Artículo 10 bis. Acceso a la información sobre cuentas de pago a través de un proveedor de servicios de información sobre cuentas

1. Los proveedores de servicios de pago no aplicarán la autenticación reforzada de clientes cuando un usuario de servicios de pago acceda a su cuenta de pago en línea a través de un proveedor de servicios de información sobre cuentas, siempre que el acceso se limite a uno de los siguientes elementos en línea y no se divulguen datos de pago sensibles:

a) el saldo de una o varias cuentas de pago designadas;

b) las operaciones de pago ejecutadas en los 90 últimos días a través de una o varias cuentas de pago designadas.

2. No obstante lo dispuesto en el apartado 1, los proveedores de servicios de pago aplicarán la autenticación reforzada de clientes cuando se cumpla una de las condiciones siguientes:

a) que el usuario de servicios de pago acceda en línea a la información especificada en el apartado 1 por primera vez a través del proveedor de servicios de información sobre cuentas;

b) que hayan transcurrido más de 180 días desde la última vez que el usuario de servicios de pago accediera en línea a la información especificada en el apartado 1 a través del proveedor de servicios de información sobre cuentas y se aplicara la autenticación reforzada de clientes.

3. No obstante lo dispuesto en el apartado 1, los proveedores de servicios de pago estarán autorizados a aplicar la autenticación reforzada de clientes cuando un usuario de servicios de pago acceda a su cuenta de pago en línea a través de un proveedor de servicios de información sobre cuentas y el proveedor de servicios de pago tenga razones objetivamente justificadas y debidamente documentadas en relación con un acceso no autorizado o fraudulento a la cuenta de pago. En tal caso, el proveedor de servicios de pago documentará y justificará debidamente ante su autoridad nacional competente, a petición de esta, los motivos para aplicar la autenticación reforzada de clientes.

4. Los proveedores de servicios de pago gestores de cuenta que ofrezcan una interfaz específica con arreglo al artículo 31 no estarán obligados a aplicar la exención establecida en el apartado 1 del presente artículo a efectos del mecanismo de contingencia a que se refiere el artículo 33, apartado 4, cuando no apliquen la exención establecida en el artículo 10 en la interfaz directa utilizada para la autenticación y la comunicación con sus usuarios de servicios de pago.