Aviso do Banco de Portugal n.º 5/2025, de 7 de agosto

Aviso do Banco de Portugal n.º 5/2025

O n.º 2 do artigo 127.º do Tratado sobre o Funcionamento da União Europeia (TFUE) e o artigo 3.º dos Estatutos do Sistema Europeu de Bancos Centrais (SEBC) e do Banco Central Europeu (BCE) estabelecem que uma das funções do SEBC é a promoção do bom funcionamento dos sistemas de pagamentos.

Ademais, o artigo 22.º dos Estatutos do SEBC subordina a atuação do BCE e dos Bancos Centrais Nacionais (BCN) à finalidade de promover a eficiência e robustez dos sistemas de pagamentos e de liquidação de títulos.

A função de superintendência (oversight) é desempenhada pelos BCN em cumprimento do seu mandato de promover o bom funcionamento dos instrumentos de pagamento e das infraestruturas do mercado financeiro (Financial Market Infrastructures - FMI), contribuindo assim para a estabilidade do sistema financeiro.

A realização da superintendência por parte dos BCN prossegue os seguintes objetivos:

Assegurar a estabilidade sistémica;

Promover a eficiência dos instrumentos de pagamentos e das FMI;

Garantir a segurança dos instrumentos de pagamentos e das FMI de forma a Promover a confiança nas mesmas e na moeda do Eurosistema (euro); e

Salvaguardar o canal de transmissão da política monetária.

O exercício da função de superintendência é apoiado na monitorização e avaliação das características e desempenho dos instrumentos de pagamento e das FMI que se encontrem a operar (ou em vias de iniciar a sua atividade), face a um conjunto de princípios e padrões previamente definidos e, bem assim, mediante a definição de planos de ação e relatórios de acompanhamento sempre que se revele necessário.

Deste modo, a atividade de superintendência tem sido enquadrada em princípios e padrões internacionais, regulamentação europeia (focada nos sistemas de pagamentos sistemicamente importantes) ou em moral suasion. Por outro lado, é também relevante destacar a importância que as informações que se encontram na posse das entidades superintendidas assumem para o cumprimento das atribuições cometidas aos BCN em matéria de superintendência.

Neste contexto, e com o intuito de permitir ao Banco de Portugal o desempenho da sua função de superintendência, a Lei Orgânica do Banco de Portugal, aprovada pela Lei n.º 5/98, de 31 de janeiro determina, no seu artigo 14.º, que compete ao Banco regular, fiscalizar e promover o bom funcionamento dos sistemas de pagamentos, designadamente no âmbito da sua participação no SEBC.

Para concretizar os objetivos prosseguidos pela função de superintendência atribuída ao Banco de Portugal, o legislador nacional veio prever expressamente, no n.º 2 do artigo 117.º-B do Regime Geral das Instituições de Crédito e Sociedades Financeiras (RGICSF), que as entidades que exerçam qualquer atividade no âmbito dos sistemas de pagamentos devem comunicar esse facto ao Banco de Portugal e prestar-lhe todas as informações que lhes forem solicitadas.

Face a este enquadramento, e de modo a reforçar as condições em que o Banco de Portugal exerce a sua função de superintendência, é considerada necessária a adoção de um instrumento regulamentar que fixe, ao nível nacional, um quadro legal que mais perfeitamente estabeleça e densifique as obrigações de informação, notificação e/ou comunicação existentes para as entidades que exercem atividade no âmbito dos sistemas de pagamentos em Portugal.

Sendo assim, o presente Aviso, em conjunto com o enquadramento legal vigente e acima mencionado, visa regular as informações e os elementos que as entidades abrangidas pelo âmbito de aplicação do mesmo devem comunicar ao Banco de Portugal. A emissão do presente Aviso permitirá melhorar o atual desempenho do Banco de Portugal em relação ao seu mandato de promover o bom funcionamento dos sistemas de pagamentos, incluindo dos schemes e dos arrangements de instrumentos de pagamento, num claro reflexo da evolução da atuação do SEBC e dos BCN enquanto superintendentes (overseers), a qual abarca hoje, não apenas sistemas de pagamentos, mas também os referidos schemes e arrangements, atenta a ligação estreita, necessária e indissociável entre a regulação destes e a regulação dos sistemas de pagamentos.

Por esta mesma razão, o presente Aviso também prevê que as entidades que disponibilizem serviços de levantamento de numerário oferecidos através de caixas automáticos notifiquem o Banco de Portugal do início dessa atividade, bem como disponibilizem informação que permita a monitorização das atividades das mesmas no contexto do desempenho da função de superintendência pelo Banco de Portugal.

A recolha de informação junto das entidades abrangidas pelo escopo aplicativo do Aviso é fundamental para que o Banco de Portugal exerça as atribuições de interesse público que lhe estão cometidas, por exemplo, no que respeita à produção de estatísticas de pagamento e de sistemas de pagamentos ou à definição e execução da política macroprudencial, designadamente identificar, acompanhar e avaliar riscos sistémicos, bem como propor e adotar medidas de prevenção, mitigação ou redução desses riscos, com vista a reforçar a resiliência operacional e a ciber-resiliência do setor financeiro.

Adicionalmente, a existência de um instrumento regulatório ao nível nacional que sintetiza as obrigações que podem advir para as entidades visadas em matéria de superintendência afigura-se muito vantajosa também para estas, apresentando-se como uma solução clara e simples para a sua própria atividade de verificação de conformidade com aquelas, robustecendo a identificação desses deveres.

O disposto no presente Aviso não prejudica as competências do Banco de Portugal resultantes da sua participação no SEBC, nem o exercício legítimo de superintendência, por parte de outros BCN ou do próprio BCE, designadamente por aplicação do Revised Oversight Framework for Retail Payment Systems, do Eurosystem Oversight framework for electronic payment instruments, schemes and arrangements (PISA Framework), ou do Regulamento (UE) n.º 795/2014 relativo aos requisitos de superintendência de sistemas de pagamentos sistemicamente importantes (BCE/2014/28), que possa recair sobre as entidades que exerçam atividade no âmbito dos sistemas de pagamentos.

O presente Aviso foi sujeito a consulta prévia ao BCE, atento o disposto no artigo 2.º da Decisão 98/415/CE, por estarem em causa matérias que estão no âmbito das atribuições do BCE.

O presente Aviso foi, também, sujeito a consulta pública, nos termos do artigo 101.º do Código do Procedimento Administrativo.

Assim, no uso da competência que lhe é conferida pelo artigo 14.º da sua Lei Orgânica, aprovada pela Lei n.º 5/98, de 31 de janeiro, na sua redação atual, e pelo disposto no n.º 2 do artigo 117.º-B do RGICSF, aprovado pelo Decreto-Lei n.º 298/92, de 31 de dezembro, na sua redação atual, o Banco de Portugal determina:

CAPÍTULO I

DISPOSIÇÕES GERAIS

Artigo 1.º

Objeto e âmbito de aplicação

1 - As entidades que exercem atividade no âmbito dos sistemas de pagamentos de retalho em Portugal, referidas no n.º 1 do artigo 2.º, têm o dever de notificar o Banco de Portugal do início, da alteração e da cessação dessa atividade, nos termos do Capítulo II infra.

2 - As entidades referidas no n.º 1 que estejam estabelecidas em Portugal e estejam abrangidas pelos quadros do Eurosistema, têm o dever de prestar ao Banco de Portugal as informações que o mesmo considere necessárias para permitir a monitorização das atividades das mesmas no contexto do desempenho da função de superintendência pelo Banco de Portugal, nos termos do Capítulo III infra. A informação recolhida poderá ser utilizada no âmbito de avaliações conforme o disposto no presente Aviso, bem como de quaisquer outras ações de superintendência, designadamente ao abrigo dos quadros do Eurosistema.

3 - As entidades referidas nas alíneas a) a c) do n.º 1 do artigo 2.º que estejam estabelecidas em Portugal têm o dever de reportar ao Banco de Portugal os incidentes de carácter severo, sejam eles operacionais ou de segurança, nos termos do Capítulo IV infra;

4 - As entidades referidas nas alíneas a) e d) do n.º 1 do artigo 2.º que estejam estabelecidas em Portugal têm o dever de reportar ao Banco de Portugal a informação estatística sobre as operações e os serviços abrangidos pela atividade no âmbito dos sistemas de pagamentos, nos termos do Capítulo V infra.

5 - As entidades referidas no n.º 1 do artigo 2.º são responsáveis por cumprir todos os deveres constantes do presente Aviso independentemente de, no seio da organização, os mesmos recaírem especialmente sobre determinado órgão ou agente.

6 - O disposto no presente Aviso não prejudica as competências do Banco de Portugal resultantes da sua participação no Sistema Europeu de Bancos Centrais, nem o exercício legítimo de superintendência por parte de outros Bancos Centrais Nacionais ou do próprio Banco Central Europeu, designadamente por aplicação do Revised Oversight Framework for Retail Payment Systems, do Eurosystem Oversight framework for electronic payment instruments, schemes and arrangements, ou do Regulamento (UE) n.º 795/2014 relativo aos requisitos de superintendência de sistemas de pagamentos sistemicamente importantes (BCE/2014/28).

7 - O disposto no presente Aviso não prejudica as obrigações que recaiam sobre as entidades que exercem atividade no âmbito dos sistemas de pagamentos de retalho em Portugal por via de outros enquadramentos normativos, como sendo o aplicável a prestadores de serviços de pagamento, ao abrigo do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica.

Artigo 2.º

Entidades que exercem atividade no âmbito dos sistemas de pagamentos de retalho

1 - Considera-se que uma entidade exerce atividade no âmbito dos sistemas de pagamentos de retalho, para efeitos do presente Aviso, nomeadamente, quando:

a) Opere ou processe sistemas de pagamentos de retalho;

b) Detenha schemes de instrumentos de pagamentos, conforme definidos na “Eurosystem oversight framework for electronic payment instruments, schemes and arrangements”, de novembro de 2021;

c) Detenha arrangements de instrumentos de pagamentos, conforme definidos no “Eurosystem oversight framework for electronic payment instruments, schemes and arrangements”, de novembro de 2021;

d) Disponibilize serviços de levantamento de numerário oferecidos através de caixas automáticos, atuando em nome de um ou de vários emitentes de cartões e não sendo parte no contrato-quadro com o utilizador de serviços de pagamento que levanta numerário da conta de pagamento, nos termos da alínea o) do n.º 1 do artigo 5.º do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica.

2 - Entende-se que as atividades no âmbito dos sistemas de pagamentos de retalho são exercidas em Portugal sempre que as mesmas sejam disponibilizadas a utilizadores ou a prestadores de serviços de pagamento estabelecidos em Portugal.

CAPÍTULO II

COMUNICAÇÃO DE INÍCIO, DE ALTERAÇÃO E DE CESSAÇÃO DE ATIVIDADE

Artigo 3.º

Comunicação de início de atividade

1 - As entidades que exercem atividade no âmbito dos sistemas de pagamentos de retalho devem comunicar ao Banco de Portugal o início da atividade em Portugal.

2 - A comunicação prevista no número anterior deve conter:

a) A identificação da entidade;

b) O país de origem;

c) A data a partir da qual pretende iniciar a atividade em Portugal;

d) Uma descrição das atividades desempenhadas em Portugal;

e) A identificação de interlocutores habilitados a responder a eventuais dúvidas e a prestar esclarecimentos relacionados com o teor do presente Aviso.

3 - A comunicação prevista no n.º 1 deve ser enviada com uma antecedência mínima de 30 dias em relação à data de início da atividade.

4 - As entidades que exercem atividade no âmbito dos sistemas de pagamentos de retalho que, à data de publicação do presente Aviso, se encontrem a exercer atividade em Portugal, comunicam tal facto ao Banco de Portugal no prazo de 30 dias após a referida publicação.

Artigo 4.º

Comunicação de alterações supervenientes

As entidades que exercem atividade no âmbito dos sistemas de pagamentos em Portugal devem comunicar ao Banco de Portugal quaisquer alterações à informação prestada no âmbito da comunicação de início de atividade, prevista no artigo 3.º

Artigo 5.º

Comunicação de cessação de atividade

1 - As entidades que exercem atividade no âmbito dos sistemas de pagamentos em Portugal devem comunicar ao Banco de Portugal a cessação da atividade em Portugal.

2 - A comunicação prevista no número anterior deve conter:

a) A data a partir da qual a entidade pretende cessar atividade em Portugal;

b) A razão da cessação da atividade em Portugal.

3 - A comunicação prevista no n.º 1 deve ser enviada com uma antecedência mínima de 30 dias em relação à data de cessação da atividade.

Artigo 6.º

Comunicações com o Banco de Portugal

As comunicações referidas no presente Capítulo devem ser efetuadas através do preenchimento do Anexo ao presente Aviso, disponibilizado em formato eletrónico no sítio institucional do Banco de Portugal, e remetidas para o endereço de correio eletrónico: oversight@bportugal.pt.

Artigo 7.º

Contagem dos prazos

Os prazos fixados no presente Capítulo são contínuos, não se suspendendo a sua contagem nos sábados, domingos e feriados.

CAPÍTULO III

FUNÇÃO DE SUPERINTENDÊNCIA

Artigo 8.º

Desempenho da função de superintendência

1 - No desempenho da função de superintendência, o Banco de Portugal realiza ações de avaliação junto das entidades estabelecidas em Portugal que exercem as atividades no âmbito dos sistemas de pagamentos previstas nas alíneas a) a c) do n.º 1 do artigo 2.º

2 - O Banco de Portugal detalha, por meio de Instrução, a informação que deve ser enviada pelas entidades mencionadas no número anterior, assim como os procedimentos a adotar pelas mesmas no âmbito do disposto no presente artigo, incluindo os prazos a respeitar.

3 - O disposto nos números anteriores não prejudica, nem limita a possibilidade de o Banco de Portugal pedir informação adicional ou de realizar outras ações de avaliação em cumprimento do enquadramento aplicável definido pelo SEBC.

CAPÍTULO IV

INCIDENTES DE CARÁCTER SEVERO

Artigo 9.º

Reporte de incidentes de carácter severo

1 - As entidades estabelecidas em Portugal que exercem as atividades no âmbito dos sistemas de pagamentos previstas nas alíneas a) a c) do n.º 1 do artigo 2.º reportam ao Banco de Portugal os incidentes de carácter severo que afetem a sua atividade, podendo estes incidentes ser operacionais ou de segurança.

2 - Para efeitos de aplicação do número anterior, considera-se um incidente de carácter severo operacional ou de segurança, um evento único ou uma série de eventos conexos e não previstos pelo processador do sistema de pagamentos de retalho ou responsável do scheme ou arrangement de instrumentos de pagamento, que tem, ou poderá vir a ter, um impacto adverso na integridade, disponibilidade, confidencialidade, autenticidade e/ou continuidade dos serviços relacionados com pagamentos.

3 - O Banco de Portugal detalha, por meio de Instrução, a informação que deve ser enviada pelas entidades mencionadas no n.º 1 do presente artigo, assim como os procedimentos a adotar pelas mesmas, incluindo os prazos a respeitar relativamente ao reporte de incidentes de carácter severo operacionais ou de segurança.

CAPÍTULO V

INFORMAÇÃO SOBRE SISTEMAS E INSTRUMENTOS DE PAGAMENTO

Artigo 10.º

Reporte de informação estatística sobre operações e serviços de pagamento

1 - As entidades estabelecidas em Portugal que exercem as atividades no âmbito dos sistemas de pagamentos previstas nas alíneas a) e d) do n.º 1 do artigo 2.º reportam ao Banco de Portugal a informação estatística sobre as operações e serviços de pagamento efetuados no âmbito da sua atividade.

2 - O Banco de Portugal detalha, por meio de Instrução, a informação estatística que deve ser enviada pelas entidades mencionadas no número anterior, assim como os procedimentos a adotar pelas mesmas no âmbito do disposto no presente artigo, incluindo os prazos a respeitar.

CAPÍTULO VI

DISPOSIÇÕES FINAIS

Artigo 11.º

Entrada em vigor

O presente Aviso entra em vigor na data da sua publicação.

29 de julho de 2025. - O Governador, Mário Centeno.

Anexo ao Aviso n.º 5/2025 do Banco de Portugal

Entidades que exercem atividade no âmbito dos sistemas de pagamentos

Comunicação de atividade em Portugal

Cumprimento do dever de informação junto do titular dos dados

1 - Responsável, fundamento e finalidade:

Os dados pessoais recolhidos são tratados pelo Banco de Portugal, pessoa coletiva de direito público com o n.º 500 792 771 e com sede na Rua do Comércio, n.º 148, 1100-150, Lisboa (doravante designado por Banco), no respeito pelo Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento), e demais legislação de proteção de dados aplicável, com base no cumprimento de uma obrigação legal e para as finalidades previstas no presente Aviso que regula as informações e os elementos que as entidades que exerçam atividade no âmbito dos sistemas de pagamentos devem comunicar ao Banco de Portugal no âmbito da sua função de superintendência.

2 - Obrigatoriedade:

O fornecimento de dados para esta finalidade é obrigatório para as entidades que exercem atividade no âmbito dos sistemas de pagamentos em Portugal.

3 - Conservação:

Os dados pessoais são conservados para a referida finalidade durante o período de tempo que as entidades em causa exerçam as atividades no âmbito dos sistemas de pagamentos previstas no presente Aviso do Banco de Portugal e pelo prazo máximo de 10 anos após a cessação de atividade, para efeitos de arquivo histórico.

4 - Direitos:

Informamos ainda que, nos termos previstos no Regulamento e demais legislação de proteção de dados aplicável, tem direito:

A solicitar ao Banco o acesso aos dados pessoais que lhe digam respeito, à sua retificação e ao seu apagamento; e

À limitação e oposição ao tratamento, considerando o disposto no ponto 2.

5 - Contactos:

Eventuais pedidos de informação ou esclarecimentos relacionados com o exercício de direitos relativos à proteção de dados pessoais no âmbito da presente comunicação devem ser dirigidos ao Banco de Portugal, através do correio eletrónico: oversight@bportugal.pt.

6 - Reclamação:

Eventuais reclamações relacionadas com o exercício de direitos relativos à proteção de dados pessoais no âmbito da presente comunicação devem ser dirigidas à Encarregada de Proteção de Dados do Banco de Portugal, através do correio eletrónico: encarregado.protecao.dados@bportugal.pt. Não obstante, tem ainda o direito de apresentar uma reclamação junto da Comissão Nacional de Proteção de Dados (CNPD), enquanto autoridade de controlo.

Entities that carry out activities within the scope of the payment systems

Communication of activity in Portugal

Fulfilment of the duty of information regarding the data subject

1 - Controller, basis and purpose:

Collected personal data are processed by Banco de Portugal, a public-law legal person with taxpayer number 500 792 771, with head office at Rua do Comércio, no. 148, 1100-150 Lisbon, Portugal, (henceforth Bank) in compliance with Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (henceforth Regulation), and other applicable data protection legislation, based on the compliance with a legal obligation and for the purpose set out in the present Notice of the Banco de Portugal that regulates the information and other elements that the entities that carry out activities within the scope of the payment systems must communicate to Banco de Portugal within the scope of its’ oversight function.

2 - Obligatoriness:

The provision of data for this purpose is mandatory to the entities that carry out activities within the scope of the payment systems in Portugal.

3 - Storage:

The personal data are stored for the given purpose during the period of time in which the entities in question carry out activities within the scope of the payment systems foreseen in the present Notice of the Banco de Portugal and for a maximum period of 10 years after the cessation of activity, for historical storage purposes.

4 - Rights:

We further inform you that under the terms provided for in the Regulation and other applicable data protection legislation, you have the right:

To ask the Banco de Portugal for access to the personal data relating to you, to its rectification and to its erasure; and

To restrict and object to the processing, without prejudice to point 2.

5 - Contact details:

Any requests for information regarding the aforementioned rights should be sent to Banco de Portugal to the following e-mail address: oversight@bportugal.pt.

6 - Complaints:

Any complaints regarding data processing for the purpose of this communication should be sent to Banco de Portugal’s Data Protection Officer to the following e-mail address: encarregado.protecao.dados@bportugal.pt. Notwithstanding, you also have the right to file a complaint to the Portuguese Data Protection Authority (Comissão Nacional de Proteção de Dados - CNPD), as the supervisory authority.

319380371