Zákon o platebním styku (nový) | Zákon č. 370/2017 Sb. - ČÁST ŠESTÁ - BEZPEČNOST V OBLASTI PLATEBNÍHO STYKU

ČÁST ŠESTÁ

BEZPEČNOST V OBLASTI PLATEBNÍHO STYKU

§ 221

Hlášení bezpečnostních a provozních incidentů

(1) Osoba oprávněná poskytovat platební služby oznámí orgánu dohledu domovského členského státu závažný bezpečnostní nebo provozní incident v oblasti platebního styku bez zbytečného odkladu po jeho zjištění.

(2) Osoba oprávněná poskytovat platební služby informuje uživatele o výskytu závažného bezpečnostního nebo provozního incidentu v oblasti platebního styku, může-li v jeho důsledku vzniknout újma na jmění uživatele. Zároveň informuje uživatele, jakým způsobem může zakročit k odvrácení újmy.

(3) Osoba oprávněná poskytovat platební služby informuje uživatele, pominou-li důvody pro opatření podle odstavce 2.

(4) Česká národní banka informuje Evropský orgán pro bankovnictví a Evropskou centrální banku o oznámení, které obdržela podle odstavce 1.

(4) Česká národní banka informuje bez zbytečného odkladu Evropský orgán pro bankovnictví a Evropskou centrální banku o skutečnostech obsažených v oznámení podle odstavce 1. Česká národní banka využije informace, které obdržela v oznámení podle odstavce 1, k výkonu dohledu.

(5) Oznámení podle odstavce 1 lze podat pouze elektronicky. Podrobnosti náležitostí oznámení, jeho formáty , další technické náležitosti a způsob předání stanoví prováděcí právní předpis.

(6) Odstavce 1 až 3 se použijí pouze na osoby podle § 5 písm. l).

§ 222

Hlášení bezpečnostních a provozních rizik a podvodných jednání

(1) Osoba oprávněná poskytovat platební služby informuje

a) orgán dohledu domovského členského státu o bezpečnostních a provozních rizicích, kterým je v souvislosti s poskytováním platebních služeb vystavena, a o opatřeních ke zmírnění těchto rizik, včetně kontrolních mechanismů zavedených v návaznosti na tato rizika, a

b) Českou národní banku o podvodných jednáních, která v oblasti platebního styku zaznamenala při poskytování platebních služeb v České republice.

(2) Česká národní banka informuje Evropský orgán pro bankovnictví a Evropskou centrální banku v souhrnné podobě o podvodných jednáních v oblasti platebního styku, o kterých ji osoby oprávněné poskytovat platební služby v souladu s odstavcem 1 informovaly.

(3) Rozsah, formu, lhůty a způsob poskytování informací České národní bance podle odstavce 1 stanoví prováděcí právní předpis.

Silné ověření uživatele

§ 223

(1) Osoba oprávněná poskytovat platební služby použije silné ověření uživatele, jestliže plátce

a) přistupuje ke svému platebnímu účtu prostřednictvím internetu,

b) dává platební příkaz k elektronické platební transakci,

c) provádí jiný úkon, který je spojen s rizikem podvodného jednání v oblasti platebního styku, zneužitím platebního prostředku nebo informací o platebním účtu, nebo

d) požaduje informace o platebním účtu prostřednictvím poskytovatele služby informování o platebním účtu.

(2) Dává-li uživatel platební příkaz prostřednictvím internetu nebo prostřednictvím elektronického zařízení, které lze použít k dálkové komunikaci, nebo dává-li platební příkaz nepřímo, osoba oprávněná poskytovat platební služby použije silné ověření uživatele, které zahrnuje jednorázové prvky propojující platební transakci s přesnou částkou a určitým příjemcem.

(3) Silným ověřením uživatele se pro účely tohoto zákona rozumí ověření, které je založeno na použití alespoň 2 z těchto prvků:

a) údaje, který je znám pouze uživateli,

b) věci, kterou má uživatel ve své moci,

c) biometrických údajů uživatele.

(4) Prvky podle odstavce 3 musí být vzájemně nezávislé a prolomení jednoho prvku nesmí ovlivnit spolehlivost prvků ostatních. Postup ověření musí zabránit zneužití prvků, které jsou k ověření používány.

(5) Způsob silného ověření uživatele podle odstavců 1 a 2 stanoví přímo použitelný předpis Evropské unie, kterým se provádí čl. 98 směrnice Evropského parlamentu a Rady (EU) 2015/2366¹³).

(6) Ustanovení odstavců 1 a 2 se nepoužijí v případech, které stanoví přímo použitelný předpis Evropské unie, kterým se provádí čl. 98 směrnice Evropského parlamentu a Rady (EU) 2015/2366¹³).

§ 224

Osoba oprávněná poskytovat platební služby, která vede uživateli platební účet, umožní tomu, kdo je oprávněn poskytovat službu nepřímého dání platebního příkazu nebo službu informování o platebním účtu, spoléhat na postupy, které v souladu s § 223 odst. 1 až 3 zavedla.

§ 225

Vztah k přímo použitelnému předpisu Evropské unie

Vztah k některým přímo použitelným předpisům Evropské unie

Osoba oprávněná poskytovat platební služby při poskytování platebních služeb komunikuje s uživateli a osobami oprávněnými poskytovat platební služby podle požadavků upravených přímo použitelným předpisem Evropské unie, kterým se doplňuje směrnice Evropského parlamentu a Rady (EU) 2015/2366 a upravují se společné a bezpečné otevřené standardy komunikace⁸).

(1) Osoba oprávněná poskytovat platební služby při poskytování platebních služeb komunikuje s uživateli a osobami oprávněnými poskytovat platební služby podle požadavků upravených přímo použitelným předpisem Evropské unie, kterým se doplňuje směrnice Evropského parlamentu a Rady (EU) 2015/2366 a upravují se společné a bezpečné otevřené standardy komunikace⁸).

(2) Informační povinností podle § 222 nejsou dotčeny povinnosti podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554¹⁸), které mají osoby podle § 5 písm. a) až k).