Mobilní platby po

Premium Services & mcommerce Working Group Mobilní platby po 13.1.2018 workshop APMS Právně regulační pohled Datum: 19. 6. 2018 Místo konání: City Tower, Praha

Agenda Úvod Mobilní platby v širším smyslu a v užším smyslu (prémiové služby poskytované mobilními operátory) Regulace mobilních platebních služeb Režim transakcí vyňatých z působnosti zákona Podmínky vynětí a otevřené otázky Režim regulovaných platebních služeb Požadavky na operátora a požadavky na transakce (silné ověření) Dvě cesty, jak s platebními službami po 13. 1. 2018 Plnění požadavků s využitím výjimek ze silného ověření, anebo ukončení? Třetí cesta? Prémiové služby = anonymní použití platebního prostředku pro drobné platby Závěr/Diskuse

Mobilní platby v širším smyslu Platby prováděné prostřednictvím mobilních zařízení, do kterých je zpravidla zapojen mobilní operátor alespoň jako subdodavatel technologie. Třetí strany Agregátor Zákazník Smlouva se zákazníkem Smlouvy s třetími stranami Operátor Telekomunikační síť Jiná technologická řešení Technologie využívající mobilní síť Zejména zajištění přenosu informací mezi operátorem a SIM kartou

Mobilní platby v užším smyslu (prémiové služby) Platby prováděné přímo operátorem pro jeho zákazníka, a to k tíži vyúčtování služeb elektronických komunikací za účelem zaplacení ceny služeb třetích stran Kupní smlouva Třetí strany Agregátor Zákazník Smlouva o spolupráci Operátor Smlouva o platebních službách Telekom unikační síť SIM karta Platba pomocí SMS (Premium SMS a Dárcovské SMS) Platba pomocí volání (Audiotex) Platba pomocí PINu prostřednictvím platební brány operátora v internetu Platba pomocí clicku v mobilním internetu, nebo v aplikaci

Regulace mobilních platebních služeb

Mobilní platby v užším smyslu (prémiové služby) Prémiové služby jsou tedy alternativní platební metody, poskytované operátory pro platby nízkých částek pro konkrétní účel a příjemce, které jsou: okamžitě a široce dostupné (je třeba pouze smlouva s operátorem a telekomunikační zařízení s jeho SIM kartou, což splňuje téměř každý) netřeba bankovní účet ani platební karta (jdou k tíži vyúčtování u operátora) pro zákazníky jednoduché a intuitivní (forma volání, SMS či datování) bezpečné: zákazník nepřepisuje data o platební kartě, je vždy nutná fyzická přítomnost SIM a při zadávání vždy využita vlastní telekomunikační síť operátora, mimo obecný internet a jeho hrozby nízké částky na konkrétní účel (v rámci smluvní infrastruktury příjemců) operátoři regulují trh prémiových služeb pomocí závazných Kodexů a úpravy procesu reklamací vad plnění viz http://www.platmobilem.cz nepoctiví příjemci (poskytovatelé služeb) jsou penalizováni nebo odstřiženi Díky tomu jsou prémiové služby známé a široce používané.

Prémiové služby regulace platebních služeb dle zákona č. 284/2009 Sb. Mobilní operátoři při poskytování prémiových služeb vystupují jako poskytovatelé platebních služeb malého rozsahu - jsou takto registrováni ČNB dle dosavadního zákona č. 284/2009 Sb. Po 13. 1. 2018 podle přechodného ustanovení 265 odst. 1 nového zákona 370/2017 Sb. ještě po dobu 12 měsíců Důvod prémiové služby, které operátor provádí, mají různou povahu: - Transakce vyňaté z regulace dle 3/3/d/7 zákona 284/2009 Sb. - platby za produkt dodaný, placený a využívaný prostřednictvím elektronického komunikačního zařízení, pokud operátor pouze nezprostředkovává placení (zejm. platby za digitální obsah, např. aplikace, hry, melodie ) - Ostatní transakce regulované jako platební služby: - Ticketing (lístky na MHD, vstupenky) - Parking - Donoring - Nákup fyzického zboží (např. CD, tisk)

Transakce vyňaté z působnosti zákona vs. regulované platební služby Nový zákon o platebním styku 370/2017 Sb., účinný od 13. 1. 2018 ( ZoPS ), oba režimy, v nichž operátoři poskytují prémiové služby, mění a zpřísňuje: 1. Transakce vyňaté z působnosti zákona v 3/3/e definovány dvěma hledisky: Rozšířen účel platby nejen digitální obsah, ale nově i hlasové služby, a též jízdenky, vstupenky či charitativní dary prostřednictvím elektronického zařízení Nově zaveden limit výše max. 50 EUR na transakci a v úhrnu max. 300 EUR za měsíc. Dopady: pro vyňaté transakce zákon stanoví regulaci (povinné oznamování ČNB a audit) reálně jsou tedy nově regulovány nové kategorie služeb (hlasové služby) a omezeny jejich částky 2. Ostatní transakce jsou regulované jako platební služby: Na výše uvedené účely s vyšší částkou. Na jiné účely než výše, např. na dobíjení kreditů či nákup fyzického zboží Dopady: pro platební služby zákon stanoví nové požadavky na poskytovatele (zejm. řízení provozních a bezpečnostních rizik) a od 14. 9. 2019 též tzv. silné ověřování uživatele

Režim transakcí vyňatých z působnosti zákona

Aplikace 3 odst. 3 písm. e) ZoPS Dříve platná výjimka pro platby za digitální obsah byla nahrazena novou úpravou 3/3/e ZoPS, která do regulaci vyňatých transakcí rozšířila na ticketing, donoring a voice a zavedla nové kritérium limitu výše částky, které je nutné kontrolovat: max. 50 EUR/transakce a max. 300 EUR/suma transakcí za měsíc Operátoři jsou nuceni upravit své systémy tak, aby byli schopni aplikovat uvedená kritéria výjimky dle 3 odst. 3 písm. e) ZoPS Aplikace limitů v 1Q 2018 vedla ke snížení objemu provedených plateb Operátoři budou nuceni nechat zavedené limity pravidelně auditovat = dodatečné náklady na straně operátorů + omezování zákazníka v jeho možnostech využívat mobilní platby coby alternativu k jiným platebním metodám

Regulace transakcí vyňatých z působnosti zákona a otevřené otázky - Kalkulace limitů/zejména měsíčního limitu 300 EUR - Problém zejména pro hlasové služby - Omezení dostupnosti služeb pro některé zákazníky (highspenders) - Otázka možnosti uplatnění modelu aplikovaného v Německu - Kalkulace limitu s ohledem na průměrnou útratu zákazníků využívajících mobilní platební služby = odchylka do 1% za 12 měsíců; - Pravidelné předkládání zprávy auditora ČNB o ověření limitů ( 253 ZoPS do 6 měsíců po skončení účetního období) - Ohlášení způsobu poskytování vyňatých transakcí ČNB ( 252 odst. 2 ZoPS)

Režim regulovaných platebních služeb

Nové požadavky ZoPS pro platební služby - Prémiové služby, které nejsou vyňaty výslovným ustanovením ZoPS z jeho působnosti, představují regulované platební služby - operátor u nich musí plnit nové povinnosti stanovené ZoPS: - Nové požadavky na operátora, jejichž plnění musí být ČNB doloženo do 13. 10. 2018: - Zavedení systému vyřizování stížností a reklamací ( 59/1/d) - Zavedení systému řízení bezpečnostních a provozních rizik (ibid.) - Hlášení závažných bezpečnostních a provozních incidentů ( 221) - Prokazování bezúhonnosti operátora a jeho vedoucích osob, ale též osob ovládajících operátora (s kvalifikovanou účastí) - Do průměrného měsíčního objemu transakcí (pro hodnocení max. limitu 3 mio EUR za posledních 12 měsíců) se započítají i platební služby poskytnuté ostatními poskytovateli malého rozsahu z téže skupiny propojených osob ( 58/2) - Zavedení silného ověření uživatele od 14. 9. 2019 ( 223)

Silné ověření uživatele Uplatní se od 14. 9. 2019 u regulovaných platebních služeb, kde plátce mj. dává příkaz k elektronické transakci, prostřednictvím internetu nebo elektronického komunikačního zařízení, viz 223/2 ZoPS: Dle této definice se kvůli použití elektronického komunikačního zařízení týká všech prémiových služeb s výjimkou transakcí vyňatých z působnosti zákona. Jde o ověření identity osoby oprávněné autorizovat transakci pomocí: - aspoň dvou z těchto tří prvků na sobě nezávisle: a) údaje, který je znám pouze uživateli, b) věci, kterou má uživatel ve své moci, c) biometrických údajů uživatele - a současně při použití dálkové komunikace jednorázového prvku (ověřovacího kódu) pro konkrétní transakci, její částku a příjemce.

Silné ověření uživatele detailní úprava Prováděcí nařízení Komise EK (EU) 2018/389, účinné od 14. 9. 2019, stanovuje požadavky na silné ověření i výjimky z něj: - K odhalení případů neautorizovaných či podvodných plateb požadavek sledování transakcí pomocí rizikových faktorů (u každé transakce částka a známky ovlivnění malwarem, seznamy vyzrazených hesel, známé scénáře podvodů a záznamy přístupů) - Požadavek, aby postupy silného ověření či výjimek z něj byly zdokumentovány, pravidelně testovány a kontrolována funkčně nezávislým auditorem minimálně jednou za účetní období; zpráva o souladu s nařízením má být na žádost předložena regulátorovi - Požadavek bezpečnostních údajů pro ověření v bezpečném prostředí a jejich předání vždy jedinému konkrétnímu uživateli tak, aby byla eliminována rizika jejich zneužití před předáním uživateli

Dvě cesty, jak s platebními službami po 13. 1. 2018

Splnění požadavků ZoPS, či rezignace - Z popsaných požadavků plyne, že silné ověření není slučitelné s fungováním prémiových služeb: - Pro operátory je nadměrně kapacitně a finančně náročné (prémiové služby jsou doplňkových produkt k telekomunikacím a nevytvářejí pro tuto investici dostatečné zdroje) - Je v rozporu s očekáváními uživatelů na zachování jednoduchosti a intuitivnosti prémiových služeb - Při hledání řešení se nabízejí dvě cesty: a) ukončení poskytování platebních služeb jako ultimátní varianta (pokud se nepodaří najít jiné řešení), b) využití výjimek z požadavku silného ověření.

a) Ukončení poskytování platebních služeb + - úspory z implementace požadavků na silné ověření Protože negativa převažují, jde o variantu ultima ratio, ale je třeba ji brát jako reálné řešení. snížení objemu prováděných transakcí zúžení obchodních příležitostí zhoršení možností rozvoje mobilních plateb jako alternativy k bankovním platbám nízkých částek nejasný režim poskytování zbylých transakcí a dohledu: - ne ZoPS = ne ČNB, ne Finanční arbitr, ne ZoEK = ne ČTÚ - pravděpodobně jde o služby příkazního typu, podléhající regulaci obč. zákoníku, zákona o ochraně spotřebitele a dohledu ČOI

b) Výjimky ze silného ověření Prováděcí nařízení Komise EK (EU) 2018/389 umožňuje výjimky ze silného ověření, zejména pro: - Bezobslužné terminály pro jízdné a parkovné příliš úzké - Důvěryhodné příjemce či opakované transakce vyžaduje silné ověření při nastavení takových výjimek - Transakce malých částek do 30 EUR lze použít jen pro pět po sobě následujících transakcí do 100 EUR, pak silné ověření - Transakce s nízkou mírou rizika lze použít, jen plyne-li z analýzy rizik konkrétní transakce její nízká rizikovost, a to mj. po zohlednění konkrétních okolností transakce jako místa plátce či příjemce nebo neobvyklého vzorce chování plátce, a je třeba výjimku ukončit a ohlásit ČNB, dojde-li k překročení míry podvodů oproti předepsanému limitu Závěr: výjimky umožňují neaplikovat silné ověření v jednotlivých případech, ale nikoliv neustále - i přes jejich existenci by u prémiových služeb bylo stále nutné silné ověření zavést.

Třetí cesta?

Konflikt účastníka vs. uživatele u prémiových služeb Řešení může spočívat v návratu na počátek, tj. zohlednění podstaty fungování prémiových služeb: vyvinuly se ze služeb elektronických komunikací (volání, SMS, datování) a fungují stejně: - jednoduchým postupem umožňují jakémukoli uživateli využít nabízenou službu, - postup neumožňuje určit totožnost uživatele, - viz odlišné role dle 2/a,b zákona o elektronických komunikacích: - Účastník objednává uzavírá smlouvu o službách a platí za ni - Uživatel - žádá nebo využívá službu Službu (telekomunikační vč. prémiové) tedy může využít kdokoli, komu účastník zpřístupní SIM kartu, a operátor nemá ze zavedených postupů objektivně možnost zjistit jeho totožnost to platí shodně pro: - předplacené služby, kde se SIM karta distribuuje bez identifikace - též pro paušální služby, kde je sice smlouva s identifikovaným účastníkem je, ale uživatel se od účastníka může lišit a často s tím počítá i vlastní konstrukce produktu (např. zaměstnanecké programy, rodinné programy, např. O2 Spolu)

Anonymní použití platebního prostředku pro drobné platby reflexe v regulaci Otázka: reflektuje nová úprava platebních služeb rozdíl účastníka a uživatele obdobně jako právní úprava elektronických komunikací, tj. umožňuje anonymní využití platebního prostředku? Odpověď: ano, viz 129 odst. 2 a 151 odst. 3 ZoPS, které modifikují některé povinnosti týkající se prokazování autorizace transakcí a odpovědnosti za neautorizované transakce právě v těchto případech. A též viz bod 8 preambule nařízení Komise (EU) 2018/389, podle něhož se povinnost silného ověření nevztahuje na platby provedené s použitím anonymních platebních prostředků, a to vzhledem k jejich povaze. Závěr: existuje tedy i v regulaci cesta, jak zachovat současnou šíři platebních služeb poskytovaných mobilními operátory i jejich jednoduchost a dostupnost pro uživatele při respektování ostatních požadavků nového zákona.

Závěr

Hlavní otevřené otázky: - Jak aplikovat finanční limity u transakcí vyňatých z působnosti ZoPS dle 3/3/e? Lze použít průměrování např. v měsíčních intervalech? - Přijímá regulátor v ČR výklad, že mobilní prémiové služby pomocí elektronického zařízení kvůli svým odlišnostem od bankovních plateb neumožňují provést silné ověření uživatele? Pokud ne, je efektivní zavést silné ověření, anebo platební služby neposkytovat?

Diskuse

Děkuji za vaši pozornost. JUDr. Jan Stárek T-Mobile Czech Republic a.s. Tomíčkova 2144/1, 148 00 Praha 4 +420 603 413 132 jan.starek@t-mobile.cz jménem pracovní skupiny Premium Services při APMS