Source: https://czasopismo.legeartis.org/2019/08/swiadczenie-uslugi-dostepu-informacji-rachunku.html
Timestamp: 2019-09-18 15:56:01
Legal References Found: art. 67
 art. 59

art. 3
 art. 42
 art. 68

art. 59
 art. 4
 art. 18
 art. 23
 art. 136
 art. 96
 art. 32
 art. 42
 art. 59

Document Content:
Świadczenie usługi dostępu do informacji o rachunku (AISP) w PSD2
by Olgierd Rudak • 27 sierpnia 2019 • 12 komentarzy
A skoro dyrektywa PSD2 zbliża się i w mediach pojawiają się różne zapowiedzi — a ludzie się buntują, że państwo chce narzucić, żeby ktoś mógł w nasze pieniądze zaglądać — to dziś chyba dobry moment, żeby sklecić kilka akapitów o tym czym jest świadczenie usługi dostępu do informacji o rachunku?
W serwisie transakcyjnym mBanku — tam gdzie jest podgląd stanów kont — pojawiły się dodatkowe „ptaszki”. Na razie tylko mBank, ale czuję, że lada dzień będzie można za pomocą jednego serwisu mieć dostęp — tylko w trybie podglądu! — do innych swoich rachunków
Zaczynając zatem od początku: usługa dostępu do informacji o rachunku (Account Information Service) to jeden z nowatorskich pomysłów wynikających z PSD2, która zakłada większą dostępność usług poprzez większą wzajemną otwartość instytucji finansowych. Jednym z takich obowiązków jest zagwarantowanie niedyskryminacyjnego dostępu do rachunku prowadzonego on-line poprzez przez infrastrukturę innej instytucji płatniczej.
Usługa dostępu do informacji o rachunku płatniczym jest jednym z rodzajów usług płatniczych, która polega na dostarczaniu skonsolidowanych informacji o innych rachunkach płatniczych, warunki jej świadczenia reguluje art. 67 dyrektywy PSD2 i art. 59s ustawy o usługach płatniczych i obejmuję one m.in.:
uzyskanie wyraźnej zgody użytkownika na uzyskanie dostępu do jego rachunku on-line;
taka zgoda taka musi być wyrażona przez klienta w sposób silnie uwierzytelniony w rozumieniu PSD2 (art. 32i ust. 5-6 uup), a indywidualne dane uwierzytelniające zabezpieczone przed ingerencją, zaś cała komunikacja prowadzona w sposób bezpieczny;
zaś usługodawca ma prawo uzyskać dostęp wyłącznie do danych dotyczących wskazanych przez klienta transakcji i rachunków płatniczych;
art. 3 ust. 6 ustawy o usługach płatniczych (Dz.U. z 2019 r. poz. 659)
Usługa dostępu do informacji o rachunku oznacza usługę on-line polegającą na dostarczaniu skonsolidowanych informacji dotyczących:
2) rachunków płatniczych użytkownika prowadzonych u innego dostawcy albo u więcej niż jednego dostawcy.
użytkownik może korzystać z usługi AIS wyłącznie w sposób określony zawartą umową, podejmować wszelkie niezbędne środki w celu zabezpieczenia naruszenia bezpieczeństwa indywidualnych danych uwierzytelniających (art. 117e uup w zw. z art. 42 uup);
świadczący usługę nie może pozyskiwać innych informacji niż polegających na uzyskaniu zleconego przez użytkownika dostępu do rachunku;
bank prowadzący rachunek, do którego użytkownik pragnie uzyskać dostęp poprzez infrastrukturę innego usługodawcy, nie może traktować takich wniosków w sposób dyskryminujący, chyba że takie postępowanie jest uzasadnione obiektywnymi przyczynami (art. 59s ust. 3 pkt 2 uup), np. „z obiektywnie uzasadnionych i należycie udokumentowanych przyczyn związanych z nieuprawnionym lub nielegalnym dostępem do rachunku płatniczego przez takiego dostawcę” (art. 41 ust. 5 uup, art. 68 ust. 5 PSD2; nb. takie zdarzenie traktuje się jako „incydent” w rozumieniu dyrektywy);
co więcej zgody na taką usługę nie można uzależniać od zawarcia odrębnej umowy między bankiem, w którym prowadzimy nasz rachunek a samym AISP (art. 67 ust. 4 PSD2);
art. 59s ust. 1-2 uup
1. Użytkownik może korzystać z usługi dostępu do informacji o rachunku, chyba że rachunek płatniczy nie jest dostępny on-line.
3) w przypadku sesji komunikacyjnej — jest obowiązany identyfikować siebie wobec dostawcy prowadzącego rachunek na rzecz użytkownika oraz porozumiewać się z dostawcą prowadzącym rachunek i użytkownikiem w sposób bezpieczny, zgodnie z wymogami określonymi w przepisach rozporządzenia delegowanego Komisji (UE) 2018/389 z dnia 27 listopada 2017 r. uzupełniającego dyrektywę Parlamentu Europejskiego i Rady (UE) 2015/2366 w odniesieniu do regulacyjnych standardów technicznych dotyczących silnego uwierzytelniania klienta i wspólnych i bezpiecznych otwartych standardów komunikacji;
świadczyć usługę dostępu do informacji o rachunku mogą m.in. banki — ale także dostawcy świadczący wyłącznie usługę dostępu do informacji o rachunku (Account Information Service Provider), którzy nie są (małą) instytucją płatniczą (art. 2 pkt 4f uup, art. 4 ust. 1 pkt 12 uup);
z racji nieco ograniczonego zakresu działalności AISP, ograniczony jest też katalog wymogów spoczywających na takim dostawcy, jednak musi on zawsze udzielić użytkownikowi pewnych informacji (np. o opłatach), w tym zakresie spoczywa na nim ciężar dowodu (art. 117e uup w zw. art. 18 uup i art. 23 uup)
działalność prowadzona przez AISP jest działalnością regulowaną, podmiot taki może ją podjąć pod warunkiem wpisu do rejestru prowadzonego przez KNF (art. 117a uup, art. 136c uup), co wiąże się z nadzorem i opłatami na koszty owego nadzoru;
AISP wpisany do rejestru KNF może prowadzić działalność w innych państwach EU na podstawie tzw. „jednego paszportu europejskiego” (art. 92 uup; „paszport” działa w obie strony, art. 96 uup);
dla jasności: prowadzenie działalności w zakresie świadczenia usług płatniczych — świadczenie usługi dostępu do informacji o rachunku jest jednym z rodzajów takiej usługi — bez wpisu do rejestru KNF jest przestępstwem, za które można zostać ukaranym grzywną do 5 mln złotych i karą pozbawienia wolności do lat 2, przy czym odpowiedzialność karną ponosi także osoba, która działa „w imieniu lub w interesie osoby” prowadzącej taką działalność (art. 150 uup).
Zamiast komentarza: od paru lat — od momentu komasacji MultiBanku z mBankiem — nie umiem zrozumieć powodów, dla których mBank nie potrafi połączyć kont w serwisie transakcyjnym klientów, którzy mieli rachunki w obu tych markach BRE. Powody są różne (ostatnio człowiek w placówce nawet nie postarał się o jakiekolwiek uzasadnienie), kiedyś słyszałem o tym, że byłyby trudności z powielonymi ID (sic!).
Tego PSD2 nie załatwi — ale jestem ciekaw jak bank, który nie umie poradzić sobie z chyba najprostszą sprawą, poradzi sobie z grubszymi?
Tags: art. 32i uup art. 42 uup art. 59s uup bank dane osobowe finanse PSD2 usługi płatnicze
← Czy prezes odpowiada za naruszenie praw do wizerunku, którego dopuściło się jego stowarzyszenie?
Czy sprzeciw wobec przetwarzania danych osobowych w celach marketingowych oznacza, że zalogowanemu klientowi nie wolno wyświetlać reklam? →
Jak Alior przejął BPH to przejęte konta dostały nowe numery, stare jednak miały jeszcze działać przez dwa lata. I to było ok, tylko w którymś momencie okazało się, że wysłanie przelewu z Aliora na stary numer rachunku z BPH generowało incydent bezpieczeństwa i taki przelew szedł tydzień i wymagał kilku rozmów telefonicznych z pracownikami banku.
Mnie jest bardzo żal tych „hardkorowych” czasów bankowości — BPH, PBK, Wschodni Bank Cukrownictwa, BIG, Bank Gdański (BIG Bank Gdański), PBR, BZ, WBK, BDK, PBG, PBI (Kredyt Bank)…
Od razu mi się kojarzy z D.R.I., S.O.D., M.O.D., etc.,etc….
Kiedy to było? Jeszcze był PBK, którego logo po zmianie literek jest teraz używane przez jakąś inną firmę.
S.O.D. i reszta to szczenięce lata 80-te, pierwsze banki wypączkowały po podziale NBP, a rozkwit był w słodkich l. 90-tych. I tak jakoś do połowy pierwszej dekady dwudziestego pierwszego stulecia ;-)
Ogólnie pomysł jest dobry. Teraz jak się chce wziąć kredyt to niektóre banki wymagają przekazania hasła (albo chociaż zalogowania się) na rachunek bankowy starającego się o kredyt.
Właściwie to mam wątpliwość czy bank może przetwarzać te dane np. w celach marketingowych lub analizy zdolności kredytowej. Dostawca „nie może [korzystać z] danych do celów innych niż [AIS] świadczonej na podstawie umowy z użytkownikiem lub zgody użytkownika” — ta zgoda odnosi się do podstawy świadczenia usługi (umowa lub zgoda), nie do wyrażenia zgody na korzystanie z danych w innym celu.
dla jasności: prowadzenie działalności w zakresie świadczenia usług płatniczych — świadczenie usługi dostępu do informacji o rachunku jest jednym z rodzajów takiej usługi — jest przestępstwem,
Chyba zabrakło słów „bez zezwolenia KNF” ;-)
Racja, dzięki, uzupełniam :)
Odnośnie „mBank nie potrafi połączyć kont w serwisie transakcyjnym klientów, którzy mieli rachunki w obu tych markach BRE” – technicznie to operacja trywialna – natomiast jak przypuszczam można nakreślić bardzo wiele scenariuszy, kiedy takie przeniesienie mogłoby spowodować kłopoty w sensie prawnym/organizacyjnym/bezpieczeństwa. Np. sytuacje kiedy człowiek jest na każdym identyfikatorze pełnomocnikiem do różnych rachunków, albo ma pełnomocnictwa różne do swoich rachunków, albo jedno konto jest własne a drugie wspólne z małżonkiem – a w przypadku firm to samo do n-tej potęgi. Do tego rozbieżności danych na tych kontach (które miałyby być wzięte jako wzorcowe?), konta o których ludzie nie pamiętają, konta… Czytaj więcej »
Ale moja sprawa jest prosta i różnica dotyczy tylko produktów (na jednym koncie mam np. rachunek osobisty i IKE oraz rachunek firmowy, a w innym np. kartę kredytową). Oba na tego samego człowieka (ten sam PESEL — aktywując aplikację mobilną mBank pokazał, że ma oba moje ID i mogłem sobie wybrać, które ma być podpięte w aplikacji). Żadnych wspólnych, żadnych pełnomocnictw (nb. pełnomocnictwo jest do rachunku — jak otworzę nowy rachunek to pełnomocnik chyba nie będzie miał nic do niego). Oba konta żyją, jeden klient może przyjść równocześnie do okienka i się wylegitymować dowodem osobistym — a jednak dla mBanku jest to rzekomo… Czytaj więcej »
Jasne, ale takie operacje robi się na zasadzie „wszystko albo nic” (tzn. albo przenosimy wszystkich klientów albo nikogo) – to już z powodów technologicznych… Swoją drogą poszukałem na szybko i internet nie wie nic na temat operacji „cesji rachunku bankowego” (przez analogię do cesji numeru telefonu).
Zupełnie z innej beczki – nie mogę nic na to poradzić ale nowa faviconka tego czasopisma budzi we mnie jednoznaczne skojarzenie (bardzo pozytywne zresztą ;) ) — https://imgur.com/gallery/Sui6s
Ale ja nie mówię o przenosinach z automatu, mówię o sytuacji kiedy *przychodzę do placówki*, gadam, mogę się wylegitymować — a bank mówi, że nie umie.
I nie chodzi mi o cesję, bo w żadnym przypadku nie zmieni się posiadacz rachunku — chodzi o komasację rachunków prowadzonych w tym samym systemie pod różnymi ID.
Ikonka z Vonneguta… nie wiedziałem, nie znałem — miło mi :)