- Directive (EU) 2015/2366 — PSD2 and strong customer authentication
- Regulation (EU) 2016/679 — GDPR, Article 27
- Regulation (EU) 2022/2554 — DORA
- Regulation (EU) 2023/1113 on transfers of funds
누가 지정해야 하는가
EU 상인 및 소비자에게 서비스를 제공하는 연합 외 결제 제공업체. 결제 서비스를 제공하려면 회원국에 설립된 기관의 승인이 필요하며, GDPR 대표는 데이터 측면만 다룹니다.
기준과 면제
승인 기준은 서비스에 따라 다릅니다. 제한된 네트워크 및 상업 대리인 제외는 좁으며 가정하기보다는 평가해야 합니다.
라벨에 표시할 사항
물리적이지 않음. 제공업체의 신원, 요금 및 실행 시간, 개인 정보 보호 고지서에 있는 대표자를 포함하여 PSD2에 의해 요구되는 상인 및 소비자 공개가 필요합니다.
마켓플레이스 항목
카드 계획 및 인수자는 PCI DSS 준수를 계약 조건으로 부과하며, 상인은 금융 기관인 경우 DORA 호환 조건을 요구합니다.
보관해야 할 문서
승인 파일, 사용자 자금 보호 조치, 적용된 면제를 포함한 강력한 고객 인증 구현 문서, AML 프로그램, 사고 보고 절차, 제30조 기록, 제27조 지정 및 ICT 제3자 계약을 위한 DORA 정보 등록부.
표준과 시험
PCI DSS 평가, 강력한 고객 인증 테스트, DORA 관련 제공업체의 경우 복원력 테스트 참여.
언어 요건
제공되는 시장의 언어로 된 상인 및 소비자 정보.
언제부터 적용되는가
서비스 제공 전에 승인. DORA는 2025년 1월 17일부터 적용됩니다.
문서 보관 기간
PSD2 및 국가 법률에 따른 거래 기록, 일반적으로 최소 5년, 동일 기간 동안의 AML 기록.
미준수 시 결과
활동 금지 및 승인 철회, GDPR 위반에 대한 최대 4%의 매출 벌금, PCI 실패에 대한 계획 벌금. 여러 회원국에서 승인 없이 운영하는 것은 범죄입니다.
집행 기관
국가 금융 감독 기관 및 EBA, 데이터 보호 당국, 카드 계획 계약상.
경계선
결제 데이터는 높은 민감성을 가진 개인 데이터이며, AML 보존 의무는 법적 의무로 문서화되지 않는 한 최소화와 충돌합니다. 결제 기관이 아닌 기술 서비스 제공업체로 활동하는 제공업체는 승인 트리거 없이 자금이나 계좌 데이터를 보유하지 않음을 입증할 수 있어야 합니다.
자주 받는 질문
- GDPR 대표가 EU에서 결제를 처리할 수 있게 해주나요?
- 아니요. 결제 서비스는 설립된 기관의 승인이 필요합니다. 대표자는 단지 제27조를 충족할 뿐입니다.
- 우리는 DORA의 적용 범위에 있나요?
- 결제 기관은 DORA에 따라 금융 기관이며, 그들에게 ICT 제공업체는 정보 등록부를 포함한 제3자 위험 체계에 직면합니다.