1. Les prestataires de services de paiement n’appliquent pas l’authentification forte du client lorsqu’un utilisateur de services de paiement accède en ligne à son compte de paiement par l’intermédiaire d’un prestataire de services d’information sur les comptes, à condition que cet accès soit limité à l’un des éléments suivants en ligne sans que des données de paiement sensibles soient divulguées:
a) le solde d’un ou de plusieurs comptes de paiement désignés;
b) les opérations de paiement exécutées durant les 90 derniers jours par l’intermédiaire d’un ou de plusieurs comptes de paiement désignés.
2. Par dérogation au paragraphe 1, les prestataires de services de paiement appliquent l’authentification forte du client lorsque l’une des conditions suivantes est remplie:
a) l’utilisateur de services de paiement accède en ligne aux informations visées au paragraphe 1 pour la première fois par l’intermédiaire du prestataire de services d’information sur les comptes;
b) plus de 180 jours se sont écoulés depuis la dernière fois que l’utilisateur de services de paiement a accédé en ligne aux informations visées au paragraphe 1 par l’intermédiaire du prestataire de services d’information sur les comptes et que la procédure d’authentification forte du client a été appliquée.
3. Par dérogation au paragraphe 1, les prestataires de services de paiement sont autorisés à appliquer l’authentification forte du client lorsqu’un utilisateur de services de paiement accède en ligne à son compte de paiement par l’intermédiaire d’un prestataire de services d’information sur les comptes et que le prestataire de services de paiement a des raisons objectivement motivées et documentées liées à un accès non autorisé ou frauduleux au compte de paiement. Dans ce cas, le prestataire de services de paiement documente et motive dûment auprès de son autorité nationale compétente, sur demande, les raisons de l’application d’une authentification forte du client.
4. Les prestataires de services de paiement gestionnaires de comptes qui proposent une interface dédiée telle que visée à l’article 31 ne sont pas tenus d’appliquer la dérogation prévue au paragraphe 1 du présent article aux fins du mécanisme d’urgence visé à l’article 33, paragraphe 4, lorsqu’ils n’appliquent pas la dérogation prévue à l’article 10 dans l’interface directe utilisée pour l’authentification et la communication avec leurs utilisateurs de services de paiement.