Projekt rozporządzenia Payment Services Regulation (PSR) to jeden z najważniejszych elementów reformy unijnych ram prawnych w zakresie usług płatniczych. Jego głównym celem jest zwiększenie poziomu bezpieczeństwa obrotu bezgotówkowego oraz ograniczenie skali nadużyć finansowych, w szczególności tych wynikających z rozwoju kanałów cyfrowych. Jednocześnie nowe przepisy mają wprowadzić model odpowiedzialności, który nie spowoduje całkowitego przeniesienia ryzyka na instytucje finansowe, lecz zachowa istotną rolę należytej staranności po stronie użytkownika.
Wzmocnione obowiązki dostawców usług płatniczych
PSR przewiduje znaczące rozszerzenie obowiązków dostawców usług płatniczych, obejmujących zarówno sferę organizacyjną, jak i technologiczną. Instytucje finansowe zobowiązane będą do wdrażania bardziej zaawansowanych mechanizmów monitorowania transakcji oraz systemów służących wykrywaniu operacji o podwyższonym ryzyku.
Szczególny nacisk położono na przeciwdziałanie nadużyciom wykorzystującym manipulację, socjotechnikę oraz nieuprawnione podszywanie się pod pracowników dostawcy usług płatniczych. W konsekwencji banki będą zobowiązane do stałego doskonalenia zabezpieczeń kanałów komunikacji oraz reagowania w sposób niezwłoczny na wszelkie sygnały mogące wskazywać na próbę oszustwa.
Odpowiedzialność za nieautoryzowane transakcje
Pomimo wzmocnienia standardów ochrony użytkowników, projekt PSR nie wprowadza zasady bezwzględnej odpowiedzialności dostawcy usług płatniczych za skutki wszystkich nieautoryzowanych transakcji. Ostateczny kształt regulacji odchodzi bowiem od wcześniejszych koncepcji, które zakładały daleko idące przeniesienie ryzyka ich zaistnienia na instytucje finansowe.
Rozporządzenie utrzymuje co prawda zasadę niezwłocznego zwrotu kwoty nieautoryzowanej transakcji – najpóźniej do końca następnego dnia roboczego od dnia stwierdzenia transakcji lub otrzymania zgłoszenia – jednak istotnie rozszerza katalog wyjątków od niej. Zgodnie z projektowanymi przepisami, dostawca może bowiem odmówić zwrotu środków także w sytuacji, gdy ma obiektywnie uzasadnione podstawy by podejrzewać, że użytkownik działał umyślnie lub dopuścił się rażącego niedbalstwa, w szczególności w zakresie ochrony instrumentu płatniczego lub danych uwierzytelniających. Jednocześnie bank zobowiązany jest do przedstawienia uzasadnienia odmowy oraz poinformowania użytkownika o dostępnych środkach dochodzenia roszczeń.
Takie kształtowanie odpowiedzialności dowodzi chęci zachowania równowagi pomiędzy interesem konsumenta a koniecznością zapobiegania nadużyciom również po stronie użytkowników.
Spoofing – nowa podstawa odpowiedzialności dostawcy usług płatniczych
PSR wprowadza też istotne rozstrzygnięcia w zakresie tzw. spoofingu, czyli sytuacji polegających na podszywaniu się pod określone podmioty i wprowadzania użytkownika w błąd, co do tożsamości nadawcy komunikatu.
Projekt ogranicza odpowiedzialność dostawców usług płatniczych do przypadków, w których sprawca podszywa się bezpośrednio pod daną instytucję finansową. Wyłączeniu podlega natomiast automatyczna odpowiedzialność za sytuacje, w których oszust podszywa się pod inne podmioty funkcjonujące poza zakresem regulacyjnym PSR. Samo prawo do zwrotu przysługuje zaś konsumentowi wyłącznie pod warunkiem niezwłocznego zgłoszenia zdarzenia dostawcy i policji, zaś dostawca ma 15 dni roboczych na zwrot lub uzasadnioną odmowę.
Rozwiązanie to uwzględnia złożoność współczesnego środowiska cyfrowego, w którym procesy oszukańcze często obejmują wiele niezależnych kanałów komunikacji oraz podmiotów pozostających poza wpływem jednego dostawcy usług płatniczych.
Współodpowiedzialność w ekosystemie cyfrowym
Wartą uwagi nowością jest rozszerzenie katalogu podmiotów zaangażowanych w przeciwdziałanie nadużyciom finansowym. PSR przewiduje obowiązek współpracy pomiędzy dostawcami usług płatniczych, platformami cyfrowymi oraz dostawcami usług telekomunikacyjnych. Podmioty te będą zobowiązane do reagowania na zgłoszenia dotyczące działalności o charakterze oszukańczym oraz do podejmowania działań zmierzających do ich eliminacji.
Przykładem takich regulacji jest chociażby obowiązek bezpłatnej weryfikacji zgodności numeru rachunku bankowego (IBAN) z imieniem i nazwiskiem lub nazwą odbiorcy przez jego bank, a następnie poinformowania dostawcy płatnika o wyniku tej weryfikacji. Informacja ta jest następnie przekazywana samemu zlecającemu przelew przez jego własnego dostawcę przed zaoferowaniem mu możliwości autoryzacji danej transakcji. Co istotne obowiązek ten obejmuje wszystkie rodzaje przelewów tj. zarówno przelewy zwykłe, jak i przelewy natychmiastowe.
Rozszerzenie zakresu współodpowiedzialności odzwierciedla kierunek regulacyjny polegający na budowie kompleksowego systemu bezpieczeństwa obejmującego cały ekosystem usług cyfrowych.
Znaczenie należytej staranności użytkownika
Pomimo istotnego zwiększenia poziomu ochrony regulacyjnej, PSR jednoznacznie wskazuje, że bezpieczeństwo obrotu płatniczego nie może być zapewnione wyłącznie przez działania instytucji finansowych. Kluczowe znaczenie zachowuje postawa użytkownika oraz dochowanie podstawowych zasad ostrożności.
Projekt rozporządzenie wyraźnie akcentuje znaczenie edukacji i podnoszenia świadomości w zakresie zagrożeń związanych z korzystaniem z usług płatniczych. Użytkownicy powinni w szczególności:
- Weryfikować autentyczność komunikatów i kanałów kontaktu
- Chronić dane uwierzytelniające
- Unikać podejmowania decyzji pod wpływem presji
- Korzystać wyłącznie z wiarygodnych źródeł komunikacji
Brak dochowania należytej staranności może bowiem skutkować ograniczeniem zakresu ochrony przewidzianej w przepisach.
PSR jako element nowej architektury rynku płatności
Rozporządzenie PSR to część szerszego pakietu legislacyjnego obejmującego również dyrektywę PSD3, którego celem jest stworzenie nowych, bardziej spójnych i odpowiadających rzeczywistości cyfrowej ram prawnych dla rynku usług płatniczych w Unii Europejskiej.
Nowe regulacje będą miały charakter bezpośrednio obowiązujący we wszystkich państwach członkowskich, co przyczyni się do dalszej harmonizacji rynku oraz ujednolicenia standardów ochrony użytkowników.
PSR należy postrzegać jako próbę wypracowania równowagi pomiędzy zwiększeniem poziomu bezpieczeństwa a utrzymaniem odpowiedzialności użytkownika za własne działania. Regulacja wzmacnia obowiązki instytucji finansowych oraz rozszerza mechanizmy przeciwdziałania nadużyciom, nie wprowadzając jednak modelu pełnej i nieograniczonej odpowiedzialności po stronie dostawców usług płatniczych.
Masz pytania? Skontaktuj się z nami
