Artykuł 1

W rozporządzeniu delegowanym (UE) 2018/389 wprowadza się następujące zmiany:

1) art. 10 otrzymuje brzmienie:

„Artykuł 10

Dostęp do informacji o rachunku płatniczym bezpośrednio u dostawcy usług płatniczych prowadzącego rachunek

1. Dostawcy usług płatniczych mogą nie stosować silnego uwierzytelniania klienta, z zastrzeżeniem spełnienia wymogów określonych w art. 2, w przypadku gdy użytkownik usług płatniczych uzyskuje dostęp do swojego rachunku płatniczego bezpośrednio w trybie online, pod warunkiem że dostęp ogranicza się do jednej z wymienionych niżej pozycji w trybie online bez ujawniania szczególnie chronionych danych dotyczących płatności:

a) salda jednego wyznaczonego rachunku płatniczego lub większej liczby wyznaczonych rachunków płatniczych;

b) transakcji płatniczych przeprowadzonych w ciągu ostatnich 90 dni za pośrednictwem jednego wyznaczonego rachunku płatniczego lub większej ich liczby.

2. Na zasadzie odstępstwa od ust. 1 dostawcy usług płatniczych nie podlegają wyłączeniu z obowiązku stosowania silnego uwierzytelniania klienta, jeżeli spełniony jest jeden z następujących warunków:

a) użytkownik usług płatniczych uzyskuje dostęp do informacji określonych w ust. 1 w trybie online po raz pierwszy;

b) minęło więcej niż 180 dni odkąd użytkownik usług płatniczych po raz ostatni uzyskał dostęp do informacji określonych w ust. 1 w trybie online oraz odkąd ostatni raz zastosowano silne uwierzytelnianie klienta.”

;

2) dodaje się art. 10a w brzmieniu:

„Artykuł 10a

Dostęp do informacji o rachunku płatniczym za pośrednictwem dostawcy świadczącego usługę dostępu do informacji o rachunku

1. Dostawcy usług płatniczych nie stosują silnego uwierzytelniania klienta w przypadku, gdy użytkownik usług płatniczych uzyskuje dostęp do swojego rachunku płatniczego w trybie online za pośrednictwem dostawcy świadczącego usługę dostępu do informacji o rachunku, pod warunkiem że dostęp ogranicza się do jednej z wymienionych niżej pozycji w trybie online bez ujawniania szczególnie chronionych danych dotyczących płatności:

a) salda jednego wyznaczonego rachunku płatniczego lub większej liczby wyznaczonych rachunków płatniczych;

b) transakcji płatniczych przeprowadzonych w ciągu ostatnich 90 dni za pośrednictwem jednego wyznaczonego rachunku płatniczego lub większej ich liczby.

2. Na zasadzie odstępstwa od ust. 1 dostawcy usług płatniczych stosują silne uwierzytelnianie klienta, jeżeli spełniony jest jeden z następujących warunków:

a) użytkownik usług płatniczych uzyskuje dostęp do informacji określonych w ust. 1 w trybie online po raz pierwszy za pośrednictwem dostawcy świadczącego usługę dostępu do informacji o rachunku;

b) minęło więcej niż 180 dni odkąd użytkownik usług płatniczych po raz ostatni uzyskał dostęp do informacji określonych w ust. 1 w trybie online za pośrednictwem dostawcy świadczącego usługę dostępu do informacji o rachunku oraz odkąd ostatni raz zastosowano silne uwierzytelnianie klienta.

3. Na zasadzie odstępstwa od ust. 1 dostawcy usług płatniczych mogą stosować silne uwierzytelnianie klienta w przypadku, gdy użytkownik usług płatniczych uzyskuje dostęp do swojego rachunku płatniczego w trybie online za pośrednictwem dostawcy świadczącego usługę dostępu do informacji o rachunku, a dostawca usług płatniczych ma ku temu obiektywnie uzasadnione i należycie udokumentowane powody związane z nieuprawnionym lub nielegalnym dostępem do rachunku płatniczego. W takim przypadku dostawca usług płatniczych dokumentuje i należycie uzasadnia swojemu właściwemu organowi krajowemu, na żądanie, powody zastosowania silnego uwierzytelniania klienta.

4. Dostawcy usług płatniczych prowadzący rachunek, którzy oferują specjalny interfejs, o którym mowa w art. 31, nie są zobowiązani do wdrożenia wyłączenia określonego w ust. 1 niniejszego artykułu do celów mechanizmu awaryjnego, o którym mowa w art. 33 ust. 4, jeżeli nie stosują oni wyłączenia określonego w art. 10 w ramach bezpośredniego interfejsu stosowanego na potrzeby uwierzytelniania swoich użytkowników usług płatniczych i komunikacji z tymi użytkownikami.”

;

3) w art. 30 dodaje się ust. 4a w brzmieniu:

„4a. Na zasadzie odstępstwa od ust. 4 dostawcy usług płatniczych prowadzący rachunek udostępniają dostawcom usług płatniczych, o których to dostawcach mowa w niniejszym artykule, informacje o zmianach, których dokonali w specyfikacjach technicznych swoich interfejsów w celu zapewnienia zgodności z art. 10a, najpóźniej dwa miesiące przed wprowadzeniem takich zmian.”

.