Dopo l'articolo 5 del decreto legislativo 27 gennaio 2010, n. 11, sono inseriti i seguenti:
« Art. 5-bis (Conferma della disponibilita' di fondi). - 1. Su richiesta del prestatore di servizi di pagamento emittente strumenti di pagamento basati su carta, il prestatore di servizi di pagamento di radicamento del conto conferma senza indugio se sul conto del pagatore vi e' la disponibilita' dell'importo richiesto per l'esecuzione dell'operazione di pagamento, purche':
a) al momento della richiesta il conto del pagatore sia accessibile on-line;
b) il pagatore abbia prestato il consenso esplicito al prestatore di servizi di pagamento di radicamento del conto a rispondere a richieste di conferma da parte di uno specifico prestatore di servizi di pagamento in merito alla disponibilita' sul conto di pagamento del pagatore dell'importo corrispondente a una determinata operazione di pagamento basata su carta;
c) il consenso di cui alla lettera b) sia stato prestato anteriormente alla prima richiesta di conferma.
2. Il prestatore di servizi di pagamento puo' chiedere la conferma di cui al comma 1, quando siano soddisfatte tutte le seguenti condizioni:
a) il pagatore ha prestato il consenso esplicito al prestatore di servizi di pagamento a richiedere la conferma di cui al comma 1;
b) il pagatore ha disposto l'operazione di pagamento utilizzando uno strumento di pagamento basato su carta emesso dal prestatore di servizi di pagamento;
c) prima di ciascuna richiesta di conferma, il prestatore di servizi di pagamento si autentica presso il prestatore di servizi di pagamento di radicamento del conto e comunica in maniera sicura, conformemente a quanto previsto dall'articolo 98, paragrafo 1, lettera d), della direttiva (UE) 2015/2366 e dalle relative norme tecniche di regolamentazione adottate dalla Commissione europea.
3. La conferma di cui al comma 1 consiste esclusivamente nella risposta positiva o negativa e non puo' essere memorizzata o utilizzata per scopi diversi dall'esecuzione dell'operazione di pagamento per cui e' stata chiesta. La conferma non puo' consistere nell'estratto del saldo del conto e non puo' consentire al prestatore di servizi di pagamento di radicamento del conto di bloccare i fondi sul conto di pagamento del pagatore.
4. Il pagatore puo' chiedere al prestatore di servizi di pagamento di radicamento del conto di comunicargli l'avvenuta identificazione del prestatore di servizi di pagamento che ha chiesto la conferma e la risposta che e' stata fornita.
5. Il presente articolo non si applica a operazioni di pagamento disposte tramite strumenti di pagamento basati su carta su cui e' caricata moneta elettronica.
Art. 5-ter (Disposizioni per l'accesso ai conti di pagamento in caso di servizi di disposizione di ordine di pagamento). - 1. Se il conto di pagamento e' accessibile on-line, il pagatore ha il diritto di avvalersi di un prestatore di servizi di disposizione di ordine di pagamento per il servizio di pagamento di cui all'articolo, 1, comma 2, lettera h-septies.1), n. 7, del decreto legislativo 1° settembre 1993, n. 385. La prestazione di tale servizio non e' subordinata all'esistenza di un rapporto contrattuale tra il prestatore di servizi di disposizione di ordine di pagamento e il prestatore di servizi di pagamento di radicamento del conto.
2. Il prestatore di servizi di disposizione di ordine di pagamento:
a) non detiene in alcun momento i fondi del pagatore in relazione alla prestazione del servizio di disposizione di ordine di pagamento;
b) provvede affinche' le credenziali di sicurezza personalizzate del pagatore non siano accessibili ad altri fuorche' al pagatore stesso e all'emittente delle credenziali di sicurezza personalizzate e che esse siano trasmesse attraverso canali sicuri ed efficienti;
c) provvede affinche' qualunque altra informazione sul pagatore, ottenuta nella prestazione del servizio di disposizione di ordine di pagamento, sia fornita esclusivamente al beneficiario e solo con il consenso esplicito del pagatore;
d) ogni volta che dispone un ordine di pagamento, si identifica presso il prestatore di servizi di pagamento di radicamento del conto del pagatore, comunicando con quest'ultimo, il pagatore e il beneficiario in maniera sicura, in conformita' a quanto previsto dall'articolo 98, paragrafo 1, lett. d), della direttiva (UE) 2015/2366 e dalle relative norme tecniche di regolamentazione adottate dalla Commissione europea;
e) non chiede al pagatore dati diversi da quelli necessari per prestare il servizio di disposizione di ordine di pagamento; non usa ne' conserva dati ne' vi accede per fini diversi dalla prestazione del servizio di disposizione di ordine di pagamento e non conserva dati sensibili relativi ai pagamenti del pagatore;
f) non modifica l'importo, il beneficiario o qualsiasi altro dato dell'operazione;
g) quando dispone un ordine di pagamento mette a disposizione del prestatore di servizi di pagamento di radicamento del conto il riferimento dell'operazione di pagamento.
3. Al fine di garantire l'esercizio del diritto del pagatore di avvalersi del servizio di disposizione di ordine di pagamento, il prestatore di servizi di pagamento di radicamento del conto:
a) comunica in maniera sicura con i prestatori di servizi di disposizione di ordine di pagamento, conformemente all'articolo 98, paragrafo 1, lett. d), della direttiva (UE) 2015/2366 e alle relative norme tecniche di regolamentazione adottate dalla Commissione europea;
b) immediatamente dopo aver ricevuto l'ordine di pagamento dal prestatore di servizi di disposizione di ordine di pagamento, fornisce a quest'ultimo o mette a disposizione dello stesso, tutte le informazioni sull'ordine di pagamento e sulla relativa esecuzione disponibili al medesimo prestatore di servizi di pagamento di radicamento del conto;
c) assicura parita' di trattamento agli ordini trasmessi mediante un prestatore di servizi di disposizione di ordine di pagamento rispetto a quelli trasmessi direttamente dal pagatore, fatte salve ragioni obiettive riferibili, in particolare, ai tempi, alla priorita' o alle spese applicabili.
Art. 5-quater (Disposizioni per l'accesso alle informazioni sui conti di pagamento e all'utilizzo delle stesse in caso di servizi di informazioni sui conti). - 1. Se il conto di pagamento e' accessibile online, l'utente ha il diritto di avvalersi di un prestatore di servizi di informazione sui conti per il servizio di pagamento di cui all'articolo 1, comma 2, lettera h-septies.1), n. 8, del decreto legislativo 1° settembre 1993, n. 385. La prestazione di tale servizio non e' subordinata all'esistenza di un rapporto contrattuale tra il prestatore di servizi di informazione sui conti e il prestatore di servizi di pagamento di radicamento del conto.
2. Il prestatore di servizi di informazione sui conti:
a) presta il proprio servizio unicamente sulla base del consenso esplicito dell'utente;
b) provvede affinche' le credenziali di sicurezza personalizzate dell'utente non siano accessibili ad altri fuorche' all'utente stesso e all'emittente delle credenziali di sicurezza personalizzate e che esse siano trasmesse attraverso canali sicuri ed efficienti;
c) per ogni sessione di comunicazione, si identifica presso il prestatore o i prestatori di servizi di pagamento di radicamento del conto, comunicando con questi e con l'utente in maniera sicura, conformemente all'articolo 98, paragrafo 1, lett. d), della direttiva (UE) 2015/2366 e alle relative norme tecniche di regolamentazione adottate dalla Commissione europea;
d) accede soltanto alle informazioni sui conti di pagamento designati e sulle operazioni di pagamento effettuate a valere su tali conti, non richiedendo dati sensibili relativi ai pagamenti;
e) non usa, ne' conserva dati, ne' vi accede per fini diversi dalla prestazione del servizio di informazione sui conti, conformemente alle norme sulla protezione dei dati.
3. In relazione ai conti di pagamento, il prestatore di servizi di pagamento di radicamento del conto:
a) comunica in maniera sicura con i prestatori di servizi di informazione sui conti, conformemente all'articolo 98, paragrafo 1, lett. d), della direttiva (UE) 2015/2366 e alle relative norme tecniche di regolamentazione adottate dalla Commissione europea;
b) assicura parita' di trattamento alle richieste di dati trasmesse dal prestatore di servizi di informazione sui conti rispetto a quelle trasmesse direttamente dall'utente, fatte salve ragioni obiettive. ».
Dopo l'articolo 6 del decreto legislativo 27 gennaio 2010, n. 11, sono inseriti i seguenti:
« Art. 6-bis (Limiti all'accesso ai conti di pagamento da parte dei prestatori di servizi di pagamento). - 1. Il prestatore di servizi di pagamento di radicamento del conto puo' rifiutare l'accesso a un conto di pagamento a un prestatore di servizi di informazione sui conti o a un prestatore di servizi di disposizione di ordine di pagamento, per giustificate e comprovate ragioni connesse all'accesso fraudolento o non autorizzato al conto di pagamento da parte di tali soggetti, compresi i casi di ordini di pagamento fraudolenti o non autorizzati. In tali casi, il prestatore di servizi di pagamento di radicamento del conto, secondo le modalita' convenute con l'utente, informa quest'ultimo del rifiuto e dei relativi motivi. Ove possibile, tale informazione e' resa prima che l'accesso sia rifiutato o, al piu' tardi, immediatamente dopo, salvo che tale informazione non debba essere fornita in quanto in contrasto con obiettivi di ordine pubblico o di pubblica sicurezza, individuati ai sensi dell'articolo 126 del decreto legislativo 1° settembre 1993, n. 385, o ricorrano altri giustificati motivi ostativi in base alle disposizioni in materia di contrasto del riciclaggio e del finanziamento del terrorismo, di legge o di regolamento. Al venir meno delle ragioni che hanno portato al rifiuto, il prestatore di servizi di pagamento di radicamento del conto consente l'accesso al conto di pagamento.
2. Il prestatore di servizi di pagamento di radicamento del conto comunica immediatamente alla Banca d'Italia il rifiuto di cui al comma precedente, indicandone le motivazioni. La Banca d'Italia effettua le valutazioni di competenza e, ove necessario, adotta le misure ritenute opportune.
3. In ogni caso il prestatore di servizi di pagamento di radicamento del conto deve rifiutare senza indugio l'accesso al conto di pagamento a un prestatore di servizi di informazione sui conti o a un prestatore di servizi di disposizione di ordine di pagamento se riceve dall'utente la revoca del consenso alla prestazione di tali servizi. Il prestatore dei servizi di pagamento di radicamento del conto informa immediatamente della revoca il prestatore di servizi di disposizione di ordine di pagamento e il prestatore di servizi di informazione sui conti.
Art. 6-ter (Notifica dei dati relativi alle frodi). - 1. I prestatori di servizi di pagamento trasmettono alla Banca d'Italia dati statistici sulle frodi connesse agli strumenti e ai servizi di pagamento.
2. La Banca d'Italia definisce le modalita' e i termini per l'invio dei dati di cui al comma precedente, anche per tener conto di orientamenti dell'ABE.
3. La Banca d'Italia trasmette in forma aggregata i dati ricevuti ai sensi dei commi precedenti all'ABE e alla BCE. ».
Dopo l'articolo 10 del decreto legislativo 27 gennaio 2010, n. 11, e' inserito il seguente:
« Art. 10-bis (Autenticazione e misure di sicurezza). - 1.
Conformemente all'articolo 98 della direttiva (UE) 2015/2366 e alle relative norme tecniche di regolamentazione adottate dalla Commissione europea, i prestatori di servizi di pagamento applicano l'autenticazione forte del cliente quando l'utente:
a) accede al suo conto di pagamento on-line;
b) dispone un'operazione di pagamento elettronico;
c) effettua qualsiasi azione, tramite un canale a distanza, che puo' comportare un rischio di frode nei pagamenti o altri abusi.
2. Nel caso dell'avvio di un'operazione di pagamento elettronico di cui al paragrafo 1, lettera b), per le operazioni di pagamento elettronico a distanza, l'autenticazione forte del cliente applicata dai prestatori di servizi di pagamento comprende elementi che colleghino in maniera dinamica l'operazione a uno specifico importo e a un beneficiario specifico.
3. Conformemente all'articolo 98 della direttiva (UE) 2015/2366 e alle relative norme tecniche di regolamentazione adottate dalla Commissione europea, i prestatori di servizi di pagamento predispongono misure di sicurezza adeguate per tutelare la riservatezza e l'integrita' delle credenziali di sicurezza personalizzate degli utenti di servizi di pagamento.
4. I commi 2 e 3 si applicano anche allorche' i pagamenti sono disposti mediante un prestatore di servizi di disposizione di ordine di pagamento. I commi 1 e 3 si applicano anche allorche' le informazioni sono richieste mediante un prestatore di servizi di informazione sui conti.
5. I prestatori di servizi di pagamento di radicamento del conto consentono ai prestatori di servizi di disposizione di ordine di pagamento e ai prestatori di servizi di informazione sui conti di utilizzare le procedure di autenticazione fornite dagli stessi prestatori di servizi di pagamento di radicamento del conto all'utente. ».
Dopo l'articolo 12 del decreto legislativo 27 gennaio 2010, n. 11, e' inserito il seguente:
« Art. 12-bis (Operazioni di pagamento il cui importo non sia noto in anticipo). - 1. Se un'operazione di pagamento basata su carta e' disposta dal beneficiario o per suo tramite, senza che sia noto l'importo dell'operazione nel momento in cui il pagatore presta il proprio consenso, il prestatore di servizi di pagamento del pagatore puo' bloccare i fondi sul conto di pagamento del pagatore solo se quest'ultimo ha acconsentito a che sia bloccato un importo predeterminato.
2. Il prestatore di servizi di pagamento del pagatore sblocca senza indugio i fondi bloccati ai sensi del comma precedente nel momento della ricezione delle informazioni concernenti l'esatto importo dell'operazione di pagamento e, al piu' tardi, dopo la ricezione dell'ordine di pagamento. ».
All'articolo 19 del decreto legislativo 27 gennaio 2010, n. 11, il comma 2 e' sostituito dal seguente:
« 2. La presente sezione e' applicabile anche ad operazioni di pagamento diverse da quelle di cui al comma 1, a meno che non sia diversamente convenuto dall'utente e dal prestatore di servizi di pagamento. Resta comunque ferma l'applicazione dell'articolo 23, che non puo' essere oggetto di deroga contrattuale. Per le operazioni di pagamento effettuate nel territorio dell'Unione europea, quando le parti di un contratto di pagamento convengono un termine massimo di esecuzione superiore a quello di cui all'articolo 20, tale termine non puo' essere superiore a quattro giornate operative dal momento della ricezione dell'ordine di pagamento. ».
All'articolo 20 del decreto legislativo 27 gennaio 2010, n. 11, il comma 1 e' sostituito dal seguente:
« 1. Il prestatore di servizi di pagamento del pagatore assicura che dal momento della ricezione dell'ordine di pagamento l'importo dell'operazione venga accreditato sul conto del prestatore di servizi di pagamento del beneficiario entro la fine della giornata operativa successiva. Se convenuto tra le parti, per le operazioni di pagamento disposte su supporto cartaceo, tale termine massimo puo' essere prorogato di una ulteriore giornata operativa. ».
All'articolo 21 del decreto legislativo 27 gennaio 2010, n. 11, al comma 1, la parola « 20 » e' sostituita dalle seguenti: « 23, comma 2 ».
Dopo l'articolo 25 del decreto legislativo 27 gennaio 2010, n. 11, e' inserito il seguente:
« Art. 25-bis (Responsabilita' in caso di prestazione dei servizi di disposizione di ordine di pagamento per la mancata, inesatta o tardiva esecuzione dell'operazione di pagamento). - 1. Fatti salvi gli articoli 9, 24, commi 2 e 3, e 28 se l'ordine di pagamento e' disposto mediante un prestatore di servizi di disposizione di ordine di pagamento il prestatore di servizi di pagamento di radicamento del conto rimborsa al pagatore l'importo dell'operazione di pagamento non eseguita o non correttamente eseguita e, se del caso, riporta il conto di pagamento addebitato nello stato in cui si sarebbe trovato se l'operazione non correttamente eseguita non avesse avuto luogo.
2. In caso di operazione di pagamento non eseguita o non correttamente eseguita, se il relativo ordine di pagamento e' disposto mediante un prestatore di servizi di disposizione di ordine di pagamento, quest'ultimo e' tenuto a rimborsare, immediatamente e senza che sia necessaria la costituzione in mora, al prestatore di servizi di pagamento di radicamento del conto, su richiesta di quest'ultimo, gli importi rimborsati al pagatore. Se il prestatore di servizi di disposizione di ordine di pagamento e' responsabile per la mancata, inesatta o tardiva esecuzione dell'operazione di pagamento, risarcisce, immediatamente e senza che sia necessaria la costituzione in mora, il prestatore di servizi di pagamento di radicamento del conto, su sua richiesta, anche per le perdite subite. In entrambi i casi e' fatta salva la facolta' del prestatore di servizi di disposizione di ordine di pagamento di dimostrare, in conformita' a quanto disposto dall'articolo 10, comma 1-bis, che l'ordine di pagamento e' stato ricevuto dal prestatore di servizi di pagamento di radicamento del conto del pagatore conformemente all'articolo 15 e che, nell'ambito delle competenze del medesimo prestatore di servizi di disposizione di ordine di pagamento, l'operazione di pagamento e' stata autenticata, correttamente registrata e non ha subito le conseguenze di guasti tecnici o altri inconvenienti correlati alla mancata, inesatta o tardiva esecuzione dell'operazione di pagamento, con conseguente diritto in questi casi alla restituzione delle somme da quest'ultimo versate al prestatore di servizi di pagamento di radicamento del conto ai sensi del presente comma. ».
All'articolo 26 del decreto legislativo 27 gennaio 2010, n. 11, al comma 1, la parola «utilizzatore » e' sostituita dalla seguente: « utente ».
All'articolo 28 del decreto legislativo 27 gennaio 2010, n. 11, la rubrica e' sostituita dalla seguente: « Circostanze anormali e imprevedibili ».
L'articolo 31 del decreto legislativo 27 gennaio 2010, n. 11 e' abrogato.
Dopo l'articolo 32 del decreto legislativo 27 gennaio 2010, n. 11, sono inseriti i seguenti:
« Art. 32-bis (Altre sanzioni amministrative agli esponenti o al personale). - 1. Fermo restando quanto previsto per i prestatori di servizi di pagamento e per gli enti nei confronti dei quali sono accertate le violazioni, per l'inosservanza delle norme richiamate dall'articolo 32, comma 1, si applica la sanzione amministrativa pecuniaria da euro 5.000 a euro 5 milioni di euro nei confronti dei soggetti che svolgono funzioni di amministrazione, di direzione o di controllo, nonche' del personale, quando l'inosservanza e' conseguenza della violazione di doveri propri o dell'organo di appartenenza e la condotta ha inciso in modo rilevante sulla complessiva organizzazione aziendale o sui profili di rischio.
2. Con il provvedimento di applicazione della sanzione, in ragione della gravita' della violazione accertata e tenuto conto dei criteri per la determinazione delle sanzioni stabiliti dall'articolo 32-ter, la Banca d'Italia puo' applicare la sanzione amministrativa accessoria dell'interdizione, per un periodo non inferiore a sei mesi e non superiore a tre anni, dallo svolgimento di funzioni di amministrazione, direzione e controllo presso i prestatori di servizi di pagamento autorizzati ai sensi del decreto legislativo 1° settembre 1993, n. 385.
3. Si applica l'articolo 32, comma 1-quater.
Art. 32-ter (Criteri per la determinazione delle sanzioni e procedura sanzionatoria). - 1. Nella determinazione dell'ammontare delle sanzioni amministrative pecuniarie o della durata delle sanzioni accessorie previste dal presente Capo, si applica l'articolo 144-quater, del decreto legislativo 1 settembre 1993, n. 385.
2. Si applica il Capo VI, Titolo VIII del citato decreto legislativo n. 385 del 1993.
Art. 32-quater (Controlli sui servizi di prelievo di contante tramite sportelli automatici). - 1. Fatta salva l'applicazione dell'articolo 62 del decreto legislativo 6 settembre 2005, n. 206, i prestatori dei servizi di cui all'articolo 2, comma 2, lettera q), forniscono agli utenti le informazioni di cui agli articoli 126-quater e 126-octies del decreto legislativo 1° settembre 1993, n. 385, in merito a qualsiasi commissione sui prelievi di contante.
2. I controlli sull'osservanza dell'obbligo previsto dal comma 1 sono esercitati dall'Autorita' garante della concorrenza e del mercato la quale li effettua sulla base dei poteri istruttori e sanzionatori di cui all'articolo 27 del decreto legislativo 6 settembre 2005, n. 206.
Art. 32-quinquies (Procedura di riscossione). - 1. Le sanzioni di cui al presente Capo si riscuotono secondo i termini e le modalita' previsti dal decreto del Presidente della Repubblica 29 settembre 1973, n. 602, e i relativi proventi affluiscono all'entrata del bilancio dello Stato. ».
Gli articoli 36, 37 e 38 del decreto legislativo 27 gennaio 2010, n. 11 sono abrogati dalla data di entrata in vigore del presente decreto, ad eccezione del comma 6 dell'articolo 37 che e' abrogato a decorrere dal 1° gennaio 2019.
All'articolo 39 del decreto legislativo 27 gennaio 2010, n. 11, al comma 1, il primo periodo e' sostituito dal seguente: « In caso di violazione da parte di un prestatore di servizi di pagamento delle disposizioni di cui al titolo II e di quelle di cui all'articolo 115 e al capo II-bis del titolo VI del decreto legislativo 1° settembre 1993, n. 385, e della relativa normativa di attuazione, gli utenti di servizi di pagamento, le associazioni che li rappresentano e le altre parti interessate possono presentare esposti alla Banca d'Italia. ».