Zákon o platebním styku

§ 221

Hlášení bezpečnostních a provozních incidentů

(1) Osoba oprávněná poskytovat platební služby oznámí orgánu dohledu domovského členského státu závažný bezpečnostní nebo provozní incident v oblasti platebního styku bez zbytečného odkladu po jeho zjištění.

(2) Osoba oprávněná poskytovat platební služby informuje uživatele o výskytu závažného bezpečnostního nebo provozního incidentu v oblasti platebního styku, může-li v jeho důsledku vzniknout újma na jmění uživatele. Zároveň informuje uživatele, jakým způsobem může zakročit k odvrácení újmy.

(3) Osoba oprávněná poskytovat platební služby informuje uživatele, pominou-li důvody pro opatření podle odstavce 2.

(4) Česká národní banka informuje bez zbytečného odkladu Evropský orgán pro bankovnictví a Evropskou centrální banku o skutečnostech obsažených v oznámení podle odstavce 1. Česká národní banka využije informace, které obdržela v oznámení podle odstavce 1, k výkonu dohledu.

(5) Oznámení podle odstavce 1 lze podat pouze elektronicky. Podrobnosti náležitostí oznámení, jeho formáty, další technické náležitosti a způsob předání stanoví prováděcí právní předpis.

(6) Odstavce 1 až 3 se použijí pouze na osoby podle § 5 písm. l).

§ 222

Hlášení bezpečnostních a provozních rizik a podvodných jednání

(1) Osoba oprávněná poskytovat platební služby informuje

1. a) orgán dohledu domovského členského státu o bezpečnostních a provozních rizicích, kterým je v souvislosti s poskytováním platebních služeb vystavena, a o opatřeních ke zmírnění těchto rizik, včetně kontrolních mechanismů zavedených v návaznosti na tato rizika, a
2. b) Českou národní banku o podvodných jednáních, která v oblasti platebního styku zaznamenala při poskytování platebních služeb v České republice.

(2) Česká národní banka informuje Evropský orgán pro bankovnictví a Evropskou centrální banku v souhrnné podobě o podvodných jednáních v oblasti platebního styku, o kterých ji osoby oprávněné poskytovat platební služby v souladu s odstavcem 1 informovaly.

(3) Rozsah, formu, lhůty a způsob poskytování informací České národní bance podle odstavce 1 stanoví prováděcí právní předpis.

§ 223

(1) Osoba oprávněná poskytovat platební služby použije silné ověření uživatele, jestliže plátce

1. a) přistupuje ke svému platebnímu účtu prostřednictvím internetu,
2. b) dává platební příkaz k elektronické platební transakci,
3. c) provádí jiný úkon, který je spojen s rizikem podvodného jednání v oblasti platebního styku, zneužitím platebního prostředku nebo informací o platebním účtu, nebo
4. d) požaduje informace o platebním účtu prostřednictvím poskytovatele služby informování o platebním účtu.

(2) Dává-li uživatel platební příkaz prostřednictvím internetu nebo prostřednictvím elektronického zařízení, které lze použít k dálkové komunikaci, nebo dává-li platební příkaz nepřímo, osoba oprávněná poskytovat platební služby použije silné ověření uživatele, které zahrnuje jednorázové prvky propojující platební transakci s přesnou částkou a určitým příjemcem.

(3) Silným ověřením uživatele se pro účely tohoto zákona rozumí ověření, které je založeno na použití alespoň 2 z těchto prvků:

1. a) údaje, který je znám pouze uživateli,
2. b) věci, kterou má uživatel ve své moci,
3. c) biometrických údajů uživatele.

(4) Prvky podle odstavce 3 musí být vzájemně nezávislé a prolomení jednoho prvku nesmí ovlivnit spolehlivost prvků ostatních. Postup ověření musí zabránit zneužití prvků, které jsou k ověření používány.

(5) Způsob silného ověření uživatele podle odstavců 1 a 2 stanoví přímo použitelný předpis Evropské unie, kterým se provádí čl. 98 směrnice Evropského parlamentu a Rady (EU) 2015/2366¹³).

(6) Ustanovení odstavců 1 a 2 se nepoužijí v případech, které stanoví přímo použitelný předpis Evropské unie, kterým se provádí čl. 98 směrnice Evropského parlamentu a Rady (EU) 2015/2366¹³).

§ 224

Osoba oprávněná poskytovat platební služby, která vede uživateli platební účet, umožní tomu, kdo je oprávněn poskytovat službu nepřímého dání platebního příkazu nebo službu informování o platebním účtu, spoléhat na postupy, které v souladu s § 223 odst. 1 až 3 zavedla.

§ 225

Vztah k některým přímo použitelným předpisům Evropské unie

(1) Osoba oprávněná poskytovat platební služby při poskytování platebních služeb komunikuje s uživateli a osobami oprávněnými poskytovat platební služby podle požadavků upravených přímo použitelným předpisem Evropské unie, kterým se doplňuje směrnice Evropského parlamentu a Rady (EU) 2015/2366 a upravují se společné a bezpečné otevřené standardy komunikace⁸).

(2) Informační povinností podle § 222 nejsou dotčeny povinnosti podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554¹⁸), které mají osoby podle § 5 písm. a) až k).

§ 226

Přestupky platební instituce a poskytovatele platebních služeb malého rozsahu

(1) Platební instituce se dopustí přestupku tím, že

1. a) v rozporu s § 13 odst. 1 nevydá peněžní prostředky uživatelům,
2. b) nedodrží některý z požadavků na kapitál podle § 16,
3. c) nemá uzavřenu pojistnou smlouvu nebo zajištěno srovnatelné zajištění v souladu s § 17,
4. d) neuplatňuje řídicí a kontrolní systém v souladu s § 20,
5. e) poskytuje platební služby prostřednictvím pověřeného zástupce v rozporu s § 25 odst. 1,
6. f) svěří výkon významné provozní činnosti vztahující se k poskytování platebních služeb jiné osobě v rozporu s § 29 odst. 2, nebo
7. g) nesplní oznamovací povinnost podle § 11 odst. 1, § 28 odst. 1, § 29 odst. 1, § 34 odst. 1, § 37 nebo § 38 odst. 1.

(2) Poskytovatel platebních služeb malého rozsahu se dopustí přestupku tím, že

1. a) neuplatňuje systém řízení bezpečnostních a provozních rizik podle § 59 odst. 1 písm. d),
2. b) neoznámí změnu údajů podle § 61 odst. 1,
3. c) v rozporu s § 63 odst. 1 nevydá peněžní prostředky uživatelům,
4. d) v rozporu s § 65 odst. 1 větou druhou nedodrží některý z požadavků týkajících se kapitálu podle zákona upravujícího spotřebitelský úvěr,
5. e) v rozporu s § 65 odst. 2 poskytne uživateli úrok nebo jinou výhodu závislou na délce doby, po kterou mu jsou peněžní prostředky svěřeny k provedení platební transakce, nebo
6. f) neuplatňuje systém vyřizování stížností a reklamací uživatelů podle § 65a odst. 1.

(3) Platební instituce nebo poskytovatel platebních služeb malého rozsahu se dopustí přestupku tím, že

1. a) nenakládá s peněžními prostředky v souladu s § 22,
2. b) nesplní informační povinnost podle § 30, nebo
3. c) neuchovává dokumenty nebo záznamy podle § 31.

(4) Za přestupek lze uložit pokutu do

1. a) 1 000 000 Kč, jde-li o přestupek podle odstavce 2 písm. f),
2. b) 5 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. e) nebo g), odstavce 2 písm. a), b), d) nebo e) nebo odstavce 3 písm. b) nebo c),
3. c) 10 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. b), c), d) nebo f), nebo
4. d) 20 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a), odstavce 2 písm. c) nebo odstavce 3 písm. a).

§ 227

Přestupky správce informací o platebním účtu

(1) Správce informací o platebním účtu se dopustí přestupku tím, že

1. a) nemá uzavřenu pojistnou smlouvu nebo zajištěno srovnatelné zajištění v souladu s § 46 odst. 1,
2. b) neuplatňuje řídicí a kontrolní systém v souladu s § 48,
3. c) nesplní informační povinnost podle § 30,
4. d) neuchovává dokumenty a záznamy podle § 31, nebo
5. e) nesplní oznamovací povinnost podle § 44 odst. 1, § 52 odst. 1, § 54 nebo § 55 odst. 1.

(2) Za přestupek lze uložit pokutu do

1. a) 5 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. c) až e), nebo
2. b) 10 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) nebo b).