Erős ügyfél-hitelesítés és biztonságos kommunikáció

Az SCAr. 33. cikk (6) bekezdése előírja, hogy az illetékes hatóságok (Magyarország esetében az MNB) az előírt feltételek teljesítése esetén az EBH-val folytatott konzultációt követően azokat a számlavezető pénzforgalmi szolgáltatókat, amelyek dedikált interfész létrehozása mellett döntöttek, mentesíti az SCAr. 33. cikkének (4) bekezdésben előírt tartalékmechanizmus létrehozása alól. Az MNB az említett mentesítésre vonatkozó eljárást erre irányuló kérelem alapján folytatja le. A mentesítési kérelem benyújtása az ERA rendszeren keresztül az „Egyéb kérelmek, bejelentések" űrlapon történik.  Az elektronikus űrlapot és a hozzá kapcsolódó mellékleteket a pénzforgalmi szolgáltató két cégjegyzésre jogosult tagja vagy kamarai jogtanácsosa fokozott biztonságú elektronikus aláírásával ellátva szükséges benyújtani. Kamarai jogtanácsos eljárása esetén meghatalmazás csatolása is szükséges. A mellékleteket az elektronikus aláírás mellett időbélyegzővel is el kell látni. Az elektronikus ügyintézéssel kapcsolatban az MNB honlapján tájékoztató anyagok is rendelkezésre állnak: http://www.mnb.hu/felugyelet/engedelyezes-es-intezmenyfelugyeles/engedelyezes/e-ugyintezes-az-engedelyezesi-eljarasokban/2018-januartol-hatalyos-szabalyok

Az MNBtv. 59.§ (2) bekezdése alapján a kérelemhez csatolni kell a pénzforgalmi szolgáltató nyilatkozatát arról, hogy az engedély kiadása érdekében minden lényeges tényt és adatot közölt az MNB-vel, továbbá az SCAr. 33. cikk (6) bekezdés a), b), c) és d) pontjaiban előírt feltételek teljesítését igazoló dokumentumokat. Az SCAr.-ben a mentesítés feltételei kapcsán az egységes tagállami jogalkalmazás elősegítése céljából az EBH elkészítette a tartalékmechanizmus alól az erős ügyfél-hitelesítésre, valamint a közös és biztonságos nyílt kommunikációs standardokra vonatkozó szabályozástechnikai standardokról szóló (EU) 2018/389 rendelet 33. cikkének (6) bekezdése szerint biztosított mentesség igénybevételének feltételeiről szóló 2018. december 4-i EBA/GL/2018/07 iránymutatásokat (a továbbiakban: Iránymutatások). Az Iránymutatások részletesen meghatározzák az SCAr. 33. cikk (6) bekezdésében megállapított, arra vonatkozó feltételeket, hogyan mentesíthetők az SCAr. 33. cikk (4) bekezdésében ismertetett tartalékmechanizmus létrehozása alól azok a számlavezető pénzforgalmi szolgáltatók, amelyek dedikált interfész létrehozása mellett döntöttek. Az Iránymutatások továbbá útmutatást adnak az illetékes hatóságok számára is arra vonatkozóan, hogy miként konzultáljanak az EBH-val az SCAr. 33. cikk (6) bekezdésével szerinti mentesítés céljából és meddig intézkedhetnek a mentesség megadásáról. Az iránymutatások 2019. január 1-től alkalmazandók és az angol mellett magyar nyelven is elérhetők az EBH honlapján az alábbi linken: https://eba.europa.eu/regulation-and-policy/payment-services-and-electronic-money/guidelines-on-the-conditions-to-be-met-to-benefit-from-an-exemption-from-contingency-measures-under-article-33-6-of-regulation-eu-2018/389-rts-on-sca-csc-?p_p_id=56_INSTANCE_H1LnmNVsz6aL&p_p_lifecycle=0&p_p_state=normal&p_p_mode=view&p_p_col_id=column-2&p_p_col_count=2
https://eba.europa.eu/documents/10180/2570450/Final+Report+on+Guidelines+on+the+exemption+to+the+fall+back+_HU.pdf

Az SCAr. 36. cikk (1) bekezdésének a) pontja előírja a számlavezető pénzforgalmi szolgáltatóknak, hogy a megjelölt fizetési számlákra és a kapcsolódó fizetési műveletekre vonatkozóan ugyanazokat az információkat bocsássák a számlainformációs szolgáltatók rendelkezésére, mint amelyeket a pénzforgalmi szolgáltatást igénybe vevő rendelkezésére bocsátanak, amikor az közvetlenül kér hozzáférést a számlainformációkhoz, feltéve, hogy ez az információ nem tartalmaz érzékeny fizetési adatokat.

Álláspontunk szerint ez azt jelenti, hogy mindazokat az adatokat szükséges az ügyfél fizetési számláját vezető pénzforgalmi szolgáltatónak a számlainformációs szolgáltatók rendelkezésre bocsátani, amelyek elengedhetetlenek ahhoz, hogy a számlavezető pénzforgalmi szolgáltatók által az ügyfelük számára megjelenített adatok a számlainformációs szolgáltató által is megjeleníthetők legyenek.

Figyelemmel a fentiekben kifejtettekre és a Pft. 38/C. § (3) bekezdés d) pontjára, értelmezésünk szerint a számlavezető pénzforgalmi szolgáltatóknak minden olyan fizetési számlára vonatkozó információt szükséges átadniuk a számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltató részére, amelyet az ügyfél a Pft. 38/C. § (3) bekezdés d) pontra tekintettel megjelölt, vagyis nem a számlavezető pénzforgalmi szolgáltató által vezetetett valamennyi számla vonatkozásában szükséges adatokat átadni. Ugyanakkor felhívjuk a figyelmet arra, hogy az adathozzáférés során a számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltatónak meg kell felelni az érzékeny adatokhoz történő hozzáférésre vonatkozó szabályoknak, amely kapcsán lásd a D/12. sorszámú kérdést. Megjegyezzük továbbá, amennyiben a számlavezető pénzforgalmi szolgáltató célra rendelt interfészt hoz létre, úgy biztosítania kell többek között, hogy az adathozzáférés során ne sérüljön az SCAr. 32. cikk (3) bekezdés, vagyis a számlavezető pénzforgalmi szolgáltató ne akadályozza számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltatót az általa nyújtott szolgáltatások nyújtásában, így különösen az ügyfélnek a számlainformációs szolgáltatás igénybevétele során ne kellje indokolatlan lépeseket végrehajtania (pl. belépnie az internetbankba), az indokoltnál több alkalommal erős ügyfél-hitelesítésen átesnie, vagy az erős ügyfél-hitelesítés a szükségtelennél több ügyfél interakcióval ne történjen.

• a felhasználók köre megfelel az SCAr. 17. cikkében részletezett elvárásnak;
• az alkalmazott hitelesítési eljárás legalább az SCAr.-ben előírt hitelesítési eljárással egyenértékű szintű biztonságot garantál;
• rendelkeznek a rendszerüket érintően olyan az SCAr.-ben előírtakkal egyenértékű műveletmegfigyelő mechanizmusokkal, amelyek lehetővé teszik a nem engedélyezett vagy csalárd fizetési műveletek észlelését;
• a biztonsági intézkedések rendszeres időközönként tesztelésre, értékelésre és ellenőrzésre kerülnek;
• a pénzforgalmi szolgáltató a rendszerrel kezdeményezett fizetési műveletek minden típusa esetében legalább negyedévente rögzíti és megfigyeli a következő adatokat, távoli és nem távoli fizetési műveletek szerinti bontásban:
• az (EU) 2015/2366 irányelv 64. cikkének (2) bekezdésével összhangban a nem engedélyezett vagy csalárd fizetési műveletek összértékét, az összes fizetési művelet összértékét és az ezekből következő csalási arányt kezdeményezett fizetési műveletek szerinti bontásban
• az átlagos műveleti értéket a kezdeményezett fizetési műveletek szerinti bontásban
• a kezdeményezett fizetési műveletek számát, valamint a fizetési műveletek teljes számához viszonyított százalékos arányt
• a rendszerrel kezdeményezett minden művelet típushoz kapcsolódóan a csalási arányok az SCAr. mellékletében meghatározott táblázatban az ugyanazon fizetésiművelet-típusra vonatkozóan feltüntetett referencia csalási aránnyal egyenlők, vagy annál alacsonyabbak;
• a hitelesítés minden szakaszában biztosítják a szolgáltatást igénybe vevő személyes hitelesítési adatainak bizalmasságát és integritását az SCAr. 22. cikkében előírtaknak megfelelően;
• biztosítják, hogy a személyes hitelesítési adatok előállítása biztonságos környezetben történik;
• mérsékelik a személyes hitelesítési adatok és a hitelesítési eszközök és szoftverek jogosulatlan használatának kockázatát a fizető félnek való kézbesítésük előtti elvesztésük, ellopásuk, vagy lemásolásuk esetén;
• biztosítják, hogy kizárólag a pénzforgalmi szolgáltatás igénybe vevőjét társítják – biztonságos módon – a személyes hitelesítési adatokkal, a hitelesítési eszközökkel és szoftverekkel. Ennek során biztosítják, hogy az SCAr. 24. cikk (2) bekezdése szerinti követelmények mindegyike teljesül;
• a hitelesítési adatok, hitelesítési eszközök és szoftverek kézbesítése az SCAr. 25. cikkében előírtaknak megfelelően történik ;
• biztosítják, hogy a személyes hitelesítési adatok megújítása vagy újbóli aktiválása a hitelesítési adatok és a hitelesítési eszközök előállítására, társítására és kézbesítésére vonatkozó eljárások szerint történjen;
• biztosítják, hogy a személyes hitelesítési adatok, hitelesítési eszközök és szoftverek megsemmisítése, deaktiválása és visszavonása az SCAr. 27. cikkében előírtaknak megfelelően történik;
• biztosítják az SCAr. 29. cikke szerinti visszakereshetőséget;
• a kommunikációs munkamenetek biztonsága egyenértékű az SCAr. 35. cikkében előírtakkal.

A fizetési kártya birtokos saját kezű aláírása véleményünk szerint önmagában ugyan a Pft. 2. § 4a. pont c) alpontjában meghatározott biológiai tulajdonságnak minősülhet (így pl. az aláírás nyomáserősség, sebesség vonalvezetési dinamikát és jellemzőket is magába foglalja). Azonban, tekintettel arra, hogy - ujjlenyomattal mint biológiai tulajdonsággal ellentétben - az ügyfelek saját kezű aláírása minden egyes aláírás alkalmával különböző. Ezért álláspontunk szerint a pénzforgalmi szolgáltató nem képes a Pft. 2. § 11. pontjában meghatározott hitelesítést végrehajtani, mivel megfelelő aláírásminta, illetve írásszakértői szaktudás hiányában a pénzforgalmi szolgáltó (illetve a pénzforgalmi szolgáltató megbízásából a kereskedő), álláspontunk szerint nem tudja azonosítani a ügyfele kilétét.

Tekintettel arra, hogy a fizetési kártyák hátoldalán megtalálható a kártyabirtokos aláírása is, így álláspontunk szerint az ügyfél aláírása nem felel meg a Pft. 2. § 4a. pont a) alpontja szerinti ismeret, azaz csak az ügyfél által ismert információ kategóriának sem, mivel potenciálisan nem csak az ügyfél ismerheti azt meg, hanem bárki. Így tehát a fizetési kártya hátoldalára felírt aláírás nem felel meg az SCAr. 6. cikk (1) bekezdésében foglalt előírásnak, amely szerint a tudás kategóriájába sorolható elemek nem fedhetőek fel jogosulatlan felek előtt.

Az előzőekben kifejtettek miatt a terminálon kinyomtatott bizonylaton („slip”-en) történő ügyfél aláírás nem tekinthető Pft.-nek megfelelő hitelesítési elemnek, az nem sorolható be a Pft. 2. § 4a. pont egyik kategóriájába sem.

A Pft. 55/C. § (1) bekezdés a) alapján véleményünk szerint az ügyfél fizetési számláját vezető pénzforgalmi szolgáltatónak minden egyes fizetési számlához történő hozzáférés esetében erős ügyfél-hitelesítést kell alkalmaznia, függetlenül attól, hogy az ügyfél közvetlenül a számlavezető által biztosított megoldáson keresztül fér hozzá a fizetési számlához (pl. internetbankon vagy mobilbankon), vagy számlainformációs szolgáltatón keresztül. A Pft. 55/C. § (1) bekezdése szövegének jogértelmezéséből az következik, hogy „a pénzforgalmi szolgáltatónak” kell erős ügyfél-hitelesítést alkalmaznia, vagyis bármely pénzforgalmi szolgáltatónak, amely az ügyféltől hozzáférésre vonatkozó megbízást fogad el. Véleményünk szerint ezért került kodifikálásra a Pft. 55/C. § (6) bekezdése, amely lehetőséget ad a számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltatónak, hogy az a számlavezető által lebonyolított erős ügyfél-hitelesítésre hagyatkozzon, vagyis mentesül az alól a követelmény alól, hogy saját maga is elvégezze az ügyfele erős ügyfél-hitelesítését. Mindezek alapján tehát a főszabály szerint a számlavezető pénzforgalmi szolgáltató bonyolítja le az ügyfél erős ügyfél-hitelesítését, minden egyes alkalommal, amikor az ügyfél hozzáfér a fizetési számlájához. Ugyanakkor az SCAr. kimerítő felsorlást ad arra vonatkozóan, hogy mely esetekben mellőzhető az erős ügyfél-hitelesítés. Tekintettel a Pft. felelősségi szabályaira, így különösen a Pft. 44. § és 45. §-ra, a számlavezető jogosult végérvényesen eldönteni, hogy alkalmaz-e erős ügyfél-hitelesítést, avagy valamely kivételi szabállyal él. Számlainformációs szolgáltatások esetében az SCAr. 10. cikkében foglalt kivételi szabály alkalmazására kerülhet sor. Azonban figyelemmel a Pft. 38/C. § (4) bekezdés b) pontjára, ha a számlavezető kivételi szabályt alkalmaz a számlavezetőhöz történő közvetlen belépés esetében (pl. amikor az ügyfél az internet-bankon vagy mobilbankon keresztül fér hozzá az adatokhoz), akkor a számlainformációs szolgáltatás keretében történő belépés esetében is alkalmaznia kell az SCAr.-ben meghatározott kivételi szabályt. Tehát a számlavezető nem diszkriminálhatja a számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltatón keresztüli adathozzáférést.

A számlainformációs szolgáltatáshoz kapcsolódó adathozzáférésekre az SCAr. 36. cikk (5) bekezdése ad előírásokat. Figyelemmel az erős ügyfél-hitelesítéshez kapcsolódó fentiekben ismertetett véleményünkre, valamint az SCAr. 36. cikk (5) bekezdésére, számlainformációs szolgáltatás igénybevétele esetében az alábbiak szerint bonyolódhat le az erős ügyfél-hitelesítés:

• Az SCAr. 36. cikk (5) bekezdés a) pont alapján a számlainformációs szolgáltató hozzáfér az ügyfél fizetési számlájához, ha az ügyfél azt aktívan kéri. A fentiek alapján minden egyes az ügyfél által aktívan kért számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltatón keresztüli adathozzáférés esetében a Pft. 55/C. § (1) bekezdés a) pont alapján, valamint a Pft. 55/C. § (6) bekezdésére tekintettel a számlavezető pénzforgalmi szolgáltató erős ügyfél-hitelesítést alkalmaz. Azonban számlavezető – a saját kockázatkezelése és üzletpolitikája alapján - dönthet úgy, hogy az SCAr. 10. cikkében meghatározott kivételi szabályt alkalmazza. Fontos azonban kiemelni, hogy a Pft. 38/C. § (4) bekezdés b) pont alapján a számlavezető pénzforgalmi szolgáltató abban az esetben, ha a hozzá történő direkt adathozzáférés esetében alkalmazza az SCAr. 10. cikk szerinti kivételi szabályt, úgy a számlainformációs szolgáltatás igénybevételével történő adathozzáférés esetében is alkalmaznia kell.
• Az SCAr. 36. cikk (5) bekezdés b) pont szerint a számlainformációs szolgáltatást nyújtó pénzforgalmi szolgálató az ügyfél aktív kérése nélkül is hozzáférhet az ügyfél fizetési számlájához, amennyiben az ügyfél ehhez megfelelően hozzájárult. Ebben az esetben egy 24 órás időszakon belül maximum 4 alkalommal, kivéve, ha a számlavezető és a számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltató ettől eltérően meg nem állapodnak, valamint az ügyfél ehhez hozzájárul. Álláspontunk szerint, minden egyes, az ügyfél aktív kérése nélküli számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltató általi adathozzáférés esetében – figyelemmel az erős ügyfél-hitelesítés kapcsán a fentiekben kifejtettekre – a számlavezető pénzforgalmi szolgáltató erős ügyfél-hitelesítést alkalmaz. A számlavezetőnek természetesen ebben az esetben is joga van az SCAr. 10. cikk szerinti kivételt alkalmazni, azzal, hogy tekintettel kell lennie a 38/C. § (4) bekezdés b) pont szerinti hátrányos megkülönböztetésre vonatkozó tilalomra.

A fentiekben ismertetett értelmezés az Opinion of the European Banking Authority on obstacles under Article 32(3) of the RTS on SCA and CSC című 2020. június 4-i EBA/OP/2020/10 számú Európai Bank Hatósági vélemény 90 days re-authentication című fejezetén alapul.

Az SCAr. 34. cikk (1) bekezdése alapján „az SCAr. 30. cikk (1) bekezdésének a) pontjában említett azonosítás céljából a pénzforgalmi szolgáltatók a 910/2014/EU rendelet 3. cikkének 30. pontjában említett, az elektronikus bélyegző minősített tanúsítványára, vagy ugyanazon rendelet 3. cikkének 39. pontjában említett minősített weboldal-hitelesítő tanúsítványra hagyatkoznak”. Vagyis értelmezésünk szerint az SCAr. 34. cikk (1) bekezdése alapján a számlavezető pénzforgalmi szolgáltatónak nem kötelező a hozzáférés engedélyezésekor a tagállami, vagy az EBH által működtetett nyilvántartásban ellenőrizni a hozzáférés kérő fizetés-kezdeményezési vagy számlainformációs pénzforgalmi szolgáltatót. Azonban, ha a számlavezető pénzforgalmi szolgáltató önkéntesen mégis megteszi ezt, és nem találja a megfelelő listában a hozzáférést kérő pénzforgalmi szolgáltatót, és ennek következtében megtiltja a hozzáférést a fizetési számlához, akkor véleményünk szerint a Pft. 39/A. § (1) bekezdésében foglaltaknak megfelelően jár el. Így tehát álláspontunk szerint ez az eset a Pft. 39/A. § (1) bekezdése szerinti jóvá nem hagyott vagy csalárd módon történő hozzáféréssel összefüggő, objektíven indokolható és kellően bizonyított oknak minősül, függetlenül attól, hogy mi a valós oka annak, hogy az adott szolgáltató nincs a listában. Így például, ha a lista technikai ok miatt elérhetetlenné válik, akkor is jogosult a számlavezető a hozzáférés megtagadására. Az MNB jó gyakorlatnak tartja, ha a számlavezető pénzforgalmi szolgáltató ellenőrzi a fizetés-kezdeményezési és számlainformációs szolgáltatókat az EBH által működtetett vagy a tagállami nyilvántartásokban.

Természetesen mindezektől függetlenül a Pft 39/A. § többi előírásának történő megfelelés is elvárt, vagyis a 39/A. § (2) és (5) bekezdésekben említett tájékoztatási kötelezettség, és a 39/A. § (4) bekezdésben meghatározott haladéktalan helyreállítási kötelezettség.

A Pft. 39/A. § (1) bekezdése alapján a számlavezető pénzforgalmi szolgáltató csak a fizetési számlához a számlainformációs pénzforgalmi szolgáltató, illetve a fizetés-kezdeményezési pénzforgalmi szolgáltató általi jóvá nem hagyott vagy csalárd módon történő hozzáféréssel összefüggő objektíven indokolható és kellően bizonyított okok alapján - ideértve a jóvá nem hagyott fizetési műveletek kezdeményezését vagy a fizetési műveletek csalárd módon történő kezdeményezését - tagadhatja meg az a fizetési számlához történő hozzáférést a fizetés-kezdeményezési szolgáltatást nyújtó pénzforgalmi szolgáltatóktól, valamint a számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltatóktól.

A Pft. 39/A. § (2) bekezdése szerint a Pft. 39/A. § (1) bekezdésében meghatározott esetben a fizetési számlát vezető pénzforgalmi szolgáltató lehetőség szerint a hozzáférés megtagadását megelőzően, de legkésőbb a hozzáférés megtagadását követően haladéktalanul a keretszerződésben meghatározott módon tájékoztatja az ügyfelet a hozzáférés megtagadásáról és annak okairól, kivéve, ha a Pft. 39/A. § (3) bekezdésére tekintettel objektíven indokolt biztonsági okokból nem helyénvaló a tájékoztatás, vagy ha a tájékoztatási kötelezettség teljesítését jogszabály tiltja. Mindezeken túlmenően a Pft. 39/A. § (5) bekezdése szerint a hozzáférés megtagadása esetén a fizetési számlát vezető pénzforgalmi szolgáltató haladéktalanul tájékoztatja az MNB-t a hozzáférés megtagadásáról, az eset releváns részleteiről és a megtagadás indokairól. Továbbá a Pft. 39/A. § (4) bekezdés előírásai alapján a hozzáférés megtagadása okának megszűnését követően a fizetési számlát vezető pénzforgalmi szolgáltató ismételten biztosítja a hozzáférést.

A Pft. 38/B. § (4) bekezdés a) pontja, valamint a 38/C. § (4) bekezdés a) pontja alapján a számlavezető pénzforgalmi szolgáltatónak minden esetben biztonságos adatátviteli kapcsolatban kell állnia a fizetés-kezdeményezési, valamint számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltatókkal.

A Pft. fentiekben ismertetett értelmezésére tekintettel a számlavezető pénzforgalmi szolgáltató kizárólag a Pft. 39/A. § (1) bekezdésében meghatározott indokok alapján tagadhatja meg a fizetés-kezdeményezési és számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltatók a Pft. 38/B. § (4) bekezdés a) pont, valamint a 38/C. § (4) bekezdés a) pontnak megfelelő kapcsolaton keresztüli hozzáférését a fizetési számlákhoz. Vagyis kizárólag abban az esetben, ha

a)  fizetés-kezdeményezési vagy számlainformációs szolgálttatást nyújtó pénzforgalmi szolgáltató általi a hozzáférés,

b) a hozzáférés során

I) jóvá nem hagyott fizetési művelet kezdeményezése vagy teljesítése történik,

II) vagy a fizetési művelet kezdeményezése vagy teljesítése csalárd módon történik,

c) objektíven indokolható és

d) kellően bizonyított.

Álláspontunk szerint a Pft. fentiekben ismertetett feltételrendszerbe foglalt (i. és ii. alpontokkal jelölt) oklistája taxatív felsorolás, vagyis önkényesen a számlavezető pénzforgalmi szolgáltató által nem bővíthető. Így tehát a Pft. feltételként határozza meg, hogy mind az i., mind a ii. alpontok esetében kizárólag objektíven indokolható és kellően bizonyított okok adhatnak alapot arra, hogy a Pft. 39/A. § (1) bekezdése alapján a számlavezető pénzforgalmi szolgáltató megtagadja a fizetés-kezdeményezési és számlainformációs szolgáltatást nyújtó pénzforgalmi szolgáltató általi hozzáférést a fizetési számlához. Objektíven indokoltható és kellően bizonyított oknak minősül pl. a D/37. pontban ismertetett eset.

Ugyan a Pft. kimerítő felsorolást ad a hozzáférés megtagadásainak indokairól, ugyanakkor véleményünk szerint, ha a számlavezető pénzforgalmi szolgáltató egy másik jogszabályban (pl. GDPR, Pmt., stb.) foglalt előírások érvényesülése céljából korlátozza a fizetés-kezdeményezési vagy számlaiformációs szolgáltatást nyújtó pénzforgalmi szolgáltatók hozzáférését, úgy azt jogszerűen teszi.

Felhívjuk ugyanakkor a figyelmet, hogy a hozzáférés megtagadása esetén – függetlenül attól, hogy a Pft. 39/A. § (1) bekezdésében meghatározott oklista, vagy egyéb, nem pénzforgalmi jogszabályi rendelkezés alapján teszi - a számlavezető pénzforgalmi szolgáltatónak a Pft. 39/A. § (2) – (5) bekezdéseiben foglaltak szerint kell eljárnia. Vagyis mind a számlavezetett ügyfeleket, mind pedig az MNB-t tájékoztatnia kell a hozzáférés megtagadásáról a P66 MNB azonosító kódú adatszolgáltatás formájában, továbbá, ha a hozzáférés megtagadásának az indoka már nem áll fenn, a hozzáférést haladéktalanul újra biztosítania szükséges.

Az SCAr. 13. cikk (1) bekezdése előírja pénzforgalmi szolgáltatóknak, hogy erős ügyfél-hitelesítést alkalmazzanak, amikor a fizető fél a számlavezető pénzforgalmi szolgáltatóján keresztül a megbízható kedvezményezettek egy listáját összeállítja vagy módosítja. Továbbá az SCAr. 13. cikk (2) bekezdése lehetővé teszi a számlavezető pénzforgalmi szolgáltatóknak, hogy ne alkalmazzanak erős ügyfél-hitelesítést, amennyiben megfelelnek az általános hitelesítési követelményeknek, ha a fizető fél fizetési műveletet kezdeményez és a kedvezményezett szerepel a fizető által előzőleg összeállított, megbízható kedvezményezettek listáján.

Álláspontunk szerint az SCAr. fentiekben ismertetett előírásai szerint kizárólag a Pft. 2. § 9. pont szerinti fizető fél dönthet arra vonatkozóan, hogy milyen kedvezményezetteket kíván megbízhatóként megjelölni. Ugyanakkor az SCAr. 13. cikke nem részletezi a lista összeállításának módját, így véleményünk szerint több helyes megoldás is elképzelhető. Feltéve, ha ezen funkciók a fizető fél rendelkezése alapján véglegesen kikapcsolható, akkor megfelelő lehet például: ha a fizető fél a fizetési számláját vezető pénzforgalmi szolgáltatójának internetbank felületén manuálisan, saját maga veszi fel, vagy kiválaszthatja egy listából is az általa megbízhatónak vélt kedvezményezetteket. Ez utóbbi esetében véleményünk szerint ügyfélbarát megoldás lehet a számlavezető pénzforgalmi szolgáltató által felkínált szolgáltatók, vagy a korábban teljesült fizetési műveletekhez kapcsolódó kedvezményezettek listája is, amennyiben lehetősége van a fizető félnek a listán még nem szereplő további kedvezményezett felvételére is. Szintén ügyfélbarát megoldás lehet például, amennyiben a fizető fél a fizetési kártyájával online vásárlást kezdeményez, amelynek során a legelső fizetési megbízás során alkalmazásra kerül az erős ügyfél-hitelesítés, majd ezt követően automatikusan felajánlják a fizető félnek, hogy felvegye a megbízható kedvezményezettek közé.

Álláspontunk figyelemmel az SCAr. 13. cikkében foglalt előírásokra kizárólag a fizető fél dönthet arra vonatkozóan, hogy mely kedvezményezettet, vagy kedvezményezetteket nem kíván a továbbiakban megbízhatóként megjelölni. Megjegyezzük ugyanakkor, hogy amennyiben a pénzforgalmi szolgáltató a fizetési számla vagy a végrehajtandó fizetési művelet kapcsán visszaéléssel kapcsolatos információ birtokába jut, hogy, akkor ennek tényét jelezheti a fizető fél számára, illetve eltekinthet az SCAr. 13. cikk (2) bekezdésben foglaltak alkalmazásától, vagyis megkövetelheti erős ügyfél-hitelesítés végrehajtását. Mindezeken túlmenően az MNBr.  9. §-a alapján visszautasíthatja a fizetési művelet végrehajtását.