+Artigo 4.o Código de autenticação
---+Artigo 4.o 1.
---+Artigo 4.o 2.
---+Artigo 4.o 3.
---+Artigo 4.o 4.

Artigo 4.o Código de autenticação

1. Visão geral

,
Artigo 4.o 1.
Sempre que os prestadores de serviços de pagamento apliquem a autenticação forte do cliente nos termos do artigo 97.o, n.o 1, da Diretiva (UE) 2015/2366, a autenticação deve basear-se em dois ou mais elementos pertencentes às categorias de conhecimento, posse e inerência e resultar na geração de um código de autenticação.

O código de autenticação só deve ser aceite uma vez pelo prestador de serviços de pagamento quando o ordenante o utilizar para aceder em linha à sua conta de pagamento, iniciar uma operação de pagamento eletrónico ou realizar uma ação, através de um canal remoto, suscetível de envolver um risco de fraude no pagamento ou outros abusos.
Artigo 4.o 2.

Para efeitos do disposto no n.o 1, os prestadores de serviços de pagamento devem adotar medidas de segurança para garantir o cumprimento de cada um dos seguintes requisitos:

a) 

Não pode ser obtida qualquer informação sobre nenhum dos elementos a que se refere o n.o 1 com a divulgação do código de autenticação;

b) 

Não é possível gerar um novo código de autenticação baseado no conhecimento de qualquer outro código de autenticação gerado anteriormente;

c) 

O código de autenticação não pode ser falsificado.
Artigo 4.o 3.

Os prestadores de serviços de pagamento devem assegurar que a autenticação por meio da geração de um código de autenticação inclui cada uma das seguintes medidas:

a) 

Caso a autenticação para acesso remoto, pagamentos eletrónicos remotos e outras ações, através de um canal remoto, suscetíveis de envolver um risco de fraude no pagamento ou outros abusos, não permita gerar um código de autenticação para efeitos do disposto no n.o 1, não deve ser possível identificar qual dos elementos referidos nesse número estava incorreto;

b) 

Não devem ser possíveis mais de cinco tentativas de autenticação falhadas consecutivas num determinado período de tempo, após o que as ações referidas no artigo 97.o, n.o 1, da Diretiva (UE) 2015/2366 devem ser temporária ou permanentemente bloqueadas;

c) 

As sessões de comunicação devem ser protegidas contra a captura dos dados de autenticação transmitidos durante o processo de autenticação e contra a manipulação por partes não autorizadas, em conformidade com os requisitos estabelecidos no capítulo V;

d) 

O tempo máximo de inatividade após o ordenante ser autenticado para aceder em linha à sua conta de pagamento não deve exceder cinco minutos.
Artigo 4.o 4.
Caso o bloqueio a que se refere o n.o 3, alínea b), seja temporário, a duração desse bloqueio e o número de novas tentativas devem ser estabelecidos com base nas características do serviço prestado ao ordenante e em todos os riscos relevantes envolvidos, tendo em conta, no mínimo, os fatores referidos no artigo 2.o, n.o 2.

O ordenante deve ser avisado antes de o bloqueio se tornar permanente.

Caso o bloqueio passe a ser permanente, deve ser estabelecido um procedimento seguro que permita ao ordenante voltar a utilizar os instrumentos de pagamento eletrónico bloqueados.

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas
  • Builddate: 12.09.2023 00:00:00 -Doknr: CELEX:32018R0389
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.