prop · H50377 · 2018-01-30 00:00:00 — Med hänsyn till lydelsen av den engelska språkversionen framstår det enligt regeringens uppfattning som att autentisering inte även ska omfatta kontroll av användarens personliga säkerhetsbehörighetsuppgifter, som anges i den svenska språkversionen. Det framstår däremot som att autentisering ska omfatta användningen av (i den engelska språkversionen ”the use of”) användarens personliga Prop. 2017/18:77 säkerhetsbehörighetsuppgifter. Definitionen av autentisering är av betydelse då den har nära samband med definitionen av stark kundautentisering i direktivet och därigenom påverkar reglerna om ansvar och rätt till återkrav vid obehöriga transak- tioner (se artiklarna 74.2 och 92) samt reglerna om krav på betaltjänst- leverantörer att tillämpa stark kundautentisering (se artikel 97). En definition som i sak överensstämmer med den i direktivet bör tas in i betaltjänstlagen. Regeringen anser i likhet med Förvaltningsrätten i att definitionen i betaltjänstlagen bör justeras i förhållande till utredningens förslag. Det bör i enlighet med det som anförs ovan anges att autentisering är ett förfarande där en betaltjänstanvändares personliga behörighetsfunktioner används och genom vilket en betaltjänstleverantör kan kontrollera betaltjänstanvändarens identitet eller ett betalningsinstru- ments giltighet. I avsnitt 5.3.5 föreslås att uttrycket personlig behörighetsfunktion ska användas i betaltjänstlagen i stället för uttrycket personlig säkerhets- behörighetsuppgift. Regeringens förslag: Med stark kundautentisering avses en auten- tisering som grundas på användning av två eller flera komponenter, kategoriserade som kunskap (något som bara användaren vet), innehav (något som bara användaren har) och unik egenskap (något som användaren är), som är fristående från varandra så att det förhållandet att någon har kommit över en av komponenterna inte äventyrar de andra komponenternas tillförlitlighet och som är utformad för att skydda autentiseringsuppgifterna mot obehörig åtkomst. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: Enligt andra betaltjänstdirektivet avses med stark kundautentisering en autentisering som grundas på användning av två eller flera element, kategoriserade som kunskap (något som bara användaren vet), innehav (något som bara användaren har) och unik egenskap (något som användaren är), som är fristående från varandra så att det faktum att någon har kommit över ett av elementen inte äventyrar de andra elementens tillförlitlighet, och som är utformad för att skydda autentiseringsuppgifternas sekretess (artikel 4.30). Det är alltså betaltjänstanvändarens autentiseringsuppgifter som ska skyddas genom tillämpning av stark kundautentisering. Stark kund- autentisering syftar till att ge ett bättre skydd av dessa uppgifter och andra betaltjänstdirektivet innehåller flera regler som reglerar använd- ningen av denna form av autentisering. En definition som överensstämmer med den i direktivet bör tas in i betaltjänstlagen. Reglerna om stark kundautentisering i andra betaltjänstdirektivet behandlas i avsnitt 11.4. 2017/18:77 5.3.5 Regeringens förslag: Med personlig behörighetsfunktion avses en personligt anpassad funktion som betaltjänstleverantören tillhanda- håller betaltjänstanvändaren för autentiseringsändamål. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningens förslag avviker från regeringens förslag genom att i utredningens förslag används uttrycket personaliserade behörighets- funktioner. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det. Skälen för regeringens förslag: I andra betaltjänstdirektivet finns en definition av termen personliga säkerhetsbehörighetsuppgifter (artikel 4.31). Med denna term avses personligt anpassade funktioner som betaltjänstleverantören tillhandahåller betaltjänstanvändaren för auten- tiseringsändamål. Definitionen är av central betydelse eftersom den bl.a. påverkar reglerna i direktivet om skyldigheter för betaltjänstleverantörer och betaltjänstanvändare när det gäller ett betalningsinstrument samt betaltjänstleverantörers skyldigheter i samband med tillhandahållande av betalningsinitieringstjänster och kontoinformationstjänster (se artik- larna 66, 67, 69 och 70). Därutöver är termen av betydelse för definition- erna av autentisering och stark kundautentisering och påverkar däri- genom reglerna om ansvar och rätt till återkrav vid obehöriga trans- aktioner (se artiklarna 74.2 och 92) samt reglerna om krav på betaltjänst- leverantörer att tillämpa stark kundautentisering (se artikel 97). En definition som i sak motsvarar den i direktivet bör tas in i betal- tjänstlagen. Regeringen anser i likhet med utredningen att det i direktivet använda uttrycket ”personliga säkerhetsbehörighetsuppgifter” är något missvisande och därför mindre lämpligt att använda i betaltjänstlagen. Till skillnad från utredningen, som föreslår att uttrycket ”personaliserade behörighetsfunktioner” ska användas, anser regeringen att det uttryck som bör användas är ”personlig behörighetsfunktion”. Regeringens förslag: Med känslig betalningsuppgift avses en per- sonlig behörighetsfunktion eller annan uppgift som kan användas för svikliga förfaranden, dock inte kontoinnehavarens namn och konto- nummer i sådan verksamhet som drivs av en leverantör av betalnings- initieringstjänster eller en leverantör av kontoinformationstjänster. Utredningens förslag överensstämmer i sak med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: I andra betaltjänstdirektivet definieras känsliga betalningsuppgifter som uppgifter, inbegripet personliga säkerhetsbehörighetsuppgifter, som kan användas för bedrägerier (artikel 4.32). Det anges vidare att när det gäller verksamhet som drivs av leverantörer av betalningsinitieringstjänster och leverantörer av konto- informationstjänster utgör kontoinnehavarens namn och kontonumret inte Prop. 2017/18:77 sådana känsliga betalningsuppgifter. Definitionen är av betydelse eftersom den påverkar reglerna i direktivet om skyldigheter för betaltjänstleverantörer vid tillhandahållande av betalningsinitieringstjänster och kontoinformationstjänster (se artik- larna 66.3 e och 67.2 e). En definition som motsvarar den i direktivet bör tas in i betaltjänst- lagen. Lagrådet påpekar att när – som i detta fall – termen bedrägerier inte har den straffrättsliga innebörden utan har en vidare mening bör ett annat uttryck användas, och föreslår uttrycket svikliga förfaranden. Regeringen delar Lagrådets uppfattning. Regeringens förslag: Med grupp avses en grupp av företag som är knutna till varandra genom ett sådant förhållande som avses i 1 kap. 4, 5 eller 5 a § årsredovisningslagen eller en grupp av företag som avses i någon av artiklarna 4–7 i kommissionens delegerade förordning (EU) nr 241/2014 och som är knutna till varandra genom ett sådant förhållande som avses i artikel 10.1 eller artikel 113.6 eller 113.7 i Utredningens förslag överensstämmer i huvudsak med regeringens Utredningens förslag innehåller inte några hänvisningar till 1 kap. 5 och 5 a §§ årsredovisningslagen. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: I andra betaltjänstdirektivet (artikel 4.40) definieras en koncern som en grupp av företag som är knutna till varandra genom ett sådant förhållande som avses i artikel 22.1, 22.2 eller 22.7 i direktiv /34/EU, eller företag enligt definitionen i artik- larna 4, 5, 6 och 7 i kommissionens delegerade förordning (EU) nr 241/2014 av om komplettering av och rådets förordning (EU) nr 575/2013 med avseende på tekniska tillsyns- standarder för kapitalbaskrav på institut som är knutna till varandra genom ett sådant förhållande som avses i artikel 10.1 eller artikel 113.6 eller 113.7 i tillsynsförordningen. Det kan noteras att i andra betaltjänstdirektivet används termen koncern, men i första betaltjänstdirektivet används termen grupp (se 1 kap. 4 § betaltjänstlagen). I de engelska språkversionerna av de båda direktiven används dock termen group. (artikel 4.30) hänvisas i fråga om termen grupp till det numera upphävda direktivet 83/349/EEG. I betaltjänstlagen hänvisas till definitionen av grupp i lagen (2006:531) om särskild tillsyn över finansiella konglomerat (1 kap. 7 §). och rådets direktiv /34/EU har genomförts i svensk rätt i årsredovisningslagen (1995:1554). bestämmelser som genomför artikel 22.1 anges under vilka omstän- digheter ett företag är ett moderföretag respektive ett dotterföretag samt moderföretag och ett dotterföretag tillsammans är en koncern 4 §). De bestämmelser i årsredovisningslagen som genomför 2017/18:77 artikel 22.2 och 22.7 rör i sin tur intresseföretag respektive gemensamt styrda företag (1 kap. 5 och 5 a §§). I artiklarna 4–7 i kommissionens delegerade förordning (EU) nr 241/2014 regleras bl.a. under vilka förutsättningar behöriga myndigheter får fastställa att en typ av företag som erkänns enligt tillämplig nationell lag räknas som kooperativ samman- slutning (i registrerade som medlemsbank enligt lagen [1995:1570] om medlemsbanker eller som ”kreditmarknadsförening” enligt lagen [2004:297] om bank- och finansieringsrörelse), sparbanker (i som är registrerade som sparbank enligt sparbankslagen [1987:619]) eller ömsesidiga bolag. Enligt definitionen av koncern i andra betaltjänstdirektivet ska dessa företag vara knutna till varandra genom ett sådant förhållande som avses i artikel 10.1 eller artikel 113.6 eller 113.7 i tillsynsförordningen. Artikel 10.1 reglerar undantag för kreditinstitut som är permanent underställda ett centralt organ, medan artikel 113.6 och 113.7 reglerar beräkningen av riskvägda exponeringsbelopp där mot- parten är tätt knuten till institutet genom att den ingår i institutets konsoliderade situation eller då institutet med motparten ingått ett avtalsgrundat eller lagstadgat institutionellt skyddssystem. Definitionen av grupp i betaltjänstlagen bör ändras så att det hänvisas till årsredovisningslagen (1 kap. 4, 5 och 5 a §§) och till relevanta artiklar i kommissionens delegerade förordning (EU) nr 241/2014 samt tillsyns- förordningen. Regeringens förslag: Med elektroniskt kommunikationsnät avses detsamma som i definitionen i lagen om elektronisk kommunikation. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: Av andra betaltjänstdirektivet (artikel 4.41) följer att elektroniskt kommunikationsnät definieras som ett nät enligt definitionen i artikel 2 a i och rådets direktiv /21/EG av om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster. Definitionen är av betydelse eftersom den påverkar undantagen från direktivets, och därmed betaltjänstlagens, tillämpningsområde (se artikel 3 l i andra betaltjänstdirektivet). I avsnitt 6.3.4 föreslås att det under vissa angivna förhållanden ska göras undantag från betaltjänstlagens tillämp- ningsområde för betalningstransaktioner som genomförs via en leve- rantör av elektroniska kommunikationsnät. och rådets direktiv /21/EG har genomförts i svensk rätt genom lagen (2003:389) om elektronisk kommunikation. I den lagen definieras elektroniskt kommunikationsnät som ett system för överföring och i tillämpliga fall utrustning för koppling eller dirigering samt passiva nätdelar och andra resurser som medger överföring av signaler, via tråd eller radiovågor, på optisk väg eller via andra elektro- magnetiska överföringsmedier oberoende av vilken typ av information som överförs (1 kap. 7 §). En definition av elektroniskt kommunikationsnät, i vilken det hänvisas till lagen om elektronisk kommunikation, bör tas in Prop. 2017/18:77 i betaltjänstlagen. Regeringens förslag: Med elektronisk kommunikationstjänst avses detsamma som i definitionen i lagen om elektronisk kommunikation. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: I andra betaltjänstdirektivet (artikel 4.42) definieras elektronisk kommunikationstjänst som en tjänst enligt definitionen i artikel 2 c i och rådets direktiv /21/EG. Definitionen är av betydelse eftersom den påverkar undantagen från direktivets, och därmed betaltjänstlagens, tillämpningsområde (se artikel 3 l i andra betaltjänstdirektivet). I avsnitt 6.3.4 föreslås att det under vissa angivna förhållanden ska göras undantag från betaltjänst- lagens tillämpningsområde för betalningstransaktioner som genomförs via en leverantör av elektroniska kommunikationstjänster. I likhet med uttrycket elektroniskt kommunikationsnät finns även en definition av elektronisk kommunikationstjänst i lagen om elektronisk kommunikation, av vilken följer att uttrycket avser en tjänst som van- ligen tillhandahålls mot ersättning och som helt eller huvudsakligen utgörs av överföring av signaler i elektroniska kommunikationsnät (1 kap. 7 §). En definition av elektronisk kommunikationstjänst, i vilken det hänvisas till lagen om elektronisk kommunikation, bör tas in i betaltjänstlagen. Regeringens förslag: Med inlösen av transaktionsbelopp avses en betaltjänst där en betaltjänstleverantör accepterar och behandlar betalningsmottagarens betalningstransaktioner för att sedan överföra medel till betalningsmottagaren. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: I andra betaltjänstdirektivet definieras ”inlösen av betalningstransaktioner” som en betaltjänst som tillhandahålls av en betaltjänstleverantör som har ingått avtal med en betalningsmot- tagare om att denne ska acceptera och behandla betalningsmottagarens betalningstransaktioner och som leder till överföring av medel till betalningsmottagaren (artikel 4.44). Inlösen av betalningstransaktioner är en betaltjänst enligt direktivet (punkt 5 i bilaga I, vars lydelse överensstämmer med samma punkt i bilagan till första betaltjänstdirektivet), dvs. en sådan tjänst som enligt huvudregeln omfattas av krav på tillstånd (se avsnitt 5.2). definieras en form av betaltjänst som förvärv av betalningstransaktioner. 2017/18:77 I bilagan anges alltså förvärv men den termen får anses synonym med inlösen (jfr den engelska språkversionen där det anges acquiring of payment instruments samt 1 kap. 2 § 4 betaltjänstlagen där termen inlösen används). I skälen till direktivet anges bl.a. att en neutral definition av termen införs i syfte att inte bara fånga upp de traditionella inlösenmodeller som rör användningen av kontokort utan också andra affärsmodeller, inklusive de modeller där mer än en inlösare medverkar, vilket bör säkerställa att säljföretag får samma skydd oavsett vilket betalningsinstrument som används om verksamheten är densamma som inlösen av korttransaktioner (skäl 10). För att säkerställa ett sådant skydd som anges i skälen till direktivet bör en neutral definition av termen tas in i betaltjänstlagen. I betaltjänstlagen används även termen transaktionsbelopp i stället för termen betalnings- transaktion (1 kap. 2 § 4). Detta framstår som mer ändamålsenligt och den termen bör därför behållas. 5.3.11Betalningsinstrument och utgivning av betalningsinstrument Regeringens förslag: Med betalningsinstrument avses ett kontokort eller något annat personligt instrument eller en personlig rutin som enligt avtal används för att initiera en betalningsorder. Med utgivning av betalningsinstrument avses en betaltjänst hos en betaltjänstleverantör om att tillhandahålla betalaren ett betalnings- instrument för att initiera och behandla betalarens betalnings- transaktioner. Utredningens förslag till definition av utgivning av betalnings- instrument överensstämmer med regeringens förslag. Utredningen före- slår inte någon ändring i definitionen av betalningsinstrument. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. anser att det bör framgå av definitionen av betalningsinstrument att leverantören och användaren har träffat avtal om kontokortet, instrumentet eller rutinen. Skälen för regeringens förslag: I andra betaltjänstdirektivet definieras ”betalningsinstrument” som en personlig anordning och/eller rutiner som betaltjänstanvändaren och betaltjänstleverantören har träffat avtal om och som används för att initiera en betalningsorder (artikel 4.14) och ”utgivning av betalningsinstrument” som en betaltjänst hos en betal- tjänstleverantör som har ingått avtal om att tillhandahålla betalaren ett betalningsinstrument för att initiera och behandla betalarens betalnings- transaktioner (artikel 4.45). Utgivning av betalningsinstrument är en betal- tjänst enligt direktivet (punkt 5 i bilaga I, som motsvarar samma punkt i bilagan till första betaltjänstdirektivet), dvs. en sådan tjänst som enligt huvudregeln omfattas av krav på tillstånd (se avsnitt 5.2). I betaltjänst- lagen används dock termen utfärdande i stället för termen utgivning. I avsnitt 5.2 föreslås att termen utfärdande ska ersättas med termen utgivning, varför det bör vara den termen som används i en definition i betaltjänstlagen. Definitioner som motsvarar dem i direktivet bör tas in i betaltjänst- Prop. 2017/18:77 lagen. Lagrådet konstaterar, i likhet med , att nu- varande definition av betalningsinstrument inte fullt ut överensstämmer med den i direktivet och bör justeras. Enligt Lagrådet får detta till följd att definitionen av utgivning av betalningsinstrument bör justeras. Regeringen instämmer med Lagrådet att det i definitionen av betalnings- instrument bör tydliggöras att leverantören och användaren ska ha träffat avtal om kontokortet, instrumentet eller rutinen samt att detta därför inte behöver framgå av definitionen av ”utgivning av betalningsinstrument”. Regeringens förslag: Med kapitalbas avses detsamma som i defini- tionen i lagen om bank- och finansieringsrörelse. Ett betalningsinstitut ska ha en kapitalbas där av primärkapitalet ska vara i form av kärnprimärkapital och där supplemen- tärkapitalet får uppgå till högst en tredjedel av primärkapitalet. Utredningens förslag överensstämmer delvis med regeringens förslag. Utredningens förslag avviker från regeringens förslag genom att det i utredningens förslag till definition av kapitalbas hänvisas till definitionen i tillsynsförordningen samt anges att åtminstone av primär- kapitalet ska vara i form av kärnprimärkapital enligt tillsynsförordningen (artikel 50) och att supplementärkapitalet får vara högst en tredjedel av primärkapitalet. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. framhåller att för att undvika dubbelreglering bör kraven på sammansättningen av kapital- basen inte anges i definitionen. Förslaget innebär dessutom att en kapital- bas som inte uppfyller kraven på sammansättning, per definition inte skulle vara en kapitalbas. Skälen för regeringens förslag: I andra betaltjänstdirektivet (artikel 4.46) definieras kapitalbas som en kapitalbas enligt definitionen i artikel 4.1.118 i tillsynsförordningen där åtminstone av primärkapitalet är i form av kärnprimärkapital enligt artikel 50 i den förordningen och supplementärkapitalet ska vara lika med eller mindre än en tredjedel av primärkapitalet. Det finns varken i första betaltjänstdirektivet eller i betaltjänstlagen någon definition av kapitalbas. Det bör därför tas in en definition av kapitalbas i betaltjänstlagen. En sådan definition bör lämpligen – i enlighet med flera andra hänvisningar som görs i definitionskatalogen i betaltjänstlagen – hänvisa till definitionen av kapitalbas i lagen om bank- och finansieringsrörelse (1 kap. 5 § 9). Denna definition hänvisar i sin tur till artikel 72 i tillsynsförordningen, vilken överensstämmer med defini- tionen i artikel 4.1.118 i tillsynsförordningen. Kapitalbas är således summan av primärkapital och supplementärkapital. Regeringen anser, i likhet med , att kraven på sammansättningen av kapitalbasen inte bör anges i definitionen i betaltjänstlagen. Det är enligt regeringens bedömning en bättre ordning om kraven på samman- sättningen anges i bestämmelserna om kapitalkrav i samma lag. 2017/18:77 Enligt betaltjänstlagen ska ett betalningsinstitut ha en kapitalbas som motsvarar minst startkapitalet eller ett kapitalkrav beräknat på visst sätt (3 kap. 2 § första stycket). Det anges vidare att tillsynsförordningen gäller vid beräkningen av kapitalbasen och dess sammansättning (3 kap. 2 § andra stycket). Som framgår ovan ska kapitalbasen enligt andra betaltjänstdirektivet ha en viss kvalitet, nämligen att primärkapitalet ska bestå till av kärnprimärkapital och att supplementärkapitalet ska vara lika med eller lägre än en tredjedel av primärkapitalet. Sammansättningen av kapitalbasen för betalningsinstitut regleras i direktivet. Mot denna bakgrund bör bestämmelserna om kapitalkrav i betaltjänstlagen ändras så att det hänvisas till tillsynsförordningen endast när det gäller hur kapitalbasen ska beräknas. Beträffande kapitalbasens sammansättning bör det i stället – i enlighet med definitionen i direktivet – anges att av primärkapitalet ska vara i form av kärn- primärkapital, och supplementärkapitalet får uppgå till högst en tredjedel av primärkapitalet. På detta sätt framgår att det i tillsynsförordningen anges vilka delar kapitalbasen kan bestå av (primärkapital och supplementär- kapital), medan det i betaltjänstlagen anges vilken kvalitet innehållet i kapitalbasen minst ska ha. Regeringens förslag: avses detsamma som i definitionen i lagen om bank- och finansieringsrörelse. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: Andra betaltjänstdirektivet innehåller inte någon definition av termen kreditinstitut. Termen förekommer dock i direktivet, bl.a. när det gäller reglerna om betalningsinstitutens rätt till tillgång till kreditinstitutens betalkontotjänster (dessa regler behandlas i avsnitt 9.2). Mot denna bakgrund anser regeringen att en definition av termen kreditinstitut bör tas in i betaltjänstlagen. bör i betaltjänstlagen avses detsamma som i definitionen i lagen om bank- och finansieringsrörelse (1 kap. 5 § 10), dvs. banker och kreditmarknads- företag (jfr 1 kap. 3 § 1 betaltjänstlagen). Regeringens förslag: Med utländskt kreditinstitut avses detsamma som i definitionen i lagen om bank- och finansieringsrörelse. Utredningen föreslår inte någon definition av utländskt kreditinstitut. Remissinstanserna tar inte upp frågan. Skälen för regeringens förslag: Andra betaltjänstdirektivet innehåller inte någon definition av termen utländskt kreditinstitut. av förslaget att det ska införas en definition av kreditinstitut i betaltjänst- lagen, vilken endast avser svenska företag (se avsnitt 5.3.13), behövs en definition även av utländskt hänvisningar i lagen till Prop. 2017/18:77 sådana institut ska kunna ske. Mot denna bakgrund anser regeringen att en definition av termen utländskt kreditinstitut bör tas in i betaltjänst- lagen. Med utländskt kreditinstitut bör i betaltjänstlagen avses detsamma som i definitionen i lagen om bank- och finansieringsrörelse (1 kap. 5 § 21), dvs. ett utländskt bankföretag och ett utländskt kreditföretag (jfr 1 kap. 3 § 8 betaltjänstlagen). Regeringens förslag: Med obehörig transaktion avses en transaktion som genomförs utan samtycke från kontohavaren eller någon annan som enligt kontoavtalet är behörig att använda kontot. Utredningen föreslår inte någon definition av obehörig transaktion. Remissinstanserna tar inte upp frågan. Skälen för regeringens förslag: Andra betaltjänstdirektivet innehåller inte någon definition av termen obehörig transaktion.