- Directive (EU) 2015/2366 — PSD2 and strong customer authentication
- Regulation (EU) 2016/679 — GDPR, Article 27
- Regulation (EU) 2022/2554 — DORA
- Regulation (EU) 2023/1113 on transfers of funds
誰が選任するか
EUの商人および消費者にサービスを提供するEU外の決済プロバイダー。決済サービスを提供するには、加盟国に設立された法人の認可が必要であり、GDPR代表者はデータ側のみを扱います。
しきい値と適用除外
認可の閾値はサービスによって異なります。限定ネットワークおよび商業代理店の除外は狭く、仮定するのではなく評価する必要があります。
ラベルに必要な記載
物理的ではありません。PSD2により商人および消費者に提供者の身元、手数料、実行時間、プライバシー通知における代表者の情報を開示することが求められます。
マーケットプレイスの項目
カードスキームおよび取得者は、契約条件としてPCI DSSの遵守を課し、商人は金融機関である場合にDORAに適合した条件を必要とします。
保管すべき文書
認可ファイル、ユーザー資金の保護措置、適用された免除を伴う強力な顧客認証実施文書、AMLプログラム、インシデント報告手続き、第30条の記録、第27条の指定、およびICT第三者契約のためのDORA情報登録。
規格と試験
PCI DSS評価、強力な顧客認証テスト、およびDORA関連プロバイダーのためのレジリエンステストへの参加。
言語要件
提供される市場の言語での商人および消費者情報。
いつから適用されるか
サービス提供前の認可。DORAは2025年1月17日から適用されています。
文書の保管期間
PSD2および国内法に基づく取引記録は一般的に少なくとも5年間保持し、同期間のAML記録も保持します。
違反した場合
活動の禁止および認可の取り消し、GDPR違反に対する最大4%の売上に対する罰金、PCIの失敗に対するスキーム罰金。いくつかの加盟国では、認可なしでの運営は犯罪です。
執行機関
国家金融監督機関およびEBA、データ保護当局、契約上のカードスキーム。
境界線
決済データは高い感度を持つ個人データであり、AML保持義務は最小化と対立し、法的義務として文書化されていない限り、矛盾します。技術サービスプロバイダーとして機能するプロバイダーは、認可を引き起こす方法で資金やアカウントデータを保持しないことを示す必要があります。
よくある質問
- GDPR代表者はEU内での決済処理を許可しますか？
- いいえ。決済サービスには設立された法人の認可が必要です。代表者は第27条を満たすだけです。
- 私たちはDORAの適用範囲内ですか？
- 決済機関はDORAの下で金融機関であり、彼らに対するICTプロバイダーは情報登録を含む第三者リスク制度に直面します。