Technical requirements for credit transfers and direct debits in euros

28.9.2011 Europeiska SV unionens officiella tidning C 284/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om förslag till Europaparlamentets och rådets förordning om antagande av tekniska krav för betalningar och autogireringar i euro och om ändring av förordning (EG) nr 924/2009

(2011/C 284/01)

med beaktande av begäran om ett yttrande i enlighet med artikel 28.2 i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda 1.2 Det gemensamma eurobetalningsområdet och den då gemenskapsinstitutionerna och gemenskapsorganen behand­

rättsliga ramen

lar personuppgifter och om den fria rörligheten för sådana upp­ gifter ( 2 ). 3. Sedan Europeiska ekonomiska gemenskapen inrättades har en progressiv rörelse mot en mer integrerad europeisk fi­ nansmarknad pågått. Inom betalningsområdet var det mest uppenbara steget att införa euron som gemensam valuta HÄRIGENOM FRAMFÖRS FÖLJANDE. 1999 och att börja använda eurosedlar och euromynt 2002.

1. Den 16 december 2010 antog kommissionen ett förslag till Europaparlamentets och rådets förordning om anta­ 4. Till dags dato hanteras och behandlas betalningar av låga gande av tekniska krav för betalningar och autogireringar belopp (upp till 50 000 EUR) med annat än kontanter i euro och om ändring av förordning (EG) nr 924/2009 fortfarande på många olika sätt i EU. Därmed blir avgif­ (nedan kallad förordningen). terna för gränsöverskridande betalningar inom EU i ge­ nomsnitt högre än avgifterna för nationella betalningar. ( 1 ) EGT L 281, 23.11.1995, s. 31 (nedan kallat direktiv 95/46/EG). ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 3 ) I september 2010. C 284/2 SV Europeiska unionens officiella tidning 28.9.2011 Enligt en europeisk förordning om gränsöverskridande be­ och betalningsmottagare och indirekt genom deras respek­ talningar i euro (förordning (EG) nr 2560/2001) gällde tive betaltjänstleverantörer för att garantera att överföring­ bland annat att betalningsavgifter inte längre fick vara arna fungerar smidigt. För detta ändamål innehåller försla­ högre för gränsöverskridande eurobetalningar inom EU get också en artikel om driftskompatibilitet som ger stöd än för motsvarande nationella eurobetalningar. Som en för att skapa standardbestämmelser för nationella och reaktion på den förordningen skapade den europeiska gränsöverskridande transaktioner och som uttryckligen an­ banksektorn år 2002 Europeiska betalningsrådet (EPC) ger att inga tekniska hinder ska försvåra behandlingen av som utgjorde ett samordnings- och beslutsorgan för betal­ betalningar och autogireringar. De olika ekonomiska opera­ ningsområdet och lanserade projektet med det gemen­ törer som medverkar i verksamheter som omfattas av för­ samma eurobetalningsområdet (Sepa). År 2009 ersattes slaget är föremål för olika nationella lagar om genom­ förordning (EG) nr 2560/2001 av förordning (EG) nr förande av direktiv 95/46/EG. 924/2009 och utökade principen om lika avgifter till auto­ girering, som blev tillgängligt på gränsöverskridande basis från november 2009.

9. Europeiska datatillsynsmannen betonar att utbyte och be­ handling av personuppgifter om betalare och betalnings­ mottagare och med olika betaltjänstleverantörer måste re­ 5. Vidare syftar direktiv 2007/64/EG (nedan kallat betaltjänst­ spektera nödvändighetsprincipen, proportionalitetsprinci­ direktivet) till att harmonisera nationell lagstiftning om be­ pen och principen om ändamålsbegränsning. Även när talningar i Europeiska unionen. Målet är ett införa standar­ uppgifter förs vidare mellan olika intermediärer måste prin­ diserade villkor och rättigheter för betaltjänster och att göra ciperna för sekretess och säkerhet vid behandling respekte­ gränsöverskridande betalningar lika enkla, effektiva och ras, i enlighet med artiklarna 16 och 17 i direktiv säkra som ”nationella” betalningar inom en medlemsstat. 95/46/EG. Betaltjänstdirektivet är även avsett att stärka konkurrensen genom att öppna betalmarknaderna för nya aktörer.

10. Förslaget inför också en ny roll för nationella behöriga myndigheter: att övervaka efterlevnaden av förordningen 6. Sepa syftar till att inrätta en gemensam marknad för de­ och vidta alla nödvändiga åtgärder för att garantera efter­ taljistbetalningar i euro genom att undanröja tekniska, juri­ levnaden. Denna roll är avgörande för ett effektivt genom­ diska och marknadsrelaterade hinder som har sitt ursprung förande av Sepa men kan också medföra omfattande be­ i perioden innan den gemensamma valutan infördes. När hörighet för myndigheterna att behandla personuppgifter Sepa har slutförts kommer det inte att vara någon skillnad ytterligare. Även inom detta område måste de nationella mellan nationella och gränsöverskridande eurobetalningar: behöriga myndigheternas åtkomst till personuppgifter alla betalningar blir inhemska. Sepa omfattar inte bara eu­ bygga på respekt för nödvändighetsprincipen, proportiona­ roområdet utan hela Europeiska unionen samt Island, litetsprincipen och principen om ändamålsbegränsning. Liechtenstein, Monaco, Norge och Schweiz. Detta innebär att även samhällen utanför euroområdet kan anta Sepastandarder och Sepa-praxis för sina eurobetalningar.

11. Förslaget bör inte införa alltför detaljerade bestämmelser om efterlevnad av principerna för uppgiftsskydd, som ga­ 7. Förslaget gäller betalningar och autogireringar. Betalningar ranteras genom att all nationell behandling omfattas av initieras av betalaren, som skickar en instruktion till sin nationella lagar om genomförande av direktiv 95/46/EG, bank. Banken för över medlen till betalningsmottagarens men Europeiska datatillsynsmannen föreslår ändå vissa för­ bank. Detta kan ske via flera intermediärer. Vid autogire­ tydliganden av texten. ring ger betalaren i förväg betalningsmottagaren rätt att samla in medel från betalarens bankkonto. Betalaren till­ handahåller därför en ”fullmakt” för sin bank att överföra medel till betalningsmottagarens konto. Autogirering an­ vänds ofta för återkommande betalningar, t.ex. för el, 2. SÄRSKILDA SYNPUNKTER värme och vatten, men kan också användas för engångs­ betalningar. I detta fall godkänner betalaren en enskild 2.1 Skäl 26 betalning. 12. Europeiska datatillsynsmannen ser med tillfredsställelse att direktiv 95/46/EG nämns i skäl 26 i förslaget. För att avspegla att olika nationella lagar om genomförande av ett sådant direktiv är de lämpliga referenserna och betona 1.3 Det gemensamma eurobetalningsområdet och EU:s att all uppgiftsbehandling måste utföras i enlighet med uppgiftsskydd genomförandebestämmelserna skulle texten i skälet dock kunna ändras på följande sätt: ”All behandling av person­ 8. Införandet och utvecklingen av Sepa medför uppgifts­ uppgifter som genomförs i enlighet med denna förordning behandling av flera slag: namn, bankkontonummer och ska följa relevanta nationella lagar om genomförande av kontraktsuppgifter måste utbytas direkt mellan betalare direktiv 95/46/EG”. 28.9.2011 Europeiska SV unionens officiella tidning C 284/3 2.2 Artiklarna 6, 8, 9 och 10: nationella behöriga myn­ betalning eller autogirering) av medel mellan enskilda för digheters befogenheter att kontrollera om multilaterala förmedlingsavgifter tas ut på ett olagligt sätt eller vid vägran som strider mot skyl­ 13. Genom artikel 6 i förslaget införs ett förbud mot att införa digheterna i artiklarna 6 och 8. Denna befogenhet innefat­ multilaterala förmedlingsavgifter ( 1 ) per autogirering eller tar behandling av personuppgifter (namn på berörda fy­ någon annan överenskommen ersättning med motsvarande siska personer, deras bankkontonummer och de belopp syfte eller verkan. För autogireringar som inte kan genom­ som ska tas emot eller överföras). föras korrekt av betaltjänstleverantören (avvisas, vägras, återsänds eller vänds, s.k. R-transaktion) får en multilateral förmedlingsavgift tillämpas under förutsättning att ett antal villkor är uppfyllda.

17. All behandling av personuppgifter ska följa nationella lagar om genomförande av direktiv 95/46/EG, men datatillsyns­ mannen vill betona att övervakningsskyldigheten bör be­ 14. Genom artikel 8 i förslaget införs skyldigheter för betalare dömas redan i förslaget med tanke på att proportionalitetssom använder betalningar och betalningsmottagare som och nödvändighetsprinciperna ska gälla enligt direktiv använder autogireringar. En betalare får inte vägra att 95/46/EG (artikel 6.1 c). Särskilt med tanke på artiklarna göra betalningar till betalkonton hos betaltjänstleverantörer 6 och 8 anser Europeiska datatillsynsmannen att det i detta som är etablerande i en annan medlemsstat och som är avseende vore mer proportionerligt att införa ett system nåbara ( 2 ) i enlighet med artikel 3. En betalningsmottagare som innebär att behöriga myndigheters behandling av per­ som tar emot medel på sitt betalkonto från andra betal­ sonuppgifter endast utlöses från fall till fall. Detta skulle konton hos betaltjänstleverantörer i samma medlemsstat innebära att myndighetens ingripande – och därmed be­ får inte vägra att ta emot autogireringar från betalkonton handlingen av en viss betalares och/eller betalningsmotta­ hos betaltjänstleverantörer som är etablerade i en annan gares personuppgifter – huvudsakligen skulle ske när det medlemsstat. finns en särskild anledning, t.ex. om ett klagomål om en överträdelse av artikel 6 eller artikel 8 lämnats av en be­ talare eller betalningsmottagare, eller inom ramen för en målinriktad utredning på eget initiativ, eventuellt på grund­ val av information som lämnats av tredje part. 15. Enligt artikel 9 i förslaget ska medlemsstaterna utse behö­ riga myndigheter som ska se till att förordningen efterlevs. Myndigheterna ska ha de befogenheter som krävs för att utföra sina arbetsuppgifter. De ska också övervaka efterlev­ naden och vidta alla åtgärder som krävs för att garantera 18. Garantin för en effektiv efterlevnadskontroll skulle vara att förordningens efterlevnad. Enligt artikel 9.3 gäller vidare att en mekanism införs som gör att en klagande kan lämna ett om mer än en myndighet är behörig i frågor som omfattas klagomål eller en tredje part kan lämna information och av denna förordning på en medlemsstats territorium ska snabbt få svar från myndigheten, eventuellt i form av en denna medlemsstat se till att dessa myndigheter har ett order till den andra parten att uppfylla skyldigheterna en­ nära samarbete så att de effektivt kan uppfylla sina arbets­ ligt artiklarna 6 och 8. Förslaget inför faktiskt redan i uppgifter. Genom artikel 10 införs en skyldighet för med­ artikel 11 regler för lämpliga och effektiva förfaranden lemsstaterna att fastställa bestämmelser om vilka sanktio­ för klagomål och tvistlösning utanför domstol för att ner som ska tillämpas vid överträdelser av förordningen lösa tvister mellan betaltjänstanvändare och deras betal­ och vidta alla åtgärder som krävs för att se till dessa be­ tjänstleverantörer (som omfattar fallet enligt artikel 6). stämmelser tillämpas. Dessa sanktioner ska vara effektiva, För att uppmuntra till efterlevnad av artikel 8 utan att proportionella och avskräckande. nationella myndigheter får bred allmän tillgång till person­ uppgifter föreslår Europeiska datatillsynsmannen att be­ stämmelsen i artikel 11 även omfattar tvister mellan beta­ lare och betalningsmottagare.

16. På grundval av dessa artiklar kommer nationella myndig­ heter att ha befogenhet att övervaka möjliga överträdelser av alla skyldigheter som ingår i förslaget och att tillämpa sanktioner, inbegripet sanktioner i samband med skyldig­ heten enligt artiklarna 6 och 8. Denna befogenhet kan 19. Datatillsynsmannen noterar också att övervakningen kan potentiellt ha stora konsekvenser för integriteten ur datas­ innefatta överföring av personuppgifter mellan behöriga kyddsperspektiv: myndigheterna kan ha allmän tillgång till nationella myndigheter i olika medlemsstater inom ramen information om alla överföringar (oavsett om de sker via för det samarbete som nämns i artikel 9.3. Med tanke på den omfattande befogenhet som beviljas nationella myn­ ( 1 ) En multilateral förmedlingsavgift är det belopp som betalningsmot­ digheter för övervakning av efterlevnaden av förordningen tagarens betaltjänstleverantör betalar till betalarens betaltjänstleveran­ (även om de begränsningar i samband med artiklarna 6 tör vid varje autogireringstransaktion. och 8 som föreslås ovan skulle införas) föreslår Europeiska ( 2 ) Syftet med detta krav är att garantera att alla betaltjänstleverantörer datatillsynsmannen att texten uttryckligen nämner att över­ som är nåbara för en betalning eller autogirering på nationell nivå föring av personuppgifter mellan myndigheter måste ske även ska vara nåbara för transaktioner som initieras genom betal­ tjänstleverantörer som är etablerade i en annan medlemsstat med respekt för relevanta dataskyddsprinciper. Särskilt gäl­ (artikel 3 i förslaget). ler att sådana överföringar inte bör vara massöverföringar C 284/4 SV Europeiska unionens officiella tidning 28.9.2011 av uppgifter utan endast bör ske i samband med särskilda 22. Behandling av personuppgifter måste följa nationella lagar fall där det redan finns en prima facie-misstanke om en om genomförande av direktiv 95/46/EG, men i utkastet till möjlig överträdelse av förordningen. Därför skulle följande förslaget nämns ändå bara att överföringar i förhållande till mening kunna läggas till i artikel 9.3: ”Överföringar av situation a) ovan ska tillhandahållas ”i enlighet med kraven personuppgifter mellan behöriga myndigheter inom ramen i den nationella lagen om genomförande av direktiv för ett sådant nära samarbete ska endast äga rum från fall 95/46/EG”. För att undvika felaktiga tolkningar föreslår till fall när det finns rimlig misstanke om överträdelse av Europeiska datatillsynsmannen att en sådan hänvisning förordningen och med respekt för nödvändighetsprincipen, till direktivet inkluderas även i förhållande till artikel 3 b proportionalitetsprincipen och principen om ändamåls­ och artikel 3 g. Om texten i skäl 26 ändrades enligt för­ begränsning.” slaget ovan skulle i stället lydelsen i artikel 2 b med hänvis­ ning till direktiv 95/46/EG kunna uteslutas. 2.3 Bilaga 3. SLUTSATS 20. I bilagan till förslaget fastställs de tekniska krav som måste uppfyllas för betalningar och autogireringar enligt artikel 5 23. Europeiska datatillsynsmannen välkomnar den särskilda i förslaget. Syftet med att införa dessa krav är att ha har­ hänvisningen i förslaget till direktiv 95/46/EG. Han föreslår moniserade identifierings- och kommunikationsformat som dock några smärre ändringar av texten för att förtydliga att garanterar driftskompatibilitet för betalnings- och autogire­ dataskyddsprinciperna ska tillämpas på överföringar som ringstransaktioner mellan medlemsstaterna. omfattas av förslaget. Särskilt gäller följande:

21. I detta sammanhang utförs behandling av personuppgifter — Skäl 26 bör avspegla att nationella lagar om genom­ av intermediärer (betaltjänstleverantörerna) vid olika tillfäl­ förande av direktiv 95/46/EG är de lämpliga referen­ len ( 1 ): serna och betona att behandling av uppgifter måste följa dessa lagar. a) Artikel 2 b: för betalningar är de uppgifter som ska överföras från betalaren till hans eller hennes betal­ — De nationella behöriga myndigheternas övervaknings­ tjänstleverantör och föras vidare i betalningskedjan till befogenheter i förhållande till skyldigheterna enligt ar­ betalningsmottagaren: betalarens namn och/eller IBAN tiklarna 6 och 8 bör begränsas till att fastställas från fall för betalarens konto, betalningsbeloppet, betalningsmot­ till fall, när rimlig misstanke föreligger om överträdelse tagarens namn och IBAN och eventuellt överförings­ av förordningen. För att uppmuntra till efterlevnad av uppgifter. artikel 8 bör den mekanism för klagomål och tvistlös­ ning utanför domstol som föreskrivs i artikel 11 utvid­ gas till att gälla tvister mellan betalare och betalnings­ b) Artikel 3 b: för autogirering är de uppgifter som ska mottagare. överföras från betalningsmottagaren till hans eller hen­ nes betaltjänstleverantör och sedan från den senare till betalarens betaltjänstleverantör med varje transaktion: — Hänvisningar till direktiv 95/46/EG i bilagan bör har­ uppgifter om fullmakten ( 2 ). moniseras för att undvika felaktig tolkning. c) Artikel 3 g: för autogirering är de uppgifter som ska överföras från betalningsmottagaren till hans eller hen­ Utfärdad i Bryssel den 23 juni 2011. nes betaltjänstleverantör och föras vidare i betalnings­ kedjan till betalaren: betalningsmottagarens namn och Giovanni BUTTARELLI IBAN för betalningsmottagarens konto, betalarens namn och IBAN för dennes betalningskonto. Biträdande Europeisk datatillsynsman