Règlement délégué (UE) 2022/2360 de la Commission du 3 août 2022 modifiant les normes techniques de réglementation définies dans le règlement délégué (UE) 2018/389 en ce qui concerne la dérogation de 90 jours pour l’accès aux comptes (Texte présentant de l’intérêt pour l’EEE)

1 Les prestataires de services de paiement sont autorisés à ne pas appliquer l’authentification forte du client, sous réserve du respect des exigences définies à l’article 2, lorsqu’un utilisateur de services de paiement accède en ligne à son compte de paiement directement, à condition que cet accès soit limité à l’un des éléments suivants en ligne sans que des données de paiement sensibles soient divulguées: a) le solde d’un ou de plusieurs comptes de paiement désignés; b) les opérations de paiement exécutées durant les 90 derniers jours par l’intermédiaire d’un ou de plusieurs comptes de paiement désignés.

2 Par dérogation au paragraphe 1, les prestataires de services de paiement ne sont pas exemptés de l’application de l’authentification forte du client lorsque l’une des conditions suivantes est remplie: a) l’utilisateur de services de paiement accède en ligne aux informations visées au paragraphe 1 pour la première fois; b) plus de 180 jours se sont écoulés depuis la dernière fois que l’utilisateur de services de paiement a accédé en ligne aux informations visées au paragraphe 1 et que la procédure d’authentification forte du client a été appliquée.»

1 Les prestataires de services de paiement n’appliquent pas l’authentification forte du client lorsqu’un utilisateur de services de paiement accède en ligne à son compte de paiement par l’intermédiaire d’un prestataire de services d’information sur les comptes, à condition que cet accès soit limité à l’un des éléments suivants en ligne sans que des données de paiement sensibles soient divulguées: a) le solde d’un ou de plusieurs comptes de paiement désignés; b) les opérations de paiement exécutées durant les 90 derniers jours par l’intermédiaire d’un ou de plusieurs comptes de paiement désignés.

2 Par dérogation au paragraphe 1, les prestataires de services de paiement appliquent l’authentification forte du client lorsque l’une des conditions suivantes est remplie: a) l’utilisateur de services de paiement accède en ligne aux informations visées au paragraphe 1 pour la première fois par l’intermédiaire du prestataire de services d’information sur les comptes; b) plus de 180 jours se sont écoulés depuis la dernière fois que l’utilisateur de services de paiement a accédé en ligne aux informations visées au paragraphe 1 par l’intermédiaire du prestataire de services d’information sur les comptes et que la procédure d’authentification forte du client a été appliquée.

3 Par dérogation au paragraphe 1, les prestataires de services de paiement sont autorisés à appliquer l’authentification forte du client lorsqu’un utilisateur de services de paiement accède en ligne à son compte de paiement par l’intermédiaire d’un prestataire de services d’information sur les comptes et que le prestataire de services de paiement a des raisons objectivement motivées et documentées liées à un accès non autorisé ou frauduleux au compte de paiement. Dans ce cas, le prestataire de services de paiement documente et motive dûment auprès de son autorité nationale compétente, sur demande, les raisons de l’application d’une authentification forte du client.

4 Les prestataires de services de paiement gestionnaires de comptes qui proposent une interface dédiée telle que visée à l’article 31 ne sont pas tenus d’appliquer la dérogation prévue au paragraphe 1 du présent article aux fins du mécanisme d’urgence visé à l’article 33, paragraphe 4, lorsqu’ils n’appliquent pas la dérogation prévue à l’article 10 dans l’interface directe utilisée pour l’authentification et la communication avec leurs utilisateurs de services de paiement.»

1 Les prestataires de services de paiement qui appliquaient la dérogation prévue à l’article 10 du règlement délégué (UE) 2018/389 avant le 25 juillet 2023 sont autorisés à continuer d’appliquer cette dérogation pour les demandes d’accès reçues par l’intermédiaire d’un prestataire de services d’information sur les comptes jusqu’à l’expiration de la période couverte par cette dérogation.

2 Par dérogation au paragraphe 1, lorsqu’une nouvelle authentification forte du client est appliquée pour une demande d’accès par l’intermédiaire d’un prestataire de services d’information sur les comptes avant l’expiration de la période couverte par la dérogation visée au paragraphe 1, l’article 10 bis introduit par le présent règlement est applicable.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il est applicable à partir du 25 juillet 2023.