Evropská unie mění pravidla plateb: více odpovědnosti, intenzivnější zpracování dat, více kontrol

Po osmi letech praxe jsou zřejmá přinejmenším dvě slabá místa. Vyhrazená API rozhraní, přes která poskytovatelé platebních služeb umožňují třetím subjektům přístup k účtům klientů, v řadě případů stále výrazně zaostávají za tím, co nabízejí vlastním zákazníkům. A stále přibývá podvodů, při nichž plátce platbu sám potvrdí (autorizuje), ale pod vlivem manipulace ze strany podvodníka. Odpovědnost za vrácení platby přitom podle PSD2, která je v českém právu provedena zákonem č. 370/2017 Sb., o platebním styku, nastupuje jen tehdy, pokud plátce k transakci souhlas vůbec nedal. Ztráty způsobené podvody, při nichž klient platbu autorizoval, ale byl k tomu zmanipulován, mu jeho poskytovatel platebních služeb obvykle nehradí.

I tato témata řeší návrh nové platební regulace, konkrétně nařízení PSR[2] a návrh navazující směrnice PSD3,[3] jejichž přijetí se očekává v průběhu roku 2026. V následujícím článku se zaměříme nejvýznamnější změny, které má nový regulatorní rámec pro platby přinést. Konkrétně se podíváme na nová pravidla odpovědnosti za podvodné transakce, povinnost ověřovat příjemce před provedením platby, požadavky na přístup třetích subjektů k platebním účtům a rozšířenou spolupráci při prevenci podvodů, včetně jejich průsečíku s kybernetickou bezpečností a ochranou osobních údajů.

Open banking: krásná teorie, pokulhávající praxe

PSD2 uložila poskytovatelům platebních služeb, kteří vedou platební účty, povinnost umožnit třetím subjektům na základě souhlasu klienta k těmto účtům přístup prostřednictvím vyhrazeného rozhraní.[4] Cílem bylo podpořit otevřené bankovnictví a posílit pozici klienta při výběru, porovnání či změně platebního účtu. Vyhrazená API rozhraní však v řadě případů vykazovala různé potíže: častější výpadky, pomalejší odezvy, nutnost často potvrzovat udělený souhlas atd.  

Navržené články 37 a 38 PSR se tyto technické i procesní komplikace snaží řešit výslovným uložením povinnosti, podle níž vyhrazené rozhraní musí dosahovat stejné úrovně dostupnosti a výkonnosti jako rozhraní zpřístupňované přímým zákazníkům. Poskytovatelé platebních služeb by pak na svých webových stránkách měli zveřejňovat čtvrtletní statistiky výkonnosti. Nesplnění těchto požadavků by zakládalo odpovědnost poskytovatele za škodu způsobenou třetím subjektům. Pro poskytovatele platebních služeb to bude znamenat investice do technické infrastruktury a zavedení monitoringu výkonnostních parametrů.

Kdo bude klientům kompenzovat ztráty z podvodů?

Dosavadní odpovědnostní režim PSD2 vychází z jednoduché logiky: pokud plátce nedal souhlas k transakci (neautorizoval ji), má právo na okamžité vrácení prostředků. To platí kromě případů hrubé nedbalosti nebo podvodného jednání klienta.

Reklama

Skončení pracovního poměru (online - živé vysílání) - 9.9.2026

9.9.2026 09:003 975 Kč s DPH
3 285 Kč bez DPH

Koupit

Tento model ale neřeší situaci, kdy plátce souhlas udělil, avšak byl k tomu zmanipulován podvodníkem. Útočník se představí například jako pracovník bezpečnostního oddělení banky, policie, soudu nebo kohokoliv dalšího, varuje před podezřelou aktivitou a přesvědčí oběť, aby sama platbu ve svém internetovém či mobilním bankovnictví autorizovala a odeslala. Právo na vrácení prostředků z PSD2 klientovi v této situaci nevyplývá. I dle praxe České národní banky a finančního arbitra v případě autorizovaných plateb, ke kterým byl klient zmanipulován, nárok na vrácení peněz z tohoto důvodu obvykle nevzniká.

Článek 59 návrhu PSR však tuto situaci výrazně změní. Pokud je spotřebitel oklamán osobou vydávající se za jeho poskytovatele platebních služeb za využití komunikačních kanálů, které působí jako komunikace poskytovatele (telefonní číslo, e-mail, podvržené webové stránky, aplikace atd.), měl by spotřebitel mít nárok na vrácení plné výše podvodné platby. Podmínkou je oznámení incidentu poskytovateli a policii, a to bez zbytečného odkladu. Jedinými výjimkami zřejmě budou hrubá nedbalost nebo podvodné jednání ze strany klienta. Důkazní břemeno ohledně toho, zda spotřebitel jednal podvodně nebo hrubě nedbale, však ponese opět poskytovatel platebních služeb.

Povinnost pozastavit podezřelou transakci

Dosud bylo provedení platebního příkazu v zásadě automatické: pokud příkaz splňoval formální náležitosti a byl klientem autorizován, poskytovatel byl povinen platební příkaz provést.

Článek 65 návrhu PSR tuto logiku doplňuje o novou povinnost. Poskytovatel platebních služeb by měl průběžně sledovat transakce a vyhodnocovat, zda nevykazují znaky podvodu. Pokud by měl objektivně odůvodněné podezření, že jde o podvod, byl by povinen provedení platby pozastavit a ověřit situaci s plátcem. Pokud by poskytovatel tuto povinnost nesplnil, bude opět odpovědný za veškeré finanční ztráty, které z této transakce klientovi vzniknou.

Ověření shody jména a čísla účtu příjemce

Jedním z rozšířených způsobů platebního podvodu je podvržení příjemce: plátce zadá platbu přesvědčen, že peníze odcházejí správné osobě, ale číslo účtu příjemce bylo mezitím podvodníkem změněno. PSD2 s tímto rizikem nepočítala.

Nařízení o okamžitých platbách[5] zavedlo od roku 2025 povinnost ověřovat shodu jména příjemce a čísla jeho účtu pro okamžité úhrady v eurech. Článek 50 návrhu PSR tuto povinnost rozšiřuje na všechny úhrady bez ohledu na měnu nebo rychlost provedení.

Podle navrhované úpravy by byl poskytovatel platebních služeb plátce před provedením každé úhrady povinen ověřit, zda jméno příjemce odpovídá zadanému číslu účtu, a výsledek sdělit plátci ještě před odesláním. Pokud by plátce přes upozornění na nesoulad přesto trval na provedení platby, přešla by na něj finanční odpovědnost za případnou škodu. Pokud by naopak poskytovatel ověření neprovedl a došlo k podvodu, nesl by odpovědnost on sám.

Článek 57 návrhu PSR pak doplňuje odpovědnost poskytovatelů platebních služeb za nesprávné fungování tohoto mechanismu. Pokud poskytovatel platebních služeb nesplní povinnosti stanovené v článku 50 a v důsledku toho dojde k nesprávně provedené platební transakci, je poskytovatel platebních služeb plátce povinen bezodkladně vrátit plátci převedenou částku a uvést účet do původního stavu.

Pokud však porušení povinností vzniklo na straně poskytovatele platebních služeb příjemce nebo poskytovatele služby iniciování platby, vzniká těmto subjektům povinnost nahradit poskytovateli platebních služeb plátce finanční škodu, která mu v důsledku tohoto porušení vznikla.

Spolupráce při prevenci podvodů

Podvody spočívající ve vydávání se za poskytovatele platebních služeb se neobejdou bez zneužití komunikačních kanálů, které s platebními službami jako takovými přímo nesouvisejí. Podvodníci volají z čísel napodobujících linky bank, rozesílají podvodné SMS zprávy nebo využívají online platformy k vydávání se za poskytovatele platebních služeb nebo známou osobnost, která doporučuje zaručené investice.

Článek 59a návrhu PSR proto v oblasti prevence podvodů zavádí povinnosti i pro subjekty mimo finanční sektor. Poskytovatelé elektronických komunikací a provozovatelé velmi velkých online platforem a velmi velkých internetových vyhledávačů ve smyslu nařízení o digitálních službách[6] by měli být povinni zřídit vyhrazené komunikační kanály s poskytovateli platebních služeb pro výměnu informací o podvodech, přijímat technická opatření zabraňující zneužití jejich služeb a informovat uživatele o nově vznikajících formách online podvodů.

Kybernetická bezpečnost a ochrana osobních údajů

Z řady nových povinností poskytovatelům platebních služeb vyplyne povinnost ještě důsledněji a intenzivněji monitorovat své klienty, jejich chování, transakce atd., ale i hrozby, kterým jsou vystaveni. Stejně tak povinnost zajistit bezpečnost a odolnost komunikačních kanálů a nástrojů.

Z hlediska kybernetické bezpečnosti návrh PSR v článku 81 odkazuje v klíčových ustanoveních přímo na nařízení DORA[7], které od ledna 2025 reguluje digitální provozní odolnost ve finančním sektoru. I při nastavování či úpravách rozhraní pro třetí strany nebo využívání externích řešení pro transakční monitoring nebo řešení podvodu bude nutné uplatnit pravidla podle nařízení DORA.

Z hlediska ochrany osobních údajů návrh PSR v článku 80 výslovně počítá s oprávněním poskytovatelů platebních služeb a dalších hráčů v této oblasti zpracovávat zvláštní kategorie osobních údajů[8] pro účely poskytování platebních služeb a zajištění souladu s platební regulací. Toto zpracování podléhá obecným požadavkům GDPR[9], ještě zdůrazněným právě v článku 80 návrhu PSR.  

Efektivní prevence podvodů pro ochranu klientů, ale i zájmů samotných poskytovatelů platebních služeb, bude vyžadovat rozsáhlé zpracování osobních údajů, často i citlivého charakteru (například biometrické údaje či citlivé údaje odvozené z transakcí konkrétního spotřebitele). Zásada minimalizace osobních údajů podle čl. 5 odst. 1 písm. c) GDPR ale tento přístup přirozeně omezuje. Nastavení a odůvodnění rozsahu a způsobu zpracování osobních dat si proto vyžádá pečlivou právní i operativní analýzu. Citlivá bude rovněž výměna dat mezi poskytovateli platebních služeb a telekomunikačními operátory či provozovateli online platforem. I zde bude mj. nutné nastavit rozsah předávaných dat a zajistit jejich bezpečnost. O všech těchto nových účelech zpracování osobních údajů pak bude nutné průkazně a srozumitelně klienty informovat.

Co budou nové předpisy znamenat pro českou praxi?

Nařízení PSR bude přímo použitelné ve všech členských státech Evropské unie, tedy i v České republice. Na rozdíl od PSD2 nebude potřeba jeho obsah převádět do českého zákona. Nová pravidla se proto začnou po skončení přechodného období uplatňovat přímo vůči bankám, platebním institucím, institucím elektronických peněz i dalším poskytovatelům platebních služeb.

Směrnice PSD3 bude naopak vyžadovat transpozici do českého právního řádu, pravděpodobně zejména prostřednictvím novelizace zákona o platebním styku. Prostor českého zákonodárce pro vlastní úpravu však bude výrazně menší než při implementaci PSD2. Evropská regulace směřuje k vyšší míře harmonizace a sjednocení pravidel napříč členskými státy.

Nové požadavky a podmínky se v praxi vyžádají zejména

• nové nastavení autentizačních mechanismů
   
• upřesnění některých postupů zejména pro přeshraniční platby
   
• posílení antifraud nástrojů a opaření, včetně monitoringu transakcí a dalšího chování klientů

• rozdělení odpovědnosti mezi jednotlivé účastníky platebního řetězce,

• úpravu smluvní dokumentace a obchodních podmínek,

Přijetí PSR a PSD3 se aktuálně očekává v průběhu roku 2026. Následovat by mělo přibližně osmnáctiměsíční přechodné období. Zkušenosti z implementace PSD2 však ukazují, že zejména technologické a procesní změny bývají časově i finančně náročnější, než se původně předpokládá.

Za prakticky nejdůležitější krok lze již nyní považovat průběžnou gap analýzu stávajících procesů a systémů vůči připravované regulaci. Komentované verze předpisů jsou již, řekněme, předfinální a finální verze se od nich s velkou mírou pravděpodobnosti příliš lišit nebude.

Mgr. František Nonnemann,
autor je konzultantem v oblasti ochrany dat, compliance a řízení rizik e-mail: nonnemann@volny.cz