prop · H50377 · 2018-01-30 00:00:00 — Regeringen konstaterar dock att som framhåller ska betalarens betaltjänstleverantör tillämpa stark kundautentisering när en betalning initieras av betalaren och det gäller även om betalningen initieras av betalaren via betalningsmottagarens betaltjänstleverantör. I den sistnämnda situationen ska dock även betalningsmottagarens betal- tjänstleverantör tillämpa stark kundautentisering. Detaljerade bestämmelser om kraven på stark kundautentisering och vissa undantag från skyldigheten att tillämpa stark kundautentisering finns i tekniska standarder som antagits av kommissionen i form av en direkt tillämplig förordning (se artikel 98 i andra betaltjänstdirektivet och Commission delegated regulation [EU] supplementing Directive 2015/2366 of Parliament and of the Council with regard to regulatory technical standards for strong customer authentication and common and secure open standards of communication). Regeringen instämmer med utredningen att det av betaltjänstlagen bör framgå att undantag från skyldigheten att tillämpa stark kundautentisering kan finnas i de tekniska standarderna. Det bör komma till uttryck genom att det anges att kraven på stark kundautentisering inte gäller om annat följer av de tekniska standarderna. Som behandlas i avsnitt 15 ska bestämmelserna om stark kundautenti- sering börja tillämpas 18 månader efter det att de tekniska standarderna trätt i kraft. Med anledning av Datainspektionens frågor finns skäl att klargöra att har tillsyn över att bestämmelserna om stark kund- autentisering i betaltjänstlagen följs. Det påverkar inte Datainspektionens ansvar för tillsyn på andra områden och från att inom ramen för den tillsynen – som i de ärenden som myndigheten hänvisar till – ta upp frågor om t.ex. stark kundautentisering. När det gäller Klarna AB:s synpunkter som rör genomförandet av tekniska standarder för stark kundautentisering konstaterar regeringen att dessa finns i en direkt tillämplig EU-förordning, varför det inte är aktuellt att genomföra dem i svensk rätt. Särskilt om stark kundautentisering vid betalningsinitieringstjänster och kontoinformationstjänster I andra betaltjänstdirektivet finns regler om att stark kundautentisering ska tillämpas när betalningar initieras via en leverantör av betalnings- initieringstjänster eller information begärs via en leverantör av konto- informationstjänster (artikel 97.4). Dessa innebär att stark kundautenti- sering som på ett dynamiskt sätt kopplar transaktionen till ett specifikt belopp och en specifik mottagare ska tillämpas för en elektronisk betal- ningstransaktion på distans även när denna initieras via en leverantör av en betalningsinitieringstjänst (artikel 97.2 och 97.4). Vidare gäller att när information begärs via en leverantör av en kontoinformationstjänst ska stark kundautentisering tillämpas när inloggning sker på betaltjänst- användarens konto via leverantören samt när någon åtgärd genomförs på distans som kan innebära en risk för betalningsbedrägeri eller andra missbruk (artikel 97.1 a och b och 97.4). I fråga om åtgärder som vidtas via en leverantör av betalningsinitieringstjänster anges det i direktivet inte att stark kundautentisering ska tillämpas i andra fall än vid elek- troniska betalningstransaktioner på distans (se artikel 97.4 som inte hänvisar till artikel 97.1 när det gäller leverantörer av betalnings- initieringstjänster). Det framstår som motsägelsefullt att reglerna om att stark kund- autentisering i direktivet ska tillämpas när en kund loggar in på sitt konto online och när en kund genomför någon åtgärd på distans som kan innebära en risk för betalningsbedrägeri eller andra missbruk inte ska tillämpas när betalningar initieras via en leverantör av betalnings- initieringstjänster. Dessa leverantörer loggar också in på betaltjänst- användarens konto för dennes räkning för att genomföra den transaktion som användaren har initierat. Det kan inte heller uteslutas att de kan vidta åtgärder på distans som kan innebära risk för betalningsbedrägeri. I direktivet finns emellertid även en regel enligt vilken medlemsstaterna ska se till att den kontoförvaltande betaltjänstleverantören gör det möjligt för leverantörer av betalningsinitieringstjänster och leverantörer av kontoinformationstjänster att förlita sig på de autentiseringsförfaranden som den kontoförvaltande betaltjänstleverantören tillhandahåller betal- tjänstanvändaren (artikel 97.5). Av denna regel följer att leverantörer av betalningsinitieringstjänster ska kunna förlita sig på den autentisering som tillämpas av den kontoförvaltande betaltjänstleverantören i samtliga de situationer när stark kundautentisering ska tillämpas enligt direktivet, medan motsvarande reglering för leverantörer av kontoinformationstjänster endast gäller inloggning på konto och åtgärder på distans med risk för betalnings- bedrägeri (se artikel 97.5 som hänvisar till bl.a. artikel 97.1 och 97.2 när det gäller betalningsinitieringstjänster och bl.a. artikel 97.1 när det gäller konto- informationstjänster). Enligt regeringens bedömning innebär direktivet att stark kundautentisering ska tillämpas även vid inloggning och andra åtgärder som kan innebära en risk för missbruk när en leverantör av betalningsinitieringstjänster deltar. Enligt utredningens förslag ska det i betaltjänstlagen, på samma sätt som i direktivet, tas in en särskild bestämmelse om att den konto- förvaltande betaltjänstleverantören ansvarar för att tillämpa stark kund- autentisering vid betalningstransaktioner som initieras via en leverantör av betalningsinitieringstjänster eller när information begärs via en leverantör av kontoinformationstjänster (jfr artikel 97.4 i direktivet). Regeringen bedömer emellertid att även åtgärder som betalaren gör via en tredjepartsbetaltjänstleverantör är att betrakta som gjorda av betalaren. Det innebär att åtgärderna omfattas av kraven på stark kundautentisering på samma sätt som om de gjorts på annat sätt. att den särskilda regeln i direktivet om stark kundautentisering även vid åtgärder som görs via en tredjepartsbetaltjänstleverantör är att betrakta som ett förtydligande och inte en utvidgning av kraven på stark kund- autentisering. Enligt regeringens uppfattning bör ett motsvarande för- tydligande inte tas in i betaltjänstlagen. Det finns inte heller skäl att, som i utredningens förslag, särskilt föreskriva att det är den kontoförvaltande betaltjänstleverantören som ansvarar för att tillämpa stark kundautenti- sering i de fall en åtgärd görs via en tredjepartsbetaltjänstleverantör. I praktiken är det dock, som behandlas nedan, den kontoförvaltande betaltjänstleverantörens autentisering som ska uppfylla kraven på stark kundautentisering. Som anges i skälen till direktivet är de personliga behörighetsfunk- tioner som används för säker kundautentisering av betaltjänstanvändaren eller leverantören av betalningsinitieringstjänster vanligtvis utfärdade av den kontoförvaltande betaltjänstleverantören (skäl 30). Det innebär att leverantörer av enbart betalningsinitieringstjänster respektive konto- informationstjänster inte själva förser betaltjänstanvändaren med person- liga behörighetsfunktioner. En förutsättning för att de ska kunna till- handahålla sina tjänster på det sätt som föreskrivs i direktivet är att de kan förlita sig på den autentisering som den kontoförvaltande betaltjänst- leverantören tillhandahåller betaltjänstanvändaren. Utredningen föreslår emellertid inte att reglerna i direktivet om att den kontoförvaltande betaltjänstleverantören ska möjliggöra för tredjepartsbetaltjänstleveran- törer att förlita sig på den autentisering som denne tillhandahåller betaltjänstanvändaren ska tas in i motsvarande bestämmelser i betal- tjänstlagen (jfr artikel 97.5). och anser att denna regel bör komma till uttryck i en bestämmelse i lagen. Även framhåller betydelsen av denna regel. Enligt regeringens bedömning innebär den nu aktuella regeln i direktivet, så som framhålls av nämnda remissinstanser, att medlemsstaterna ska kräva att den kontoförvaltande betaltjänstleverantören gör det möjligt för tredjepartsbetaltjänstleverantörer att förlita sig på den autentisering som den tillhandahåller betalaren. Regeringen anser att en sådan skyldighet bör anges uttryckligen i betaltjänstlagen. Skydd för personliga behörighetsfunktioner Enligt andra betaltjänstdirektivet ska medlemsstaterna sörja för att betaltjänstleverantörerna har tillräckliga säkerhetskrav för att skydda konfidentialitet och integritet när det gäller betaltjänstanvändarnas personliga säkerhetsbehörighetsuppgifter (artikel 97.3). Detta gäller även när betalningar initieras via en leverantör av betalningsinitieringstjänster och information begärs via en leverantör av kontoinformationstjänster (artikel 97.4). Regeringen anser att de nu aktuella reglerna i direktivet bör genom- föras i svensk rätt i motsvarande bestämmelser i betaltjänstlagen. De bör utformas som handlingsregler för samtliga inblandade betaltjänst- leverantörer, dvs. i enlighet med Lagrådets synpunkter som ett krav på att vidta särskilda åtgärder. Som framgår i avsnitt 5.3.5 anser regeringen att uttrycket personlig behörighetsfunktion är ett mer lämpligt uttryck än personliga säkerhetsbehörighetsuppgifter. Vidare bör kravet på att skydda uppgifternas konfidentialitet och integritet uttryckas som att Prop. 2017/18:77 uppgifterna ska skyddas mot obehörig åtkomst och förvanskning. Detaljerade bestämmelser om de säkerhetsåtgärder som ska vidtas anges i de tekniska standarder som antagits av kommissionen (Commission delegated regulation [EU] supplementing Directive 2015/2366 of Parliament and of the Council with regard to regulatory technical standards for strong customer authentication and common and secure open standards of communication). 12Alternativ tvistlösning, tillsyn och sanktioner 12.1Klagomål och alternativ tvistlösning Regeringens förslag: Det ska anges i betaltjänstlagen att en betal- tjänstleverantör ska ha lämpliga och effektiva förfaranden för hantering av klagomål från betaltjänstanvändare. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om hur betaltjänstleverantörer ska hantera klagomål från betaltjänstanvändare. Regeringens bedömning: Kraven i andra betaltjänstdirektivet på förfaranden för klagomål till de behöriga myndigheterna som rör betaltjänstleverantörers påstådda överträdelser av direktivet och för- faranden för alternativ tvistlösning kräver inte någon lagstiftningsåtgärd. Utredningens förslag och bedömning överensstämmer i sak med regeringens förslag och bedömning. Utredningens förslag avviker från regeringens förslag genom att i utredningens förslag anges det inte ett uttryckligt krav i betaltjänstlagen att en betaltjänstleverantör ska ha lämpliga och effektiva förfaranden för hantering av klagomål från betal- tjänstanvändare. Remissinstanserna tillstyrker förslaget och bedömningen eller har inget att invända mot dem. Skälen för regeringens förslag och bedömning Klagomål till behörig myndighet Enligt andra betaltjänstdirektivet ska medlemsstaterna se till att det inrättas förfaranden för betaltjänstanvändare och andra berörda parter, inklusive konsumentorganisationer, att till de behöriga myndigheterna anmäla klagomål som rör betaltjänstleverantörers påstådda överträdelser av direktivet (artikel 99.1). Klagandena ska i lämpliga fall även infor- meras av de behöriga myndigheterna om förfaranden för alternativ tvist- lösning (artikel 99.2). Första betaltjänstdirektivet innehåller motsvarande regler om förfaran- den för klagomål och information om tvistlösning utanför domstol (artikel 80). Reglerna i första betaltjänstdirektivet har i dessa delar inte kommit till uttryck i bestämmelser i betaltjänstlagen. När första betaltjänstdirektivet skulle genomföras i svensk rätt konstaterade regeringen att såväl som tar emot klagomål från enskilda på områden som faller under direktivets tillämpningsområde. Regeringen fann att några ytterligare åtgärder i den delen inte framstod som nödvändiga och att det inte behövdes någon uttrycklig bestämmelse i betaltjänstlagen för att reglera klagomålshanteringen (se prop. 2009/10:220 s. 76–79). Det kan dessutom noteras att ålagts att öka medvetenheten om alternativ tvistlösning enligt lagen (2015:671) om alternativ tvistlösning i konsumentförhållanden (se 9 § betaltjänstförordningen). Mot denna bakgrund krävs, enligt regeringens uppfattning, inte någon lagstiftningsåtgärd när det gäller den behöriga myndighetens hantering av klagomål som avses i andra betaltjänstdirektivet. Enligt andra betaltjänstdirektivet ska medlemsstaterna se till att det, i enlighet med relevant nationell rätt och unionsrätten i enlighet med och rådets direktiv /11/EU av om alternativ tvistlösning vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv /22/EG (i det följande benämnt direktivet om alternativ tvistlösning), införs lämpliga, obero- ende, opartiska, öppna och effektiva förfaranden för alternativ tvist- lösning för att avgöra tvister mellan betaltjänstanvändare och deras betal- tjänstleverantörer (artikel 102.1). Medlemsstaterna ska se till att dessa förfaranden är tillämpliga på betaltjänstleverantörer och att de även omfattar utsedda ombuds verksamhet (artikel 102.1 sista meningen). Behöriga organ ska utnyttjas när det är lämpligt och dessa organ ska samarbeta effektivt för att lösa eventuella gränsöverskridande tvister (artikel 102.1 och 102.2). Medlemsstaterna får föreskriva att förfaran- dena för alternativ tvistlösning inte ska tillämpas om betaltjänst- användaren inte är konsument (artikel 61.2). Reglerna överensstämmer i stora delar med dem i första betaltjänst- direktivet. Enligt det direktivet ska medlemsstaterna se till att det inrättas förfaranden för klagomål och tvistlösning för att avgöra tvister mellan betaltjänstanvändare och deras betaltjänstleverantörer samt att befintliga organ ska utnyttjas när så är lämpligt (artikel 83.1). Av första betaltjänst- direktivet följer även att medlemsstaterna får föreskriva att tvistlösnings- förfarandena inte ska tillämpas om betaltjänstanvändaren inte är konsument (artikel 51.2). Det som är nytt i andra betaltjänstdirektivet är hänvisningen till direktivet om alternativ tvistlösning och det uttryckliga kravet på att förfarandena ska vara oberoende, lämpliga och öppna. En annan nyhet är att förfarandena för alternativ tvistlösning även ska omfatta utsedda ombuds verksamhet (artikel 102.1). När det gäller förfaranden för tvistlösning utanför domstol fann regeringen vid genomförandet av första betaltjänstdirektivet att det redan fanns lämpliga och effektiva förfaranden för att avgöra tvister om rättigheter och skyldigheter enligt betaltjänstlagen mellan betaltjänst- användare som är konsumenter och deras betaltjänstleverantörer. skulle enligt den då gällande förord- ningen (2007:1041) med instruktion för (numera ersatt av förordningen [2015:739] med instruktion för ), pröva tvister mellan konsumenter och närings- idkare. Nämnden deltar även i FIN-NET, som är ett nätverk av tvistlös- ningsorgan inom EU, i vilket även sådana organ i länder inom EES som inte är medlemmar i ingår, med ansvar för att lösa tvister mellan konsumenter och leverantörer av finansiella tjänster. Enligt regeringens bedömning hade nämnden inom ramen för sin verksamhet också förutsätt- ningar för att uppfylla kravet i första betaltjänstdirektivet (artikel 83.2) på aktivt deltagande i samarbete för att lösa gränsöverskridande tvister. Regeringen fann att de tvistlösningsförfaranden som skulle finnas till- gängliga enligt första betaltjänstdirektivet tillhandahölls inom ramen för verksamhet och att det därför inte heller i denna del behövdes några nya bestämmelser i lag för att genomföra direktivet (prop. 2009/10:220 s. 76–79). hanterar tvister mellan konsumenter och näringsidkare. En betaltjänstanvändare som inte är konsument kan alltså inte vända sig till få till stånd en prövning av om betaltjänstleverantören har överträtt betaltjänstlagen. har således utnyttjat möjligheten i första betaltjänstdirektivet (artikel 51.2) att låta tvist- lösningsförfarandena bara vara tillgängliga för betaltjänstanvändare som är konsumenter. I andra betaltjänstdirektivet anges att förfarandena för tvistlösning ska införas i enlighet med direktivet om alternativ tvistlösning (artik- el 102.1). Det direktivet har genomförts i svensk rätt genom lagen om alternativ tvistlösning i konsumentförhållanden (i det följande benämnd tvistlösningslagen), som också innehåller kompletterande bestämmelser till och rådets förordning (EU) nr 524/2013 av om tvistlösning online vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv /22/EG (i det följande benämnd EU:s tvistlösningsförordning). Tvistlösningslagen gäller för alternativ tvistlösning som initieras av en konsument avseende hans eller hennes anspråk mot en näringsidkare, om anspråket härrör från avtal om köp av vara eller tjänst mellan konsu- menten och näringsidkaren. I lagen anges bl.a. att en behörig myndighet, som utses av regeringen, ska besluta om godkännande av nämnder för alternativ tvistlösning. Av förordningen med instruktion för följer att nämnden är ett sådant organ för alternativ tvistlösning som avses i tvistlösningslagen och att nämnden ska fullgöra de uppgifter som alternativa tvistlösningsorgan har enligt direktivet om alternativ tvistlösning (1 §). Av tvistlösningslagen (13 §) följer också att en näringsidkare är skyldig att lämna information om alternativ tvistlösning till konsumenter och att denna skyldighet sanktioneras enligt marknadsföringslagen. Vidare följer att en näringsidkare som helt eller delvis motsätter sig ett krav från en konsument på grund av ett avtal mellan dem, ska informera konsumenten om den tvistlösning som konsumenten kan vända sig till för att få sitt krav prövat (11 §). Näringsidkaren ska också informera konsumenten om huruvida näringsidkaren avser att medverka vid tvistlösningsförfarandet. Informationen ska vara klar och begriplig, innehålla den berörda tvistlösningsnämndens webbadress och postadress samt ges i en handling eller i någon annan läsbar och varaktig form som är tillgänglig för konsumenten. När det gäller genomförandet i svensk rätt av andra betaltjänstdirektivet i denna del konstaterar regeringen, liksom vid genomförandet av första betaltjänstdirektivet, att verksamhet uppfyller de krav på förfaranden för alternativ tvistlösning som anges i direktivet. Förfarandena vid är även öppna för tvister som gäller tjänster som tillhandahållits genom ombud (jfr 3 kap. 17 § betaltjänstlagen) och de får även anses uppfylla de krav på oberoende, opartiska och öppna förfaranden som tillkommit i andra betaltjänstdirektivet. Regeringen finner också att förfaranden för alternativ tvistlösning även i fortsättningen bara bör vara öppna för betaltjänstanvändare som är konsumenter. Medlemsstaterna ges också möjlighet att införa eller behålla mer fördel- aktiga regler än de som anges i direktivet (artikel 101.2). Regeringen anser inte att det finns skäl att utnyttja möjligheten att införa sådana regler. Enligt andra betaltjänstdirektivet ska medlemsstaterna se till att betal- tjänstleverantörerna själva inför och tillämpar lämpliga och effektiva förfaranden för hantering och reglering av betaltjänstanvändares klago- mål som gäller de rättigheter och skyldigheter som fastställs i avdelning- arna III och IV i direktivet samt kontrollera leverantörernas åtgärder i detta avseende (artikel 101.1 första stycket). Dessa klagomålsförfaranden ska tillämpas i alla medlemsstater där betaltjänstleverantören tillhanda- håller betaltjänsterna och ska vara tillgängliga på ett språk som är offi- ciellt språk i den berörda medlemsstaten eller på ett annat språk som betaltjänstleverantören och betaltjänstanvändaren kommit överens om (artikel 101.1 andra stycket). Medlemsstaterna ska kräva att betaltjänst- leverantören gör allt för att besvara betaltjänstanvändares klagomål på papper eller något annat varaktigt medium som betaltjänstleverantören och betaltjänstanvändaren kommit överens om. Varje punkt i klagomålet ska besvaras inom rimlig tid och senast efter det att klagomålet tagits emot. Om särskilda omständigheter som betaltjänst- leverantören inte kan påverka medför att svaret inte kan lämnas , ska leverantören skicka ett preliminärt svar. I svaret ska klart anges skälen till att svaret försenats och redovisas när betaltjänst- användaren ska få det definitiva svaret. Tidsfristen för mottagande av det slutliga svaret får dock inte under några omständigheter överskrida (artikel 101.2 första stycket). Det står medlemsstaterna fritt att införa eller behålla regler för tvistlösningsförfaranden som är mer fördelaktiga för betaltjänstanvändaren än de nämnda (artikel 101.2 andra stycket). Av direktivet följer vidare att betaltjänstleverantören ska informera betaltjänstanvändaren om minst ett alternativt tvistlösningsorgan som är behörigt att behandla tvister som gäller de rättigheter och skyldigheter som fastställs i avdelningarna III och IV (artikel 101.3). tion ska vara tydlig, begriplig och lätt tillgänglig på betaltjänstleveran- Prop. 2017/18:77 törens webbplats, om sådan finns, vid filialen och i de allmänna villkoren för avtal mellan betaltjänstleverantören och betaltjänstanvändaren. Det ska framgå var ytterligare information om det alternativa tvistlösnings- organet kan inhämtas och villkoren för att anlita ett sådant organ (artikel 101.4). Regleringen i andra betaltjänstdirektivet om betaltjänstleverantörernas förfaranden för klagomål och tvistlösning är ny. Regeringen anser, till skillnad från utredningen, att kravet i direktivet att en betaltjänstleverantör ska ha lämpliga och effektiva förfaranden för hantering av klagomål från betaltjänstanvändare bör genomföras i svensk rätt i en motsvarande bestämmelse i betaltjänstlagen. Mot bakgrund av de detaljerade kraven på betaltjänstleverantörernas klagomålshantering (artikel 101.1 och 101.2) framstår det dock som en lämplig ordning att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om hur en betaltjänstleverantör ska hantera klagomål från betaltjänstanvändare. När det gäller skyldigheten att informera betaltjänstanvändaren om möjligheten till alternativ tvistlösning kan noteras att uppgift om för- faranden för alternativ tvistlösning ingår i den information som en betal- tjänstleverantör ska lämna innan en betaltjänstanvändare binds av ett ramavtal (artikel 52.7 b). I betaltjänstlagen anges att betaltjänstanvänd- aren innan ett ramavtal träffas ska informeras om vilka förfaranden för klagomål och prövning utanför domstol som finns för användaren (4 kap. 10 § 27) och att denna information ska tillhandahållas på papper eller annat varaktigt medium, uttryckas på ett lättillgängligt sätt och vara lätt att förstå (4 kap. 11 §). Vidare är de betaltjänstleverantörer som ska tillämpa tvistlösningslagen skyldiga att vid tvist informera en konsument om den tvistlösning som konsumenten kan vända sig till för att få sitt krav prövat. I tvistlösningslagen finns också krav på informationsgivning som motsvarar kraven i andra betaltjänstdirektivet. Näringsidkarna är också enligt EU:s tvistlösnings- förordning skyldiga att lämna information om tvistlösningsorgan (artikel 14). Mot bakgrund av bestämmelserna om alternativ tvistlösning i tvistlösningslagen och i EU:s tvistlösningsförordning anser regeringen att det inte krävs någon ytterligare lagstiftningsåtgärd för att genomföra de nu aktuella reglerna i andra betaltjänstdirektivet om information om ett alternativt tvistlösningsorgan. 12.2Behöriga myndigheter, tillsyn och sanktioner Regeringens bedömning: Reglerna i andra betaltjänstdirektivet om behöriga myndigheter och deras befogenheter kräver inte någon lagstiftningsåtgärd. Utredningens förslag och bedömning överensstämmer delvis med regeringens bedömning.