2019-09-14 | BWBR0020420 | Besluit prudentiële regels Wft

amvb/besluit-prudentiële-regels-wft/BWBR0020420/README.md

@@ -898,9 +898,79 @@ Een betaaldienstverlener, met uitzondering van de betaaldienstverlener die uitsl
 
 **2.** Een betaaldienstverlener verstrekt ten minste jaarlijks statistische gegevens over de door hem geconstateerde fraude met betrekking tot verschillende betaalmiddelen aan de Nederlandsche Bank.
 
+### Artikel 26l
+
+De artikelen 26e tot en met 26k zijn van toepassing op betalingstransacties in alle valuta, waarbij één of de enige bij de betalingstransactie betrokken betaaldienstverlener zijn zetel in een lidstaat heeft, met betrekking tot de delen van de betalingstransactie die binnen een lidstaat worden uitgevoerd.
+
 ### Artikel 26h
 
-De artikelen 26e tot en met 26g zijn van toepassing op betalingstransacties in alle valuta, waarbij één of de enige bij de betalingstransactie betrokken betaaldienstverlener zijn zetel in een lidstaat heeft, met betrekking tot de delen van de betalingstransactie die binnen een lidstaat worden uitgevoerd.
+**1.** Een betaaldienstverlener treft beveiligingsmaatregelen en voorziet in authenticatieprocedures ter bescherming van de vertrouwelijkheid en integriteit van de persoonlijke beveiligingsgegevens van betaaldienstgebruikers.
+
+**2.**
+
+Sterke cliëntauthenticatie is een vorm van authenticatie die zodanig is opgezet dat de vertrouwelijkheid van de persoonlijke beveiligingsgegevens wordt beschermd en waarbij gebruik wordt gemaakt van twee of meer van de volgende factoren:
+
+a. wetenschap, iets wat alleen de gebruiker weet;
+b. bezit, iets waarover alleen de gebruiker beschikt; of
+c. inherente eigenschap, een unieke persoonlijke eigenschap van de gebruiker.
+
+**3.** De factoren dienen onderling onafhankelijk te zijn, in die zin dat schending van de vertrouwelijkheid van één ervan geen afbreuk doet aan de betrouwbaarheid van de andere factoren.
+
+**4.**
+
+Een betaaldienstverlener voorziet in sterke cliëntauthenticatie indien:
+
+a. een betaler zich via het internet toegang tot zijn betaalrekening verschaft;
+b. een betaler een elektronische betalingstransactie initieert;
+c. een betaler via een communicatiemiddel op afstand een handeling uitvoert die een risico op betaalfraude of andere vormen van misbruik met zich mee kan brengen;
+d. een betaling via een betaalinitiatiedienstverlener wordt geïnitieerd; of
+e. informatie via een rekeninginformatiedienstverlener wordt opgevraagd.
+
+**5.** Indien er sprake is van het initiëren van een elektronische betalingstransactie op afstand, gebruikt een betaaldienstverlener sterke cliëntauthenticatie met elementen die transacties op dynamische wijze aan een specifiek bedrag en een specifieke betalingsbegunstigde verbinden.
+
+**6.** De rekeninghoudende betaaldienstverlener staat de betaalinitiatiedienstverlener en de rekeninginformatiedienstverlener toe dat zij mogen vertrouwen op de door hem ten behoeve van de betaaldienstgebruiker verstrekte authenticatieprocedures.
+
+### Artikel 26i
+
+**1.** Een betaalinitiatiedienstverlener zorgt ervoor dat de persoonlijke beveiligingsgegevens van de betaaldienstgebruiker alleen toegankelijk zijn voor de gebruiker en de uitgever van de persoonlijke beveiligingsgegevens, en verzendt de persoonlijke beveiligingsgegevens op een veilige en efficiënte manier.
+
+**2.** Een betaalinitiatiedienstverlener verstrekt iedere andere informatie over de betaaldienstgebruiker, die is verkregen bij het verstrekken van betaalinitiatiedienst, alleen aan de betalingsbegunstigde en alleen met de uitdrukkelijke instemming van de betaaldienstgebruiker.
+
+**3.** Een betaalinitiatiedienstverlener identificeert zich bij elke betaalinitiatie ten overstaan van de rekeninghoudende betaaldienstverlener van de betaler en communiceert op een veilige manier met de rekeninghoudende betaaldienstverlener, met inachtneming van artikel 98 van de richtlijn betaaldiensten.
+
+**4.** Een betaalinitiatiedienstverlener slaat geen gevoelige betaalgegevens van de betaaldienstgebruiker op.
+
+**5.** Een betaalinitiatiedienstverlener vraagt uitsluitend gegevens op van de betaaldienstgebruiker die nodig zijn voor het verstrekken van de betaalinitiatiedienst.
+
+**6.** Een betaalinitiatiedienstverlener gebruikt, verschaft zich toegang tot of slaat gegevens op, uitsluitend ten behoeve van de door de betaler uitdrukkelijk gevraagde betaalinitiatiedienst.
+
+**7.** Een betaalinitiatiedienstverlener laat het bedrag, de betalingsbegunstigde of enig ander element van de transactie ongewijzigd.
+
+### Artikel 26j
+
+**1.** Een rekeninginformatiedienstverlener verricht zijn diensten alleen met uitdrukkelijke instemming van de betaaldienstgebruiker.
+
+**2.** Een rekeninginformatiedienstverlener zorgt ervoor dat de persoonlijke beveiligingsgegevens van de betaaldienstgebruiker alleen toegankelijk zijn voor de gebruiker en de uitgever van de persoonlijke beveiligingsgegevens, en verzendt de persoonlijke beveiligingsgegevens op een veilige en efficiënte manier.
+
+**3.** Een rekeninginformatiedienstverlener identificeert zich bij elke communicatiesessie met de rekeninghoudende betaaldienstverlener van de betaaldienstgebruiker en communiceert op een veilige manier met de rekeninghoudende betaaldienstverlener en de betaaldienstgebruiker, met inachtneming van artikel 98 van de richtlijn betaaldiensten.
+
+**4.** Een rekeninginformatiedienstverlener heeft uitsluitend toegang tot de informatie van de aangewezen betaalrekeningen en de betrokken betalingstransacties.
+
+**5.** Een rekeninginformatiedienstverlener vraagt geen gevoelige betaalgegevens met betrekking tot de betaalrekeningen op.
+
+**6.** Een rekeninginformatiedienstverlener gebruikt, verschaft zich toegang tot of slaat gegevens op uitsluitend ten behoeve van het uitvoeren van de door de betaaldienstgebruiker uitdrukkelijk gevraagde rekeninginformatiedienst, overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG en bij of krachtens de Uitvoeringswet Algemene Verordening Gegevensbescherming gestelde regels.
+
+### Artikel 26k
+
+**1.**
+
+De rekeninghoudende betaaldienstverlener:
+
+a. communiceert op een veilige manier met zowel betaalinitiatiedienstverleners als rekeninginformatiedienstverleners, met inachtneming van artikel 98 van de richtlijn betaaldiensten;
+b. behandelt een door een rekeninginformatiedienstverlener verzonden verzoek om gegevens niet anders dan een door de betaaldienstgebruiker verzonden verzoek om gegevens, tenzij om objectieve redenen;
+c. behandelt de via de diensten van een betaalinitiatiedienstverlener doorgegeven betaalopdrachten niet anders dan door de betaler rechtstreeks verzonden betaalopdrachten, met name wat betreft termijn, voorrang of kosten, tenzij om objectieve redenen;
+d. verstrekt onmiddellijk na ontvangst van de betaalopdracht van de betaalinitiatiedienstverlener alle informatie over de initiëring van de betalingstransactie, alsmede alle informatie die toegankelijk is voor de rekeninghoudende betaaldienstverlener met betrekking tot de uitvoering van deze transactie aan de betaalinitiatiedienstverlener, of stelt deze informatie ter beschikking;
+e. laat het gebruik van betaalinitiatie- en rekeninginformatiediensten niet afhangen van een contractuele relatie tussen hem en de betaalinitiatie- of rekeninginformatiedienstverlener.
 
 ## Hoofdstuk 5. Uitbesteden van werkzaamheden