LEGE nr. 209 din 8 noiembrie 2019 privind serviciile de plată și pentru modificarea unor acte normative

Sistemele de plăți și prestatorii de servicii de plată pot procesa datele personale în cazul în care acest lucru este necesar pentru a garanta prevenirea, investigarea și detectarea fraudelor în domeniul plăților.

Furnizarea de informații către diferite persoane pentru prelucrarea datelor cu caracter personal se realizează în conformitate cu Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE și cu Regulamentul (UE) nr. 2018/1.725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1.247/2002/CE.

Prestatorii de servicii de plată accesează, prelucrează și păstrează datele cu caracter personal necesare pentru furnizarea serviciilor lor de plată doar cu consimțământul explicit al utilizatorului serviciilor de plată.

Prestatorii de servicii de plată stabilesc un cadru de măsuri de diminuare și mecanisme de control adecvate pentru a gestiona riscurile operaționale și de securitate, legate de serviciile de plată pe care le oferă. Acest cadru de măsuri impune prestatorilor de servicii de plată să instituie, să actualizeze și să aplice proceduri eficace de gestionare a incidentelor, inclusiv pentru identificarea și clasificarea incidentelor operaționale și de securitate majore.

Prevederile alin. (1) nu aduc atingere prevederilor capitolului II din Regulamentul (UE) 2022/2.554 al Parlamentului European și al Consiliului din 14 decembrie 2022 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1.011, în cazul în care acestea sunt aplicate de prestatorii de servicii de plată prevăzuți la art. 223 alin. (1) lit. a)-d) .

Entitățile prevăzute la art. 223 alin. (1) furnizează Băncii Naționale a României anual, în forma solicitată de aceasta, o evaluare actualizată și completă privind riscurile operaționale și de securitate legate de serviciile de plată pe care le oferă, privind gradul de adecvare a măsurilor de diminuare și a mecanismelor de control puse în aplicare ca răspuns la aceste riscuri.

Banca Națională a României poate să modifice frecvența de transmitere a evaluării prevăzute la alin. (2) de către prestatorii de servicii de plată, în conformitate cu reglementările sale.

În vederea prevenirii și diminuării riscurilor operaționale și de securitate asociate serviciilor de plată furnizate de entitățile prevăzute la art. 223 alin. (1) , Banca Națională a României poate coopera și participa la schimbul de informații cu alte autorități competente, Banca Centrală Europeană și Autoritatea Bancară Europeană și, după caz, cu Agenția Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor.

Prestatorii de servicii de plată prevăzuți la art. 223 alin. (1) lit. e) , persoane juridice române, care prestează servicii de plată pe teritoriul României, precum și pe teritoriul altor state membre, notifică Băncii Naționale a României orice incident operațional sau de securitate major, fără întârzieri nejustificate și în forma solicitată de Banca Națională a României.

În cazul în care incidentul are sau poate avea un impact asupra intereselor financiare ale utilizatorilor de servicii de plată, prestatorul de servicii de plată informează fără întârzieri nejustificate utilizatorii respectivi cu privire la incident și la toate măsurile pe care utilizatorii le pot lua pentru a atenua efectele negative ale acestuia.

La primirea notificării prevăzute la alin. (1) , Banca Națională a României transmite, fără întârzieri nejustificate, Autorității Bancare Europene și Băncii Centrale Europene detaliile relevante ale incidentului. După ce evaluează relevanța incidentului pentru alte autorități naționale din România, Banca Națională a României transmite acestora notificări în consecință. Banca Națională a României în cooperare cu Autoritatea Bancară Europeană și Banca Centrală Europeană evaluează relevanța incidentului pentru alte autorități ale Uniunii Europene și autorități naționale relevante.

Abrogat.

Pe baza notificării primite de la Banca Centrală Europeană și/sau Autoritatea Bancară Europeană cu privire la producerea unui incident, raportat acestora de către autoritatea competentă din statul membru de origine al prestatorului de servicii de plată care a înregistrat incidentul de plată, Banca Națională a României dispune, după caz, toate măsurile necesare pentru protejarea securității imediate a sistemului financiar.

Prestatorii de servicii de plată prevăzuți la art. 223 alin. (1) , cu excepția agenților prevăzuți la art. 223 alin. (1) lit. c) , furnizează Băncii Naționale a României, cel puțin anual, date statistice privind fraudele legate de diferite mijloace de plată. Banca Națională a României transmite către Autoritatea Bancară Europeană și Banca Centrală Europeană aceste date în formă agregată.

În exercitarea atribuțiilor prevăzute la alin. (5) și (6) , Banca Națională a României poate coopera cu alte autorități naționale relevante sau din alte state membre.

Prestatorii de servicii de plată aplică autentificarea strictă a clienților atunci când plătitorul

Atunci când se inițiază o operațiune de plată electronică în condițiile prevăzute la alin. (1) lit. b) , prestatorii de servicii de plată aplică autentificarea strictă a clienților, incluzând elemente care asigură o legătură dinamică între operațiune, o sumă specifică și un beneficiar al plății specific, în cazul în care operațiunile de plată electronică sunt inițiate la distanță.

În cazul prevăzut la alin. (1) , prestatorii de servicii de plată instituie măsuri de securitate adecvate în vederea protejării confidențialității și a integrității elementelor de securitate personalizate ale utilizatorilor serviciilor de plată.

Dispozițiile alin. (2) și (3) se aplică în cazul în care plățile sunt inițiate prin intermediul unui prestator de servicii de inițiere a plății, iar dispozițiile alin. (1) și (3) se aplică și în cazul în care informațiile sunt solicitate prin intermediul unui prestator de servicii de informare cu privire la conturi.

Prestatorul de servicii de plată care oferă servicii de administrare cont permite prestatorului de servicii de inițiere a plății să se bazeze pe procedurile de autentificare furnizate utilizatorului de servicii de plată de către prestatorul de servicii de plată care oferă servicii de administrare cont, în cazurile în care este implicat prestatorul de servicii de inițiere a plății, în conformitate cu alin. (1)-(3) .

Prestatorul de servicii de plată care oferă servicii de administrare cont permite prestatorului de servicii de informare cu privire la conturi să se bazeze pe procedurile de autentificare furnizate utilizatorului de servicii de plată de către prestatorul de servicii de plată care oferă servicii de administrare cont, în conformitate cu alin. (1) și (3) .

Instituțiile de credit, persoane juridice române, precum și sucursalele instituțiilor de credit din state membre și din state terțe, deschise în România, asigură instituțiilor emitente de monedă electronică, instituțiilor de plată și furnizorilor specializați în servicii de informare cu privire la conturi accesul la serviciile de conturi de plăți furnizate de acestea, pe baze obiective, nediscriminatorii și proporționale. Accesul este suficient de extins pentru a permite acestor categorii de prestatori de servicii de plată să furnizeze servicii de plată în mod nerestricționat și eficient.

Instituțiile de credit prevăzute la alin. (1) furnizează Băncii Naționale a României motivația corespunzătoare a oricărei decizii de respingere a accesului la conturile de plăți deschise în evidențele lor, potrivit prevederilor alin. (1) .

În cazul încălcării de către prestatorii de servicii de plată a prevederilor

Autoritatea Națională pentru Protecția Consumatorilor, Banca Națională a României, respectiv Agenția Națională de Administrare Fiscală informează, după caz, reclamantul, în răspunsul formulat către acesta, despre existența procedurilor extrajudiciare de soluționare a litigiilor.

În vederea soluționării pe cale amiabilă a eventualelor litigii și fără a se aduce atingere dreptului consumatorilor și utilizatorilor persoane juridice de a iniția acțiuni în justiție împotriva prestatorilor de servicii de plată care au încălcat dispozițiile prezentei legi ori dreptului acestora de a sesiza Autoritatea Națională pentru Protecția Consumatorilor, Agenția Națională de Administrare Fiscală, respectiv Banca Națională a României, după caz, potrivit prevederilor art. 71 alin. (5) și ale art. 222 , utilizatorii serviciilor de plată, persoane fizice și juridice, pot folosi procedurile extrajudiciare de soluționare a litigiilor.

Pentru soluționarea pe cale amiabilă a eventualelor litigii dintre utilizatorii și prestatorii serviciilor de plată, utilizatorii de servicii de plată, persoane fizice și juridice, și alte părți interesate pot recurge la procedura medierii, în temeiul prevederilor Legii nr. 192/2006 privind medierea și organizarea profesiei de mediator, cu modificările și completările ulterioare, și/sau la procedurile de soluționare alternativă a litigiilor administrate de Centrul de Soluționare Alternativă a Litigiilor în Domeniul Bancar, potrivit Ordonanței Guvernului nr. 38/2015 privind soluționarea alternativă a litigiilor dintre consumatori și comercianți, cu modificările ulterioare.

În cazul disputelor transfrontaliere, entitățile responsabile cooperează în mod activ cu organismele din alte state membre care asigură soluționarea pe cale extrajudiciară a disputelor dintre utilizatorii serviciilor de plată și prestatorii de servicii de plată.

Banca Națională a României este autoritatea competentă responsabilă cu asigurarea și monitorizarea respectării prevederilor art. 150-165 , art. 218-221 , art. 248 alin. (3) , a reglementărilor emise în aplicarea acestor articole, precum și a actelor delegate adoptate de Comisia Europeană în materie de servicii de plată, de către următoarele categorii de entități

În aplicarea alin. (1) , Banca Națională a României este abilitată

În aplicarea prevederilor alin. (2) lit. c) , Banca Națională a României are competența de a dispune următoarele măsuri administrative

Entitățile prevăzute la alin. (1) permit personalului împuternicit de Banca Națională a României să desfășoare activități de verificare a conformității cu cadrul legal, furnizând în acest scop toate documentele și informațiile, astfel cum vor fi solicitate de către acesta, și sunt obligate să transmită Băncii Naționale a României orice informații și documente solicitate, la termenele, periodicitățile și în forma solicitată de aceasta în scopul aducerii la îndeplinire a atribuțiilor conferite acesteia potrivit alin. (1) .

Instituțiile de plată, furnizorii specializați în servicii de informare cu privire la conturi și instituțiile emitente de monedă electronică ce funcționează pe teritoriul României prin intermediul agenților în temeiul dreptului de stabilire, al căror sediu real este situat în alt stat membru, desemnează un punct central de contact în România pentru a asigura comunicarea și raportarea adecvată a informațiilor privind conformarea cu prevederile art. 150-165 , art. 218-221 , art. 248 alin. (3) , a reglementărilor emise în aplicarea acestor articole, precum și a actelor delegate adoptate de Comisia Europeană în materie de servicii de plată, fără a aduce atingere niciunei dispoziții privind combaterea spălării banilor și a finanțării terorismului, și pentru a facilita supravegherea de către autoritățile competente ale statului membru de origine și cele ale statului membru gazdă, inclusiv prin transmiterea de documente și de informații autorităților competente, la cerere.

Desemnarea unui punct central de contact potrivit prevederilor alin. (5) se va face proporțional cu obiectivul urmărit de comunicare adecvată și de raportare a informațiilor privind conformarea cu prevederile art. 150-165 , art. 218-221 , art. 248 alin. (3) , a reglementărilor emise în aplicarea acestor articole, precum și a actelor delegate adoptate de Comisia Europeană în materie de servicii de plată în statul membru gazdă.

La solicitarea Băncii Naționale a României, instituțiile de plată, furnizorii specializați în servicii de informare cu privire la conturi și instituțiile emitente de monedă electronică care funcționează pe teritoriul României prin intermediul agenților sau sucursalelor și al căror sediu central este situat în alt stat membru transmit Băncii Naționale a României, în scopuri statistice și/sau de informare, rapoarte periodice cu privire la activitățile desfășurate pe teritoriul României.

La solicitarea Băncii Naționale a României, instituțiile de credit care funcționează pe teritoriul României prin intermediul sucursalelor și al căror sediu central este situat în alt stat membru transmit Băncii Naționale a României, în scopuri statistice și/sau de informare, rapoarte periodice cu privire la activitățile desfășurate pe teritoriul României.

La solicitarea Băncii Naționale a României, prestatorii de servicii de plată prevăzuți la alin. (7) și, respectiv, la alin. (8) , care oferă servicii de plată pe teritoriul României prin intermediul agenților și/sau sucursalelor, după caz, în temeiul dreptului de stabilire, vor transmite Băncii Naționale a României rapoarte periodice cu privire la activitățile desfășurate pe teritoriul României, pentru a fi utilizate în scopul de a monitoriza conformitatea cu prevederile art. 150-165 , art. 218-221 , art. 248 alin. (3) și cu celelalte reglementări prevăzute la art. 223 alin. (1) .

Dispozițiile art. 88 sunt aplicabile în mod corespunzător în ceea ce privește cooperarea Băncii Naționale a României cu autoritățile competente din alte state membre, în situațiile prevăzute la art. 218 alin. (4) , art. 219 alin. (7) și art. 222 alin. (5) .

Dispozițiile art. 71 alin. (4) și ale art. 90-94 sunt aplicabile în mod corespunzător pentru activitatea desfășurată de Banca Națională a României în exercitarea atribuțiilor ce îi revin potrivit prevederilor alin. (1) .

Prestatorii de servicii de plată depun toate eforturile pentru a răspunde la plângerile utilizatorilor serviciilor de plată pe suport hârtie sau, dacă prestatorul de servicii de plată și utilizatorul serviciilor de plată convin astfel, pe un alt suport durabil.

Răspunsul prestatorilor de servicii de plată abordează toate punctele aduse în discuție, într-un interval de timp corespunzător, dar nu mai târziu de 15 zile lucrătoare de la data primirii plângerii. În situații excepționale, în cazul în care răspunsul nu poate fi dat în termen de 15 zile lucrătoare din motive independente de voința prestatorului de servicii de plată, acesta este obligat să transmită un răspuns provizoriu, care să indice în mod clar motivele pentru care răspunsul la plângere va ajunge cu întârziere și să precizeze termenul în care utilizatorul serviciilor de plată va primi răspunsul definitiv. În toate situațiile, termenul pentru primirea răspunsului final nu va depăși 35 de zile lucrătoare de la data primirii plângerii.

Prestatorul de servicii de plată informează utilizatorul serviciilor de plată cu privire la dreptul acestora de a se adresa Autorității Naționale pentru Protecția Consumatorilor, Agenției Naționale de Administrare Fiscală, Băncii Naționale a României, respectiv entității competente de soluționare a litigiilor, conform prevederilor Legii nr. 192/2006 , cu modificările și completările ulterioare, sau ale Ordonanței Guvernului nr. 38/2015 , cu modificările ulterioare, să soluționeze litigiile privind drepturile și obligațiile prevăzute la art. 111-221 .

Informațiile prevăzute la alin. (1) se comunică, într-un mod clar, ușor de înțeles și ușor de accesat, pe site-ul internet al prestatorului de servicii de plată, în cazul în care acesta există, la sucursală, precum și în clauzele și condițiile generale ale contractului dintre prestatorul de servicii de plată și utilizatorul serviciilor de plată. Acestea precizează în ce mod pot fi obținute informații suplimentare privind entitățile competente cu soluționarea cererilor și modul în care se poate recurge la acestea.

Instituțiile de plată, furnizorii specializați în servicii de informare cu privire la conturi și instituțiile emitente de monedă electronică ce funcționează pe teritoriul României prin intermediul agenților în temeiul dreptului de stabilire, al căror sediu real este situat în alt stat membru, desemnează un punct central de contact în România pentru a asigura comunicarea și raportarea adecvată a informațiilor privind conformarea cu art. 111-149 și cu art. 166-217 , a reglementărilor emise în aplicarea acestor articole, precum și a actelor delegate adoptate de Comisia Europeană în materie de servicii de plată, fără a aduce atingere niciunei dispoziții privind combaterea spălării banilor și a finanțării terorismului, și pentru a facilita supravegherea de către autoritățile competente ale statului membru de origine și cele ale statului membru gazdă, inclusiv prin transmiterea de documente și de informații autorităților competente, la cerere.

La solicitarea Autorității Naționale pentru Protecția Consumatorilor, sucursalele și agenții prevăzuți la alin. (1) , precum și instituțiile de credit care funcționează pe teritoriul României prin intermediul sucursalelor și al căror sediu central este situat în alt stat membru transmit, în scopuri statistice și de informare, precum și pentru asigurarea supravegherii respectării prevederilor art. 111-149 și ale art. 166-217 , rapoarte referitoare la activitatea desfășurată pe teritoriul României. Sucursalele și agenții intră sub incidența cerințelor privind secretul profesional prevăzute la art. 90-94 .

Banca Națională a României are competența de a aplica sancțiuni administrative, în cazurile în care constată că entitățile prevăzute la art. 223 alin. (1) și/sau oricare dintre persoanele care exercită responsabilități de administrare și/sau conducere a activității de prestare de servicii de plată în cadrul acestora se fac vinovate de următoarele fapte

În cazurile prevăzute la alin. (1) , Banca Națională a României are competența de a aplica următoarele sancțiuni administrative

Sancțiunile administrative prevăzute la alin. (1) pot fi aplicate concomitent cu dispunerea de măsuri administrative potrivit art. 223 alin. (2) lit. c) sau independent de acestea.

Amenzile încasate se fac venit la bugetul de stat.

Aplicarea sancțiunilor administrative prevăzute la alin. (1) se prescrie în termen de 1 an de la data constatării faptei, dar nu mai mult de 3 ani de la data săvârșirii acesteia.

Constatarea faptelor prevăzute la art. 227 alin. (1) se realizează de către reprezentanți împuterniciți ai Băncii Naționale a României pe baza raportărilor făcute potrivit legii ori reglementărilor emise în aplicarea acesteia sau actelor delegate adoptate de Comisia Europeană în materie de servicii de plată sau la solicitarea expresă a Băncii Naționale a României ori în cursul verificărilor desfășurate la sediul profesional sau real al entităților prevăzute la art. 223 alin. (1) sau la locațiile acestora ori la sediile/locațiile furnizorilor externi în cazul externalizării activităților, după caz.

Actele prin care sunt aplicate sancțiuni administrative și sunt dispuse măsuri administrative potrivit prevederilor art. 227 și reglementărilor emise în aplicarea acestora se emit de către guvernatorul, prim-viceguvernatorul sau viceguvernatorii Băncii Naționale a României, conform reglementărilor interne, cu excepția sancțiunilor administrative prevăzute la art. 227 alin. (2) lit. d) și e), care sunt de competența Consiliului de administrație al Băncii Naționale a României.

Actele prevăzute la alin. (2) trebuie să cuprindă cel puțin elementele de identificare ale persoanei vinovate, descrierea faptei și a circumstanțelor efectuării acesteia și temeiul de drept al dispunerii măsurii administrative sau, după caz, al aplicării sancțiunii administrative.

Constatarea contravențiilor și aplicarea sancțiunilor prevăzute la art. 230 se fac de către reprezentanții împuterniciți ai Autorității Naționale pentru Protecția Consumatorilor, la sesizarea consumatorilor, a asociațiilor de consumatori ori din oficiu.

Autoritatea Națională pentru Protecția Consumatorilor are competențe conform alin. (1) în cazul prestatorilor de servicii de plată al căror stat membru de origine este România și în cazul agențiilor sau sucursalelor pentru care România este stat membru gazdă și care acționează în conformitate cu dreptul de stabilire.

Odată cu aplicarea sancțiunii contravenționale principale se pot aplica una sau mai multe dintre următoarele sancțiuni contravenționale complementare

Neaducerea la îndeplinire a sancțiunilor contravenționale complementare dispuse în termenele și condițiile prevăzute în procesul-verbal de constatare a contravenției sau săvârșirea repetată în decurs de 6 luni de la prima constatare a uneia dintre contravențiile prevăzute la art. 230 constituie contravenție și se sancționează cu amendă de la 80.000 lei la 100.000 lei.

Prin derogare de la dispozițiile art. 32 alin. (3) din Ordonanța Guvernului nr. 2/2001 privind regimul juridic al contravențiilor, aprobată cu modificări și completări prin Legea nr. 180/2002 , cu modificările și completările ulterioare, plângerea împotriva procesului-verbal de constatare a contravenției și de aplicare a sancțiunii nu suspendă executarea sancțiunilor contravenționale complementare aplicate potrivit alin. (3) .

Prestatorii de servicii sunt obligați să informeze Banca Națională a României, în termen de două zile lucrătoare de la data primirii procesului-verbal, despre sancțiunile ce le-au fost aplicate de Autoritatea Națională pentru Protecția Consumatorilor pentru încălcarea dispozițiilor prezentei legi.

Constituie contravenții încălcarea dispozițiilor art. 141-145 , art. 148 alin. (3) și (4) , art. 149 , art. 167-171 , art. 173-175 , art. 178 , art. 179 alin. (1) , art. 180-182 , art. 184 , art. 185-193 , art. 195-198 , art. 200 alin. (2)-(4) , art. 201 , art. 204-207 , art. 209 , 210, art. 211 alin. (1) și art. 212 alin. (1) , în situația în care sunt afectate sau pot fi afectate interesele utilizatorilor persoane juridice, și se sancționează cu amendă de la 50.000 lei la 100.000 lei.

Constatarea contravențiilor și aplicarea sancțiunilor prevăzute la alin. (1) se fac de către reprezentanții împuterniciți ai Agenției Naționale de Administrare Fiscală, la sesizarea utilizatorilor de servicii de plată persoane juridice.

Agenția Națională de Administrare Fiscală are competențe conform alin. (2) în cazul prestatorilor de servicii de plată al căror stat membru de origine este România și în cazul agențiilor sau sucursalelor pentru care România este stat membru gazdă și care acționează în conformitate cu dreptul de stabilire.

Prestarea fără drept cu titlu profesional a serviciilor de plată cu încălcarea prevederilor art. 8 constituie infracțiune și se pedepsește cu închisoare de la 6 luni la 3 ani sau cu amendă.

Utilizarea unei sintagme specifice, cu încălcarea prevederilor art. 7 alin. (3) , constituie infracțiune și se pedepsește cu amendă.

Refuzul nejustificat al persoanelor prevăzute la art. 223 alin. (1) lit. a)-e) de a furniza Băncii Naționale a României, în termen de cel mult 10 zile de la comunicarea solicitării, informațiile și documentele necesare pentru verificarea respectării cerințelor impuse de prezenta lege constituie infracțiune și se pedepsește cu închisoare de la o lună la un an sau cu amendă.

Împiedicarea, sub orice formă, a exercitării atribuțiilor ce revin Băncii Naționale a României, în calitate de autoritate competentă, constituie infracțiune și se pedepsește cu închisoare de la o lună la un an sau cu amendă.