Zmiany rynku płatniczego w świetle dyrektywy PSD 2 i projektu nowelizacji ustawy o usługach płatniczych

Przyczyną tego jest wdrażanie na szeroką skalę różnego rodzaju innowacji technologicznych, które z powodzeniem wykorzystywane są w obrocie bezgotówkowym. Zmiany wynikające z postępu techniki niejako implikują konieczność dostosowania przepisów prawnych w przedmiotowym obszarze.

Istotne jest, aby regulacje ustanawiające ramy prawne w kontekście nowoczesnych metod płatności były zarówno elastyczne, jak i spójne oraz gwarantowały bezpieczeństwo oraz pewność obrotu wszystkim uczestnikom rynku. Jednym z aktów prawnych, który wychodzi naprzeciw takim oczekiwaniom, jest druga dyrektywa w sprawie usług płatniczych w ramach rynku wewnętrznego (PSD 2), której termin implementacji upływa 13 stycznia 2018 r. Jej przepisy kompleksowo poruszają zagadnienia świadczenia usług płatniczych oraz zasad prowadzenia działalności w tym zakresie.

Przedmiotowa tematyka jest szczególnie aktualna w związku z toczącymi się w państwach członkowskich UE pracami legislacyjnymi, które dotyczą implementacji dyrektywy PSD 2 do krajowych porządków prawnych (obecnie proces legislacyjny odbywa się m.in. w Szwecji, Belgii i Holandii). Także w Polsce zainteresowanie wdrożeniem dyrektywy jest ogromne. Dotychczas wiele podmiotów branżowych oraz organów publicznych zdecydowało się na przesłanie licznych uwag (prawie 500!) do przedstawionych propozycji przepisów. Tak duża aktywność w zakresie zgłaszania uwag do projektu ustawy nowelizującej ustawę o usługach płatniczych może świadczyć o jej istotności dla szeroko pojmowanego sektora finansowego. Należy przy tym odnotować, iż opublikowany 3 października 2017 r. projekt ustawy nowelizującej stanowi już trzecią wersję proponowanych zmian. Obecnie został on zaakceptowany przez Stały Komitet Rady Ministrów i oczekuje na rozpatrzenie przez Komisję Prawniczą, działającą w ramach Rządowego Centrum Legislacji.

Przepisy dyrektywy PSD 2 znacząco modyfikują dotychczasowe zasady świadczenia usług płatniczych. Dostrzegalne zmiany mają charakter wielopłaszczyznowy, obejmują bowiem m.in. zagadnienia związane ze świadczeniem usług, w tym ich katalog, zakres dostawców usług płatniczych (jako podmiotów uprawnionych do świadczenia tego rodzaju usług) czy kwestie wykonywania działalności przez te podmioty, jak również zasady ich odpowiedzialności.

Jedną z najistotniejszych zmian jest uregulowanie świadczenia tzw. nowych usług płatniczych, jakimi są usługa dostępu do informacji o rachunku (AIS) oraz usługa inicjowania płatności (PIS). Usługi te pod względem praktycznym występowały na rynku już wcześniej, jednakże nie zostały one wówczas poddane regulacji prawnej jak ma to miejsce na gruncie dyrektywy PSD 2. Pierwsza z nich polega na dostarczeniu użytkownikowi skonsolidowanych informacji na temat co najmniej jednego z jego rachunków płatniczych przez dostawcę usług płatniczych, który takich rachunków sam dla tego użytkownika nie prowadzi. Cechą charakterystyczną tej usługi jest to, że jest ona świadczona online. Z kolei usługa inicjowania płatności polega na zainicjowaniu, na wniosek danego użytkownika, zlecenia płatniczego w odniesieniu do rachunku płatniczego, który prowadzony jest przez innego dostawcę usług płatniczych. Zatem zarówno w przypadku usługi AIS, jak i w przypadku usługi PIS obsługę świadczy zewnętrzny dostawca usług płatniczych, który nie jest dostawcą prowadzącym rachunek płatniczy użytkownika (np. bankiem prowadzącym rachunek klienta). Taki model regulacyjny wymaga de facto „otwarcia" działalności prowadzonej m.in. przez banki na inne kategorie dostawców usług płatniczych. Na mocy przepisów dyrektywy PSD 2 uzyskają oni bowiem legitymację do świadczenia usług, w ramach których będą uprawnieni do uzyskiwania dostępu do rachunków płatniczych użytkowników, mimo że sami takich rachunków nie będą prowadzić.

Możliwość prowadzenia działalności w zakresie świadczenia wspomnianych usług spowodowała konieczność uregulowania statusu tychże dostawców. Potocznie określa się ich mianem podmiotów trzecich (TPP), co ma bezpośrednio nawiązywać do stosunku prawnego łączącego dostawcę usług płatniczych prowadzącego dany rachunek płatniczy oraz samego użytkownika. Warto zauważyć, że przepisy unijne nie wprowadzają żadnych ograniczeń podmiotowych dotyczących statusu poszczególnych uczestników rynku, którzy mogliby występować jako podmioty trzecie. Nowa regulacja oznacza więc, że działalność w charakterze podmiotów trzecich będą mogły rozpocząć zarówno banki, jak i inni dostawcy usług płatniczych (np. instytucje płatnicze). Nic nie stoi zatem na przeszkodzie, by w przyszłości bank świadczący np. usługę dostępu do informacji o rachunku występował w imieniu klienta do innych banków o przedstawienie informacji na temat należących do tego klienta rachunków, które są w tym (konkurencyjnym!) banku prowadzone.

Kolejną istotną zmianą jest wprowadzenie obowiązku silnego uwierzytelniania klienta (SCA). Będzie on ciążyć na dostawcy usług płatniczych w ramach uzyskiwania przez użytkownika zdalnego dostępu do rachunku płatniczego, inicjowania transakcji płatniczej lub wykonywania innych czynności, które mogą się wiązać z ryzykiem oszustwa albo innego nadużycia. Warto zauważyć, że przedmiotową kwestię uregulowano w dyrektywie PSD 2 tylko szczątkowo. Istotne wymogi w tym zakresie, jak również przypadki zwolnienia z obowiązku ich stosowania mają zostać określone w ramach regulacyjnych standardów technicznych (RTS), opracowywanych przez Europejski Urząd Nadzoru Bankowego (EBA), a następnie zatwierdzanych przez Komisję Europejską. W obecnej chwili niestety nie jest znany ostateczny kształt tych przepisów, jednak z informacji, które pojawiają się w środowisku wynika, iż zostaną one zaprezentowane jeszcze przed końcem listopada br.

Wśród zagadnień poruszanych na gruncie dyrektywy PSD 2 znalazły się także bezpośrednie zasady prowadzenia działalności przez dostawców usług płatniczych. Kluczową modyfikacją w tym zakresie stało się poszerzenie istniejących dotychczas obowiązków informacyjnych, które ciążyły na dostawcach usług płatniczych. Ma ona na celu wzmocnienie w przyszłości pozycji konsumenta względem samego dostawcy, działającego na rynku jako podmiot profesjonalny. Ponadto dodano przepisy związane z tzw. obowiązkami raportowania względem uprawnionych organów nadzorczych, tj. Komisji Nadzoru Finansowego (KNF) oraz Narodowego Banku Polskiego (NBP). Przepływ informacji między dostawcami usług płatniczych a organami nadzoru ma równocześnie usprawnić realizowanie obowiązków wymiany informacji o ewentualnych naruszeniach przepisów i zagrożeniach występujących na terenie całej UE, co także ma się przyczynić do lepszej ochrony użytkowników usług płatniczych.

Co więcej, zmiany objęły także zasady odpowiedzialności dostawców usług płatniczych. Część z nich dotyczy obowiązków stosowania silnego uwierzytelniania, które nie zostały spełnione przez dostawcę pomimo występującej na gruncie przepisów konieczności. Ponadto obniżony został próg odpowiedzialności płatnika za straty, które wynikać będą z przeprowadzenia nieautoryzowanej transakcji płatniczej – poprzednio kwota ta wynosiła 150 EUR (PSD 1), teraz będzie to 50 EUR (PSD 2).

Wdrożenie powyższych zmian wynika z konieczności implementacji dyrektywy PSD 2 do krajowego porządku prawnego. Nie można jednak zapominać o zagadnieniach, które w przepisach dyrektywy pozostawiono do wyłącznej decyzji państw członkowskich UE (tzw. opcje narodowe). Przykładem może być m.in. zaproponowana przez polskiego ustawodawcę regulacja dotycząca małych instytucji płatniczych jako nowej kategorii dostawców usług płatniczych. Pomysł jej wprowadzenia spotkał się z wieloma pozytywnymi ocenami w całym sektorze usług płatniczych. Pozwala ona na prowadzenie działalności w zakresie świadczenia usług płatniczych, za wyjątkiem omówionych powyżej tzw. nowych usług płatniczych (PIS i AIS), jedynie na terytorium RP. Podmioty ją wykonujące będą przy tym zwolnione z szeregu obowiązków, które ciążą na (standardowych) instytucjach płatniczych. Co więcej, nie będą one obarczone koniecznością uzyskania zezwolenia KNF na prowadzenie działalności – warunkiem wystarczającym będzie uzyskanie wpisu do właściwego rejestru. Poza ograniczeniem terytorialnym ich działalność zostanie objęta także wymogami dotyczącymi limitu kwotowego średniej wartości transakcji płatniczych, które będą przez nie przeprowadzane (1,5 mln EUR w skali miesiąca). Po przekroczeniu tego progu podmioty te będą zobowiązane do ubiegania się o uzyskanie zezwolenia na prowadzenie działalności w charakterze krajowych instytucji płatniczych lub do dostosowania prowadzonej działalności do wymogów nałożonych na małe instytucje płatnicze. Wydaje się, iż przedmiotowe rozwiązanie przede wszystkim pozwoli na pobudzenie konkurencji na krajowym rynku płatniczym oraz zagwarantuje łatwiejsze zasady dostępu do niego.

Dokonując przeglądu wprowadzanych zmian, nie można zapominać, że rynek usług płatniczych stanowi zaledwie jeden z obszarów, które zostaną objęte skutkami nowej regulacji. Nie mniej istotne modyfikacje dotyczyć będą branży telekomunikacyjnej w zakresie funkcjonującego obecnie tzw. wyłączenia telekomunikacyjnego. Dzięki niemu przedsiębiorcy telekomunikacyjni są bowiem zwolnieni z obowiązku stosowania przepisów ustawy o usługach płatniczych, co faktycznie uzasadniało ich żywe zainteresowanie toczącymi się pracami legislacyjnymi. Zgłaszane uwagi przyniosły zadowalające rezultaty, polegające m.in. na wskazaniu, że przedmiotowe wyłączenie obejmować będzie transakcje płatnicze przeprowadzane na rzecz użytkownika końcowego, nie zaś abonenta, jak proponowano pierwotnie. Takie brzmienie przepisu pozwoli uniknąć rozbieżności interpretacyjnych.