Zwolnienie z obowiązku stosowania SCA

Doradzaliśmy polskiemu bankowi komercyjnemu w projekcie:

zwolnienie z obowiązku stosowania SCA dla płatności korporacyjnych

• Na dostawcach usług płatniczych spoczywa obowiązek stosowania silnego uwierzytelniania użytkownika (SCA). Spośród szeregu wyłączeń, na które dostawcy mogą się powoływać w celu zaniechania stosowania SCA, jednym z najbardziej sformalizowanych jest przewidziane w art. 17 RTS zwolnienie dla płatności korporacyjnych. Ma ono szczególny charakter, gdyż dla jego zastosowania, oprócz inicjatywy ze strony dostawcy usług płatniczych, konieczna jest aktywność i pozytywne stanowisko ze strony nadzorcy, tj. w przypadku rynku polskiego – ze strony KNF.
• Dostawcy mogą stosować wyłącznie tylko jeśli nadzorca (KNF) „uzna” że procesy lub protokoły gwarantują poziom bezpieczeństwa równoważny co najmniej poziomowi przewidzianemu w PSD2. W praktyce stanowisko KNF przybiera formę decyzji administracyjnej, w której organ wypowiada się o tym, czy procesy lub protokołu aspirujące do zwolnienia zapewniają poziom bezpieczeństwa co najmniej równy temu wynikającemu z PSD2.
• Zwolnienie przewidziane w art. 17 RTS różni się od pozostałych zwolnień, gdyż oprócz ogólnego wymogu monitorowania wskaźników oszustów, który odnosi się do wszystkich wyłączeń z obowiązku stosowania SCA (art. 19 RTS), wymaga, aby dostawca zapewnił inne równoważne mechanizmy bezpieczeństwa. Z przepisu wynika więc, że wymagany poziom bezpieczeństwa zapewniony może zostać w inny sposób niż tylko poprzez zastosowanie elementów SCA, bądź też elementów wprost odpowiadających wymogom SCA wskazanym w PSD2 i RTS.

Doradztwo DLK obejmowało:

• sporządzenie i złożenie do KNF wniosku o zwolnienie banku z obowiązku stosowania SCA w odniesieniu do procesów lub protokołów, które bank udostępnia wyłącznie płatnikom niebędącym konsumentami
• reprezentację banku w postępowaniu przed KNF, udzielanie odpowiedzi na wezwania KNF i uzyskanie pozytywnej decyzji organu o uznaniu procesów lub protokołów, które bank udostępnia wyłącznie płatnikom niebędącym konsumentami, tj. że gwarantują one poziom bezpieczeństwa równoważny co najmniej poziomowi przewidzianemu w PSD2