Source: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:52014AB0009
Timestamp: 2020-07-15 06:46:12
Document Index: 367769929

Matched Legal Cases: ['artículo 127', 'artículo 282', 'artículo 127', 'artículo 17', 'artículo 27', 'artículo 29', 'artículo 29', 'artículo 29', 'artículo 2', 'artículo 66', 'artículo 4', 'artículo 4', 'artículo 4', 'artículo 2', 'artículo 78', 'artículo 9', 'artículo 25', 'artículo 58', 'artículo 5', 'artículo 67', 'artículo 69', 'artículo 88', 'artículo 35', 'artículo 56', 'artículo 3', 'artículo 78', 'artículo 78', 'artículo 72', 'artículo 74', 'Artículo 4', 'Artículo 4', 'Artículo 4', 'Artículo 9', 'artículo 17', 'artículo 1', 'artículo 1', 'Artículo 27', 'artículo 35', 'Artículo 39', 'artículo 58', 'artículo 37', 'artículo 37', 'artículo 39', 'Artículo 45', 'artículo 59', 'artículo 55', 'artículo 57', 'artículo 63', 'artículo 55', 'artículo 57', 'artículo 63', 'Artículo 56', 'artículo 56', 'artículo 58', 'artículo 59', 'artículo 59', 'Artículo 59', 'artículo 5', 'Artículo 65', 'artículo 82', 'artículo 80', 'artículo 82', 'Artículo 66', 'artículo 65', 'artículo 61', 'Artículo 67', 'artículo 68', 'artículo 68', 'Artículo 82', 'artículo 80', 'artículo 80', 'artículo 65', 'artículo 80', 'artículo 65', 'artículo 80', 'artículo 6', 'artículo 14', 'artículo 6', 'artículo 14', 'artículo 14', 'artículo 14', 'artículo 86', 'Artículo 86', 'artículo 6', 'artículo 6', 'artículo 16', 'artículo 6', 'artículo 6', 'artículo 16', 'Artículo 89', 'artículo 16']

Dictamen del Banco Central Europeo, de 5 de febrero de 2014 , sobre una propuesta de directiva del Parlamento Europeo y del Consejo sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2013/36/UE y 2009/110/CE, y se deroga la Directiva 2007/64/CE (CON/2014/9)
sobre una propuesta de directiva del Parlamento Europeo y del Consejo sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2013/36/UE y 2009/110/CE, y se deroga la Directiva 2007/64/CE
El 31 de octubre de 2013 el Banco Central Europeo (BCE) recibió del Consejo una solicitud de dictamen sobre una propuesta de directiva sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2013/36/UE y 2009/110/CE, y se deroga la Directiva 2007/64/CE (1) (en adelante, «la directiva propuesta»).
La competencia consultiva del BCE se basa en el artículo 127, apartado 4, y el artículo 282, apartado 5, del Tratado de Funcionamiento de la Unión Europea, pues la directiva propuesta contiene disposiciones que afectan a las funciones básicas del Sistema Europeo de Bancos Centrales (SEBC), establecidas en el cuarto guion del apartado 2 y en el apartado 5 del artículo 127 del Tratado, de promover el buen funcionamiento de los sistemas de pago y contribuir a la buena gestión de las políticas relativas a la estabilidad del sistema financiero. De conformidad con la primera frase del artículo 17.5 del Reglamento interno del Banco Central Europeo, el presente dictamen ha sido adoptado por el Consejo de Gobierno.
La directiva propuesta, que incorpora y deroga la Directiva 2007/64/CE (2) («la Directiva de Servicios de Pago» o «DSP»), tiene por objeto contribuir al desarrollo de un mercado de toda la Unión para los pagos electrónicos, permitiendo así que los consumidores y participantes en el mercado se beneficien plenamente del mercado interior, teniendo en cuenta además la rápida evolución del mercado de pagos minoristas (la introducción de nuevas soluciones de pago a través de teléfonos inteligentes, comercio electrónico, etc.). Estas propuestas siguen a una extensa revisión, por parte de la Comisión, del actual entorno de los servicios de pago. En enero de 2012 la Comisión publicó y sometió a consulta pública el Libro Verde «Hacia un mercado europeo integrado de pagos mediante tarjeta, pagos por internet o pagos móviles» (3), consulta en la que también participó el BCE (4). Tanto las respuestas a la consulta sobre el Libro Verde como los propios estudios de la Comisión y su revisión de la DSP revelaron que las recientes innovaciones en el mercado y la tecnología de los servicios de pagos minoristas plantean a los reguladores nuevos retos que las propuestas intentan afrontar.
La directiva propuesta introduce numerosas modificaciones al régimen actual de la DSP, incluida una ampliación tanto del ámbito de aplicación geográfico como de las monedas de las operaciones de pago. También redefine y modifica varias de las actuales exenciones de la DSP, a fin de hacerlas más restringidas y más difíciles de aprovechar, y elimina otras que ya no son necesarias. Por ejemplo, la exención en favor de los «agentes comerciales» se modifica de forma que solo se aplique a aquellos que actúen por cuenta del ordenante o del beneficiario. También redefine la actual exención relativa a los contenidos digitales o de telecomunicaciones con un planteamiento más restringido, y elimina la exención de los servicios de cajero automático ofrecidos por operadores independientes. Más importante aún, la directiva propuesta extiende el régimen de la DSP a nuevos servicios y sus proveedores, es decir, a los «proveedores de servicios de pago terceros», cuya actividad comercial consiste en prestar servicios basados en el acceso a cuentas de pago, tales como los servicios de iniciación de pagos o de información sobre cuentas, y que normalmente no mantienen los fondos de los clientes (5). También prohíbe la práctica de los comerciantes de imponer recargos a las tarjetas sujetas a la regulación de las tasas de intercambio, en vista de la introducción de límites máximos a las tasas de intercambio en la propuesta de reglamento sobre las tasas de intercambio para operaciones basadas en tarjetas (6). Por último, también modifica numerosos elementos importantes del régimen actual —como, por ejemplo, los requisitos de salvaguardia, las condiciones de renuncia y la responsabilidad del proveedor de servicios de pago y del ordenante por las operaciones de pago no autorizadas—, al objeto de armonizar en mayor medida esas disposiciones, desarrollar una mayor igualdad de condiciones y aumentar la seguridad jurídica (7). La directiva propuesta tiene el objetivo general de proporcionar a los consumidores mayor protección frente al fraude, los posibles abusos y otros incidentes relacionados con la seguridad de los servicios de pago. Contiene varias disposiciones que requieren de la Autoridad Bancaria Europea (ABE) que contribuya al funcionamiento consecuente y coherente de la supervisión con arreglo al Reglamento (UE) no 1093/2010 del Parlamento Europeo y del Consejo (8).
El BCE apoya decididamente los objetivos y el contenido de la directiva propuesta. En particular, apoya la propuesta de ampliar la lista vigente de servicios de pago para incluir los servicios de iniciación de pagos y de información sobre cuentas como instrumento para fomentar la innovación y competencia en los pagos minoristas. Las autoridades de supervisión y vigilancia han debatido extensamente la cuestión del acceso de terceros a las cuentas de pago en el contexto del Foro europeo sobre la seguridad de los pagos minoristas (en adelante, «el Foro sobre la seguridad de los pagos minoristas»). Los elementos principales de estos debates están reflejados en las propuestas de redacción del BCE.
Asimismo, el BCE celebra que: a) se haya propuesto la armonización y mejora de los requisitos operativos y de seguridad para los proveedores de servicios de pago; b) se vayan a reforzar los poderes coercitivos de las autoridades competentes, y c) se vayan a endurecer algunas disposiciones de la DSP, sobre cuya aplicación los Estados miembros han tenido hasta ahora una considerable discrecionalidad. Este elemento de la discrecionalidad ha ocasionado una importante divergencia en la aplicación de las normas en toda la Unión, así como la consiguiente fragmentación del mercado de los pagos minoristas (9). El BCE expresó con anterioridad su opinión en su respuesta al Libro Verde (10) y en otros foros como el Foro sobre la seguridad de los pagos minoristas. El BCE celebra que en la directiva propuesta se hayan incluido muchas de las recomendaciones formuladas en su respuesta y en el mencionado Foro. Sin embargo, el BCE desea formular varias observaciones particulares.
Los términos definidos de la directiva propuesta (11) se mantienen sin apenas cambios con respecto a los de la DSP, pero podrían mejorarse. En particular, las definiciones de «emisión de instrumentos de pago» y «adquisición de operaciones de pago» deberían añadirse a la directiva propuesta (12), aportándose así mayor claridad al anexo I de la directiva propuesta. También se podrían mejorar las definiciones de «servicio de iniciación del pago» (13) y «servicio de información sobre cuentas» (14) con nuevas modificaciones, y, para ser exhaustivos, deberían incluirse las definiciones de «transferencia», «pagos transfronterizos» y «pagos nacionales».
En cuanto al ámbito de aplicación (15), la directiva propuesta dispone que, cuando solo uno de los proveedores de servicios de pago esté situado en la Unión, las disposiciones relativas a la fecha de valor del abono (16) y a la transparencia de las condiciones y requisitos de información aplicables a los servicios de pago sean de aplicación a la parte de la operación de pago que se efectúe en la Unión (17). En la medida de lo posible, el título IV, que se refiere a los derechos y obligaciones en relación con la prestación y utilización de servicios de pago, debe también aplicarse en ese caso y hacerse extensivo a todas las monedas.
A diferencia de la actual DSP, la directiva propuesta no autoriza a los Estados miembros ni a las autoridades competentes a ampliar los requisitos de salvaguardia aplicables a las entidades de pago que llevan a cabo actividades empresariales distintas de los pagos a entidades de pago que solo realizan la prestación de servicios de pago (18). El BCE propone que las entidades de pago tengan la obligación de ofrecer una protección adecuada salvaguardando los fondos recibidos de los usuarios de servicios de pago, con independencia de si realizan otras actividades empresariales distintas de los servicios de pago o no.
Por razones de eficiencia, el BCE celebra que una única autoridad sea la responsable de garantizar el cumplimiento de la directiva. Sin embargo, es consciente de que esta solución puede ser difícil de aplicar en la práctica debido a la disparidad entre los regímenes nacionales.
Además, el BCE sugiere que se añada a Europol como una autoridad más con la que las autoridades competentes de supervisar los servicios de pago puedan intercambiar información (19), teniendo en cuenta sus conocimientos en el ámbito del terrorismo y la delincuencia internacional, incluida la lucha contra la falsificación del euro y otros usos indebidos de instrumentos y servicios de pago para la comisión de delitos financieros.
Considerando que, con respecto a los servicios enumerados en el punto 7 del anexo I de la directiva propuesta, se encomendará a los proveedores de servicios de pago gestores de cuenta que den acceso a las cuentas de pago, y teniendo en cuenta además que normalmente los servicios de los proveedores de servicios de pago terceros se prestan a través de internet y, por lo tanto, no se limitan a un único Estado miembro, el BCE sugiere, por razones de seguridad, que los proveedores de servicios de pago terceros no sean motivo de ninguna de exención conforme al artículo 27.
Los sistemas de pago designados conforme a la Directiva 2009/44/CE del Parlamento Europeo y del Consejo (20) (en adelante, «la Directiva sobre la firmeza de la liquidación») se excluyen de la norma establecida en el apartado 1 del artículo 29 de la directiva propuesta, que establece que el acceso a los sistemas de pago debe ser objetivo y no discriminatorio. No obstante, el último párrafo del artículo 29, apartado 2, de la directiva propuesta establece que si un sistema de pago designado permite la participación indirecta, dicha participación debe ofrecerse asimismo a otros proveedores de servicios de pago autorizados o registrados de conformidad con lo dispuesto en el artículo 29, apartado 1. La definición de «participante indirecto» que se incluye en el artículo 2, letra g), de la Directiva sobre la firmeza de la liquidación no comprende en la actualidad a las entidades de pago y, a fin de garantizar la coherencia y la seguridad jurídica, el BCE sugiere que se modifique la definición de «participante indirecto» de la Directiva sobre la firmeza de la liquidación para que comprenda también a los proveedores de servicios de pago.
A fin de combinar los requisitos de seguridad y la protección de los clientes con la idea del acceso abierto a los servicios de cuentas de pago, el BCE sugiere que los clientes sean adecuadamente autenticados mediante un sistema de autenticación fuerte. Los proveedores de servicios de pago terceros podrían garantizar esta autenticación redireccionando al ordenante, de una manera segura, a su proveedor de servicios de pago gestor de cuenta o emitiendo sus propios elementos de seguridad personalizados. Ambas opciones deben formar parte de una interfaz europea normalizada para el acceso a las cuentas de pago. Esta interfaz debe basarse en una norma abierta europea y permitir el acceso de los proveedores de servicios de pago terceros a las cuentas de pago en cualquier proveedor de servicios de pago de la Unión. La ABE, en estrecha cooperación con el BCE, podría definir la norma e incluir especificaciones técnicas y funcionales, así como los correspondientes procedimientos. Además, los proveedores de servicios de pago terceros deberían: a) proteger los elementos de seguridad personalizados de los usuarios de servicios de pago emitidos por ellos mismos; b) autenticarse de manera inequívoca ante los proveedores de servicios de pago gestores de cuenta; c) no almacenar datos obtenidos al acceder a las cuentas de pago, salvo los datos que identifiquen los pagos que hayan iniciado, como el número de referencia, los datos IBAN del ordenante y el beneficiario y el importe de la operación, y d) no utilizar datos para fines distintos de los expresamente permitidos por el usuario de servicios de pago (21). Los contratos celebrados entre los proveedores de servicios de pago gestores de cuenta y los proveedores de servicios de pago terceros son una posible opción para aclarar algunos de estos aspectos. Desde el punto de vista de la eficiencia y a fin de no poner un obstáculo injustificado a la competencia, la directiva propuesta debe aclarar los aspectos principales (entre ellos, el régimen de responsabilidad). Otras normas comerciales, incluidas las disposiciones operativas y técnicas, por ejemplo, la autenticación, la protección de los datos confidenciales, la identificación y el rastreo de las órdenes de pago, se podrían determinar a través de la creación de un régimen de pago al que se podrían adherir todos los agentes pertinentes y que evitaría la necesidad de llegar a un acuerdo a través de contratos individuales.
Con respecto a las disposiciones relativas a los contratos marco y la protección de los consumidores, el BCE opina que los consumidores, como titulares de cuentas de pago en relación con los servicios de iniciación de pagos, deben tener un nivel de protección comparable al que se otorga a los deudores de conformidad con el Reglamento (UE) no 260/2012 del Parlamento Europeo y del Consejo (22) (en lo sucesivo, «el Reglamento SEPA»), es decir, el consumidor debe tener derecho a dar instrucciones a su proveedor de servicios de pago gestor de cuenta para que haga listas específicas positivas o negativas de proveedores de servicios de pago terceros (23).
En el contexto de los adeudos domiciliados, la directiva propuesta indica que el ordenante debe tener un derecho incondicional de devolución salvo que el beneficiario ya haya cumplido sus obligaciones contractuales y los servicios ya hayan sido recibidos o los bienes consumidos por el ordenante (24). En lugar de reforzar la protección de los consumidores, parece probable que la directiva propuesta ya no otorgue los derechos ilimitados de devolución previstos en el actual régimen de adeudos domiciliados en la SEPA. Para cumplir estas disposiciones sobre el derecho de devolución, los proveedores de servicios de pago probablemente tendrán que recopilar información sobre las compras de sus clientes. Esta cuestión puede ser preocupante desde el punto de vista de la privacidad y aumentar la carga administrativa de los proveedores de servicios de pago. En cambio el BCE sugiere introducir como norma general un derecho incondicional de devolución por un período de ocho semanas para todos los adeudos domiciliados de consumidores. Para ciertos bienes y servicios, los deudores y acreedores deberían poder acordar por separado la no aplicación del derecho de devolución. La Comisión podría hacer una lista exhaustiva de dichos bienes y servicios mediante actos delegados.
La indemnización económica que debe pagar el proveedor de servicios de pago tercero al proveedor de servicios de pago gestor de cuenta con respecto a las operaciones de pago no autorizadas de conformidad con los artículos 65 y 82 de la directiva propuesta no se corresponde con la indemnización por no ejecución o ejecución defectuosa o tardía. Por consiguiente, el BCE sugiere armonizar estas disposiciones para garantizar unas normas similares en materia de indemnización (25).
La actual DSP ha contribuido en gran medida a aumentar la eficiencia de los pagos minoristas al establecer el plazo máximo de ejecución de un día para las transferencias (26). El BCE ha observado que la evolución en las prácticas comerciales y la tecnología permiten que la ejecución del pago se efectúe con una celeridad cada vez mayor y celebra que ya se disponga de dichos servicios en varios Estados miembros en beneficio de consumidores y empresas. El BCE espera que los mercados sigan mejorando los plazos de ejecución en toda Europa y apoya este proceso en su función de catalizador.
La evaluación de las medidas de seguridad y las notificaciones de incidentes (27) en relación con los proveedores de servicios de pago es una competencia esencial de los supervisores prudenciales y los bancos centrales. Estas autoridades deben seguir, por lo tanto, controlando los requisitos de supervisión en estos ámbitos. No obstante, de conformidad con la DSP, es necesario intercambiar información con las autoridades competentes, el BCE, y, en su caso, la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA) y las autoridades competentes conforme a la Directiva sobre seguridad de las redes y de la información en el ámbito de los riesgos operativos, incluidos los riesgos de seguridad. La ABE debe coordinar dicho intercambio de información entre las autoridades competentes de los Estados miembros, de forma que el BCE notifique a los miembros del SEBC las cuestiones que afecten a los sistemas e instrumentos de pago.
Asimismo, la ABE debe adoptar directrices dirigidas a las autoridades competentes sobre los procedimientos de reclamación (28) que ayuden a armonizarlos.
Algunas disposiciones (29) solo afectan a la discrecionalidad de los Estados miembros en materia de operaciones de pago a nivel nacional. Dichas normas no parece que se ajusten al objetivo de establecer un mercado único para los servicios de pago, y sería preferible eliminarlas.
Finalmente, existen disposiciones independientes sobre el acceso a la información de las cuentas de pago y el uso de la misma por proveedores de servicios de pago terceros y por emisores de instrumentos de pago terceros, es decir, cuando un proveedor de servicios de pago tercero emite una tarjeta de pago (30). Estos servicios no son esencialmente diferentes, por lo que el BCE sugiere unificar estas disposiciones puesto que el régimen anterior sobre el acceso a la información de las cuentas de pago y el uso de la misma por proveedores de servicios de pago terceros podría también aplicarse mutatis mutandis a los emisores de instrumentos de pago terceros.
En el anexo del presente dictamen figuran las propuestas de redacción específicas, acompañadas de explicaciones, correspondientes a las recomendaciones del BCE encaminadas a modificar la directiva propuesta.
(2) Directiva 2007/64/CE del Parlamento Europeo y del Consejo, de 13 de noviembre de 2007, sobre servicios de pago en el mercado interior, por la que se modifican las Directivas 97/7/CE, 2002/65/CE, 2005/60/CE y 2006/48/CE y por la que se deroga la Directiva 97/5/CE (DO L 319 de 5.12.2007, p. 1).
(3) COM(2011) 941 final.
(4) Véase la respuesta del Eurosistema al Libro verde de la Comisión Europea: «Hacia un mercado europeo integrado de pagos mediante tarjeta, pagos por Internet o pagos móviles», de marzo de 2012, disponible en la dirección del BCE en internet: www.ecb.europa.eu.
(5) Véase el punto 7 del anexo I a la directiva propuesta.
(6) Propuesta de reglamento del Parlamento Europeo y del Consejo sobre las tasas de intercambio para operaciones de pago basadas en una tarjeta [COM (2013) 550/3]; 2013/0265.
(7) Otras disposiciones aclaran las normas sobre el acceso a los sistemas de pago y el derecho a devolución, y también contemplan los aspectos relativos a la seguridad y la autenticación, en línea con la propuesta de directiva del Parlamento Europeo y del Consejo relativa a medidas para garantizar un elevado nivel común de seguridad de las redes y de la información en la Unión [COM(2013) 48 final] (en lo sucesivo, «la Directiva sobre seguridad de las redes y de la información»). En lo que respecta a la Directiva sobre seguridad de las redes y de la información, véase además el punto 2.12 siguiente.
(8) Reglamento (UE) no 1093/2010 del Parlamento Europeo y del Consejo, de 24 de noviembre de 2010, por el que se crea una Autoridad Europea de Supervisión (Autoridad Bancaria Europea), se modifica la Decisión no 716/2009/CE y se deroga la Decisión 2009/78/CE de la Comisión (DO L 331 de 15.12.2010, p. 12).
(9) Véase, por ejemplo, el artículo 66 de la directiva propuesta relativo a las normas en materia de responsabilidad del proveedor de servicios de pago y del ordenante por las operaciones con tarjeta no autorizadas.
(10) Véase la nota 4 a pie de página.
(11) Véase el artículo 4 de la directiva propuesta.
(12) Véase en el anexo la redacción de la 12a modificación.
(13) Véase el artículo 4, apartado 32, de la directiva propuesta.
(14) Véase el artículo 4, apartado 33, de la directiva propuesta.
(15) Véase el artículo 2 de la directiva propuesta.
(16) Véase el artículo 78 de la directiva propuesta.
(17) Véase el título III de la directiva propuesta.
(18) Véase el artículo 9 de la DSP.
(19) Véase el artículo 25 de la directiva propuesta.
(20) Directiva 2009/44/CE del Parlamento Europeo y del Consejo, de 6 de mayo de 2009, por la que se modifican la Directiva 98/26/CE sobre la firmeza de la liquidación en los sistemas de pagos y de liquidación de valores y la Directiva 2002/47/CE sobre acuerdos de garantía financiera, en lo relativo a los sistemas conectados y a los derechos de crédito (DO L 146 de 10.6.2009, p. 37).
(21) Véase el artículo 58 de la directiva propuesta.
(22) Véanse el considerando 13 y el artículo 5, apartado 3, letra d), inciso iii), del Reglamento (UE) no 260/2012 del Parlamento Europeo y del Consejo, de 14 de marzo de 2012, por el que se establecen requisitos técnicos y empresariales para las transferencias y los adeudos domiciliados en euros, y se modifica el Reglamento (CE) no 924/2009 (DO L 94 de 30.3.2012, p. 22) [en lo sucesivo, «el Reglamento sobre la zona única de pagos en euros (SEPA)»].
(23) Véanse los artículos 45 y 59 (nuevo) de la directiva propuesta.
(24) Véanse el considerando 57 y el artículo 67, apartado 1, de la directiva propuesta.
(25) Véanse los artículos 65, 80 y 82 de la directiva propuesta.
(26) El artículo 69, apartado 1, de la actual DSP establece que las transferencias se abonarán en la cuenta del proveedor de servicios de pago del beneficiario, a más tardar, al final del día hábil siguiente a la recepción de la orden de pago.
(27) Véanse los artículos 85 y 86 de la directiva propuesta.
(28) Véase el artículo 88, apartado 1, de la directiva propuesta.
(29) Véanse el artículo 35, apartado 2, y el artículo 56, apartado 2, de la directiva propuesta.
(30) Véanse los artículos 58 y 59 respectivamente.
Texto propuesto por la Comisión
En los últimos años, han aumentado los riesgos de seguridad de los pagos electrónicos, debido a la mayor complejidad técnica de estos, el incesante incremento del volumen de pagos electrónicos en todo el mundo y los nuevos tipos de servicios de pago. Disponer de servicios de pago fiables y seguros es condición esencial para el buen funcionamiento del mercado de servicios de pago, por lo que los usuarios de esos servicios deben gozar de la debida protección frente a tales riesgos. Los servicios de pago son fundamentales para el desarrollo de actividades económicas y sociales vitales y, por consiguiente, los operadores de servicios de pago, tales como las entidades de crédito, se consideran operadores de mercado, a tenor de lo dispuesto en el artículo 3, apartado 8, de la Directiva [insértese el número de la Directiva sobre seguridad de las redes y de la información (SRI) tras su adopción] del Parlamento Europeo y del Consejo (2).»
Véase la 31a modificación.
Además de las medidas generales que deben adoptar los Estados miembros, de acuerdo con la Directiva [insértese el número de la Directiva sobre seguridad de las redes y de la información (SRI) tras su adopción], los riesgos de seguridad de las operaciones de pago deben abordarse también a nivel de los proveedores de servicios de pago. Las medidas de seguridad que deban adoptar estos últimos han de estar en consonancia con los riesgos de seguridad concretos. Procede implantar un mecanismo de notificación periódica, que garantice que los proveedores de servicios de pago faciliten anualmente a las autoridades competentes información actualizada sobre la evaluación de sus riesgos de seguridad y las medidas (adicionales) que hayan adoptado para hacerles frente. Además, a fin de garantizar la reducción al máximo del perjuicio causado, tanto a otros proveedores de servicios de pago y a los sistemas de pago, como puede ser una perturbación importante de estos sistemas, como a los usuarios, es esencial que los proveedores de servicios de pago tengan la obligación de comunicar los incidentes graves de seguridad a la Autoridad Bancaria Europea, sin indebidas demoras.»
Además de las medidas generales que deben adoptar los Estados miembros, de acuerdo con la Directiva [insértese el número de la Directiva sobre seguridad de las redes y de la información (SRI) tras su adopción], l Los riesgos de seguridad de las operaciones de pago deben abordarse también a nivel de los proveedores de servicios de pago. Las medidas de seguridad que deban adoptar estos últimos han de estar en consonancia con los riesgos de seguridad concretos. Procede implantar un mecanismo de notificación periódica, que garantice que los proveedores de servicios de pago faciliten anualmente a las autoridades competentes información actualizada sobre la evaluación de sus riesgos de seguridad y las medidas (adicionales) que hayan adoptado para hacerles frente. Además, a fin de garantizar la reducción al máximo del perjuicio causado, tanto a otros proveedores de servicios de pago y a los sistemas de pago, como puede ser una perturbación importante de estos sistemas, como a los usuarios, es esencial que los proveedores de servicios de pago tengan la obligación de comunicar los incidentes graves operativos y de seguridad a la Autoridad Bancaria Europea, sin indebidas demoras, a la autoridad competente del Estado miembro de origen conforme a la presente Directiva, que evaluará la relevancia del incidente para otras autoridades y, sobre la base de su evaluación, compartirá los detalles pertinentes de la notificación del incidente con la ABE y el BCE, que informarán a las autoridades competentes de los otros Estados miembros y al SEBC.»
Desde la adopción de la Directiva 2007/64/CE han surgido nuevos tipos de servicios de pago, especialmente en el ámbito de los pagos por internet. En particular, cabe señalar el surgimiento de proveedores de servicios de pago terceros, que ofrecen a los consumidores y los comerciantes los denominados servicios de iniciación de pagos, a menudo sin llegar a tener en su poder los fondos que han de transferirse. Estos servicios facilitan los pagos en el comercio electrónico al proporcionar un soporte lógico que sirve de puente entre el sitio web del comerciante y la plataforma bancaria en línea del consumidor, con el fin de iniciar pagos por transferencia o adeudo domiciliado a través de internet. Los proveedores de servicios de pago terceros ofrecen una alternativa de bajo coste a los pagos con tarjeta tanto a los comerciantes como a los consumidores, y permiten a estos hacer compras en línea aun cuando no posean tarjetas de crédito. Sin embargo, los proveedores de servicios de pago terceros no están actualmente sujetos a la Directiva 2007/64/CE, por lo que no están necesariamente supervisados por una autoridad competente y no se atienen a lo establecido en la Directiva 2007/64/CE. Ello plantea una serie de problemas jurídicos, que van desde la protección de los consumidores, a aspectos relacionados con la seguridad, la responsabilidad, la competencia y la protección de datos. Las nuevas normas deben dar una respuesta al respecto.»
Desde la adopción de la Directiva 2007/64/CE han surgido nuevos tipos de servicios de pago, especialmente en el ámbito de los pagos por internet. En particular, cabe señalar el surgimiento de proveedores de servicios de pago terceros, que ofrecen a los consumidores, y los comerciantes y otros usuarios de servicios de pago los denominados servicios de iniciación de pagos o servicios de información sobre cuentas, a menudo sin llegar a tener en su poder los fondos que han de transferirse. Estos Los servicios de iniciación de pagos facilitan los pagos en el comercio electrónico al proporcionar un soporte lógico que sirve de puente entre el sitio web del comerciante y la plataforma bancaria en línea del consumidor, con el fin de iniciar pagos por transferencia o adeudo domiciliado a través de internet. iniciar, a solicitud del cliente, una orden de pago respecto de una cuenta mantenida en otro proveedor de servicios de pago, por ejemplo por medio de una conexión con la plataforma bancaria en línea del cliente o por medio de la emisión de un instrumento de pago. Los servicios de información sobre cuentas ofrecen al ordenante información consolidada sobre una o varias cuentas mantenidas por el ordenante con otro u otros proveedores de servicios de pago. Los proveedores de servicios de pago terceros pueden también ofrecer tanto servicios de iniciación de pagos como servicios de información sobre cuentas. Los proveedores de servicios de pago terceros ofrecen una alternativa de bajo coste a los pagos con tarjeta tradicionales tanto a los comerciantes como a los consumidores, y permiten a estos hacer compras en línea aun cuando no posean tarjetas de crédito. Sin embargo, los proveedores de servicios de pago terceros no están actualmente sujetos a la Directiva 2007/64/CE, por lo que no están necesariamente supervisados por una autoridad competente y no se atienen a lo establecido en la Directiva 2007/64/CE. Ello plantea una serie de problemas jurídicos, que van desde la protección de los consumidores, a aspectos relacionados con la seguridad, la responsabilidad, la competencia y la protección de datos. Las nuevas normas deben dar una respuesta al respecto.»
Se sugiere describir todos los tipos de proveedores de servicios de pago terceros en un mismo considerando, por lo que se han fundido los considerandos 18 y 26 y se hace referencia también a los proveedores de servicios de pago terceros que emiten instrumentos de pago, por ejemplo, tarjetas de débito o crédito. Tras la inclusión de los últimos, se sugiere suprimir el ejemplo sobre la alternativa a esas tarjetas. Asimismo, se hace referencia expresa a la posibilidad de que los servicios de información sobre cuentas puedan ofrecerse al mismo tiempo que los servicios de iniciación de pagos.
En los últimos años, con los avances tecnológicos han surgido también una serie de servicios complementarios, tales como los de información sobre cuentas y agregación de cuentas. Estos servicios deben también entrar en el ámbito de aplicación de la presente Directiva, con el fin de proporcionar a los consumidores una protección adecuada y seguridad jurídica en cuanto a su situación.»
Este considerando se ha fundido con el 18 (véase la 3a modificación).
Considerando 51
Es necesario establecer los criterios con arreglo a los cuales se permita a los proveedores de servicios de pago terceros obtener y utilizar la información sobre la disponibilidad de fondos en la cuenta que el usuario de servicios de pago tenga en otro proveedor de servicios. En particular, tanto el proveedor de servicios de pago tercero como el proveedor de servicios de pago gestor de la cuenta del usuario deben cumplir lo dispuesto o mencionado en la presente Directiva, o recogido en las directrices de la ABE, con respecto a la seguridad y la protección de datos. Los ordenantes deben otorgar consentimiento expreso al proveedor de servicios de pago tercero para que este tenga acceso a su cuenta de pago, y deben ser debidamente informados del alcance de dicho acceso. A fin de favorecer la existencia de otros proveedores de servicios de pago que no puedan recibir depósitos, es necesario que las entidades de crédito les faciliten información sobre la disponibilidad de fondos, si el ordenante ha autorizado que esa información se comunique al proveedor de servicios de pago emisor del instrumento de pago.»
Es necesario establecer los criterios con arreglo a los cuales se permita a los proveedores de servicios de pago terceros obtener y utilizar la información sobre la disponibilidad de fondos en la cuenta que el usuario de servicios de pago tenga en otro proveedor de servicios. En particular, tanto el proveedor de servicios de pago tercero como el proveedor de servicios de pago gestor de la cuenta del usuario deben cumplir lo dispuesto o mencionado en la presente Directiva, o recogido en las directrices de la ABE, con respecto a la seguridad y la protección de datos. Los ordenantes usuarios de servicios de pago deben otorgar consentimiento expreso al proveedor de servicios de pago tercero para que este tenga acceso a su cuenta de pago, y deben ser debidamente informados del alcance de dicho acceso. A fin de favorecer la existencia de otros nuevos proveedores de servicios de pago que no puedan recibir depósitos tengan fondos del ordenante, es necesario que las entidades de crédito los proveedores de servicios de pago que mantengan cuentas les faciliten al proveedor de servicios de pago tercero información sobre la disponibilidad de fondos, si el ordenante usuario del servicio de pago ha autorizado que esa información se comunique al proveedor de servicios de pago tercero emisor del instrumento de pago.»
Cambio de redacción aclaratorio de las partes implicadas.
«(52)
Los derechos y obligaciones de los usuarios de servicios de pago y los proveedores de servicios de pago deben ajustarse adecuadamente a fin de tener en cuenta la participación del proveedor de servicios de pago tercero en la operación siempre que se utilice un servicio de iniciación de pagos. En concreto, un reparto equilibrado de responsabilidades entre el proveedor de servicios de pago gestor de cuenta y el proveedor de servicios de pago tercero que interviene en la operación hará que tanto el uno como el otro asuman la responsabilidad de aquellas partes de la operación que estén bajo su control y servirá para determinar claramente quién es responsable en caso de incidente. En caso de fraude o litigio, el proveedor de servicios de pago tercero debe tener la obligación específica de facilitar al ordenante y al proveedor de servicios de pago gestor de cuenta la referencia de las operaciones y la información sobre la autorización conexa a la operación de que se trate.»
Los derechos y obligaciones de los usuarios de servicios de pago y los proveedores de servicios de pago deben ajustarse adecuadamente a fin de tener en cuenta la participación del proveedor de servicios de pago tercero en la operación siempre que se utilice un servicio de iniciación de pagos. En concreto, un reparto equilibrado de responsabilidades entre el proveedor de servicios de pago gestor de cuenta y el proveedor de servicios de pago tercero que interviene en la operación hará que tanto el uno como el otro asuman la responsabilidad de aquellas partes de la operación que estén bajo su control y servirá para determinar claramente quién es responsable en caso de incidente. En caso de fraude o litigio, el proveedor de servicios de pago tercero debe tener la obligación específica de facilitar al ordenante a los usuarios de servicios de pago y al proveedor de servicios de pago gestor de cuenta la referencia de las operaciones y una prueba de que los usuarios de servicios de pago han sido autenticados la información sobre la autorización conexa a la operación de que se trate.»
Véanse las modificaciones 19a y 24a.
Considerando 57
«(57)
La presente Directiva debe establecer normas de devolución, con el fin de proteger al consumidor en caso de que el importe de la operación de pago ejecutada sea superior al importe que razonablemente hubiera cabido esperar. A fin de evitar perjuicios económicos al ordenante, es necesario garantizar que la fecha de valor de cualquier devolución no sea posterior a la fecha de adeudo del pertinente importe. En el caso de los adeudos domiciliados, los proveedores de servicios deben poder ofrecer condiciones incluso más favorables a sus clientes, que deben tener el derecho incondicional de devolución en cualquier operación de pago objeto de litigio. Sin embargo, este derecho incondicional de devolución que garantice el mayor grado posible de protección de los consumidores no parece justificado cuando el comerciante ya haya cumplido el contrato y el correspondiente bien o servicio ya haya sido consumido. En aquellos casos en que el usuario reclame la devolución en una operación de pago, el derecho de devolución no debe afectar a la responsabilidad del ordenante frente al beneficiario derivada de la relación subyacente, por ejemplo, por los bienes o servicios solicitados, consumidos o legítimamente facturados, ni al derecho del usuario a revocar una orden de pago.»
La presente Directiva debe establecer normas de devolución, con el fin de proteger al consumidor en caso de que el importe de la operación de pago ejecutada sea superior al importe que razonablemente hubiera cabido esperar. A fin de evitar perjuicios económicos al ordenante, es necesario garantizar que la fecha de valor de cualquier devolución no sea posterior a la fecha de adeudo del pertinente importe. En el caso de los adeudos domiciliados, los proveedores de servicios deben poder ofrecer condiciones incluso más favorables a sus clientes, que deben tener el derecho incondicional de devolución en cualquier operación de pago objeto de litigio. Sin embargo, este derecho incondicional de devolución que garantice el mayor grado posible de protección de los consumidores no parece justificado cuando el comerciante ya haya cumplido el contrato y el correspondiente bien o servicio ya haya sido consumido para ciertas clases de bienes o servicios podría no ser apropiado un derecho incondicional de devolución. Puede, por tanto, considerarse la posibilidad de introducir un adeudo domiciliado sin devolución, pero solo para bienes o servicios incluidos por la Comisión en una lista y solo con el consentimiento expreso del ordenante. En aquellos casos en que el usuario reclame la devolución en una operación de pago, el derecho de devolución no debe afectar a la responsabilidad del ordenante frente al beneficiario derivada de la relación subyacente, por ejemplo, por los bienes o servicios solicitados, consumidos o legítimamente facturados, ni al derecho del usuario a revocar una orden de pago.»
Condicionar el derecho de devolución a la compra subyacente plantea problemas de privacidad y de eficiencia y costes. La adopción de esta propuesta significaría probablemente que ya no se permitiría el derecho ilimitado de devolución del actual sistema de adeudo domiciliado de la SEPA, lo que se traduciría en condiciones menos favorables para los consumidores. El BCE propone introducir, como norma general, un derecho incondicional de devolución por un período de ocho semanas para todos los adeudos domiciliados de consumidores. Para bienes o servicios incluidos en una lista destinados al consumo inmediato, los deudores y acreedores podrían acordar separada y expresamente la no aplicación del derecho de devolución. La Comisión podría crear esa lista mediante un acto delegado.
Considerando 80
Al objeto de garantizar una aplicación coherente de la presente Directiva, la Comisión debe poder confiar en los conocimientos y el apoyo de la ABE, que debe tener la responsabilidad de elaborar directrices, preparar normas técnicas de regulación sobre la seguridad de los servicios de pago y la cooperación entre Estados miembros en el contexto de la prestación de servicios y el establecimiento de entidades de pago autorizadas en otros Estados miembros. La Comisión debe estar facultada para adoptar esas normas técnicas de regulación. Estas funciones específicas concuerdan plenamente con la función y responsabilidades que el Reglamento (UE) no 1093/2010, por el que se crea la ABE, asigna a esta.»
Al objeto de garantizar una aplicación coherente de la presente Directiva, la Comisión debe poder confiar en los conocimientos y el apoyo de la ABE, que debe, en estrecha cooperación con el BCE, tener la responsabilidad de elaborar directrices, preparar normas técnicas de regulación sobre la seguridad de los servicios de pago y la cooperación entre Estados miembros en el contexto de la prestación de servicios y el establecimiento de entidades de pago autorizadas en otros Estados miembros. La Comisión debe estar facultada para adoptar esas normas técnicas de regulación. Estas funciones específicas concuerdan plenamente con la función y responsabilidades que el Reglamento (UE) no 1093/2010, por el que se crea la ABE, asigna a esta.»
Las cuestiones de seguridad de los servicios de pago también pertenecen al ámbito de competencia de los bancos centrales. El BCE ha establecido con carácter voluntario una cooperación estrecha con los supervisores de los proveedores de servicios de pago en el Foro Europeo sobre la Seguridad de los Pequeños Pagos (SecuRe Pay). Esta fructífera cooperación debe formalizarse. La actual propuesta no incluye normas técnicas de regulación, por lo que se ha suprimido la referencia correspondiente.
La presente Directiva se aplicará a los servicios de pago dentro de la Unión, cuando tanto el proveedor de servicios de pago del ordenante como el proveedor de servicios de pago del beneficiario, o el único proveedor de servicios de pago en la operación de pago, estén situados en la misma. El artículo 78 y el título III serán asimismo de aplicación a las operaciones de pago en las que solo uno de los proveedores de servicios de pago esté situado en la Unión, respecto de aquellas partes de la operación de pago que se efectúen en la Unión.
El título III se aplicará a los servicios de pago efectuados en cualquier moneda. El título IV se aplicará a los servicios de pago efectuados en euros o en la moneda de un Estado miembro no perteneciente a la zona del euro.»
La presente Directiva se aplicará a los servicios de pago dentro de la Unión, cuando tanto el proveedor de servicios de pago del ordenante como el proveedor de servicios de pago del beneficiario, o el único proveedor de servicios de pago en la operación de pago, estén situados en la misma. El artículo 78 y el título III y el título IV excepto el artículo 72 y el artículo 74, apartado 1, serán asimismo de aplicación a las operaciones de pago en las que solo uno de los proveedores de servicios de pago esté situado en la Unión, respecto de aquellas partes de la operación de pago que se efectúen en la Unión.
El título Los títulos III y IV se aplicarán a los servicios de pago efectuados en cualquier moneda. El título IV se aplicará a los servicios de pago efectuados en euros o en la moneda de un Estado miembro no perteneciente a la zona del euro.»
A fin de garantizar la protección general de los usuarios de los servicios de pago, las disposiciones sobre transparencia y fecha valor del abono y las disposiciones sobre los derechos y obligaciones relacionados con la prestación y utilización de servicios de pago deben aplicarse a las operaciones en las que solo uno de los proveedores de servicios de pago esté situado en la Unión, respecto de aquellas partes de la operación que se efectúen en la Unión.
Artículo 4, apartado 32
“servicio de iniciación del pago”: un servicio de pago que permite acceder a una cuenta de pago, prestado por un proveedor de servicios de pago tercero y por el que el ordenante puede intervenir activamente en la iniciación del pago o en el soporte lógico del proveedor de servicios de pago tercero, o por el que el ordenante o el beneficiario pueden utilizar instrumentos de pago para transmitir las credenciales del ordenante al proveedor de servicios de pago gestor de cuenta;»
“servicio de iniciación del pago”: un servicio de pago que permite acceder a una cuenta de iniciación de una orden de pago, prestado por un proveedor de servicios de pago tercero, a solicitud del ordenante, respecto de una cuenta mantenida en otro y por el que el ordenante puede intervenir activamente en la iniciación del pago o en el soporte lógico del proveedor de servicios de pago tercero, o por el que el ordenante o el beneficiario pueden utilizar instrumentos de pago para transmitir las credenciales del ordenante al proveedor de servicios de pago gestor de cuenta;»
Debe mantenerse la definición más simple y flexible posible que sirva también para futuras soluciones. La definición no debe incluir requisitos o referencias sobre tecnologías específicas.
Artículo 4, apartado 33
“servicio de información sobre cuentas”: un servicio de pago por el que se proporciona, a un usuario de servicios de pago y de forma agregada y fácil de utilizar, información sobre una o varias cuentas de pago de las que dicho usuario sea titular en uno o varios proveedores de servicios de pago gestores de cuenta;»
“servicio de información sobre cuentas”: un servicio de pago prestado por un proveedor de servicios de pago tercero por el que se proporciona, a un usuario de servicios de pago y de forma agregada y fácil de utilizar, información sobre una o varias cuentas de pago de las que dicho usuario sea titular en uno o varios proveedores de servicios de pago gestores de cuenta información consolidada sobre una o varias cuentas de pago mantenidas por el usuario de servicios de pago en otro u otros proveedores de servicios de pago;»
Artículo 4, nuevos apartados 39 a 43
“adquisición de operaciones de pago”: un servicio de pago proporcionado por un proveedor de servicios de pago que contrata con un beneficiario aceptar y procesar las operaciones de pago del beneficiario iniciadas por un instrumento de pago del ordenante, que resulta en una transferencia de fondos al beneficiario; el servicio puede incluir proporcionar autenticación, autorización y otros servicios relativos a la gestión de flujos financieros hacia el beneficiario con independencia de que el proveedor de servicios de pago posea o no los fondos por cuenta del beneficiario;
“emisión de instrumentos de pago”: un servicio de pago por el que un proveedor de servicios de pago proporciona directa o indirectamente al ordenante un instrumento de pago para iniciar, procesar y liquidar las operaciones de pago del ordenante;
“transferencia”: un servicio de pago nacional o transfronterizo para el abono en la cuenta de pago de un beneficiario de una operación de pago o una serie de operaciones de pago desde la cuenta de pago de un ordenante por el proveedor de servicios de pago donde se mantiene la cuenta de pago del ordenante, sobre la base de una instrucción del ordenante;
“pago transfronterizo”: una operación de pago procesada electrónicamente iniciada por un ordenante o por medio de un beneficiario en la que el proveedor de servicios de pago del ordenante y el proveedor de servicios de pago del beneficiario están situados en diferentes Estados miembros;
“pago nacional”: una operación de pago procesada electrónicamente iniciada por un ordenante o por un beneficiario o por medio de un beneficiario en la que el proveedor de servicios de pago del ordenante y el proveedor de servicios de pago del beneficiario están situados en el mismo Estado miembro.»
Deben añadirse las definiciones de «emisión de instrumentos de pago» y «adquisición de operaciones de pago» a fin de garantizar que todos los proveedores que participan en los servicios de pago quedan comprendidos en la directiva propuesta como se establece en el anexo I. Estas definiciones deben armonizarse con la propuesta de reglamento del Parlamento Europeo y del Consejo sobre las tasas de intercambio para operaciones de pago basadas en una tarjeta (COM(2013) 550/3); 2013/0265.
Debe añadirse la definición de «transferencia» porque este es uno de los instrumentos de pago básicos de la propuesta de reglamento mencionada. La definición añadida es conforme con el Reglamento de la SEPA. La inclusión de las definiciones de «pago transfronterizo» y «pago nacional» aporta más claridad.
Artículo 9, apartado 1, párrafo introductorio
Los Estados miembros o las autoridades competentes exigirán que la entidad de pago que preste cualquier servicio de pago, y siempre que realice al mismo tiempo otras de las actividades empresariales mencionadas en el artículo 17, apartado 1, letra c), salvaguarde los fondos recibidos de los usuarios de servicios de pago o recibidos a través de otro proveedor de servicios de pago para la ejecución de operaciones de pago, de una de las maneras siguientes:»
Conforme al objetivo de armonizar los requisitos relativos a las salvaguardias, se sugiere el texto alternativo para garantizar la adecuada protección de los fondos de los usuarios de servicios de pago por todas las entidades de pago, participen o no en otras actividades empresariales.
Las autoridades competentes podrán revocar la autorización a una entidad de pago únicamente cuando la entidad se encuentre en alguno de los siguientes supuestos:
no reúna ya las condiciones para la concesión de autorización o no informe a la autoridad competente sobre todo cambio significativo a este respecto;»
no reúna ya las condiciones para la concesión de autorización, o no informe a la autoridad competente sobre todo cambio significativo a este respecto o no facilite información estadística exacta;»
Facilitar información estadística exacta es esencial para vigilar el riesgo relacionado con las entidades de pago.
Asimismo, los Estados miembros permitirán el intercambio de información entre sus autoridades competentes y:
las autoridades competentes de otros Estados miembros responsables de la autorización y supervisión de las entidades de pago;
el Banco Central Europeo y los bancos centrales nacionales de los Estados miembros, en su calidad de autoridades monetarias y de supervisión, y, en su caso, otras autoridades públicas responsables de la vigilancia de los sistemas de pago y liquidación;
otras autoridades pertinentes designadas en virtud de la presente Directiva, de la Directiva 2005/60/CE y de otras disposiciones de Derecho de la Unión aplicables a los proveedores de servicios de pago, como la legislación aplicable en materia de blanqueo de capitales y de financiación del terrorismo;
la ABE, en su función de contribuir al funcionamiento consecuente y coherente de los mecanismos de supervisión a que se refiere el artículo 1, apartado 5, letra a), del Reglamento (UE) no 1093/2010.»
la ABE, en su función de contribuir al funcionamiento consecuente y coherente de los mecanismos de supervisión a que se refiere el artículo 1, apartado 5, letra a), del Reglamento (UE) no 1093/2010, cuando proceda;
Europol, en su función de organismo de la Unión encargado de hacer cumplir la ley al cual corresponde ayudar a que se establezca entre las autoridades policiales competentes de los Estados miembros un planteamiento común para combatir el crimen organizado, otros delitos graves y el terrorismo, incluida la falsificación del euro y la falsificación de dinero y otros medios de pago, y coordinar ese planteamiento común.»
Europol, por su competencia y pericia en la investigación y coordinación a nivel de la Unión de la lucha contra, entre otros delitos, la falsificación del euro, la falsificación de dinero y otros delitos financieros graves relativos a los medios de pago, debe incluirse entre las autoridades con las que las autoridades competentes puedan intercambiar información. Véase el anexo de la Decisión 2009/371/JAI del Consejo (3).
Artículo 27, nuevo apartado 5 bis
Las personas físicas o jurídicas que se dediquen a las actividades comerciales a que se refiere el punto 7 del anexo I no deben ser objeto de exención.»
Puesto que los proveedores de servicios de pago gestores de cuentas deben proporcionar acceso a los proveedores de servicios de pago terceros, permitir a estos últimos beneficiarse de una exención de los requisitos de supervisión podría ocasionar riesgos imprevistos. Además, los servicios que ofrecen los proveedores de servicios de pago terceros se prestan normalmente por internet y no se limitan por tanto a un solo Estado miembro. Por consiguiente, los proveedores de servicios de pago terceros no deben beneficiarse de una exención.
Para las operaciones de pago a nivel nacional, los Estados miembros o sus autoridades competentes podrán reducir o duplicar los importes contemplados en el apartado 1. Para los instrumentos de prepago, los Estados miembros podrán incrementar dichos importes hasta 500 EUR.»
Para las operaciones de pago nacionales, es decir, las no transfronterizas, no parece necesario permitir que los Estados miembros o sus autoridades competentes ajusten significativamente los importes máximos de los pagos del artículo 35, apartado 1, debido a excepciones aplicables a los instrumentos de pago de escasa cuantía. Además, permitir el ajuste provocaría grandes divergencias nacionales en materia de excepciones, lo cual es contrario al objetivo de lograr un mercado europeo de pagos al por menor integrado y armonizado.
Artículo 39, letra d)
en su caso, el importe de cualesquiera gastos por la operación de pago y, cuando proceda, el correspondiente desglose.»
en su caso, el importe de cualesquiera gastos por la operación de pago que por la operación deban pagarse al proveedor de servicios de pago tercero y, cuando proceda, el correspondiente desglose del importe de esos gastos.»
Este añadido aclara que, en relación con los gastos, los proveedores de servicios de pago terceros solo podrán desglosar los suyos y no los cargados por el proveedor de servicios de pago gestor de cuenta.
«Cuando una orden de pago haya sido iniciada por el propio sistema del proveedor de servicios de pago tercero, este último deberá, en caso de fraude o litigio, poner a disposición del ordenante y del proveedor de servicios de pago gestor de cuenta la referencia de las operaciones y la información relativa a la autorización.»
«Cuando una orden de pago haya sido iniciada por el propio sistema del proveedor de servicios de pago tercero, este último deberá, en caso de fraude o litigio, poner a disposición del ordenante y del proveedor de servicios de pago gestor de cuenta la referencia de las operaciones y la información relativa a la autorización prueba de que el usuario ha sido autenticado con arreglo al artículo 58, apartado 2.»
Puesto que ya no deben compartirse los elementos de seguridad personalizados, en caso de litigio o fraude, el proveedor de servicios de pago tercero tendrá que probar: a) que el proveedor de servicios de pago confirmó al proveedor de servicios de pago tercero que la operación ha sido autorizada, o b) que el cliente fue autenticado sin duda alguna teniendo en cuenta los elementos de seguridad personalizados emitidos por el proveedor de servicios de pago tercero.
«Inmediatamente después de la recepción de la orden de pago, el proveedor de servicios de pago del ordenante facilitará a este o pondrá a su disposición, de modo idéntico al indicado en el artículo 37, apartado 1, los datos siguientes: […].»
«Inmediatamente después de la recepción de la orden de pago, el proveedor de servicios de pago gestor de cuenta del ordenante facilitará a este o pondrá a su disposición, de modo idéntico al indicado en el artículo 37, apartado 1, los datos siguientes: […].»
Este cambio aclara que este artículo se refiere únicamente a los proveedores de servicios de pago gestores de cuenta, puesto que las obligaciones de los proveedores de servicios de pago terceros ya están determinadas en el artículo 39. Esto es aplicable tanto a situaciones en las que operan proveedores de servicios de pago terceros como a los servicios de pago tradicionales.
Artículo 45, apartado 5, nueva letra g)
la información del proveedor de servicios de pago sobre el derecho del usuario de servicios de pago a bloquear cualquier servicio de iniciación de pagos desde la cuenta del usuario de servicios de pago o a establecer listas positivas o negativas de proveedores de servicios de pago terceros.»
Los usuarios de servicios de pago solo podrán ejercer su derecho a bloquear los servicios de iniciación de pagos o a establecer listas positivas o negativas de proveedores de servicios de pago terceros específicos, conforme al nuevo artículo 59 propuesto, si se les informa en consecuencia.
Si el usuario de servicios de pago no es un consumidor, dicho usuario y el proveedor de servicios de pago podrán convenir en que no se apliquen, total o parcialmente, el artículo 55, apartado 1, el artículo 57, apartado 3, y los artículos 64, 66, 67, 68, 71 y 80. El usuario y el proveedor también podrán convenir un plazo distinto del que se establece en el artículo 63.»
Si el usuario de servicios de pago no es un consumidor, dicho usuario y el proveedor de servicios de pago podrán convenir en que no se apliquen, total o parcialmente, el artículo 55, apartado 1, el artículo 57, apartado 3, y los artículos 59, 64, 66, 67, 68, 71 y 80. El usuario y el proveedor también podrán convenir un plazo distinto del que se establece en el artículo 63.»
Véase la explicación de la 26a modificación.
Artículo 56, apartado 2
Para las operaciones de pago a nivel nacional, los Estados miembros o sus autoridades competentes podrán reducir o duplicar los importes contemplados en el apartado 1. Podrán incrementarlos hasta 500 EUR para instrumentos de prepago.»
Para las operaciones de pago nacionales, es decir, las no transfronterizas, no parece necesario permitir que los Estados miembros o sus autoridades competentes ajusten significativamente los importes máximos de los pagos del artículo 56, apartado 1, debido a excepciones aplicables a los instrumentos de pago de escasa cuantía. Además, permitir el ajuste provocaría grandes divergencias nacionales en materia de excepciones, lo cual es contrario al objetivo de lograr un mercado europeo de pagos al por menor integrado y armonizado.
Los Estados miembros velarán por que todo ordenante tenga derecho a recurrir a un proveedor de servicios de pago tercero para obtener servicios de pago que permitan acceder a cuentas de pago tal como se contempla en el punto 7 del anexo I.
Cuando un proveedor de servicios de pago tercero haya sido autorizado por el ordenante a prestar servicios de pago con arreglo al apartado 1, estará sujeto a las obligaciones siguientes:
garantizar que nadie más pueda acceder a los elementos de seguridad personalizados del usuario del servicio de pago;
autenticarse de manera inequívoca ante el proveedor o proveedores de servicios de pago gestores de cuenta del titular de la cuenta;
no almacenar datos sobre pagos sensibles o credenciales de seguridad personalizadas del usuario de servicios de pago.
Cuando, a efectos de un servicio de iniciación del pago, el proveedor de servicios de pago gestor de cuenta haya recibido la orden de pago del ordenante a través de los servicios de un proveedor de servicios de pago tercero, notificará de inmediato a este último la recepción de la orden de pago y le facilitará información sobre la disponibilidad de fondos suficientes para la operación de pago de que se trate.
Los proveedores de servicios de pago gestores de cuentas no ejercerán, respecto de las órdenes de pago transmitidas a través de los servicios de un proveedor de servicios de pago tercero, ninguna discriminación que no obedezca a razones objetivas, en cuanto a plazos y prioridad, frente a las órdenes de pago transmitidas directamente por el propio ordenante.»
Los Estados miembros velarán por que todo ordenante usuario de servicios de pago tenga derecho a recurrir a un proveedor de servicios de pago tercero para obtener servicios de pago que permitan sobre la base del acceder acceso a cuentas de pago tal como se contempla en el punto 7 del anexo I.
Cuando un proveedor de servicios de pago tercero haya sido autorizado por el ordenante usuario de servicios de pago a prestar servicios de pago con arreglo al apartado 1, estará sujeto a las obligaciones siguientes:
garantizar que nadie más pueda acceder a los elementos de seguridad personalizados del usuario del servicio de pago una autenticación fuerte del cliente para la iniciación de pagos o el acceso a la información de las cuentas mediante:
el redireccionamiento del usuario de servicios de pago de una manera segura a su proveedor de servicios de pago gestor de cuenta para dicha autenticación, o
la emisión de sus propios elementos de seguridad personalizados para dicha autenticación.
El proveedor de servicios de pago tercero no podrá obtener los elementos de seguridad personalizados del usuario de servicios de pago emitidos por el proveedor de servicios de pago gestor de cuenta.
autenticarse de manera inequívoca ante el proveedor o proveedores de servicios de pago gestores de cuenta del titular de la cuenta usuario de servicios de pago;
no almacenar datos sobre pagos sensibles o credenciales de seguridad personalizadas del usuario de servicios de pago obtenidos al acceder a la cuenta de pago de los usuarios de servicios de pago, con excepción de la información necesaria para identificar el pago iniciado por el proveedor de servicios de pago tercero, como, por ejemplo, el número de referencia, los datos IBAN del ordenante y el beneficiario, el importe de la operación, cualquier otra información de referencia, así como la relativa al sistema de liquidación, y no utilizar ninguno de los datos para otros fines distintos a los solicitados de manera expresa por el usuario de servicios de pago.
Los Estados miembros velarán por que los proveedores de servicios de pago gestores de cuentas proporcionen los medios para recibir órdenes de pago de proveedores de servicios de pago terceros y aceptar un redireccionamiento tal como se establece en el apartado 2 de este artículo.
Cuando, a efectos de un servicio de iniciación del pago, la orden de pago se transmita a través de los servicios de un proveedor de servicios de pago tercero, el proveedor de servicios de pago gestor de cuenta haya recibido la orden de pago del ordenante a través de los servicios de un proveedor de servicios de pago tercero, notificará de inmediato a este último aquel la recepción entrega de la orden de pago y le facilitará información sobre la disponibilidad de fondos suficientes para la operación de pago de que se trate.
Los proveedores de servicios de pago gestores de cuentas no ejercerán, respecto de las órdenes de pago transmitidas a través de los servicios de un proveedor de servicios de pago tercero, ninguna discriminación que no obedezca a razones objetivas, en cuanto a plazos y prioridad, frente a las órdenes de pago transmitidas directamente por el propio ordenante.
Los Estados miembros velarán por que los proveedores de servicios de pago gestores de cuentas ofrezcan, en la medida de su disponibilidad, una interfaz normalizada segura para los proveedores de servicios de pago terceros sobre la base del acceso a cuentas de pago. La norma europea debe basarse en una directriz definida por la ABE en el plazo de […] a partir de la entrada en vigor de la presente Directiva, en estrecha cooperación con el BCE, e incluir, como mínimo, especificaciones técnicas y funcionales para la transmisión de una orden de pago entre el proveedor de servicios de pago gestor de cuenta y el proveedor de servicios de pago tercero de conformidad con el apartado 2, letra a), inciso i), así como para la autenticación inequívoca del proveedor de servicios de pago tercero tal y como se establece en el apartado 2, letra b).»
Es un principio básico de la seguridad de la tecnología de la información que las credenciales utilizadas para autenticar al usuario de servicios de pago no se compartan con un tercero. Por lo tanto, los proveedores de servicios de pago terceros deben garantizar una autenticación fuerte del cliente mediante: a) el redireccionamiento del usuario de servicios de pago, de una manera segura, a su proveedor de servicios de pago gestor de cuenta, o b) la emisión de sus propios elementos de seguridad personalizados. Ambas opciones deben formar parte de la interfaz técnica europea normalizada para el acceso a las cuentas de pago.
Esta interfaz normalizada segura para que los proveedores de servicios terceros puedan acceder a información de las cuentas de pago debe basarse en una norma abierta europea y permitir, una vez que la propuesta haya sido objeto de trasposición, el acceso de los proveedores de servicios de pago terceros a las cuentas de pago en cualquier proveedor de servicios de pago de la Unión. La ABE, en estrecha cooperación con el BCE, debe definir esta interfaz poco después de la aprobación de la directiva propuesta e incluir, como mínimo, especificaciones técnicas y funcionales, así como los correspondientes procedimientos.
Además, los proveedores de servicios terceros deberían: a) proteger los elementos de seguridad personalizados de los usuarios de servicios de pago; b) autenticarse de manera inequívoca ante los proveedores de servicios de pago gestores de cuenta del usuario de servicios de pago; c) no almacenar datos obtenidos al acceder a la cuenta de pago del usuario de servicios de pago, salvo los datos que identifiquen un pago iniciado por los proveedores de servicios de pago terceros, como el número de referencia, los datos IBAN del ordenante y el beneficiario y el importe de la operación, y d) no utilizar datos para fines distintos de los expresamente solicitados por el ordenante.
Acceso a información de las cuentas de pago y uso de la misma por emisores de instrumentos de pago terceros
Los Estados miembros velarán por que todo ordenante tenga derecho a recurrir a un emisor de instrumentos de pago tercero para obtener servicios de tarjetas de pago.
Si el ordenante ha dado su consentimiento a un emisor de instrumentos de pago tercero que le ha suministrado un instrumento de pago para que obtenga información sobre la disponibilidad de fondos suficientes, con vistas a una operación de pago dada, en una determinada cuenta de pago de la que el ordenante sea titular, el proveedor de servicios de pago gestor de la cuenta de pago considerada facilitará dicha información al emisor de instrumentos de pago tercero de inmediato, en cuanto reciba la orden de pago del ordenante.
Los proveedores de servicios de pago gestores de cuentas no ejercerán, respecto de las órdenes de pago transmitidas a través de los servicios de un emisor de instrumentos de pago tercero, ninguna discriminación que no obedezca a razones objetivas, en cuanto a plazos y prioridad, frente a las órdenes de pago transmitidas directamente por el propio ordenante.»
Las disposiciones de este artículo sobre el acceso a información de las cuentas de pago y uso de la misma por proveedores de servicios de pago terceros que emiten instrumentos de pago, es decir, tarjetas de pago, son en esencia idénticas a las del artículo 58 que regulan el acceso a información de las cuentas de pago y uso de la misma por proveedores de servicios de pago terceros. Por consiguiente, el artículo 59 puede suprimirse sin riesgo para la seguridad jurídica de los proveedores de servicios de pago y de los ordenantes al utilizar sus servicios.
Nuevo artículo 59
«Artículo 59. El ordenante debe tener derecho a: i) dar instrucciones a su proveedor de servicios de pago gestor de cuenta para que bloquee cualquier servicio de iniciación de pagos desde la cuenta de pago del ordenante, ii) bloquear cualquier servicio de iniciación de pagos iniciado por uno o varios proveedores de servicios de pago terceros determinados, o iii) autorizar únicamente servicios de iniciación de pagos iniciados por uno o varios proveedores de servicios de pago terceros determinados.»
De conformidad con las disposiciones relativas a la protección de los consumidores y las salvaguardias para los usuarios de servicios de pago incluidas en el considerando 13 y el artículo 5, apartado 3, letra d), inciso iii), del Reglamento SEPA, y a fin de velar por la coherencia jurídica, debe añadirse un nuevo artículo que garantice a los usuarios de servicios de pago el derecho a dar instrucciones a sus proveedores de servicios de pago para que establezcan listas positivas o negativas de proveedores de servicios de pago terceros. Sin embargo, esta disposición solo debe aplicarse a los consumidores y no a los usuarios de servicios de pago en general (véase la 22a modificación). Dado que las instrucciones deben proceder del ordenante, esta disposición no significa un bloqueo por incumplimiento generalizado ni la inclusión de un bloqueo generalizado de los proveedores de servicios de pago terceros en las condiciones o contratos de un proveedor de servicios de pago.
Artículo 65, apartado 2
Cuando intervenga un proveedor de servicios de pago tercero, el proveedor de servicios de pago gestor de cuenta devolverá el importe de la operación de pago no autorizada y, en su caso, restituirá la cuenta de pago en la cual se haya efectuado el adeudo al estado en el que se habría encontrado de no haberse efectuado la operación no autorizada. Podrá preverse una indemnización económica al proveedor de servicios de pago gestor de cuenta por el proveedor de servicios de pago tercero.»
Cuando intervenga un proveedor de servicios de pago tercero, el proveedor de servicios de pago gestor de cuenta devolverá el importe de la operación de pago no autorizada y, en su caso, restituirá la cuenta de pago en la cual se haya efectuado el adeudo al estado en el que se habría encontrado de no haberse efectuado la operación no autorizada. Podrá preverse De conformidad con el artículo 82, se preverá una indemnización económica al proveedor de servicios de pago gestor de cuenta por el proveedor de servicios de pago tercero.»
Desde el punto de vista de la protección de los clientes, es normal que el ordenante se dirija al proveedor de servicios de pago gestor de cuenta para obtener una devolución, dado que su relación con el proveedor de servicios de pago tercero puede que solo se produzca de manera puntual, por ejemplo, para la iniciación del pago. El proveedor de servicios de pago gestor de cuenta puede entonces reclamar una indemnización al proveedor de servicios de pago tercero, a menos que este pruebe su falta de responsabilidad en el error. La indemnización por la actuación del proveedor de servicios de pago tercero debe seguir las mismas normas que en el caso de la no ejecución o ejecución defectuosa o con retraso de una operación de pago conforme al artículo 80, así como el derecho de resarcimiento conforme al artículo 82. Se podrá, por ejemplo, disponer de dicha indemnización cuando el proveedor de servicios de pago tercero haya emitido sus propios elementos de seguridad, por ejemplo, para una tarjeta de pago.
Artículo 66, apartado 1
No obstante lo dispuesto en el artículo 65, el ordenante podrá estar obligado a soportar, hasta un máximo de 50 EUR, las pérdidas derivadas de operaciones de pago no autorizadas resultantes de la utilización de un instrumento de pago extraviado o robado o de la apropiación indebida de un instrumento de pago.
El ordenante soportará todas las pérdidas derivadas de operaciones de pago no autorizadas en que haya incurrido debido a una actuación fraudulenta o al incumplimiento, deliberado o por negligencia grave, de una o varias de las obligaciones que establece el artículo 61. En ese caso, no será de aplicación el importe máximo contemplado en el apartado 1 del presente artículo. Cuando se trate de pagos a través de medios de comunicación a distancia en relación con los cuales el proveedor de servicios de pago no exija autenticación fuerte del cliente, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta. En el supuesto de que el beneficiario o el proveedor de servicios de pago del beneficiario no acepte la autenticación fuerte del cliente, deberán reembolsar el importe del perjuicio financiero causado al proveedor de servicios de pago del ordenante.»
Debe garantizarse a los consumidores una protección similar con independencia del medio de iniciación de pagos.
29a modificación
Artículo 67, apartado 1
Los Estados miembros garantizarán que todo ordenante tenga derecho a obtener del proveedor de servicios de pago una devolución por las operaciones de pago autorizadas iniciadas por un beneficiario o a través de él que ya hayan sido ejecutadas, si se cumplen las condiciones siguientes:
[…]En lo que respecta a los adeudos domiciliados, el ordenante tendrá un derecho incondicional de devolución dentro de los plazos establecidos en el artículo 68, salvo que el beneficiario ya haya cumplido las obligaciones contractuales y los servicios ya hayan sido recibidos o los bienes consumidos por el ordenante. A petición del proveedor de servicios de pago, corresponderá al beneficiario demostrar que se cumplen las condiciones indicadas en el párrafo tercero.»
[…]En lo que respecta a los adeudos domiciliados, el ordenante tendrá un derecho incondicional de devolución dentro de los plazos establecidos en el artículo 68, salvo que el beneficiario ya haya cumplido las obligaciones contractuales y los servicios ya hayan sido recibidos o los bienes consumidos por el ordenante. Sin embargo, la Comisión podrá, a través de actos delegados, establecer una lista exhaustiva de bienes y servicios cuya prestación pueda sujetarse a adeudo domiciliado sin devolución. El ordenante y el beneficiario deberán acordar por separado la no aplicación del derecho de devolución para el adeudo domiciliado con respecto a los bienes y servicios incluidos en dicha lista y mencionar claramente la inexistencia del derecho incondicional de devolución en el mandato. A petición del proveedor de servicios de pago, corresponderá al beneficiario demostrar que se cumplen las condiciones indicadas en el párrafo tercero.»
30a modificación
Artículo 82, apartado 1
En caso de que la responsabilidad de un proveedor de servicios de pago con arreglo al artículo 80 sea imputable a otro proveedor de servicios de pago o a un intermediario, dicho proveedor de servicios de pago o dicho intermediario indemnizarán al primer proveedor de servicios de pago por las posibles pérdidas en que incurra o las sumas que pague en virtud del artículo 80. Habrá asimismo lugar a indemnización en caso de que alguno de los proveedores de servicios de pago no haga uso de la autenticación fuerte de clientes.»
En caso de que la responsabilidad de un proveedor de servicios de pago con arreglo al artículo 65 y al artículo 80 sea imputable a otro proveedor de servicios de pago o a un intermediario, dicho proveedor de servicios de pago o dicho intermediario indemnizarán al primer proveedor de servicios de pago por las posibles pérdidas en que incurra o las sumas que pague en virtud del artículo 65 y el artículo 80. Habrá asimismo lugar a indemnización en caso de que alguno de los proveedores de servicios de pago no haga uso de la autenticación fuerte de clientes.»
Las operaciones de pago no autorizadas deben estar también cubiertas por el derecho de resarcimiento. Para mayor claridad, sería conveniente definir el término «intermediario» en la directiva propuesta.
31a modificación
Requisitos en materia de seguridad y notificación de incidentes
Los proveedores de servicios de pago estarán sujetos a la Directiva [Directiva SRI] y, en particular, a los requisitos de gestión del riesgo y de notificación de incidentes contemplados en sus artículos 14 y 15.
La autoridad designada en virtud del artículo 6, apartado 1, de la Directiva [Directiva SRI] informará sin indebida demora a la autoridad competente del Estado miembro de origen y a la ABE de las notificaciones de incidentes que afecten a la seguridad de las redes y la información recibidas de los proveedores de servicios de pago.
Al recibir la información, la ABE lo comunicará, si procede, a las autoridades competentes de los demás Estados miembros.
Complementariamente a las disposiciones del artículo 14, apartado 4, de la Directiva [Directiva SRI], si el incidente de seguridad es susceptible de afectar a los intereses financieros de sus usuarios, el proveedor de servicios de pago notificará a estos sin indebida demora el incidente y les informará sobre las posibles medidas paliativas que, por su parte, puedan adoptar para mitigar las consecuencias adversas del incidente.»
Los proveedores de servicios de pago estarán sujetos a la Directiva [Directiva SRI] y, en particular, a los requisitos de gestión del riesgo y de notificación de incidentes contemplados en sus artículos 14 y 15. Los proveedores de servicios de pago establecerán un sistema de medidas paliativas adecuadas y mecanismos de control para gestionar los riesgos operativos, incluidos los riesgos de seguridad, en relación con los servicios de pago que prestan. Como parte de este sistema, los proveedores de servicios de pago establecerán y mantendrán procedimientos de gestión de incidentes eficaces, que incluyan la clasificación de los incidentes importantes.
La autoridad designada en virtud del artículo 6, apartado 1, de la Directiva [Directiva SRI] informará sin indebida demora a la autoridad competente del Estado miembro de origen y a la ABE de las notificaciones de incidentes que afecten a la seguridad de las redes y la información recibidas de los proveedores de servicios de pago. En caso de que se produzca un incidente operativo importante, incluidos los incidentes de seguridad, los proveedores de servicios de pago notificarán sin indebida demora el incidente a la autoridad competente del Estado miembro de origen conforme a la presente Directiva.
Al recibir la información notificación, la ABE lo comunicará, si procede, a las autoridades competentes del los demás Estados miembros de origen conforme a la presente Directiva evaluará la importancia del incidente para otras autoridades y, teniendo en cuenta dicha evaluación, compartirá los datos pertinentes de la notificación del incidente con la ABE y el Banco Central Europeo.
Al recibir la notificación, la ABE lo comunicará , si procede, a las autoridades competentes de los demás Estados miembros en virtud de la presente Directiva. El BCE notificará al SEBC las cuestiones correspondientes a los sistemas e instrumentos de pago.
Complementariamente a las disposiciones del artículo 14, apartado 4, de la Directiva [Directiva SRI], s Si el incidente de seguridad es susceptible de afectar a los intereses financieros de sus usuarios, el proveedor de servicios de pago notificará a estos sin indebida demora el incidente y les informará sobre las posibles medidas paliativas que, por su parte, puedan adoptar para mitigar las consecuencias adversas del incidente.
El [insértese la fecha] a más tardar la ABE, en estrecha cooperación con el BCE, emitirá directrices, de conformidad con el procedimiento establecido en el artículo [insértese el número] de la Directiva [insértese número], dirigidas a los proveedores de servicios de pago, sobre la clasificación de los incidentes importantes mencionada en el apartado 1 y sobre el contenido, el formato y los procedimientos de notificación de incidentes mencionados en el apartado 2, así como directrices dirigidas a las autoridades competentes en virtud de la presente Directiva con respecto a los criterios para evaluar la pertinencia de las notificaciones de incidentes para otras autoridades y qué datos de los informes de incidentes deben compartirse con las demás autoridades.
La ABE, en estrecha cooperación con el BCE, revisará las directrices a que se hace referencia en el apartado 6 periódicamente y, como mínimo, cada dos años.
Al emitir y revisar las directrices mencionadas en el apartado 6, la ABE podrá tener en cuenta el acto de ejecución de la Comisión conforme al apartado 7 del artículo 14 de la Directiva [Directiva SRI] y las normas y/o especificaciones adoptadas y publicadas por la Agencia de Seguridad de las Redes y de la Información de la Unión Europea para los sectores que ejerzan actividades distintas de la prestación de servicios de pago.»
Los supervisores y el SEBC son las autoridades competentes para emitir directrices sobre la gestión de incidentes y su notificación dirigidas a los proveedores de servicios de pago, así como para emitir directrices sobre el intercambio de notificaciones de incidentes entre las autoridades competentes. La inclusión de los proveedores de servicios de pago en la Directiva SRI podría interferir en las funciones de las autoridades de supervisión y los bancos centrales y, por consiguiente, debe evitarse. Sin embargo, se podrían tener en cuenta las directrices adoptadas por la ENISA para otros sectores y los requisitos que se establezcan en el acto de ejecución de la Comisión conforme al artículo 14, apartado 7, de la Directiva SRI, a fin de garantizar un nivel razonable de coherencia entre los actos legislativos de específicos de sector. El mandato de emitir directrices sobre la clasificación de incidentes y su notificación está estrechamente relacionado con los requisitos establecidos en este artículo. Por lo tanto, se sugiere que el mandato forme parte del presente artículo y no del artículo 86.
32a modificación
« Artículo 86
Aplicación e informes
Los Estados miembros velarán por que los proveedores de servicios de pago proporcionen anualmente a la autoridad designada en virtud del artículo 6, apartado 1, de la Directiva [Directiva SRI] información actualizada sobre la evaluación de los riesgos operativos y de seguridad asociados a los servicios de pago que prestan y sobre la adecuación de las medidas paliativas y los mecanismos de control aplicados en respuesta a tales riesgos. La autoridad designada en virtud del artículo 6, apartado 1, de la Directiva [Directiva SRI] remitirá sin indebida demora copia de esa información a la autoridad competente del Estado miembro de origen.
Sin perjuicio de lo dispuesto en los artículos 14 y 15 de la Directiva [Directiva SRI], la ABE, en estrecha cooperación con el BCE, desarrollará directrices en relación con la elaboración, la aplicación y el seguimiento de las medidas de seguridad, incluidos, en su caso, procesos de certificación. En particular, se tendrán en cuenta las normas y/o especificaciones publicadas por la Comisión con arreglo al artículo 16, apartado 2, de la Directiva [Directiva SRI].
La ABE, en estrecha cooperación con el BCE, revisará las directrices periódicamente y, como mínimo, cada dos años.
Sin perjuicio de lo dispuesto en los artículos 14 y 15 de la Directiva [Directiva SRI], la ABE emitirá directrices para facilitar la labor de los proveedores de servicios de pago a la hora de determinar los incidentes importantes y las circunstancias en las que una entidad de pago viene obligada a notificar un incidente de seguridad. Dichas directrices se emitirán, a más tardar, el (insértese la fecha-dos años a partir de la fecha de entrada en vigor de la presente Directiva).»
Los Estados miembros velarán por que los proveedores de servicios de pago proporcionen anualmente a la autoridad designada competente en virtud de la presente Directival artículo 6, apartado 1, de la Directiva [Directiva SRI] información actualizada sobre la evaluación de los riesgos operativos y de seguridad asociados a los servicios de pago que prestan y sobre la adecuación de las medidas paliativas y los mecanismos de control aplicados en respuesta a tales riesgos. La autoridad designada en virtud del artículo 6, apartado 1, de la Directiva [Directiva SRI] remitirá sin indebida demora copia de esa información a la autoridad competente del Estado miembro de origen.
Sin perjuicio de lo dispuesto en los artículos 14 y 15 de la Directiva [Directiva SRI], l La ABE, en estrecha cooperación con el BCE, desarrollará directrices en relación con la elaboración, la aplicación y el seguimiento de las medidas de seguridad, incluidos, en su caso, procesos de certificación. En particular, se tendrán en cuenta las normas y/o especificaciones publicadas por la Comisión con arreglo al artículo 16, apartado 2, de la Directiva [Directiva SRI] .
La ABE coordinará el intercambio de información en el ámbito de los riesgos operativos y de seguridad asociados a los servicios de pago con las autoridades competentes en virtud de la presente Directiva, el BCE, las autoridades competentes en virtud de la Directiva SRI y, en su caso, con la ENISA.
4. Sin perjuicio de lo dispuesto en los artículos 14 y 15 de la Directiva [Directiva SRI], la ABE emitirá directrices para facilitar la labor de los proveedores de servicios de pago a la hora de determinar los incidentes importantes y las circunstancias en las que una entidad de pago viene obligada a notificar un incidente de seguridad. Dichas directrices se emitirán, a más tardar, el (insértese la fecha-dos años a partir de la fecha de entrada en vigor de la presente Directiva).»
Los supervisores prudenciales y los bancos centrales deben determinar y evaluar los requisitos de notificación en relación con los riesgos operativos y de seguridad. La información se puede compartir con la ENISA o las autoridades competentes en virtud de la Directiva SRI, así como con la ABE como autoridad adecuada en materia de coordinación.
33a modificación
Los Estados miembros velarán por que los proveedores de servicios de pago apliquen la autenticación fuerte de clientes cuando el ordenante inicie una operación de pago electrónico, salvo que las directrices de la ABE autoricen determinadas exenciones basadas en el riesgo inherente al servicio de pago prestado. Esta disposición se aplicará igualmente a los proveedores de servicios de pago terceros, cuando inicien una operación de pago por cuenta del ordenante. El proveedor de servicios de pago gestor de cuenta deberá permitir al proveedor de servicios de pago tercero basarse en los métodos de autenticación de aquel cuando actúe por cuenta del usuario de servicios de pago.
Cuando un proveedor de servicios de pago preste los servicios a que se refiere el punto 7 del anexo I, deberá autenticarse ante el proveedor de servicios de pago gestor de cuenta del titular de la cuenta.»
Véase la explicación de la 24a modificación.
34a modificación
Artículo 89, nuevo apartado 5
La ABE, en estrecha cooperación con el BCE, emitirá directrices, dirigidas a las autoridades competentes de conformidad con el artículo 16 del Reglamento (UE) no 1093/2010, sobre los procedimientos de reclamación que se utilizarán para garantizar el cumplimiento de las disposiciones pertinentes de la presente Directiva, tal y como se establece en el apartado 1. Dichas directrices se emitirán, a más tardar, el [insértese la fecha – en los dos años siguientes a la fecha de entrada en vigor de la presente Directiva] y se actualizarán periódicamente según proceda.»
La armonización de los procedimientos de reclamación facilitaría la tramitación de las reclamaciones transfronterizas y contribuiría a lograr unos procedimientos de cumplimiento eficientes que asistieran a las autoridades competentes en las funciones que les competen en virtud de la directiva propuesta.
(2) Directiva …/…/UE del Parlamento Europeo y del Consejo, de […], relativa a medidas para garantizar un elevado nivel común de seguridad de las redes y de la información en la Unión (DO L …, p. …).
(3) Decisión 2009/371/JAI del Consejo, de 6 de abril de 2009, por la que se crea la Oficina Europea de Policía (Europol) (DO L 121 de 15.5.2009, p. 37).