Art. 5. - Wniosek o udzielenie zezwolenia - Dyrektywa 2015/2366 w sprawie usług płatniczych w ramach rynku wewnętrznego, zmieniająca dyrektywy 2002/65/WE, 2009/110/WE, 2013/36/UE i rozporządzenie (UE) nr 1093/2010 oraz uchylająca dyrektywę 2007/64/WE

Dzienniki UE

Dz.U.UE.L.2015.337.35

Akt obowiązujący

Wersja od: 8 kwietnia 2024 r.

Artykuł  5

Wniosek o udzielenie zezwolenia

1. 33  W celu uzyskania zezwolenia na działalność w charakterze instytucji płatniczej należy złożyć wniosek do właściwych organów państwa członkowskiego pochodzenia, załączając:

a) program działalności określający w szczególności rodzaj planowanych usług płatniczych;

b) biznesplan zawierający prognozę budżetu na pierwsze trzy lata obrachunkowe, z którego wynika, że wnioskodawca jest w stanie zastosować odpowiednie i proporcjonalne systemy, zasoby i procedury niezbędne do prawidłowego prowadzenia działalności;

c) dokumentację potwierdzającą, że dana instytucja płatnicza posiada kapitał założycielski przewidziany w art. 7;

d) w przypadku instytucji płatniczych, o których mowa w art. 10 ust. 1 - opis środków przedsięwziętych zgodnie z art. 10 w celu ochrony środków pieniężnych użytkowników usług płatniczych;

e) opis stosowanych przez wnioskodawcę zasad zarządzania i mechanizmów kontroli wewnętrznej, w tym procedur administracyjnych, procedur zarządzania ryzykiem i procedur księgowych, jak również ustaleń dotyczących korzystania z usług ICT zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 ³⁴ , wykazujący, że te zasady zarządzania i mechanizmy kontroli wewnętrznej są proporcjonalne, właściwe, rzetelne i adekwatne;

f) opis procedury wprowadzonej w celu monitorowania incydentów związanych z bezpieczeństwem i skarg klientów dotyczących bezpieczeństwa oraz postępowania i działań następczych w przypadku wystąpienia takich incydentów i skarg, łącznie z mechanizmem zgłaszania incydentów uwzględniającym obowiązki instytucji płatniczej dotyczące zgłaszania określone w rozdziale III rozporządzenia (UE) 2022/2554;

g) opis procedury wprowadzonej w celu włączania do dokumentacji, monitorowania i śledzenia szczególnie chronionych danych dotyczących płatności oraz ograniczenia dostępu do tych danych;

h) opis rozwiązań zapewniających ciągłość działania, w tym jasne określenie operacji krytycznych, skutecznej strategii i planów na rzecz ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT, a także procedury na potrzeby regularnego testowania i przeglądu adekwatności i skuteczności takich planów zgodnie z rozporządzeniem (UE) 2022/2554;

i) opis zasad i definicji stosowanych do gromadzenia danych statystycznych dotyczących wyników, transakcji i oszustw;

j) dokument dotyczący strategii w zakresie bezpieczeństwa, łącznie ze szczegółową oceną ryzyka w odniesieniu do świadczonych przez wnioskodawcę usług płatniczych oraz opisem środków kontroli bezpieczeństwa i ograniczania ryzyka podjętych w celu odpowiedniej ochrony użytkowników usług płatniczych przed zidentyfikowanymi ryzykami, w tym oszustwami i nielegalnym wykorzystywaniem danych szczególnie chronionych i danych osobowych;

k) w przypadku instytucji płatniczych podlegających obowiązkom związanym z zapobieganiem praniu pieniędzy i finansowaniu terroryzmu zgodnie z dyrektywą Parlamentu Europejskiego i Rady (UE) 2015/849 ³⁵  i rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2015/847 ³⁶  - opis mechanizmów kontroli wewnętrznej ustanowionych przez wnioskodawcę w celu dopełnienia tych obowiązków;

l) opis struktury organizacyjnej wnioskodawcy, w tym w stosownych przypadkach opis planowanego korzystania z usług agentów i oddziałów, a także kontroli zdalnych i kontroli na miejscu, które wnioskodawca zobowiązuje się przeprowadzać w stosunku do tych agentów i oddziałów co najmniej raz w roku, oraz opis rozwiązań w zakresie outsourcingu i opis dotyczący udziału wnioskodawcy w krajowym lub międzynarodowym systemie płatności;

m) dane dotyczące tożsamości osób posiadających we wnioskującym podmiocie - bezpośrednio lub pośrednio - znaczne pakiety akcji w rozumieniu art. 4 ust. 1 pkt 36 rozporządzenia (UE) nr 575/2013, dane dotyczące wielkości należących do nich pakietów akcji, a także dokumentację potwierdzającą, że osoby te są odpowiednie, zważywszy na konieczność zapewnienia należytego i ostrożnego zarządzania instytucją płatniczą;

n) dane dotyczące tożsamości dyrektorów i osób odpowiedzialnych za zarządzanie instytucją płatniczą oraz, w stosownych przypadkach, osób odpowiedzialnych za zarządzanie działalnością instytucji płatniczej w zakresie usług płatniczych, jak również dokumentację potwierdzającą, że osoby te cieszą się dobrą opinią oraz posiadają odpowiednią wiedzę i doświadczenie, by świadczyć usługi płatnicze, zgodnie z przepisami określonymi przez państwo członkowskie pochodzenia instytucji płatniczej;

o) w stosownych przypadkach, dane dotyczące tożsamości biegłych rewidentów i firm audytorskich zgodnie z definicją w dyrektywie 2006/43/WE Parlamentu Europejskiego i Rady ³⁷ ;

p) informacje o statusie prawnym wnioskodawcy i jego akt założycielski;

q) adres siedziby zarządu wnioskodawcy.

Na potrzeby akapitu pierwszego lit. d), e), f) i l) wnioskodawca przedkłada opis rozwiązań w zakresie badania sprawozdań finansowych oraz rozwiązań organizacyjnych, które przyjął z myślą o podjęciu wszelkich racjonalnych kroków dla ochrony interesów swoich użytkowników oraz dla zapewnienia ciągłości świadczenia usług płatniczych i ich wiarygodności.

Środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w akapicie pierwszym lit. j), wskazują sposób zapewniania wysokiego poziomu operacyjnej odporności cyfrowej zgodnie z rozdziałem II rozporządzenia (UE) 2022/2554, w szczególności w zakresie bezpieczeństwa technicznego i ochrony danych, w tym w odniesieniu do oprogramowania i systemów ICT stosowanych przez wnioskodawcę lub przedsiębiorstwa, którym zleca on w ramach outsourcingu całość lub część swoich operacji. Środki te obejmują również środki bezpieczeństwa określone w art. 95 ust. 1 niniejszej dyrektywy. Środki te uwzględniają wytyczne EUNB dotyczące środków bezpieczeństwa, o których mowa w art. 95 ust. 3 niniejszej dyrektywy, kiedy zostaną one przyjęte.

2. 38  Państwa członkowskie wymagają, by przedsiębiorstwa składające wniosek o udzielenie zezwolenia na świadczenie usług płatniczych, o których mowa w pkt 7 załącznika I, posiadały - jako warunek uzyskania zezwolenia - ubezpieczenie odpowiedzialności z tytułu prowadzenia działalności zawodowej, obejmujące terytoria, na których przedsiębiorstwa te oferują usługi, lub inną porównywalną gwarancję na wypadek odpowiedzialności w celu zapewnienia możliwości pokrycia przez nie ich zobowiązań zgodnie z art. 73, 90 i 92.

3. Państwa członkowskie wymagają, by przedsiębiorstwa składające wniosek o zarejestrowanie w celu świadczenia usług płatniczych, o których mowa w pkt 8 załącznika I, posiadały - jako warunek rejestracji - ubezpieczenie odpowiedzialności z tytułu prowadzenia działalności zawodowej, obejmujące terytoria, na których przedsiębiorstwa te oferują usługi, lub inną porównywalną gwarancję na wypadek odpowiedzialności wobec dostawcy usług płatniczych prowadzącego rachunek lub użytkownika usług płatniczych wynikającej z nieautoryzowanego lub nielegalnego dostępu do informacji o rachunku płatniczym lub nieautoryzowanego lub nielegalnego użycia takich informacji.

4. Do dnia 13 stycznia 2017 r. EUNB - po przeprowadzeniu konsultacji z wszystkimi stosownymi zainteresowanymi podmiotami, w tym podmiotami na rynku usług płatniczych, biorąc pod uwagę wszystkie stosowne interesy - wydaje zgodnie z art. 16 rozporządzenia (UE) nr 1093/2010 wytyczne skierowane do właściwych organów dotyczące kryteriów określania minimalnej kwoty pieniężnej ubezpieczenia odpowiedzialności z tytułu prowadzenia działalności zawodowej lub innej porównywalnej gwarancji, o których mowa w ust. 2 i 3.

Opracowując wytyczne, o których mowa w akapicie pierwszym, EUNB bierze pod uwagę:

a) profil ryzyka danego przedsiębiorstwa;

b) fakt, czy dane przedsiębiorstwo świadczy inne usługi płatnicze, o których mowa w załączniku I, lub prowadzi inną działalność gospodarczą;

c) wielkość działalności:

(i) w przypadku przedsiębiorstw składających wniosek o udzielenie zezwolenia na świadczenie usług płatniczych, o których mowa w pkt 7 załącznika I - wartość zainicjowanych transakcji;

(ii) w przypadku przedsiębiorstw składających wniosek o zarejestrowanie w celu świadczenia usług płatniczych, o których mowa w pkt 8 załącznika I - liczbę klientów korzystających z usług dostępu do informacji o rachunku;

d) szczególne cechy porównywalnych gwarancji i kryteria ich wykonania. EUNB regularnie dokonuje przeglądu tych wytycznych.

5. Do dnia 13 lutego 2017 r. EUNB - po przeprowadzeniu konsultacji z wszystkimi stosownymi zainteresowanymi podmiotami, w tym podmiotami na rynku usług płatniczych, biorąc pod uwagę wszystkie stosowne interesy - wydaje zgodnie z art. 16 rozporządzenia (UE) nr 1093/2010 wytyczne dotyczące informacji, jakie należy przedstawić właściwym organom we wniosku instytucji płatniczych o udzielenie zezwolenia, łącznie z wymogami ustanowionymi w ust. 1 akapit pierwszy lit. a), b), c), e) i g)-j) niniejszego artykułu.

EUNB dokonuje przeglądu tych wytycznych regularnie, a w każdym razie nie rzadziej niż co trzy lata.

6. Mając na uwadze, w stosownych przypadkach, doświadczenia zdobyte w stosowaniu wytycznych, o których mowa w ust. 5, EUNB może opracować projekt regulacyjnych standardów technicznych określających informacje, jakie należy przedstawić właściwym organom we wniosku instytucji płatniczych o udzielenie zezwolenia, łącznie z wymogami ustanowionymi w ust. 1 lit. a), b), c), e) i g)-j).

Komisji powierza się uprawnienie do przyjęcia regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 10-14 rozporządzenia (UE) nr 1093/2010.

7. O informacjach, o których mowa w ust. 4, powiadamia się właściwe organy zgodnie z ust. 1.

³³ Art. 5 ust. 1 zmieniony przez art. 7 pkt 2 dyrektywy nr 2022/2556 z dnia 14 grudnia 2022 r. (Dz.U.UE.L.2022.333.153) zmieniającej nin. dyrektywę z dniem 16 stycznia 2023 r.

³⁴ Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).

³⁵ Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/849 z dnia 20 maja 2015 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, zmieniająca rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012 i uchylająca dyrektywę Parlamentu Europejskiego i Rady 2005/60/WE oraz dyrektywę Komisji 2006/70/WE (Dz.U. L 141 z 5.6.2015, s. 73).

³⁶ Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2015/847 z dnia 20 maja 2015 r. w sprawie informacji towarzyszących transferom środków pieniężnych i uchylenia rozporządzenia (WE) nr 1781/2006 (Dz.U. L 141 z 5.6.2015, s. 1).

³⁷ Dyrektywa 2006/43/WE Parlamentu Europejskiego i Rady z dnia 17 maja 2006 r. w sprawie ustawowych badań rocznych sprawozdań finansowych i skonsolidowanych sprawozdań finansowych, zmieniająca dyrektywy Rady 78/660/EWG i 83/349/EWG oraz uchylająca dyrektywę Rady 84/253/EWG (Dz.U. L 157 z 9.6.2006, s. 87).

³⁸ Art. 5 ust. 2 zmieniony przez sprostowanie z dnia 23 kwietnia 2018 r. (Dz.U.UE.L.2018.102.97) zmieniające nin. dyrektywę z dniem 23 kwietnia 2018 r.