Dyrektywa PSD2 to nowe unijne przepisy o usługach płatniczych. Wśród wielu wprowadzanych przez nią zmian za jedne z najważniejszych można uznać uregulowanie zasad świadczenia nowych rodzajów usług płatniczych – usługi inicjowania transakcji płatniczej, usługi dostępu do informacji o rachunku oraz usługi potwierdzania dostępności środków na rachunku płatniczym. Dyrektywa wprowadzi także nowe wymagania dotyczące bezpieczeństwa płatności i danych użytkowników.

Skutki opóźnienia we wdrożeniu dyrektywy

Komunikat UKNF dotyczy dwóch następujących po sobie okresów przejściowych związanych z powyższą dyrektywą. Pierwszy obejmuje czas od 13 stycznia 2018 r. do daty implementacji PSD2 w Polsce. Data początkowa to termin, do którego państwa członkowskie UE były zobowiązane do implementacji PSD2 do krajowych porządków prawnych. Polska nie implementowała dyrektywy na czas. Według stanu na moment pisania tego tekstu projekt nowelizacji ustawy o usługach płatniczych, który ma implementować PSD2, został dopiero przyjęty przez Radę Ministrów i wniesiony do Sejmu. UKNF podaje w komunikacie, że ustawa prawdopodobnie wejdzie w życie dopiero w II kwartale 2018 r.

W związku z powyższym UKNF wskazuje, że do czasu wdrożenia dyrektywy należy co do zasady nadal stosować obecnie obowiązujące przepisy, w szczególności ustawę o usługach płatniczych. Jeżeli jednak polskie przepisy okażą się sprzeczne z bezpośrednio skutecznymi przepisami PSD2 i aktów wykonawczych do tej dyrektywy, należy stosować przepisy unijne według zasad wypracowanych w orzecznictwie Trybunału Sprawiedliwości UE.

Oznacza to przede wszystkim, jak wskazano w komunikacie, że w razie sprzeczności należy dać pierwszeństwo bezpośrednio skutecznym przepisom unijnym. UKNF wyjaśnia, że przepisy są bezpośrednio skuteczne, gdy spełniają określone warunki:

• przepisy dyrektywy są precyzyjne i bezwarunkowe,
• z norm dyrektywy wynikają prawa jednostek wobec państwa,
• upłynął termin implementacji dyrektywy przez dane państwo członkowskie, a jej normy nie zostały implementowane albo implementacja jest nieprawidłowa.

Należy też pamiętać o zasadzie skutku pośredniego, która nakazuje interpretować prawo krajowe zgodnie z przepisami unijnymi.

Nie wszystkie przepisy PSD2 muszą więc znaleźć zastosowanie w okresie przejściowym na zasadzie skutku bezpośredniego – takiej oceny trzeba dokonywać w indywidualnym przypadku, analizując treść konkretnego przepisu. Warto też zwrócić uwagę, że skutek bezpośredni może nastąpić jedynie w relacji jednostka-państwo w związku z realizacją praw tej jednostki.

Przykładem zastosowania powyższych zasad może być sytuacja instytucji płatniczych z państw członkowskich UE innych niż Polska. Tacy dostawcy, jeżeli w ich jurysdykcji wdrożono PSD2 na czas, będą uprawnieni do żądania od polskich organów, aby umożliwiły im korzystanie z ich zezwolenia na świadczenie usług płatniczych w Polsce bez konieczności uzyskiwania dodatkowych zezwoleń (w ramach procedury tzw. paszportowania).

Natomiast zasady prowadzenia działalności przez tzw. podmioty trzecie (third party providers), świadczące nowe rodzaje usług płatniczych wprowadzane przez PSD2, będą mogły być stosowane w Polsce, jak wprost wskazuje UKNF w komunikacie, dopiero po wejściu w życie przepisów implementujących dyrektywę.

W oczekiwaniu na RTS-y

Drugi wyróżniony przez UKNF okres przejściowy to czas od daty implementacji PSD2 w Polsce do daty rozpoczęcia stosowania tzw. RTS (Regulatory Technical Standards). PSD2 przewiduje obowiązek wydania przez Europejski Urząd Nadzoru Bankowego we współpracy z Komisją Europejską RTS-ów dotyczących szeregu różnych zagadnień.

Potrzeba wyznaczenia zasad postępowania w okresie przejściowym wynika stąd, że PSD2 przewiduje późniejsze rozpoczęcie stosowania (względem daty implementacji dyrektywy) niektórych przepisów dotyczących zasad bezpieczeństwa płatności. Ma to nastąpić dopiero po upływie 18 miesięcy od dnia opublikowania RTS dotyczącego silnego uwierzytelniania klienta i standardów komunikacji między dostawcami usług płatniczych. Standardy mają w szczególności określać zasady, na których podmioty świadczące nowe rodzaje usług płatniczych będą mogły uzyskiwać dostęp do danych dostawców prowadzących rachunki, np. banków.

UKNF wskazuje w tym kontekście, że w omawianym okresie przejściowym należy nadal stosować regulacje w zakresie bezpieczeństwa płatności, które obowiązywały przed datą wejścia w życie PSD2 (tj. przed 12 stycznia 2016 r.). Jednocześnie organ przywołuje stanowisko Europejskiego Urzędu Nadzoru Bankowego, w którym dostawcom usług płatniczych zaleca się dostosowanie się do wymogów PSD2 w zakresie bezpieczeństwa płatności jeszcze przed rozpoczęciem stosowania RTS. UKNF popiera w komunikacie powyższe stanowisko, poświęcając szczególną uwagę właśnie dostawcom usług prowadzącym rachunki płatnicze.

Z komunikatu wynika, że urząd będzie oczekiwał od nich stworzenia tzw. dedykowanego interfejsu komunikacji z podmiotami trzecimi (rozwiązanie to będzie wykorzystywane do świadczenia nowych rodzajów usług) w najszybszym możliwym terminie, jeszcze przed wejściem w życie RTS, co będzie podlegało weryfikacji przez UKNF w trakcie działań nadzorczych. UKNF podkreśla także, że kierunkowo popiera stworzenie ogólnego standardu takiego interfejsu, nad którym pracuje Związek Banków Polskich (projekt Polish API). Obecnie trwają konsultacje publiczne projektu specyfikacji tego interfejsu.

Rafał Kuchta