betaltjänst- direktivet har en betaltjänstanvändare rätt att utnyttja kontoinforma- tionstjänster (se närmare om detta uttryck i avsnitt 5.2.1) under förut- sättning att betalkontot är tillgängligt online (artikel 67.1). Tillhanda- hållande av kontoinformationstjänster får inte vara avhängigt av före- komsten av ett avtalsförhållande mellan leverantörer av kontoinforma- tionstjänster och kontoförvaltande betaltjänstleverantörer i detta syfte 2017/18:77 (artikel 67.4). Dessa regler överensstämmer således med vad som gäller för tillhandahållandet av betalningsinitieringstjänster (se avsnitt 7.2.6). Även när det gäller betalningsinitieringstjänster bör det därför i betal- tjänstlagen tas in en bestämmelse som ger betaltjänstanvändare rätt att använda kontoinformationstjänster. I enlighet med direktivet bör denna rätt begränsas till att gälla betalkonton som är tillgängliga online. För att tillförsäkra betaltjänstanvändaren rätten att använda sig av kontoinforma- tionstjänster bör det även anges i betaltjänstlagen att denna rätt inte ska förutsätta att det finns ett avtal mellan den kontoförvaltande betaltjänst- leverantören och leverantören av kontoinformationstjänster. Som anges i avsnitt 7.2.6 hindrar detta naturligtvis inte att den kontoförvaltande betal- tjänstleverantören och leverantören av kontoinformationstjänster ingår ett avtal för att reglera frågor om användandet av dessa tjänster. Skyldigheter och tillgång till information för Regeringens förslag: En leverantör av kontoinformationstjänster får inte tillhandahålla tjänster utan betaltjänstanvändarens uttryckliga En sådan leverantör får inte begära känsliga betalnings- uppgifter som är kopplade till betalkontot eller använda, ha tillgång till eller lagra uppgifter för andra ändamål än för att genomföra den kontoinformationstjänst som uttryckligen begärs av betaltjänst- Leverantören av en kontoinformationstjänst ska funktioner inte är tillgängliga för andra än leverantören samt användaren och utgivaren av behörighetsfunktionerna och att dessa uppgifter överförs genom leverantören på ett säkert och effektivt sätt, – för varje kommunikationssession identifiera sig gentemot den Leverantören av kontoinformationstjänster ska endast ha rätt till tillgång till information från angivna betalkonton och sådana betalningstransaktioner som hör till kontona. Leverantören av kontoinformationstjänster ska kommunicera på ett säkert sätt med den kontoförvaltande betaltjänstleverantören. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Datainspektionen påpekar att om konto- information lämnas ut till annan part för kreditupplysningsändamål kan utlämnandet omfattas av bestämmelserna i kreditupplysningslagen. Frågan är om kreditupplysningslagens bestämmelser är tillämpliga om lämnas till annan part i ett sådant fall i stället är betaltjänstlagen som ska tillämpas på verksamheten i fråga. För det fall kreditupplysningslagen inte är tillämplig uppstår enligt Data- inspektionen frågan om leverantörer av kontoinformationstjänster är skyldiga att behandla personuppgifter på det sätt som följer av person- anser att det i betaltjänstlagen bör preciseras att en leverantör av en kontoinformationstjänst ska ha rätt till all den Prop. 2017/18:77 information som finns tillgänglig för betaltjänstanvändaren från den Detta innefattar, enligt bolaget, exempelvis aktuellt och historiskt saldo, ränteinformation, all transak- tionsinformation, information om fakturor samt förvalda betalnings- mottagare. anför att denna typ av information mycket väl kan vara helt avgörande för om en tjänst är användbar. anser vidare att utredningens förslag om att regleringen endast ska omfatta betal- konton gör att konton som t.ex. bolånekonton och sparkonton lämnas oreglerade, vilket leder till att hämtandet av denna information fortsätter på samma sätt som , i oreglerad form. Skälen för regeringens förslag Skyldigheter för en leverantör av kontoinformationstjänster I andra betaltjänstdirektivet anges vad leverantörer av kontoinformations- tjänster har att iaktta i samband med tillhandahållande av sina tjänster (artikel 67.2). En sådan leverantör: a)får endast tillhandahålla tjänster på grundval av betaltjänstanvänd- arens uttryckliga godkännande, b)ska säkerställa att betaltjänstanvändarens personliga behörighets- funktioner inte är tillgängliga för andra parter med undantag för användaren och utgivaren av de personliga behörighetsfunktionerna, och att när dessa uppgifter överförs genom leverantören av konto- informationstjänster detta sker via säkra och effektiva kanaler, c)ska för varje kommunikationssession identifiera sig gentemot den kontoförvaltande betaltjänstleverantören och kommunicera säkert med den kontoförvaltande betaltjänstleverantören och betaltjänst- användaren (i enlighet med tekniska standarder som antas av kommissionen med stöd artikel 98.1 d och 98.4), d)ska endast ha tillgång till information från angivna betalkonton och dithörande betalningstransaktioner, e)får inte begära känsliga betalningsuppgifter som är kopplade till betalkontona och f)får inte använda, ha tillgång till eller lagra några uppgifter för några andra ändamål än för att genomföra den kontoinformationstjänst som betaltjänstanvändaren uttryckligen har begärt, i enlighet med data- skyddsreglerna. Kontoinformationstjänster får alltså endast tillhandahållas efter uttryck- ligt godkännande från betaltjänstanvändaren. Det som anges i direktivet bör anses innebära att godkännandet ska lämnas till leverantören av konto- informationstjänster, dvs. inte till den kontoförvaltande betaltjänst- Den kontoförvaltande betaltjänstleverantören kan således inte ställa upp krav på i vilken form ett godkännande ska ha lämnats för att ge leverantören av kontoinformationstjänster tillgång till det aktuella En möjlighet att ställa upp sådana krav skulle kunna äventyra betaltjänstanvändarens rätt att använda sig av kontoinformationstjänster. De nu aktuella reglerna i andra betaltjänstdirektivet (artikel 67.2) bör genomföras i svensk rätt genom att motsvarande bestämmelser tas in i Definitionerna av personliga behörighetsfunktioner och känsliga betal- ningsuppgifter behandlas närmare i avsnitten 5.3.5 och 5.3.6. manhang kan påpekas att det i direktivet anges att kontohavarens namn och kontonummer inte utgör känsliga betalningsuppgifter för verksamhet som drivs av leverantörer av kontoinformationstjänster (artikel 4.32). Den information om betaltjänstanvändarens betalkonto, t.ex. uppgifter om sparande, krediter och kontots historik, som leverantören av konto- informationstjänster kan få tillgång till i samband med tillhandahållandet av en kontoinformationstjänst ska alltså inte få lagras eller användas för andra ändamål än för att genomföra den avtalade tjänsten. från vad som är fallet för leverantörer av betalningsinitieringstjänster torde det, om betaltjänstanvändaren begär det, enligt direktivet vara möjligt för leverantören att efterfråga uppgifter i syfte att t.ex. göra kreditprövningar för annan parts räkning. tieringstjänster får endast lämna information om betaltjänstanvändaren till betalningsmottagaren (jfr artikel 66.3 c). begränsningsregel i fråga om vem information får lämnas vidare till finns inte för leverantörer av kontoinformationstjänster. En förutsättning för att få lämna vidare informationen är dock att det föreligger ett uttryckligt godkännande från betaltjänstanvändaren. Vidare ska beaktas om förfarandet att lämna vidare information är att bedöma som kreditupplysning. Med kreditupplysning avses enligt kreditupplysningslagen (1973:1173) uppgifter, omdömen eller råd som lämnas till ledning för bedömning av någon annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende (2 § första stycket första meningen). eller råd som lämnas till någon för att användas i dennes kreditupplys- ningsverksamhet anses dock inte som kreditupplysning (2 § första stycket andra meningen). Den senare bestämmelsen är avsedd att markera att uppgifter som lämnas till kreditupplysningsföretagen för att där läggas till grund för information som lämnas vidare inte faller under En kreditupplysning lämnas i stället som regel till en person eller ett företag som sysslar med kreditgivning eller någon annan verksamhet som innefattar en ekonomisk riskbedömning (jfr prop. 1996/97:65 s. 61). För det fall en leverantör av kontoinforma- tionstjänster lämnar ut enskilda personers kontouppgifter till kreditgivare till ledning för bedömning av kontohavarens kreditvärdighet eller veder- häftighet i övrigt ekonomiskt hänseende bör denna verksamhet, i likhet med vad Datainspektionen anför, anses utgöra kreditupplysnings- Sådan verksamhet är som huvudregel tillståndspliktig och medför skyldighet att följa kreditupplysningslagen. bedömningen att reglerna i andra betaltjänstdirektivet inte hindrar att förfarandet omfattas av kreditupplysningslagen. Datainspektionen tar vidare upp frågan om vilket regelverk för person- uppgiftsbehandling som en leverantör av kontoinformationstjänster har Dessa leverantörers hantering av personuppgifter i samband med tillhandahållandet av sina tjänster faller som huvudregel inom personuppgiftslagens (1998:204) tillämpningsområde. lagen är subsidiär i förhållande till annan lagstiftning, vilket innebär att om det i annan lagstiftning finns bestämmelser som avviker från person- uppgiftslagen ska de bestämmelserna gälla (2 § I betaltjänstlagen finns sådan särreglering (6 kap.), men dessa special- bestämmelser är inte tillämpliga på leverantörer av kontoinformations- tjänster eftersom de inte genomför betalningstransaktioner. Om en sådan leverantör driver verksamhet som är tillståndspliktig enligt kreditupplys- ningslagen finns emellertid specialbestämmelser i den lagen, som leverantören har att följa. Det bör i sammanhanget nämnas att och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (i det följande benämnd dataskydds- förordningen), som antogs , kommer att börja tillämpas . Dataskyddsförordningen ersätter och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (i det följande benämnt dataskyddsdirektivet) som har genomförts i svensk rätt genom personuppgiftslagen. Förordningen om- fattar i stort sett all behandling av personuppgifter, dvs. även sådan be- handling som sker i privata företag. Den baseras till stor del på struktur och innehåll i dataskyddsdirektivet, men innehåller även nyheter. Regeringen föreslår i lagrådsremissen Ny dataskyddslag som beslutades en ny nationell lag som ska komplettera data- skyddsförordningen. I den regel i andra betaltjänstdirektivet som är aktuell åläggs leverantören av kontoinformationstjänsten att kommunicera säkert med den kontoförvaltande betaltjänstleverantören. Vad detta innebär preciseras i tekniska standarder som antagits av kommissionen (se artikel 98.1 d och 98.4 samt Commission delegated regulation [EU] supplementing Directive 2015/2366 of Parliament and of the Council with regard to regulatory technical standards for strong customer authentication and common and secure open standards of communication). I avsnitt 5.3.16 föreslås att det i betaltjänstlagen ska införas en definition av säker kommunikation i vilken det anges att säker kommunikation är kommunikation enligt de tekniska standarderna. Som behandlas i avsnitt 15 ska kraven enligt de tekniska standarderna börja tillämpas 18 månader efter det att de trätt i kraft. Vilken information ska betaltjänstleverantören ha tillgång till? tar upp frågan om vilken information som leverantörer av konto- informationstjänster ska ha tillgång till. Som redogörs för ovan ska en leverantör av en kontoinformationstjänst, enligt andra betaltjänst- direktivet, endast ha tillgång till information från angivna betalkonton och dithörande betalningstransaktioner (artikel 67.7 d). I avsnitt 5.2 behandlas definitionen av betalkonto i betaltjänstlagen. Där framgår att den närmare avgränsningen av vad som utgör ett betalkonto bör göras med utgångspunkt i att ett betalkonto ska vara avsett för utförande av betalningstransaktioner och att avgörande för bedömningen således är kontots syfte och funktion (se närmare prop. 2009/10:220 s. 93). Till- gången till annan typ av information regleras inte i direktivet. Direktivet utgör inte heller något hinder för sådan tillgång. 2017/18:77 törernas tillgång till sådan information kommer därför även i fortsätt- ningen att vara ett område där det råder avtalsfrihet. Om behov skulle uppstå kan dock regeringen komma att ta initiativ till att reglera förutsätt- ningarna för leverantörer av kontoinformationstjänster att få tillgång till annan information än den som är knuten till betalkonton, i syfte att se till att konsumenterna även fortsättningsvis ska kunna få tillgång till ett brett utbud av tjänster. Regeringens förslag: Den kontoförvaltande betaltjänstleverantören ska behandla en begäran om uppgifter som överförs via en leverantör av kontoinformationstjänster på samma sätt som en begäran direkt från betaltjänstanvändaren, om det inte finns objektiva skäl för en Den kontoförvaltande betaltjänstleverantören ska kommunicera på ett säkert sätt med leverantören av betalningsinitieringstjänster. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. anser att det i betaltjänstlagen bör framgå att kontoförvaltande betaltjänstleverantörer inte får använda sig av inloggningsmetoder som gör det omöjligt för en leverantör av konto- informationstjänster att löpande hämta data. Vidare anser att det bör införas en bestämmelse om att en kontoförvaltande betaltjänst- leverantör inte får göra skillnad på den information som görs tillgänglig via en kontoinformationstjänst och den information som betaltjänst- användare har tillgång till via den kontoförvaltande betaltjänstleveran- törens egna gränssnitt. Skälen för regeringens förslag: Enligt andra betaltjänstdirektivet ska den kontoförvaltande betaltjänstleverantören kommunicera säkert med leverantörer av kontoinformationstjänster och inte behandla förfrågningar om uppgifter som överförs via en leverantör av kontoinformationstjänster på ett avvikande sätt annat än av objektiva skäl (artikel 67.3). De nu aktuella reglerna i andra betaltjänstdirektivet (artikel 67.3) bör genomföras i svensk rätt genom att motsvarande bestämmelser tas in i anser att det bör införas en bestämmelse om att konto- förvaltande betaltjänstleverantörer inte får använda sig av vissa inlogg- ningsmetoder samt att en kontoförvaltande betaltjänstleverantör inte får göra skillnad mellan den informationen som görs tillgänglig via en kontoinformationstjänst och den information som betaltjänstanvändare har tillgång till via den kontoförvaltande betaltjänstleverantörens egna Regeringen konstaterar att det inte finns några regler i andra betaltjänstdirektivet om vilka metoder för inloggning som får användas eller genom vilket gränssnitt viss information ska tillhandahållas. är i stället något som regleras i de tekniska standarder som antagits av kommissionen (se artikel 98.4 och Commission delegated regulation [EU] supplementing Directive 2015/2366 of Parliament and of the Council with regard to regulatory technical standards for Prop. 2017/18:77 strong customer authentication and common and secure open standards of communication). Regeringen anser därför att det inte är lämpligt att införa bestämmelser om detta i betaltjänstlagen. Som behandlas i avsnitt 15 ska kraven enligt de tekniska standarderna börja tillämpas 18 månader efter det att de trätt i kraft. Möjlighet att vägra tillträde till betalkonto Regeringens förslag: En kontoförvaltande betaltjänstleverantör ska få vägra en leverantör av kontoinformationstjänster tillträde till ett betal- konto endast om den kontoförvaltande leverantören av skäl som är objektivt motiverade och vederbörligen styrkta gör bedömningen att leverantören av kontoinformationstjänster har obehörigt tillträde till Innan den kontoförvaltande betaltjänstleverantören vägrar tillträde till ett betalkonto ska leverantören på avtalat sätt underrätta betal- I underrättelsen ska skälen för vägran anges. användaren inte kan underrättas innan tillträde vägras, ska en under- rättelse lämnas efter vägran. Betaltjänstanvändaren får inte underrättas om en underrättelse är oför- enlig med andra föreskrifter. Detsamma gäller om det är motiverat av säkerhetsskäl att inte lämna underrättelsen. Den kontoförvaltande betaltjänstleverantören ska medge tillträde till betalkontot så snart det inte längre finns skäl för vägran. Den kontoförvaltande betaltjänstleverantören ska under- rätta om en leverantör av kontoinformations- tjänster har vägrats tillträde till ett betalkonto. skälen för vägran anges. Utredningens förslag överensstämmer i huvudsak med regeringens Utredningens förslag avviker från regeringens förslag genom att utredningens förslag innebär att den kontoförvaltande betaltjänstleveran- tören ska ”styrka” att leverantören av kontoinformationstjänsten har obe- hörig tillgång till betalkontot för att ha rätt att vägra tillgång. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. föreningen, och framför samma synpunkter som när det gäller förslaget avseende leverantörer av betalnings- initieringstjänster (se avsnitt 7.2.9). Skälen för regeringens förslag: Enligt nya regler i andra betaltjänst- direktivet får en kontoförvaltande betaltjänstleverantör neka en leverantör av kontoinformationstjänster eller betalningsinitieringstjänster tillgång till ett betalkonto av objektivt motiverade och vederbörligen styrkta skäl rörande icke auktoriserad eller bedräglig tillgång till betalkontot av den leverantören av kontoinformationstjänster (artikel 68.5 första stycket första meningen). I sådana fall ska den kontoförvaltande betaltjänst- leverantören på avtalat sätt informera betalaren om att tillgången till betalkontot har nekats och om skälen för detta (artikel 68.5 första stycket andra meningen). Den informationen ska, om möjligt, ges till betalaren 2017/18:77 innan tillgång nekas och senast direkt därefter, om inte tillhandahållandet av sådan information hindras av objektivt motiverade säkerhetsskäl eller förbjuds i annan relevant unionsrätt eller nationell rätt (artikel 68.5 första stycket tredje meningen). Den kontoförvaltande betaltjänstleverantören ska vidare medge tillgång till betalkontot när skälen för att neka tillgång inte längre föreligger (artikel 68.5 andra stycket). I avsnitt 7.2.9 föreslås att de nu aktuella reglerna i direktivet ska genomföras i bestämmelser i betaltjänstlagen när det gäller leverantörer av betalningsinitieringstjänster. De överväganden som regeringen gör i det avsnittet är relevanta även när det gäller leverantör av kontoinforma- tionstjänster. Eftersom reglerna i direktivet är de samma för leverantörer av kontoinformationstjänster bör de bestämmelserna i betaltjänstlagen gälla även dessa leverantörer. När det gäller leverantörer av konto- informationstjänster bör dock, som Lagrådet föreslår, termen ”tillträde” till ett betalkonto användas. Övriga tillämpliga bestämmelser för leverantörer Regeringens bedömning: Det krävs inte någon uttrycklig bestäm- melse i betaltjänstlagen för att genomföra reglerna i andra betaltjänst- direktivet om att betaltjänstanvändarens skyldighet att skydda sina personliga behörighetsfunktioner gäller även i förhållande till leverantörer av kontoinformationstjänster. Utredningens bedömning överensstämmer med regeringens bedöm- Remissinstanserna tillstyrker bedömningen eller har inget att invända Skälen för regeringens bedömning: Enligt andra betaltjänstdirektivet ska en betaltjänstanvändare som har rätt att använda ett betalnings- instrument använda betalningsinstrumentet i enlighet med villkoren för utgivande och användning av betalningsinstrumentet, som måste vara