Article considérant 14

(14) Si une analyse en temps réel des risques liés à l'opération classe une opération de paiement comme présentant peu de risques, il convient également d'instaurer une dérogation pour le prestataire de services de paiement qui entend ne pas appliquer l'authentification forte du client, en adoptant des exigences efficaces et fondées sur les risques qui garantissent la sécurité des fonds et des données à caractère personnel de l'utilisateur de services de paiement. Ces exigences fondées sur les risques devraient combiner les résultats de l'analyse des risques («risk scoring»), confirmant qu'aucune dépense ou aucun type de comportement anormal du payeur n'a été décelé, en tenant compte d'autres facteurs de risque tels que les informations sur la localisation du payeur et du bénéficiaire, avec les seuils en valeur liés aux taux de fraude calculés pour les paiements à distance. Lorsque, sur la base de l'analyse en temps réel des risques liés à l'opération, un paiement ne peut être considéré comme présentant peu de risques, le prestataire de services de paiement devrait revenir à l'authentification forte du client. Le montant maximal de cette dérogation fondée sur les risques devrait être fixé de telle manière qu'il corresponde à un taux de fraude très faible, même en comparaison des taux de fraude de l'ensemble des opérations de paiement du prestataire de services de paiement, y compris ceux authentifiés grâce à l'authentification forte du client, au cours d'une certaine période et sur une base glissante.