(1)

Komisjoni delegeeritud määruse (EL) 2018/389 (2) artikliga 10 on ette nähtud erand direktiivi (EL) 2015/2366 artiklis 97 sätestatud nõudest kohaldada kliendi tugevat autentimist, kui makseteenuse kasutajal on juurdepääs maksekonto saldole ja viimastele tehingutele tundlikke makseandmeid avaldamata. Sellisel juhul on makseteenuse pakkujatel lubatud mitte kohaldada kliendi tugevat autentimist kontoteabele juurdepääsuks, tingimusel et kliendi tugevat autentimist kohaldati siis, kui kontoteabele saadi juurdepääs esimest korda, ja pärast seda vähemalt 90 päeva järel.

(2)

Selle erandi kasutamine on toonud kaasa väga lahknevad tavad delegeeritud määruse (EL) 2018/389 kohaldamisel: mõned kontot haldavad makseteenuse pakkujad nõuavad kliendi tugevat autentimist iga 90 päeva järel, teised lühemate ajavahemike järel ning mõned ei ole erandit kohaldanud ja nõuavad kliendi tugevat autentimist iga kontole juurdepääsu puhul. Need lahknevused on kliendikogemust kontoteabe teenuste kasutamisel tarbetult pingestanud ja avaldanud negatiivset mõju kontoteabe teenuse pakkujate teenustele.

(3)

Selleks et panna omavahel nõuetekohaselt tasakaalu direktiivi (EL) 2015/2366 eesmärgid suurendada turvalisust, soodustada innovatsiooni ja hoogustada konkurentsi siseturul, on vaja täiendavalt täpsustada delegeeritud määruse (EL) 2018/389 artiklis 10 sätestatud erandi kohaldamist juhtudel, kui kontoteabele pääseb juurde kontoteabe teenuse pakkuja kaudu. Seega ei tohiks makseteenuse pakkujatel olla sellisel juhul lubatud valida, kas kohaldada kliendi tugevat autentimist või mitte, ning erand tuleks muuta kohustuslikuks selliste tingimuste olemasolul, mille eesmärk on tagada makseteenuse kasutajate andmete turvalisus.

(4)

Erand peaks piirduma juurdepääsuga maksekonto saldole ja viimastele tehingutele tundlikke makseandmeid avaldamata. Erandit tuleks kohaldada üksnes juhul, kui makseteenuse pakkujad on juba kohaldanud kliendi tugevat autentimist esmakordse juurdepääsu puhul vastava kontoteabe teenuse pakkuja kaudu ja seda tuleks korrapäraselt uuendada.

(5)

Makseteenuse kasutajate andmete turvalisuse tagamiseks peaks makseteenuse pakkujatel olema igal ajal lubatud kohaldada kliendi tugevat autentimist, kui neil on selleks objektiivselt põhjendatud ja nõuetekohaselt tõendatud põhjused seoses autoriseerimata või pettuse teel juurdepääsuga. See võib olla nii juhul, kui kontot haldava makseteenuse pakkuja tehinguseiremehhanismid avastavad, et suurenenud on autoriseerimata või pettuse teel juurdepääsu oht. Selleks et tagada erandi järjepidev kohaldamine, peaksid kontot haldavad makseteenuse pakkujad sellisel juhul oma riiklikule pädevale asutusele selle asutuse taotluse korral dokumenteerima ja nõuetekohaselt põhjendama kliendi tugeva autentimise kohaldamise põhjuseid.

(6)

Kui makseteenuse kasutajal on kontoteabele otsejuurdepääs, peaks makseteenuse pakkujatel jätkuvalt olema lubatud valida, kas kohaldada kliendi tugevat autentimist. Selle põhjus on asjaolu, et sellistel juhtudel ei ole täheldatud ühtegi konkreetset probleemi, mis nõuaks delegeeritud määruse (EL) 2018/389 artiklis 10 sätestatud erandi muutmist, vastupidiselt kontoteabe teenuse pakkuja kaudu saadud juurdepääsule.

(7)

Selleks et tagada kõigile makseteenuse pakkujatele võrdsed tingimused ja kooskõlas direktiivi (EL) 2015/2366 eesmärkidega võimaldada kasutajasõbralike ja uuenduslike teenuste väljatöötamist, on proportsionaalne kehtestada sama 180-päevane tähtaeg kliendi tugeva autentimise uuendamiseks kontoteabele juurdepääsuks nii vahetult kontot haldava makseteenuse pakkuja kaudu kui ka kontoteabe teenuse pakkuja kaudu. Kliendi tugeva autentimise uuendamine praeguse sagedusega võib põhjustada soovimatuid pingeid kliendikogemuses ning takistada kontoteabe teenuse pakkujatel oma teenuste pakkumist ja kasutajatel nende kasutamist.

(8)

Kontot haldavatelt makseteenuse pakkujatelt, kes pakuvad spetsiaalset liidest ja kes on rakendanud delegeeritud määruse (EL) 2018/389 artikli 33 lõikes 4 sätestatud eriolukorra mehhanismi, ei tohiks nõuda uue kohustusliku erandi rakendamist oma otsestes kliendiliidestes eriolukorra mehhanismi jaoks, tingimusel et nad ei kohalda oma otsestes kliendiliidestes delegeeritud määruse (EL) 2018/389 artiklis 10 sätestatud erandit. Oleks ebaproportsionaalne nõuda, et kontot haldavad makseteenuse pakkujad, kes pakuvad spetsiaalset liidest, mille puhul nad peavad rakendama uut kohustuslikku erandit, rakendaksid erandit ka oma otsestes kliendiliidestes eriolukorra mehhanismi jaoks.

(9)

Et anda makseteenuse pakkujatele piisavalt aega oma süsteemides vajalike muudatuste tegemiseks, peaksid kontot haldavad makseteenuse pakkujad tegema oma liideste tehnilistes kirjeldustes käesoleva määruse nõuete järgimise eesmärgil tehtud muudatused makseteenuse pakkujatele kättesaadavaks vähemalt kaks kuud enne selliste muudatuste rakendamist.

(10)

Seepärast tuleks delegeeritud määrust (EL) 2018/389 vastavalt muuta.

(11)

Käesolev määrus põhineb Euroopa Pangandusjärelevalve poolt komisjonile esitatud regulatiivsete tehniliste standardite eelnõul.

(12)

Euroopa Pangandusjärelevalve on korraldanud avalikud konsultatsioonid käesoleva määruse aluseks olevate regulatiivsete tehniliste standardite eelnõu kohta, analüüsinud võimalikke seonduvaid kulusid ja tulusid ning küsinud nõu Euroopa Parlamendi ja nõukogu määruse (EL) nr 1093/2010 artikli 37 kohaselt loodud pangandussektori sidusrühmade kogult (3).

(13)

Euroopa Andmekaitseinspektoriga konsulteeriti Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 artikli 42 lõike 1 kohaselt ja ta esitas oma ametlikud märkused 7. juunil 2022.

(14)

Selleks et võimaldada sujuvat üleminekut käesolevas määruses sätestatud uutele nõuetele, tuleks makseteenuse pakkujatel, kes on kohaldanud delegeeritud määruse (EL) 2018/389 artiklis 10 sätestatud erandit enne käesoleva määruse kohaldamise alguskuupäeva, lubada jätkata kõnealuse erandi kohaldamist kuni 90 päeva jooksul alates viimasest korrast, mil kohaldati kliendi tugevat autentimist,