Wprowadzenie

Celem niniejszego artykułu jest przedstawienie problematyki związanej z planowaną regulacją prawną nowej, specyficznej kategorii uczestnika rynku usług płatniczych - „dostawcy usług płatniczych będącego osobą trzecią” (third-party payment service provider). Jest to podmiot „trzeci” w stosunku do użytkownika zasadniczej usługi płatniczej (tj. płatnika/ odbiorcy płatności) oraz dostawcy usług płatniczych prowadzącego dla tego użytkownika rachunek. Wprowadzenie tego pojęcia do prawodawstwa Unii Europejskiej stanowi jedną z najważniejszych zmian przewidzianych w projekcie nowej dyrektywy w sprawie usług płatniczych w ramach rynku wewnętrznego¹. W perspektywie przyszłej regulacji szczególną uwagę zwraca potrzeba jasnego określenia statusu prawnego dostawców usług płatniczych będących osobami trzecimi, jak również precyzyjnego wyznaczenia granic ich odpowiedzialności. Pojawienie się tego rodzaju podmiotów usprawnia proces płatności oraz nasila konkurencję dla banków ze strony innych (niebankowych) podmiotów, na czym mogą skorzystać użytkownicy usług płatniczych. Wywołuje jednak również nowe problemy, m.in. związane z ochroną prywatności i zapobieganiem oszustwom, wynikające z dostępu tych podmiotów do rachunku bankowego użytkownika usługi płatniczej. Te praktyczne konsekwencje, jakie wspomniana regulacja może pociągać za sobą dla dostawców i użytkowników usług płatniczych, stanowią istotny kontekst przedstawionych w artykule rozważań².

Kluczowe propozycje zmian w projekcie noweli do dyrektywy PSD

W dniu 24 lipca 2013 r. Komisja Europejska przedstawiła projekt pakietu regulacyjnego dotyczącego usług płatniczych. Obejmuje on swym zakresem m.in. materię będącą przedmiotem aktualnie obowiązującej dyrektywy PSD³, która tworzy ramy prawne dla zintegrowanego rynku usług płatniczych w Unii Europejskiej (UE), w tym dla prawidłowego funkcjonowania koncepcji SEPA⁴. Dyrektywa PSD obowiązuje na terenie państw członkowskich UE (wraz z tzw. terytoriami zależnymi) oraz na terenie trzech krajów Europejskiego Obszaru Gospodarczego (Islandii, Liechtensteinu oraz Norwegii, z wyjątkiem Szwajcarii).

Pakiet przedłożony przez Komisję Europejską zakłada stworzenie dwóch nowych aktów prawnych:

• Rozporządzenia Parlamentu Europejskiego i Rady w sprawie opłat interchange w odniesieniu do transakcji płatniczych realizowanych w oparciu o kartę⁵,
• Dyrektywy Parlamentu Europejskiego i Rady w sprawie usług płatniczych w ramach rynku wewnętrznego oraz zmieniającej dyrektywy 2002/65/WE, 2013/36/UE i 2009/110/WE i uchylającej dyrektywę 2007/64/WE (zwanej dyrektywą PSD2)⁶.

Obecnie projekt jest procedowany w Parlamencie Europejskim⁷. Mając na względzie zakres tematyczny niniejszego artykułu, w dalszej jego części autorzy koncentrują się na zagadnieniach zawartych w projekcie dyrektywy PSD2.

Celem proponowanej dyrektywy PSD2 jest uchylenie dyrektywy PSD oraz doprecyzowanie i rozszerzenie ram prawnych określających zasady świadczenia usług płatniczych. Przyjęcie dyrektywy PSD2 będzie oznaczać rozszerzenie (względem obecnego stanu prawnego) zakresu przedmiotowego regulacji usług płatniczych, co ma zostać osiągnięte przede wszystkim poprzez modyfikację zakresu wyłączeń spod reżimu regulacyjnego. Zmiany te będą polegały m.in. na:

• rezygnacji z wyłączenia z zakresu dyrektywy tzw. usług bankomatowych oferowanych przez niezależnych operatorów bankomatów;
• zawężenia wyłączeń z zakresu dyrektywy przewidzianych dla:
  • transakcji płatniczych realizowanych za pośrednictwem agentów handlowych,
  • usług płatniczych świadczonych w ramach tzw. ograniczonej sieci,
  • transakcji płatniczych przeprowadzanych przez dostawcę sieci lub usług łączności elektronicznej (gdy są one realizowane na rzecz abonenta sieci lub usługi oraz w celu zakupu treści cyfrowej jako usługi „pomocniczej” - dotknie to zatem głównie usługi świadczone przez firmy telekomunikacyjne.

Ponadto planowane jest rozszerzenie zakresu przedmiotowego dyrektywy poprzez objęcie wskazanymi w niej wymogami (tj. art. 78⁸ oraz tytuł III⁹ projektu PSD2¹⁰) transakcji płatniczych określanych jako one-leg-out transactions, tj. takich, w przypadku których tylko jeden z dostawców usług płatniczych znajduje się na terenie UE/EOG (w odniesieniu do tych części transakcji, które są realizowane w UE/EOG)¹¹. Ta nowa kategoria transakcji zostanie więc w dużej mierze poddana reżimowi dyrektywy. Mimo braku takiego obowiązku dość liczne państwa członkowskie UE w ramach swego prawodawstwa już przedtem wymagały od dostawców usług płatniczych stosowania wymogów określonych w tytule III dyrektywy PSD wobec one-leg-out transactions. Dlatego też wspomniana propozycja wychodzi naprzeciw ugruntowanej rzeczywistości rynkowej¹².

Jednocześnie Komisja Europejska zaproponowała, aby wymogi dotyczące przejrzystości oraz wymogi informacyjne stały się obowiązujące dla transakcji we wszystkich walutach. Oprócz wymienionych zmian projekt nowej dyrektywy obejmuje m.in. kwestię uściślenia zasad dostępu do systemów płatności dla niebankowych dostawców usług płatniczych, tj. w szczególności dla instytucji płatniczych (IP) i instytucji pieniądza elektronicznego (IPE).

Celem projektowanych zmian w zakresie dostępu do systemów płatności (w rozumieniu dyrektywy 98/26/WE, zwanej dyrektywą SFD¹³) jest uregulowanie kwestii dostępu instytucji niebankowych świadczących usługi płatnicze do tego typu systemów. W projekcie postuluje się usankcjonowanie kwestii dostępu pośredniego dostawców usług płatniczych niebędących bankami (tj. np. IP i IPP) do wymienionych systemów płatności (zob. proponowane brzmienie art. 29 ust. 2 projektu dyrektywy PSD2)¹⁴. W tym kontekście należy też generalnie podkreślić, iż kwestia ewentualnego bezpośredniego dostępu IP i IPE do systemów płatności budzi spory. Komisja Europejska wskazuje bowiem, że nie ma potrzeby zapewnienia dostępu do systemów płatności tego typu podmiotom i przestrzega przed zbyt dużym ryzykiem, które mogłoby się z tym wiązać. Ostateczna decyzja w sprawie bezpośredniego dostępu IP oraz IPE do systemów płatności jest jednakże nadal kwestią nieprzesądzoną.

Biorąc pod uwagę rozwój rynku usług płatniczych, należy mieć na względzie, że dopiero otwarty dostęp IP oraz IPE do systemów płatności oznaczałby szansę na urzeczywistnienie realnej konkurencji dla banków w zakresie płatności bezgotówkowych. Konsekwencje otwarcia dostępu do systemów płatności dla niebankowych dostawców usług płatniczych mogą być zatem korzystne, jako że potencjalnie przyniosłyby większą konkurencyjność, spadek opłat, zmniejszenie wykluczenia finansowego oraz urzeczywistnienie ogólnych założeń, które przyświecały powołaniu do życia IP i IPE¹⁵.

Najważniejszą zmianą przewidzianą w projekcie PSD2 wydaje się wprowadzenie nowej kategorii podmiotu - „dostawcy usług płatniczych będącego osobą trzecią” (third-party payment service provider, TPP). Jest to podmiot „trzeci” w stosunku do użytkownika zasadniczej usługi płatniczej (tj. płatnika/odbiorcy) oraz dostawcy usług płatniczych, który dla tego użytkownika powadzi rachunek (account servicing payment service provider, ASPSP). Proponuje się zatem nowy podział dostawców usług płatniczych na tzw. ASPSP (podmioty prowadzące rachunki dla użytkowników usługi płatniczej, czyli np. banki) oraz NON-ASPSP (podmioty, które takich rachunków nie prowadzą, czego przykładem są TPP). Ze zmianą polegającą na wprowadzeniu kategorii TPP idzie w parze rozszerzenie katalogu usług płatniczych o dwa nowe typy usług (por. pkt 7 Załącznika I do projektowanej dyrektywy PSD2):

• usługi inicjowania płatności (payment initiation services, PIS),
• usługi zapewniające dostęp do informacji o rachunku (account information services, AIS).

Oba typy usług mają być w założeniu świadczone przez dostawcę usług płatniczych, który nie jest „dostawcą usług płatniczych prowadzącym rachunek”, czyli przez podmiot „trzeci” (TPP).

W ramach usługi typu PIS dostawca usługi (TPP), za pomocą poświadczeń przekazanych mu przez płatnika, sprawdza dostępność środków pieniężnych na rachunku płatnika, dokonuje inicjacji płatności, a następnie uzyskuje potwierdzenie, że płatność została dokonana (należy jednak pamiętać, iż to nie on, lecz podmiot prowadzący rachunek przeprowadza płatność).

W ramach usługi typu AIS dostawca usługi (TPP) uzyskuje dostęp do rachunku lub kilku rachunków płatnika, pobiera informacje dotyczące zgromadzonych środków pieniężnych i dokonuje agregacji danych stosownie do potrzeb płatnika oraz odbiorcy płatności. Należy jednak dodać, iż wspomniana konfiguracja podmiotowa, jak również istota obu opisanych wyżej usług nasuwają zastrzeżenia co do zasadności ich zaklasyfikowania do grupy usług płatniczych. Warto zwrócić uwagę, iż w przeciwieństwie do pozostałych typów usług płatniczych wyróżnionych przez dyrektywę PSD w tym przypadku usługa nie polega ani na dokonaniu transakcji płatniczej jako takiej, ani na podejmowaniu innych czynności warunkujących w sensie technicznym transfer lub wypłatę środków pieniężnych. Żadna z tych usług nie wiąże się też z wchodzeniem przez TPP jako usługodawcę w posiadanie środków pieniężnych należących do stron transakcji płatniczej. Obie te usługi mają więc de facto charakter czysto pomocniczy względem właściwych usług płatniczych, tj. takich, które wiążą się z transakcyjnymi przesunięciami środków pieniężnych. Dlatego też wydaje się, iż w zasadzie powinny być traktowane jako działania podejmowane w celu ułatwienia dokonania (jak w przypadku usługi typu PIS) bądź weryfikacji możliwości dokonania (jak w przypadku usługi typu AIS) płatności wynikającej z zawieranej transakcji. Niektórzy wskazują, iż charakter tych działań zbliża je raczej do usług, których przedmiotem jest przetwarzanie danych osobowych (personal data services)¹⁶. Z tej przyczyny za uprawnione należy uznać wątpliwości niektórych organów nadzoru (w tym polskiej KNF), czy tego rodzaju usługi powinny być włączane w katalog usług płatniczych.

Niezależnie od niejasności w zakresie statusu usług typu PIS i AIS, wiele pytań wzbudza kwestia nowej instytucji prawnej, jaką stanowić mają TPP. Stąd w ramach prac Grupy ds. Usług Finansowych w Radzie UE toczy się debata, w jaki sposób regulować materię TPP. Przede wszystkim można mówić o różnych koncepcjach rozwiązania tej kwestii, np.:

1. w ramach regulacji (tj. ścisłe określenie zasad i zakresu działania TPP w przepisach prawa powszechnie obowiązującego),
2. w ramach stosunków umownych (tj. pozostawienie swobody określania tych zasad przez zainteresowane strony - np. regulamin określający warunki obowiązkowego przyznania dostępu TPP do rachunków płatniczych),
3. w ramach podejścia mieszanego (tj. określenia jedynie bazowych zasad w aktach prawnych z możliwością doprecyzowywania zasad szczegółowych w umowach).

Ponadto, należy mieć na uwadze, że z udziałem podmiotów trzecich w procesie dokonywania płatności mogą wiązać się również zagrożenia, jak np. phishing, nieuprawnione wykorzystanie danych osobowych, problemy z ustaleniem odpowiedzialności za nieautoryzowane transakcje. W dyskusji podnosi się kilka ważnych problemów¹⁷:

• standard ustalony w drodze regulacji (ustawa) czy umowy między ASPSP a TPP (PE i KE opowiadają się za brakiem umów - rola EBA w wypracowaniu standardu),
• SecuRe Pay Forum (rekomendacje)¹⁸,
• bezpieczeństwo operacyjne (phishing),
• warunki i koszty dostępu,
• kapitały na pokrycie strat.

W dyskusjach nad zapisami projektu PSD2 przytacza się różne postulaty, które powinny być spełnione, aby korzystanie z usług świadczonych przez TPP przebiegało sprawnie i bezpiecznie. Przykładowy katalog warunków dostępu TPP do rachunków mógłby wyglądać w sposób następujący:

• obowiązek zawarcia umowy pomiędzy TPP a dostawcą prowadzącym rachunek,
• wyraźne ograniczenie do rachunków płatniczych,
• taki sam system nadzoru jak w przypadku typowych IP,
• kompensacyjny poziom opłat - tylko uzasadnione koszty udostępnienia informacji,
• różne reżimy prawne dla różnych podmiotów uzyskujących dostęp do informacji.

Modele dostępu TPP do rachunku klienta (płatnika lub odbiorcy) mogą być w praktyce różnie skonstruowane, np. jako:

• pełny dostęp do rachunku w imieniu klienta,
• ograniczony dostęp do rachunku klienta,
• przekierowanie (re-directing) na stronę banku, z gwarancją płatności udzieloną przez bank lub odmową wykonania zlecenia (w razie braku środków).

Opisane warunki dostępu powinny być sformułowane w sposób zapewniający równość stron stosunku umownego - dostawcy usług płatniczych świadczącego usługę rachunku płatniczego i dostawcy będącego TPP.

Mówiąc o regulacji TPP, warto mieć świadomość, że dla rynku takie podmioty nie są zjawiskiem nowym. Jeżeli chodzi o podmioty typu NON-ASPSP (tj. potencjalni TPP), na obecnym etapie rozwoju rynku usług płatniczych można podać kilka przykładów świadczenia konkretnej usługi¹⁹:

• usługa inicjacji płatności (przykłady: Sofort, Trustly, Ideal) - transakcja jednorazowa, przekazanie zlecenia transakcji płatniczej do ASPSP z użyciem jednorazowych danych autoryzacyjnych ASPSP, weryfikacja dostępności środków;
• wydawanie instrumentu płatniczego (przykłady: PayPal, Amazon Payment, i-Tunes, PayFair, MNOs, Amex) - działalność dwustopniowa: transakcja płatnicza z rachunku wydawcy instrumentu płatniczego do akceptanta; płatność z rachunku ASPSP na rachunek wydawcy instrumentu (polecenie zapłaty, polecenie przelewu, transakcja kartowa), wykorzystywanie własnych sposobów autoryzacji wydawcy instrumentu płatniczego oraz weryfikacja dostępności środków; w tym przypadku ma miejsce wchodzenie w długofalowe relacje z klientem oraz tworzenie rachunku wydawcy instrumentu płatniczego, generowanie własnych danych autoryzujących;
• usługa dostępu do informacji z rachunku (przykład: Star Money) - brak inicjowania płatności.

Regulacja działalności TPP w PSD2 stanowi zatem odpowiedź na działalność tego typu podmiotów w praktyce gospodarczej, która dotychczas pozostawała nieuregulowana.

Rola TPP oraz kwestia regulacji ich statusu prawnego

Dyrektywa PSD ujednolica zasady realizacji transakcji płatniczych w państwach członkowskich Europejskiego Obszaru Gospodarczego (EOG), przeprowadzanych w walucie EUR lub w walutach tych państw. Jest to dyrektywa pełnej harmonizacji, a zatem jej normy są spójne i jednolite dla wszystkich dostawców usług płatniczych, którzy prowadzą działalność na tym obszarze. Legislatorzy krajowi mają bardzo wąskie pole manewru w odniesieniu do kształtowania treści implementowanych przepisów²⁰.

Dla banków i instytucji płatniczych z krajów EOG akt ten implikuje zatem sztywne wymogi formalnoprawne w następujących obszarach relacji z klientami:

• zakres informacji przekazywanych klientowi przez dostawcę usług płatniczych w ramach umowy o świadczeniu usług płatniczych,
• opłaty ponoszone przez klienta z tytułu wymienionej umowy,
• szczegółowe zasady obsługi płatności przez dostawcę w ramach umowy,
• odpowiedzialność dostawcy w stosunku do klienta wynikająca z warunków wymienionej umowy.

Jak wspomniano, projekt PSD2 wprowadza pojęcie TPP. Propozycję definicji zamieszczono w art. 4 pkt 11 projektu PSD2. TPP oznacza dostawcę usług płatniczych prowadzącego rodzaje działalności gospodarczej, o których mowa w załączniku I pkt 7, tj. w zakresie wspomnianych usług typu PIS i AIS. Działalność TPP można zatem rozumieć dwojako. Po pierwsze, mogą to być podmioty świadczące usługę typu PIS, tj. inicjujące płatności z rachunku płatnika (z praktyki rynkowej za takie można uznać np. Sofortüberweisung i Giropay). Podmioty takie cechują się tym, że w celu zainicjowania płatności uzyskują dostęp do rachunku płatnika, pomimo że nie prowadzą dla niego tego rachunku. W ten sposób tworzą one „pomost” w formie oprogramowania między stroną WWW sprzedawcy czy usługodawcy a stroną podmiotu prowadzącego rachunek płatnika. Poprzez ten kanał komunikacyjny płatnik autoryzuje płatność bezpośrednio lub za pomocą specjalnego instrumentu autentyfikacyjnego wobec sprzedawcy, który obciąża rachunek płatnika.

W tym kontekście należy jednak przypomnieć, że TPP nie będzie dysponować samodzielnie (w żadnym momencie) kwotą płatności ani innymi środkami pochodzącymi z rachunku płatnika. Podmiot ten będzie wyłącznie związany celem, jakim jest inicjacja płatności między płatnikiem a sprzedawcą, dokładnie tak, jak to ma miejsce w procesie przelewu. Warto przy tym mieć świadomość, że zgodnie z art. 57 ust. 2 projektu PSD2 udzielenie przez płatnika zezwolenia na zainicjowanie płatności przez TPP będzie uważane za wyrażenie zgody na wykonanie transakcji płatniczej²¹.

Sprzedawca (odbiorca płatności) zaś będzie miał tę korzyść, że po zakończeniu procedury przez TPP nie będzie można jej już odwrócić (tj. odwołać zgody) czy wycofać zlecenia płatniczego²². Sprzedawca ma pewność, że płatność za towar lub usługę zostanie zrealizowana, zanim wykona on świadczenie wzajemne. Dzieje się to więc podobnie, jak przy płatności kartą, z tym że w przypadku płatności kartą koszty są wyższe (disagio) niż w przypadku wykorzystania nowego trybu bazującego na TPP. Ponadto posiadacz karty musi ją mieć przy sobie (co wiąże się np. z ryzykiem kradzieży bądź przypadkowej utraty), a także uiszczać opłaty związane z samym faktem posiadania karty.

Drugie rozumienie działalności TPP dotyczy świadczenia usługi typu AIS, tj. pozyskiwania w procesie realizacji płatności (w tym także płatności mobilnych) informacji na temat stanów konta. Dzięki temu TPP - poprzez stronę WWW lub aplikacje mobilne (typu smartphone-App) - uzyskuje syntetyczny raport z konta zawierający dane poświadczające dostępność środków koniecznych do dokonania transakcji. TPP nie inicjuje jednak w tym przypadku w żadnym czasie operacji płatności ani nie dysponuje środkami z rachunku płatnika.

Wprowadzenie osoby trzeciej - pośrednika między wierzycielem a dłużnikiem - wywołuje pewne problemy prawne, których projekt dyrektywy PSD2 nie rozwiązuje w sposób jednoznaczny. Chodzi np. o kwestie ochrony danych czy bezpieczeństwa z tytułu włączenia osoby trzeciej w proces realizacji transakcji oraz podmiotu prowadzącego rachunek.

Przykładowo rodzą się pytania, czy i na jakich warunkach klient (płatnik) - jako osoba korzystająca z usługi płatniczej - może i powinien udzielić osobie trzeciej istotnych informacji (skoro zarówno w świetle prawa, jak i na podstawie umowy z dostawcą usług płatniczych powinien takie informacje chronić), a także czy i jak podmiot prowadzący rachunek ma obowiązek przekazać informacje poufne (nie łamiąc przy tym np. tajemnicy bankowej). Warto dodać, iż masowość transakcji dokonywanych w standardzie SEPA i korzystanie przez banki z oprogramowania „w chmurze” podnoszą dodatkowo rangę tych problemów²³.

Ważną kwestią jest regulacja statusu prawnego TPP. Z analizy zapisów projektu PSD2 wynika, iż podmioty te będą co do zasady podlegały takiemu reżimowi autoryzacyjnemu jak typowe IP. W celu świadczenia usług płatniczych TPP będzie musiał uzyskać zezwolenie na działalność w charakterze instytucji płatniczej (art. 10 ust. 1 w zw. z art. 1 ust. 1 projektu PSD2). Dzięki uzyskanemu zezwoleniu TPP (jak i inne IP) będzie mógł działać w innych państwach członkowskich na zasadzie jednolitego paszportu (art. 10 ust. 9 projektu PSD2).

Wyjątkiem będzie, podobnie jak ma to miejsce w stosunku do IP na gruncie dyrektywy PSD, sytuacja, w której dany podmiot spełnia przesłanki²⁴ do wyłączenia spod obowiązku uzyskania zezwolenia. Nastąpi wówczas przejście na tryb „rejestracyjny”, co oznacza, że świadczenie usług płatniczych będzie mogło odbywać się na podstawie samej rejestracji, połączonej z wpisem do odpowiedniego rejestru prowadzonego w danym państwie członkowskim (art. 10 w zw. z art. 27 i art. 13 projektu PSD2). W dalszym ciągu podmiot taki będzie jednak traktowany jak IP.

Istotna różnica względem zwyczajnego trybu autoryzacyjnego polega jednak na tym, że w omawianym przypadku nie ma zastosowania zasada jednolitego paszportu, a więc działalność takiego TPP ograniczona jest do państwa członkowskiego, w którym został on zarejestrowany. Na tym tle kontrowersje budził brak szczegółowego uregulowania w projekcie PSD2 wyjątku określonego w art. 27 PSD2 względem TPP. Jak słusznie zwrócił uwagę Europejski Bank Centralny, podmioty typu TPP świadczą usługi zazwyczaj za pośrednictwem internetu, wskutek czego ich działalność może w rzeczywistości łatwo wykraczać poza terytorium danego państwa członkowskiego²⁵. Z tego powodu EBC zarekomendował, żeby ze względów bezpieczeństwa w odniesieniu do TPP nie stosować wyłączenia przewidzianego w art. 27 projektu PSD2²⁶. Postulatowi temu wyszła naprzeciw poprawka przyjęta przez Parlament Europejski (art. 58 ust. 1 projektu PSD2), polegająca na wskazaniu, że państwa członkowskie mają zagwarantować użytkownikom usług płatniczych, do których rachunku można zapewnić dostęp za pomocą bankowości online, możliwość korzystania z usług „autoryzowanych” TPP. Wydaje się, iż pozwoli to uniknąć wewnętrznej niespójności w PSD2, gdyż obowiązek umożliwienia dostępu do rachunku będzie istniał jedynie w razie korzystania z usług tych TPP, którzy uzyskali zezwolenie (a więc niepodlegających ograniczeniom w zakresie jednolitego paszportu).

Mimo uznania TPP za IP, będą oni musieli spełnić relatywnie niskie wymagania w zakresie bazy kapitałowej przedsiębiorstwa. Przewidziano bowiem w tym przypadku minimalną wysokość kapitału założycielskiego na poziomie 50 tys. EUR, podczas gdy dla większości IP świadczących innego rodzaju usługi płatnicze minimalny kapitał założycielski jest ponad dwukrotnie wyższy (125 tys. EUR).

Abstrahując od zasad autoryzacji TPP, warta dostrzeżenia jest szczególna pozycja TPP w relacjach pomiędzy podmiotami typu ASPSP a użytkownikami usług płatniczych. Należy zwrócić uwagę, iż świadczenie usług płatniczych typu PIS i AIS nie może odbywać się bez udostępnienia tym podmiotom informacji, które z założenia mają charakter danych wrażliwych. Powoduje to problemy natury prawnej, przejawiające się w swoistym konfliktem:

Wątpliwości te mogą mieć istotny wpływ na praktyczne zastosowanie wspomnianych usług płatniczych, gdyż zarówno po stronie ASPSP, jak i po stronie użytkownika usługi płatniczej powstaje świadomość ryzyka uznania takiego działania za sprzeczne z ustawą lub postanowieniami umownymi. Niemniej, dopuszczenie przez PSD2 takiego posługiwania się informacją o rachunku lub danymi autentyfikacyjnymi stanowiłoby regulację szczególną względem ogólnych reguł zakazujących przekazywania tego typu danych podmiotom trzecim. Z tego powodu ujawnienie danych wrażliwych powiązanych z rachunkiem klienta w celu skorzystania z usługi PIS/AIS nie będzie stanowiło podstawy obarczenia podmiotu odpowiedzialnością.

Akceptacji tego rozwiązania może sprzyjać fakt, że co do zasady TPP będą stanowić instytucje regulowane²⁷, a więc - przynajmniej teoretycznie - instytucje, które działają w oparciu o zasady zaufania publicznego i profesjonalizmu. Niezależnie od powyższego, kwestią o dużym znaczeniu pozostaje zapewnienie w finalnej wersji dyrektywy PSD2 jak najskuteczniejszego reżimu ochrony danych, tak aby zminimalizować ryzyko ich nieuprawnionego wykorzystania.

W tym miejscu wypada nadmienić, iż zapisy projektu PSD2 były również analizowane przez Europejskiego Inspektora Ochrony Danych, który nie dopatrzył się żadnych zagrożeń w tym aspekcie. Wniósł jednak m.in. słuszny postulat, by w odniesieniu do weryfikacji dostępności środków na rachunku klienta dyrektywa PSD2 jasno wskazywała, że informacja przekazywana do TPP powinna przybierać wyłącznie formę odpowiedzi „tak” lub „nie” (tj. środki dostępne/niedostępne), bez wskazywania szczegółowych informacji, np. o stanie rachunku²⁸.

Propozycja ta zasługuje na poparcie, bowiem zakres informacji ujawnianych TPP powinien korespondować z celem, w jakim informacja jest udzielana. Należy rekomendować podejście minimalistyczne, polegające na udostępnianiu przez ASPSP jedynie takiego zakresu informacji o środkach klienta, jaki jest niezbędny do ustalenia dostępności środków na potrzeby danej transakcji płatniczej²⁹.

Problem podziału odpowiedzialności między interesariuszami (ASPSP, TPP oraz użytkownikami usług płatniczych)

Jedną z podstawowych kwestii istotnych z punktu widzenia TPP jest problem odpowiedzialności za niewykonanie lub niewłaściwe wykonanie transakcji płatniczej. Na gruncie PSD2 podmioty typu TPP będą uzyskiwać dostęp do informacji o rachunku płatniczym klienta i inicjować płatności z tego rachunku. Konsekwentnie jednak TPP będą musieli zagwarantować nienaruszalność uzyskiwanych informacji wrażliwych przez osoby niepowołane. Zgodnie z art. 58 ust. 2 projektu PSD2 TPP zobowiązani będą nie tylko do zapewnienia, by indywidualne zabezpieczenia użytkownika usług płatniczych nie były dostępne dla innych stron, ale także m.in. do nieprzechowywania indywidualnych zabezpieczeń użytkownika usług płatniczych. Wymóg ten należy ocenić pozytywnie. Przyzwolenie na gromadzenie przez TPP danych autentyfikacyjnych po wykonaniu usługi rodziłoby ryzyko ze względu na możliwość zarówno wykradzenia zbioru danych, jak i potencjalnego nieuprawnionego wykorzystania takich danych przez TPP.

Nie należy jednak tego mylić z danymi, które można określić jako „ewidencjonujące” historię transakcji (np. IBAN płatnika i odbiorcy, numer referencyjny i kwota transakcji). Tego rodzaju dane mogą (i powinny) być przechowywane przez TPP. Należy bowiem pamiętać, że - chociażby na gruncie art. 40 projektu PSD2 - jeżeli zlecenie płatnicze inicjowane jest przez własny system TPP, wówczas w razie oszustwa lub sporu TPP zobowiązany jest udostępnić płatnikowi oraz ASPSP numer identyfikacyjny transakcji oraz informację o autoryzacji. Parlament Europejski wprowadził dodatkowo poprawkę, zgodnie z którą TPP powinni powstrzymać się od wykorzystywania danych w celach innych niż wyraźnie dozwolone przez użytkownika usługi płatniczej.

Jeśli chodzi o niewykonanie lub wadliwe albo opóźnione wykonanie transakcji płatniczej, w przypadku gdy zlecenie płatnicze jest inicjowane przez płatnika za pośrednictwem TPP, TPP ponosi względem płatnika odpowiedzialność za prawidłowe wykonanie transakcji. Jego odpowiedzialność będzie jednak wyłączona, gdy TPP udowodni odpowiednio płatnikowi lub ASPSP, że ASPSP płatnika otrzymał inicjację płatności. Wówczas ciężar odpowiedzialności za prawidłowe wykonanie transakcji płatniczej przechodzi na ASPSP prowadzący rachunek na rzecz płatnika (art. 80 ust. 1 projektu PSD2).

Jeżeli więc zlecenie płatnicze zainicjowane przez TPP doszło do ASPSP, to w przypadku niewłaściwie wykonanej transakcji płatniczej osobie korzystającej z usługi płatniczej przysługiwać będzie roszczenie o odszkodowanie wobec podmiotu prowadzącego rachunek, a nie wobec TPP. Innymi słowy, TPP może dość łatwo zwolnić się z odpowiedzialności, wykazując, że zainicjowaną płatność doprowadził do właściwego podmiotu i skutku.

Powyższe zasady dotyczą transakcji autoryzowanych. Może się jednak zdarzyć, że użytkownik usługi płatniczej będzie zaprzeczał, jakoby transakcja została przez niego autoryzowana. Wówczas projekt PSD2 proponuje swoisty podział odpowiedzialności za wykazanie prawidłowości dokonania autoryzacji pomiędzy ASPSP a TPP. Co do zasady bowiem ASPSP będzie w takich sytuacjach odpowiedzialny za udowodnienie, że transakcja była autoryzowana, odpowiednio zapisana i zaksięgowana oraz że nie wpłynęła na nią żadna awaria techniczna ani innego rodzaju usterka. Jeśli jednak TPP był zaangażowany w danej transakcji płatniczej, to odpowiedzialność ta leży również po jego stronie (art. 64 ust. 1 projektu PSD2).

Wskazówką do rozgraniczenia odpowiedzialności obu podmiotów ma być zasada, że jeśli transakcja płatnicza została zainicjowana za pośrednictwem TPP, to na TPP spoczywać ma ciężar udowodnienia, że była ona autoryzowana, odpowiednio zapisana i zaksięgowana oraz że nie wpłynęła na nią żadna awaria techniczna ani innego rodzaju usterka związana z usługą płatniczą wykonywaną przez TPP. Ten zapis w redakcji zaproponowanej przez Parlament Europejski nieco rozszerza odpowiedzialność TPP w przypadku transakcji nieautoryzowanej w porównaniu do pierwotnego brzmienia projektu, w którym zwolnienie TPP od odpowiedzialności wymagało jedynie wykazania spójności i technicznej sprawności własnego systemu informatycznego. W nawiązaniu do tego trzeba jednak zauważyć, iż ogólne zasady podziału odpowiedzialności będą w takich przypadkach działać na niekorzyść ASPSP. Pierwotne brzmienie projektu zakładało, że nawet jeśli po stronie TPP wystąpi defekt, ASPSP będzie dokonywać zwrotu środków, które wypłynęły z rachunku klienta wskutek nieautoryzowanej transakcji, i przywracać rachunek do stanu, jaki istniałby, gdyby kwestionowana transakcja nie została wykonana³⁰, zaś ewentualnie w dalszej kolejności dochodzić roszczeń od TPP na zasadzie regresu.

Sytuację ASPSP nieco polepsza poprawka do projektu, wedle której jeśli TPP nie wykaże braku swej odpowiedzialności za nieautoryzowaną transakcję, powinien w ciągu jednego dnia roboczego dokonać na rzecz ASPSP rekompensaty „rozsądnych kosztów” (w tym kwoty, na jaką opiewała nieautoryzowana transakcja) poniesionych wskutek zwrotu środków klientowi (art. 65 ust. 2 projektu PSD2). Nie zmienia to jednak faktu, że ciężar zwrotu tych środków wciąż będzie spoczywał na ASPSP³¹.

Bez uszczerbku dla zasad podziału odpowiedzialności zawartych w ww. art. 65 ust. 2 oraz 80 ust. 1 projektu PSD2 w przypadku uprawnienia użytkownika usługi płatniczej do uzyskania tzw. korekty na skutek dokonania powiadomienia o stwierdzeniu nieautoryzowanej lub nieprawidłowo wykonanej transakcji, obowiązek dokonania korekty spoczywać ma na ASPSP, również w przypadku gdy w zainicjowanie transakcji płatniczej zaangażowany był TPP (art. 63 ust. 2 projektu PSD2)³². Odpowiedzialność może również ponosić płatnik - użytkownik usługi płatniczej - jeżeli nie dołożył należytej staranności, np. działał wbrew zasadom bezpieczeństwa systemu płatności.

Szereg niejasności i wątpliwości istniał dotychczas na tle praw i obowiązków związanych z zapewnieniem bezpieczeństwa. Dostawca usług płatniczych mógł się uchylić od odpowiedzialności odszkodowawczej w szczególności, gdy płatnik zaniedbał spełnienie wymogów systemu autentyfikacji tożsamości. Projekt PSD2 obniża kwotę maksymalnej odpowiedzialności płatnika ze 150 EUR do 50 EUR. Znika przy tym warunek, by klient przestrzegał uzgodnionych kontraktowo zasad bezpieczeństwa. Jednak należy mieć na względzie, że dostawcy usług płatniczych (np. kart płatniczych), zwłaszcza w obliczu konieczności spełnienia różnych warunków, w niewielkim stopniu korzystali dotychczas z możliwości obciążania klienta - np. w drodze wykazania naruszania przezeń zasad bezpieczeństwa,- ze względu na relację nakładów do efektów.

W kontekście bezpieczeństwa transakcji płatniczych dokonywanych z udziałem TPP jednym z najmocniej podkreślanych postulatów jest doprowadzenie do uwzględnienia w PSD2 obowiązku sformalizowania relacji pomiędzy ASPSP a TPP (w formie umowy lub obustronnie akceptowanego zbioru standardów działania TPP, np. regulaminu) przed dopuszczeniem TPP do świadczenia usług. Wydaje się to nieodzowne zarówno ze względu na bezpieczeństwo środków klientów ASPSP, jak i z punktu widzenia samych ASPSP. Skoro bowiem - jak wskazano wyżej - odpowiedzialnością za zwrot środków pieniężnych w razie zaistnienia nieautoryzowanych transakcji (a także obowiązkiem dokonywania tzw. korekt) obciążone mają zostać w pierwszym rzędzie ASPSP, powinny one mieć prawnie zapewnioną przejrzystość zasad współpracy z TPP.

Należy uwzględniać fakt, iż w razie braku jakiegokolwiek stosunku umownego pomiędzy ASPSP a TPP, ASPSP, otrzymując od TPP informację o inicjacji płatności, będzie pozbawiony możliwości sprawnego zweryfikowania tego, czy rzeczywiście TPP uzyskał od użytkownika usługi płatniczej zezwolenie na zainicjowanie tej płatności. W tym aspekcie pozytywnie można jednak ocenić poprawkę Parlamentu Europejskiego, z której wynika dla ASPSP możliwość odmówienia TPP wykonania usługi związanej z rachunkiem, jeżeli zgoda klienta nie była wyraźna. Nie ulega natomiast wątpliwości, że TPP, którzy zapewne częstokroć będą małymi instytucjami (jak wspomniano wyżej - o relatywnie niskim kapitale i niekoniecznie nawet podlegającymi typowemu reżimowi autoryzacyjnemu), mogą ze zrozumiałych względów wzbudzać ogólny brak zaufania dużych dostawców usług płatniczych, np. banków. Może się bowiem zwiększać ryzyko dla banków, gdyż TPP będą z reguły słabsi kapitałowo, zaś ewentualne odszkodowania za niewłaściwie dokonane transakcje spadną w pierwszym rzędzie na banki. Do tego dochodzą trudności w wykazaniu np. winy użytkownika, gdyż kradzież danych może następować w internecie w rozmaity sposób (phishing).

Do rozważenia pozostaje kwestia, czy i jak użytkownik usługi płatniczej mógłby komunikować swojemu ASPSP, z usług których TPP chce korzystać. Przykładowo mógłby on zawierać z ASPSP porozumienie, w którym strony określałyby, z pośrednictwa jakich TPP będą korzystać. Rozwiązanie takie zwiększałoby bezpieczeństwo zarówno klienta, jak i ASPSP, lecz mogłoby nadmiernie usztywniać zakres korzystania z TPP (np. gdyby TPP, z którym współpracuje potencjalny odbiorca, nie figurował na liście ustalonej przez płatnika z jego ASPSP). Wysuwane były też dalej idące postulaty, np. aby możliwość przekazania TPP indywidualnych zabezpieczeń użytkownika była uzależniona od zgody wszystkich stron zaangażowanych, tj. użytkownika usługi płatniczej, TPP oraz ASPSP³³.

Na potrzebę dopracowania zapisów projektu PSD2 odnoszących się do TPP wskazał też EBC. W wydanej opinii nie zgłosił wprawdzie zastrzeżeń dotyczących koncepcji dostępu TPP do rachunków płatniczych, lecz wskazał, iż konieczne jest stworzenie takich zapisów dyrektywy, która wyjaśni najważniejsze aspekty szczegółowe związane z działaniem TPP (w tym zasady dotyczące odpowiedzialności)³⁴. EBC zwrócił ponadto uwagę na zapis projektu PSD2 mówiący m.in. o tym, że TPP muszą uwierzytelniać się w sposób jednoznaczny względem ASPSP³⁵. Kwestia ta ma zostać uszczegółowiona w wytycznych Europejskiego Urzędu Nadzoru Bankowego (art. 87 ust. 3 projektu PSD2).

Trzeba też liczyć się z koniecznością zapewnienia sprawności działań TPP w sensie technicznym. Można przypuszczać, że na skutek wprowadzenia regulacji dotyczących TPP banki oraz inne ASPSP będą musiały zmodyfikować swoje systemy informatyczne, aby umożliwiać przekierowywanie klienta, a w istocie usługodawcy, na stronę logowania do rachunku. Tym bardziej uzasadnia to potrzebę wypracowania pewnych rozwiązań (w miarę możliwości - wystandaryzowanych w skali UE) w zakresie unormowania technicznych aspektów dostępu TPP do rachunków prowadzonych przez ASPSP, np. w formie jednolitego europejskiego interfejsu umożliwiającego dostęp do rachunków płatniczych³⁶.

Pozostałe kwestie dotyczące odpowiedzialności dostawców usług płatniczych

Obecnie w PSD brakuje jasnych regulacji dotyczących nadużyć ze strony osób trzecich - w toku korzystania z kart płatniczych na odległość, czyli bez fizycznego przedłożenia i autoryzowania transakcji przez płatnika. Kluczowe pytanie odnosi się do tego, czy można w drodze analogii mówić o autoryzowaniu transakcji w tym samym sensie, jak to się dzieje, gdy klient jest obecny i autoryzuje transakcję za pomocą poufnych numerów PIN lub TAN. Wydrukowany i przekazywany e-mailem numer karty nie jest tym samym, czym jest system autentyfikacji tożsamości. Sytuacja ta musi rzutować na możliwości obciążania płatnika winą za ewentualne nadużycia ze strony osób trzecich.

W noweli podjęto próbę usankcjonowania tej sytuacji, stwierdzając, że wina klienta jest wykluczona, jeżeli dostawca nie zastosował wzmocnionych środków bezpieczeństwa. Powinna to być kombinacja co najmniej dwóch elementów, w tym dotyczących: informacji (wiedzy), posiadania (dyspozycji) i cech wrodzonych płatnika³⁷. Podobna kwestia jest rozważany w kontekście polecenia zapłaty, które w normalnym trybie powinno być podpisane przez zleceniodawcę, ale w internecie - zwłaszcza w ramach SEPA - powstał problem poszukiwania alternatywnych metod wyrażania zgody na transakcję, na których wykorzystanie pozwalają ogólne warunki umów³⁸.

Regulamin korzystania z usługi płatniczej (np. karty płatniczej) powinien być proporcjonalny, niedyskryminacyjny i obiektywnie uzasadniony. Klient nie powinien być m.in. przeciążony nadmiernymi wymogami należytej staranności, np. technicznymi, a ponadto procedura sprawdzania tożsamości powinna być neutralna technologicznie - nie może utrudniać korzystania z innych, konkurencyjnych narzędzi płatności czy w ogóle zmierzać do wyparcia ich z rynku.

Tego typu ochrona klienta jest o tyle uzasadniona, że nowela utrzymuje, a nawet wzmacnia odpowiedzialność klienta za nadużycia osób trzecich, jeżeli zachował się rażąco lekkomyślnie i nie przestrzegał zasad bezpieczeństwa. Kraje członkowskie mogą tę kwestię regulować różnie, w zależności od systemu autentyfikacji tożsamości płatnika i okoliczności zawarcia transakcji. Projekt PSD2 w bardziej racjonalny i wyważony sposób reguluje problem błędnie wykonanych, w tym opóźnionych płatności. Opóźnienie nie może być jednak utożsamione z całkowitym brakiem realizacji płatności. Dostawca może się uwolnić od odpowiedzialności, jeżeli wykaże, że przekazał płatność do banku odbiorcy o czasie i w kwocie zleconej przez klienta.

Rozwój dotychczasowej praktyki jako impuls do jasnej regulacji statusu TPP

Dotychczas firmy konkurujące na dwustronnych (lub wielostronnych) rynkach instrumentów płatniczych oferowały często mało bezpieczne produkty, by za wszelaką cenę powiększać udziały rynkowe. Można to zauważyć w przeglądarkach internetowych, portalach społecznościowych i sieciach telefonii mobilnej. Na tym tle wiele uwag krytycznych dotyczyło niemieckiego systemu szybkich płatności (niem. Sofortüberweisung, ang. Instant Payment)³⁹. Świadczy to o celowości regulacji statusu TPP w projekcie noweli PSD⁴⁰.

W Niemczech Giropay - system płatności założony przez Postbank, banki spółdzielcze oraz kasy oszczędnościowe - zaskarżył do sądu system szybkich płatności Sofortüberweisung, stwierdzając, że narusza on ogólne warunki umów (AGB). Niemiecki Urząd Antymonopolowy (Bundeskartellamt) włączył się w ten spór ze względu na podejrzenie, że Giropay podejmuje tendencyjne działania zmierzające do wyparcia Sofortüberweisung z rynku, a tym samym - ograniczenia konkurencji. Banki czasami wykazują tendencję do eliminowania z obrotu podmiotów trzecich, ponieważ uważają, że w sensie ekonomicznym uprawiają one „jazdę za darmo” (free riding) i pozbawiają ich części dochodów z usług płatniczych. Dlatego banki często żądają opłat od podmiotów trzecich i zawierania z nimi formalnych kontraktów.

Skoro w wyniku pojawienia się TPP przybywa różnych podmiotów mających status dostawców usług płatniczych (PSP), powstają obawy o równe i uczciwe warunki konkurencji (the level playing field). Funkcjonowanie podmiotów trzecich opiera się na bankowości elektronicznej, ale przecież podmioty te stają się częściowo konkurentami banków, gdyż oferują podobne usługi. Niektóre banki podejmują działania obstrukcyjne i zwalczają podmioty trzecie, ostrzegając przed nimi użytkowników lub blokując ich strony WWW. Ponadto niektóre podmioty trzecie są własnością banków (Giropay), inne działają niezależnie (Sofort). Prawne doprecyzowanie statusu TPP pomoże tym podmiotom konkurować z bankami w interesie użytkowników usług płatniczych. Regulacja utrudni bowiem bankom tendencyjne podejście do tych podmiotów, motywowane przeważnie władzą rynkową, promując konkurencję merytoryczną, którą w pełni akceptują i popierają władze antymonopolowe.

Podsumowanie

Ze względu na oligopolistyczny charakter rynku płatności regulatorzy często łagodzą wymogi dostępu do niego, chcąc pobudzić skuteczną konkurencję. Dotychczas firmy konkurujące na dwu- czy wielostronnych rynkach instrumentów płatniczych oferowały często mało bezpieczne produkty, by powiększać udziały rynkowe. Można to zaobserwować na przykładzie przeglądarek internetowych, portali społecznościowych i sieci telefonii mobilnej. Banki wprawdzie formalnie nie pozwalają na przekazywanie poufnych kodów i haseł osobom trzecim, ale udostępniają równocześnie mechanizm w miarę bezpiecznego dokonywania tego za pośrednictwem specjalnego oprogramowania. Dzieje się to jednak na granicy prawa, co świadczy o celowości regulacji statusu TPP w projekcie noweli PSD. Nowa dyrektywa PSD2 ma szansę wyjaśnić szereg kwestii problematycznych, które się pojawiają w obecnej praktyce rynkowej (tj. przy braku regulacji statusu TPP), np. kwestię ochrony prywatności w kontekście umożliwienia TPP dostępu do rachunku bankowego użytkownika na ściśle określonych warunkach, kwestię zakresu danych o rachunku udostępnianych TPP czy też kwestię podziału odpowiedzialności pomiędzy TPP a dostawców zasadniczej usługi płatniczej. Niewątpliwą korzyścią z przyjęcia nowych przepisów będzie znaczące zwiększenie pewności prawnej związanej z korzystaniem z usług TPP. Równocześnie projektowane zmiany powinny zapewnić stronom wartość dodaną w postaci optymalizacji procesu realizacji płatności.

Bibliografia

• Anderson R., Risk and Privacy Implications of Consumer Payment Innovation in the Connected Age, [w:] Consumer Payment Innovation in the Connected Age, conference proceedings, Federal Reserve Bank of Kansas City, Kansas City, 29-30.03.2012, http://www.kc.frb.org/publications/research/pscp/pscp-2012.cfm.
• Bautsch K., Zahrte K., Die SEPA-Migrationsverordnung - Revolution des deutschen Massenzahlungsverkehr im 2014?, „Zeitschrift für Bank- und Kapitalmarktrecht” 2012, Nr. 6, s. 229-232.
• Dyrektywa 2007/64/WE Parlamentu Europejskiego i Rady z dnia 13 listopada 2007 r. w sprawie usług płatniczych w ramach rynku wewnętrznego zmieniająca dyrektywy 97/7/WE, 2002/65/WE, 2005/60/WE i 2006/48/WE i uchylająca dyrektywę 97/5/WE (Dz.U. UE. L.2007.319.1 ze zm.).
• Dyrektywa 98/26/WE Parlamentu Europejskiego i Rady z dnia 19 maja 1998 r. w sprawie zamknięcia rozliczeń w systemach płatności i rozrachunku papierów wartościowych (Dz.U.UE.L.1998.166.45).
• Górka J., Rewolucyjne innowacje (disruptive innovations) na rynku płatności, [w:] Innowacje i nowe technologie w systemie płatniczym - wizja idealnego rozwiązania dla dynamicznie rozwijającego się rynku, materiały konferencyjne, Wydział Zarządzania UW, Warszawa, 17.06.2014.
• Hofmann Ch., Haftung im Zahlungsverkehr, „Zeitschrift für Bank- und Kapitalmarktrecht” 2014, Nr. 3, s. 105-112.
• Linardatos D., Der Kommissionsvorschlag für eine Zahlungsdiensterichtlinie II - Ein Überblick zu den haftungsrechtlichen Reformvorhaben, „Zeitschrift für Witschafts- und Bankrecht” 2014, Nr. 7, s. 300-306.
• Maughan A., Deane-Johns S., Review of the European Union's Proposal for a New Directive on Payment Services (PSD2), 28.02.2014, http://www.mondaq.com.
• Opinion of the European Central Bank of 5 February 2014 on a proposal for a directive of the European Parliament and of the Council on payment services in the internal market and amending Directives 2002.65/EC, 2013/36/EU and 2009/110/EC and repealing Directive 2007/64/EC (CON/2014/9), https://www.ecb.europa.eu/ecb/legal/pdf/en_con_2014_09_f_sign.pdf.
• Payment Service Directive II: Access to Account will boost innovation in payment landscape, Ecommerce Europe, 24.07.2014, http://www.ecommerce-europe.eu/press/2013/07/payment-service-directive-ii-access-to-account-will-boost-innovation-in-payment-landscape.
• Recomendations for the Security of Internet Payments, European Central Bank, Frankfurt am Main 2013, http://e-mentor.pl/0628.
• Schmatzberger T., Die Umsetzung der RL 2007/64/EG über Zahlungsdienste im Binnenmarkt und deren Vergleich mit Deutschland, Universität Wien, Wien 2012, http://othes.univie.ac.at/20992/1/2012-03-22_0302192.pdf, [11.07.2014].
• Söbbing T., Banken und Cloud Computing, „Zeitschrift für Bankrecht und Bankwirtschaft” 2013, Nr. 5, s. 364-372, http://dx.doi.org/10.15375/zbb-2013-0528.
• Szpringer W., Elektroniczne instrumenty płatnicze - tendencje rozwojowe, „e-mentor” 2013, nr 3(50), s. 89-100, http://www.e-mentor.edu.pl/artykul/index/numer/50/id/1031.
• Turing D., M. Troullinou, The Long Awaited Arrival of PSD2: a Summary of Some of the Key Provisions and Issues, „EPC Newsletter” 2013, No. 20, http://e-mentor.pl/0cdf.
• Wachnicka A., Aktualny stan prac nad nowymi regulacjami rynku płatności w Unii Europejskiej ze szczególnym uwzględnieniem usług typu TPP i TPA, [w:] Innowacje i nowe technologie w systemie płatniczym - wizja idealnego rozwiązania dla dynamicznie rozwijającego się rynku, materiały konferencyjne, Wydział Zarządzania UW, Warszawa, 17.06.2014.
• Wandhöfer R., PSD2: European Parliament Economic and Monetary Affairs Committee Draft Report Introduces Improvements and Reveals the Need for Further Clarifications, Says Parliament Regulatory Expert Group, „European Payments Council Newsletter” 2014, No. 21, http://e-mentor.pl/9e37.
• Werner S., Der Weg zu SEPA und die Auswirkungen auf die Zahlungsdienste - ein Überblick, „Zeitschrift für Witschafts- und Bankrecht” 2014, Nr. 6, s. 243-250.
• Zahrte K., Die Natur des Dauerauftrags vor dem Hintergrund des neuen Zahlungsdiensterechts, „Zeitschrift für Bank- und Kapitalmarktrecht” 2012, Nr. 1, s. 12-14.
• Zahrte K., Wirtksamkeit sog. „Internet-Mandate” im SEPA-Basis-Lastschriftverfahren. Vereinbarung zwischen Inkassobank und Lastschrifteinreicher, „Multimedia und Recht” 2014, Nr. 4, s. 211-212.