Forarbejder til Bekendtgørelse af lov om betalinger § 11
I § 7, stk. 3 og 4 og § 39a, stk. 3 og 4, i den nugældende lov om betalingstjenester og elektroniske penge opregnes de oplysninger og den dokumentation, der skal følge med en ansøgning om tilladelse til at udbyde betalingstjenester og udstede elektroniske penge. 1.
Det foreslås i § 11, at en ansøgning om tilladelse skal indeholde de oplysninger, der er nødvendige til brug for Finanstilsynets vurdering af, om betingelserne i § 10 er opfyldt. Ansøgningen skal som minimum indeholde oplysninger som er nærmere beskrevet nedenfor. Med bestemmelsen sker der en redaktionel sammenskrivning af § 7, stk. 3 og 4 og § 39a, stk. 2 og 4, i lov om betalingstjenester og elektroniske penge, således at bestemmelserne sammenskrives for e-pengeinstitutter og betalingsinstitutter. Yderligere sker der en række sproglige ændringer og nye tilføjelser. Bestemmelsen gennemfører artikel 5 i 2. betalingstjenestedirektiv og artikel 3, stk. 1, i 2. e-pengedirektiv, jf. artikel 111, i 2. betalingstjenestedirektiv.
Det foreslås i stk. 1, nr. 1, at ansøgningen skal indeholde en beskrivelse af virksomhedens retlige form med kopi af stiftelsesdokument og vedtægter.
Bestemmelsen viderefører § 7, stk. 3, nr. 1, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 5, stk. 1, litra p, i 2. betalingstjenestedirektiv.
Stk. 1, nr. 1 skal sammenholdes med § 10, stk. 1, nr. 1, der stiller krav til virksomhedens struktur.
Det foreslås i stk. 1, nr. 2, at ansøgningen skal indeholde adressen på virksomhedens hovedkontor.
Bestemmelsen viderefører § 7, stk. 3, nr. 2, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 5, stk. 1, litra q, i 2. betalingstjenestedirektiv.
Stk. 1, nr. 2 skal sammenholdes med forslagets § 10, stk. 1, nr. 2, der stiller krav om placeringen af virksomhedens hovedkontor og hjemsted.
Det foreslås i, stk. 1, nr. 3, at ansøgningen skal indeholde en beskrivelse af virksomhedens forretningsmodel med en oversigt over virksomhedens nuværende og planlagte forretningsaktiviteter, herunder en beskrivelse af, hvilke betalingstjenester virksomheden ønsker at udbyde.
Bestemmelsen viderefører § 7, stk. 3, nr. 3, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 5, stk. 1, litra b, i 2. betalingstjenestedirektiv.
Stk. 1, nr. 3 skal sammenholdes med forslagets § 10, stk. 1, nr. 10, der stiller krav om, at virksomheden skal være i stand til at gennemføre en forsvarlig drift.
Det foreslås i stk. 1, nr. 4, at ansøgningen skal indeholde en forretningsplan med en budgetprognose for de 3 første regnskabsår, som viser at ansøgeren er i stand til at gennemføre en forsvarlig drift, samt senest reviderede årsregnskab, såfremt et sådant er udarbejdet.
Bestemmelsen viderefører § 7, stk. 3, nr. 4, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 5, stk. 1, litra b, i 2. betalingstjenestedirektiv.
Stk. 1, nr. 4 skal sammenholdes med forslagets § 10, stk. 1, nr. 10, der stiller krav om, at virksomheden skal være i stand til at gennemføre en forsvarlig drift.
Det foreslås i stk. 1, nr. 5, at ansøgningen skal indeholde oplysninger om virksomhedens organisationsstruktur, herunder den tilsigtede brug af agenter og filialer og kontrollen heraf, den planlagte brug af outsourcing og deltagelse i et nationalt eller internationalt betalingssystem.
Bestemmelsen viderefører § 7, stk. 3, nr. 5, i lov om betalingstjenester og elektroniske penge, delvist, og gennemfører artikel 5, stk. 1, litra l, i 2. betalingstjenestedirektiv.
I forbindelse med behandlingen af ansøgningen skal Finanstilsynet kunne få et overblik over virksomhedens organisationsstruktur, samt virksomhedens eventuelle brug af agenter, filialer, outsourcing af væsentlige aktiviteter samt deltagelse i betalingssystemer. Formålet er at skabe et overblik over hvilke iboende risici, der er indeholdt i virksomhedens indretning samt på hvilken måde virksomheden vil imødekomme disse risici.
Det foreslås i stk. 1, nr. 6, at ansøgningen skal indeholde en beskrivelse af planlagt grænseoverskridende betalingstjenestevirksomhed og etablering i et land inden for EU/EØS.
Bestemmelsen viderefører § 7, stk. 3, nr. 5, i lov om betalingstjenester og elektroniske penge, delvist, og gennemfører artikel 5, stk. 1, litra a, og artikel 28, stk. 1.
Formålet med bestemmelsen, er at sikre at Finanstilsynet i forbindelse med behandlingen af ansøgningen får fuldt indblik i virksomhedens planlagte grænseoverskridende aktiviteter, herunder etablering i andre lande. Selve notifikationen af de planlagte grænseoverskridende aktiviteter efter §§ 43-45 kan først ske efter at virksomheden har fået instituttilladelsen.
Det foreslås i stk. 1, nr. 7, at ansøgningen skal indeholde dokumentation for, at virksomheden råder over den krævede startkapital, jf. § 10, stk. 1, nr. 3.
Bestemmelsen viderefører § 7, stk. 3, nr. 6, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 7, i 2. betalingstjenestedirektiv.
Bestemmelsen skal ses i sammenhæng med § 10, stk. 1, nr. 3, som stiller krav om, at virksomheden skal have den krævede startkapital ved opstart af aktiviteterne. Dokumentationen for kapitalen skal foreligge før der kan gives tilladelse til at påbegynde de ønskede aktiviteter.
Det foreslås i stk. 1, nr. 8, at ansøgningen skal indeholde dokumentation for at virksomhedens bestyrelsesmedlemmer og direktører opfylder kravene i henhold til forslagets § 30 om egnethed og hæderlighed.
Bestemmelsen viderefører § 7, stk. 3, nr. 8, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 5, stk. 1, litra n, i 2. betalingstjenestedirektiv.
Bestemmelsen skal ses i sammenhæng med kravet i forslagets § 10, stk. 1, nr. 4.
Til brug for vurderingen skal virksomheden indsende straffeattest og et udførligt CV for de omfattede ledelsesmedlemmer.
Det foreslås i stk. 1, nr. 9, at ansøgningen skal indeholde oplysninger om identiteten af personer, der ejer kvalificerede andele i virksomheden og størrelsen af deres andel, samt dokumentation for deres egnethed under hensyn til nødvendigheden af at sikre en fornuftig og forsvarlig forvaltning af instituttet, jf. kriterierne i forslagets § 23.
Bestemmelsen viderefører § 7, stk. 3, nr. 8, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 5, stk. 1, litra m, i 2. betalingstjenestedirektiv.
Bestemmelsen skal ses i sammenhæng med § 10, stk. 1, nr. 5 om kvalificerede andele. Virksomheden skal i forbindelse med ansøgningen indsender oplysninger om ejerne af kvalificerede andele i virksomheden, således at Finanstilsynet kan vurdere hvorvidt ejerne vil kunne hindre en sund og forsigtig forvaltning af instituttet.
Se nærmere i bemærkningerne til forslagets § 23.
Det foreslås i stk. 1, nr. 10, at ansøgningen skal indeholde oplysninger om de foranstaltninger, der er truffet for at beskytte de midler, som tilhører brugerne.
Bestemmelsen viderefører § 7, stk. 3, nr. 11, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 5, stk. 1, litra d, i 2. betalingstjenestedirektiv.
Bestemmelsen skal ses i sammenhæng med § 10, stk. 1, nr. 9, som stiller krav om, at virksomheden skal have truffet passende foranstaltninger for at beskytte brugermidlerne.
Det foreslås i stk. 1, nr. 11, at ansøgningen skal indeholde kopi af virksomhedens forretningsgange og interne kontrolmekanismer, herunder administrative, risikostyringsmæssige og regnskabsmæssige procedurer.
Bestemmelsen viderefører § 7, stk. 3, nr. 10, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 5, stk. 1, litra e, i 2. betalingstjenestedirektiv.
Bestemmelsen skal ses i sammenhæng with § 10, stk. 1, nr. 7, som stiller krav om, at virksomheden har forsvarlige og effektive organisatoriske strukturer, forretningsgange og procedurer.
Det foreslås i nr. 12, at ansøgningen skal indeholde virksomhedens forretningsgange for håndtering og opfølgning på sikkerhedshændelser og sikkerhedsrelaterede kundeklager, herunder procedurer for indberetning af sikkerhedshændelser, jf. forslagets § 123.
Bestemmelsen er ny, og gennemfører artikel 5, stk. 1, litra f, i 2. betalingstjenestedirektiv.
Ifølge lovforslaget § 123, skal udbydere af betalingstjenester og elektroniske penge snarest muligt underrette Finanstilsynet om større drifts- og sikkerhedshændelser. Derudover skal udbyderen, hvor hændelse har eller kan have indvirkning på brugerne af betalingstjenestens økonomiske interesser snarest muligt orientere brugerne om denne, samt de tilgængelige foranstaltninger, som de kan træffe for at begrænse hændelses negative følger.
Med forslaget til nr. 12, bestemmes det, at et betalingsinstitut i sin ansøgning skal vedlægge en beskrivelse af de procedurer, som virksomheden har udarbejdet med henblik på at leve op til lovforslagets § 123. Disse skal således dels indeholde en beskrivelse af de procedurer virksomheden internt har etableret med henblik på virksomhedens egen håndtering af hændelses og dels indeholde en beskrivelse af hvordan virksomheden sikre at forpligtelserne til at orientere såvel Finanstilsynet som tjenestens brugere underrettes rettidigt. Der henvises i øvrigt til bemærkningerne til lovforslagets § 123.
EBA skal ifølge 2. betalingstjenestedirektiv artikel 96, stk. 3, i tæt samarbejde med ECB og efter høring af alle relevante interessenter, herunder interessenter på betalingstjenestemarkedet, og under hensyntagen til alle involverede interesser, udarbejde retningslinjer i overensstemmelse med artikel 16, i EBA-forordningen adresseret til udbydere om klassificering af større hændelser og om indholdet og formatet af og procedurerne for underretning om sådanne hændelser. Virksomhedernes opfyldelse af bestemmelsen i nr. 12, skal ske med udgangspunkt i de regler, Finanstilsynet udsteder i medfør af lovforslagets § 123, stk. 4, som gennemfører de retningslinjer EBA udarbejder på baggrund af 2. betalingstjenestedirektiv artikel 96, stk. 3.
Det foreslås i, nr. 13, at ansøgningen skal indeholde kopi af de interne kontrolforanstaltninger, som virksomheden har indført for at opfylde forpligtelserne i henhold til lov om forebyggende foranstaltninger mod hvidvask af udbytte og finansiering af terrorisme samt Europa-Parlamentets og Rådets forordning om oplysninger, der skal medsendes om betaler ved pengeoverførsler.
Bestemmelsen viderefører § 7, stk. 3, nr. 10, i lov om betalingstjenester og elektroniske penge, og gennemfører artikel 5, stk. 1, litra k, i 2. betalingstjenestedirektiv.
Bestemmelsen skal ses i sammenhæng med § 10, stk. 1, nr. 8, hvori der stilles krav om, at virksomheden har tilstrækkelige procedurer, der sikrer, at den lever op til sine forpligtelser i henhold til lov om forebyggende foranstaltninger mod hvidvask af udbytte og finansiering af terrorisme.
Det foreslås i, nr. 14, at ansøgningen skal indeholde virksomhedens forretningsgange og procedurer til at sikrer lagring, overvågning, sporing og begrænsning af adgang til følsomme betalingsdata.
Bestemmelsen er ny, og gennemfører artikel 5, stk. 1, litra g, i 2. betalingstjenestedirektiv.
Ved udbuddet af betalingstjenester har udbyderen ofte behov for at behandle følsomme betalingsdata, eksempelvis brugerens personaliserede sikkerhedsforanstaltninger eller personoplysninger om brugeren, der er tilgængelig via netbank. Følsomme betalingsdata forstås i overensstemmelse med lovforslagets § 7, nr. 33, data, herunder personlige sikkerhedsforanstaltninger, som kan anvendes til at foretage misbrug.
Jf. lovforslagets §§ 125 og 126 skal udbydere af betalingstjenester fastlægge procedurer og kontrolmekanismer til styring af drifts- og sikkerhedsrisici, der er forbundet med de betalingstjenester, som de udbyder, fastlægge passende sikkerhedsforanstaltninger, der beskytter integriteten og fortroligheden af brugerens personaliserede sikkerhedsforanstaltninger samt fastsætte passende foranstaltninger i det omfang der behandles personoplysninger, jf. persondataloven. Endvidere følger det af lovforslagets § 25, nr. 8, at betalingsinstitutter og e-pengeinstitutter skal have betryggende kontrol- og sikkerhedsforanstaltninger på it-området.
Ansøgningen skal således vedlægges en beskrivelse af virksomhedens forretningsgange og procedurer til at sikre lagring, overvågning, sporing og begrænsning af adgang til følsomme betalingsdata, således at Finanstilsynet er i stand til at vurdere, om kravene i § 25, nr. 8, §§ 125 og 126 er opfyldt. Forretningsgangene og procedurerne skal således indeholde en beskrivelse af hvilke foranstaltninger virksomheden har truffet for at beskytte følsomme betalingsdata i det omfang virksomheden lagre sådanne data, således at uvedkommende tredjepart ikke får adgang til data. Det skal endvidere beskrives hvilke foranstaltninger virksomheden har truffet for overvåge og spore hvem, der internt i virksomheden såvel som eksternt, eksempelvis hos leverandører, faktisk tilgår følsomme betalingsdata, således at det sikres, at virksomheden er vidende omkring, hvilke personer, der har adgang til hvilke data. Endelig skal det beskrives, hvilke foranstaltninger virksomheden har truffet for at begrænse adgangen til følsomme betalingsdata, således at virksomheden har forholdt sig til, at der kun tildeles adgang til følsomme betalingsdata og personoplysninger, når det er strengt nødvendigt for udførslen af en opgave. Det indebærer eksempelvis, at virksomheden har taget stilling til dataminimering (data minimisation), det vil sige at virksomheden begrænser indsamlingen, lagringen og behandlingen af følsomme betalingsdata og bortskaffer data, når det ikke længere er nødvendigt for at udføre den aftalte tjeneste, og rettighedsstyring, som begrænser adgang til data via design (principle of least priviledge).
Det foreslås i, nr. 15, at ansøgningen skal indeholde kopi af virksomhedens beredskabsplan, herunder en klar beskrivelse af de kritiske funktioner, effektive beredskabsplaner og procedure til regelmæssigt at teste og evaluere om sådanne planer er tilstrækkelige.
Bestemmelsen er ny, og gennemfører artikel 5, stk. 1, litra h, i 2. betalingstjenestedirektiv.
Bestemmelsen skal ses i sammenhæng med § 10, stk. 1, nr. 7, som stiller krav om, at virksomheden har forsvarlige og effektive organisatoriske strukturer, forretningsgange og procedurer.
I forbindelse med ansøgningen skal virksomheden som minimum indsende en kopi af virksomhedens beredskabsplan også kaldet “business continuity arrangements”, samt indsende en kopi af de interne forretningsgang, som beskriver virksomhedens foranstaltninger for at sikre virksomhedens videre drift, hvis virksomhedens kritiske funktioner rammes.
Det foreslås i, nr. 16, at ansøgningen skal indeholde de principper og definitioner, som virksomheden anvender til at indsamle statistisk data om drift og misbrug, jf. forslagets § 123, stk. 3.
Bestemmelsen er ny, og gennemfører artikel 5, stk. 1, litra i, i 2. betalingstjenestedirektiv.
Bestemmelsen skal ses i sammenhæng med reglerne om indsamling af statistisk materiale om virksomhederne, jf. lovforslagets § 123, stk. 3. Med statistisk data og drift og misbrug menes eksempelvis antallet af betalingstransaktioner eller værdi af disse, misbrug af betalingsinstrumenter og tilgængelighed af systemer. Formålet med indsamlingen af oplysningerne, er at give Finanstilsynet overblik over betalingsområdet, samt skabe sammenlignelige data, der kan bruges i det generelle tilsynsarbejde. Jf. lovforslagets § 123, stk. 4, fastsætter Finanstilsynet nærmere regler i bekendtgørelsesform om indholdet og den tekniske gennemførelse af indberetningerne. Virksomhedens forretningsgang, jf. forslaget til nr. 16, skal afspejle disse regler, hvilket bl.a. indebærer, at virksomheden skal beskrive efter hvilke metode og hvor ofte data indsamles, samt hvordan virksomheden kontrollerer validiteten af data.
Det foreslås i nr. 17, at ansøgningen skal indeholde virksomhedens sikkerhedspolitik, en detaljeret risikovurdering i tilknytning til de betalingstjenester, som virksomheden påtænker at udbyde, og en beskrivelse af de foranstaltninger, som virksomheden har foretaget for at imødegå de identificerede risici, herunder svig og misbrug af følsomme betalingsdata og personoplysninger. Beskrivelsen af foranstaltningerne skal indeholde oplysninger om, hvordan virksomheden sikrer et højt niveau af teknisk sikkerhed og databeskyttelse, herunder vedrørende de software- og it-systemer, der anven-des af ansøgeren eller de virksomheder, som ansøgeren outsourcer hele eller dele af sine aktiviteter til
Bestemmelsen er ny, og gennemfører artikel 5, stk. 1, litra j, i 2. betalingstjenestedirektiv.
Bestemmelsen skal ses i sammenhæng med § 10, stk. 1, nr. 7, som stiller krav om, at virksomheden har forsvarlige og effektive organisatoriske strukturer, forretningsgange og procedurer.
Virksomheden skal have betryggende kontrol- og sikringsforanstaltninger på it-området, jf. lov-forslagets § 25, nr. 8. Disse skal tage udgangspunkt i beskrivelsen af virksomhedens it-anvendelse, samt hvilke iboende risici virksomheden har på it-området. Dokumenterne omtalt i nr. 17, skal gøre Finanstilsynet i stand til at vurdere om virksomheden lever op til dette krav. Yderligere kræves det at outsourcing af væsentlige driftsmæssige funktioner kun må ske under visse betingelser, jf. lov-forslagets §§ 39-41. Virksomheden skal ved outsourcing af væsentlige driftsmæssige funktioner sikre sig, at outsourcing ikke indebærer en væsentlig forringelse af kvaliteten af betalingsinstituttets interne kontrol og ledelsesrapportering eller Finanstilsynets mulighed for at overvåge, om instituttet overholder lov om betalingstjenester og elektroniske penge.
Betalingsinstitutter og e-pengeinstitutter skal ifølge lovforslagets §§ 122 og 124, udarbejde og ind-føre en række foranstaltninger og kontrolmekanismer med henblik på at imødegå operationelle og sikkerhedsmæssige risici, der er forbundet med de betalingstjenester der udbydes. Forslaget til nr. 17, skal således ses i sammenhæng med forslaget til §§ 122 og 124, og den dokumentation en vir-somhed, der søger om tilladelse som betalings eller e-pengeinstitut, skal vedlægge skal gøre det mu-ligt for Finanstilsynet at sikre, at virksomheden lever op til kravene i lovforslagets §§ 122 og 124.
Det foreslås i, nr. 18, at ansøgningen skal indeholde oplysninger om virksomhedens revisor.
Bestemmelsen er ny, og gennemfører artikel 5, stk. 1, litra o, i 2. betalingstjenestedirektiv.
Virksomheden skal fremsende oplysninger der gør det muligt at identificere virksomhedens revisor eller revisorer. Det vil eksempelvis være navn, adresse og lignende.
Det foreslås i stk. 2, at oplysningerne i stk. 1, nr. 5, 10, 11 og 12, skal indeholde en beskrivelse af de organisatoriske og revisionsmæssige foranstaltninger, som virksomheden har truffet for at beskytte brugernes interesser og sikre kontinuitet i forbindelse med udstedelsen af elektroniske penge eller udførslen af betalingstjenester.
Bestemmelsen er ny, og gennemfører artikel 5, stk. 1, 2. afsnit, i 2. betalingstjenestedirektiv.
Formålet med bestemmelsen er at gøre de muligt for Finanstilsynet at kontrollere, at virksomheden iværksætter tilstrækkelige organisatoriske og revisionsmæssige foranstaltninger, der skal sikre at brugernes interesser varetages, og sikre den videre drift af virksomheden.
Det foreslås i stk. 3, at Finanstilsynet kan fastsætte nærmere regler om stk. 1 og 2.
Det følger af 2. betalingstjenestedirektiv artikel 5, stk. 5, at den europæiske banktilsynsmyndighed (EBA) senest den 13. juli 2017 skal udarbejde retningslinjer i overensstemmelse med artikel 16, i EBA-forordningen om de oplysninger, der skal gives til de kompetente myndigheder i forbindelse med ansøgningen om tilladelse som betalingsinstitut.
Med forslaget til stk. 3 indføres en hjemmel for Finanstilsynet til at fastsætte regler om de oplysninger, der skal medfølge en ansøgning om tilladelse til at udøve aktiviteter i henhold til denne lov. Bemyndigelsen til Finanstilsynet vil blive benyttet til i bekendtgørelsesform at fastsætte regler, der sikre efterlevelse af EBA’s retningslinjer. Det forventes, at EBA’s retningslinjer vil specificere, hvilke oplysninger og dokumenter, der skal vedlægges en ansøgning om tilladelse som e-pengeinstitut eller betalingsinstitut.
