Artigo 19.º

1 - Para serem autorizadas como instituições de pagamento ou instituições de moeda eletrónica, as instituições requerentes devem apresentar um pedido de autorização junto do Banco de Portugal, nos termos dos números seguintes.

2 - Sem prejuízo do disposto no n.º 8, o pedido de autorização deve ser acompanhado dos seguintes elementos:

a) Projeto de contrato de sociedade ou de alteração ao contrato de sociedade, de onde conste uma referência expressa aos serviços de pagamento, de entre os enumerados no artigo 4.º, que a instituição de pagamento ou a instituição de moeda eletrónica se propõe prestar;

b) Programa de atividades com indicação, entre outros elementos, do enquadramento individual de cada uma das atividades com referência expressa aos serviços de pagamento, de entre os enumerados no artigo 4.º, implantação geográfica, estrutura orgânica e meios humanos, técnicos e materiais que serão utilizados, incluindo, sendo caso disso, referência às sucursais, agentes e distribuidores de moeda eletrónica, bem como a terceiros a quem sejam cometidas funções operacionais;

c) Plano de negócio, incluindo, nomeadamente, as contas previsionais para cada um dos primeiros três anos de atividade, que demonstre que estão em condições de utilizar sistemas, recursos e procedimentos adequados e proporcionais ao seu bom funcionamento;

d) Prova de que detém o capital social previsto no artigo 49.º ou no artigo 55.º;

e) Identidade e respetivos elementos comprovativos das pessoas que detenham, direta ou indiretamente, participações qualificadas, na aceção do ponto 36, n.º 1 do artigo 4.º do Regulamento (UE) n.º 575/2013, do Parlamento Europeu e do Conselho, de 26 de junho de 2013, bem como a dimensão das respetivas participações e demonstração da sua idoneidade, tendo em conta a necessidade de garantir uma gestão sã e prudente da instituição de pagamento ou da instituição de moeda eletrónica;

f) Descrição das medidas tomadas para salvaguardar os fundos dos utilizadores de serviços de pagamento e dos portadores de moeda eletrónica, nos termos do artigo 52.º ou do artigo 58.º, para as instituições que prestem os serviços de pagamento elencados nas alíneas a) a f) do artigo 4.º;

g) Elementos comprovativos da existência de dispositivos sólidos em matéria de governo da sociedade, incluindo uma estrutura organizativa clara, com linhas de responsabilidade bem definidas, transparentes e coerentes, processos eficazes de identificação, gestão, controlo e comunicação dos riscos a que está ou possa vir a estar exposta, e de mecanismos adequados de controlo interno, incluindo procedimentos administrativos e contabilísticos sólidos, devendo os dispositivos, procedimentos e mecanismos referidos ser completos e proporcionais à natureza, ao nível e à complexidade das atividades da instituição;

h) Descrição dos mecanismos de controlo interno estabelecidos para dar cumprimento às disposições legais ou regulamentares destinadas a prevenir o branqueamento de capitais e o financiamento do terrorismo, incluindo uma avaliação dos riscos associados à sua base de clientes, produtos e serviços prestados, canais de distribuição usados e áreas geográficas de atuação, bem como medidas para mitigar os mesmos;

i) Descrição da sua estrutura organizativa, designadamente, se for o caso, da forma prevista para conduzir atividade através das suas sucursais, agentes e distribuidores de moeda eletrónica, dos controlos in loco e extra loco que preveem realizar sobre eles, pelo menos anualmente, bem como uma descrição das disposições em matéria de prestação de serviços por terceiros e da sua participação em sistemas de pagamento nacionais ou internacionais;

j) Elementos comprovativos da identidade dos membros dos órgãos de administração e fiscalização e das pessoas responsáveis pela gestão da instituição de pagamento ou da instituição de moeda eletrónica e, se for caso disso, das pessoas responsáveis pela gestão das atividades de serviços de pagamento e de emissão de moeda eletrónica da instituição requerente, bem como prova de que essas pessoas são idóneas e possuem os conhecimentos e a experiência adequados para executar serviços de pagamento ou emitir, distribuir e reembolsar moeda eletrónica;

k) Descrição do procedimento criado para verificar, tratar e acompanhar incidentes de segurança e reclamações dos clientes relacionadas com a segurança, incluindo um mecanismo de comunicação de incidentes que tenha em conta as obrigações de comunicação previstas no artigo 71.º;

l) Descrição do procedimento criado para classificar, verificar, rastrear e restringir o acesso a dados de pagamento sensíveis;

m) Descrição dos planos de continuidade das suas atividades, incluindo uma identificação clara das operações críticas, planos de contingência eficazes e um procedimento para testar regularmente esses planos e proceder à avaliação da sua adequação e da sua eficácia;

n) Descrição dos princípios aplicados e das definições adotadas para a recolha dos dados estatísticos relativos ao desempenho da sua atividade, às operações e à fraude;

o) Documento relativo à sua política de segurança, incluindo uma avaliação pormenorizada dos riscos relacionados com os seus serviços de pagamento ou de emissão de moeda eletrónica e uma descrição das medidas de controlo da segurança e de redução dos riscos tomadas para proteger devidamente os utilizadores de serviços de pagamento e os portadores de moeda eletrónica contra os riscos identificados, incluindo a fraude e a utilização ilícita de dados sensíveis e pessoais;

p) Identidade dos revisores oficiais de contas e das sociedades de revisores oficiais de contas, na aceção da Lei n.º 148/2015, de 9 de setembro, se aplicável;

q) Endereço da sua sede.

3 - Para efeitos do disposto nas alíneas f), g), i) e k) do n.º 2, as instituições requerentes apresentam uma descrição dos seus mecanismos de auditoria e dos mecanismos organizativos que estabelecem a fim de tomar todas as medidas razoáveis para proteger os interesses dos seus utilizadores e para garantir a continuidade e a fiabilidade da prestação de serviços de pagamento e da emissão de moeda eletrónica.

4 - A descrição das medidas de controlo da segurança e de redução dos riscos a que se refere a alínea o) do n.º 2, deve indicar a forma como essas medidas garantem um elevado nível de segurança técnica e de proteção de dados, inclusive a nível dos programas e dos sistemas informáticos utilizados pelas instituições requerentes ou por terceiros a quem essas instituições subcontratem a terceiros a totalidade ou parte das suas operações.

5 - As medidas referidas na alínea o) do n.º 2 incluem igualmente as medidas de segurança previstas no artigo 70.º

6 - As entidades que apresentem um pedido de autorização para prestar serviços de iniciação do pagamento devem subscrever, como condição para a sua autorização, um seguro de responsabilidade civil profissional que abranja o território em que oferecem os seus serviços, ou outra garantia equivalente, para assegurar a cobertura das suas responsabilidades, consoante especificado nos artigos 114.º, 132.º e 134.º

7 - As normas respeitantes à determinação dos critérios de fixação do capital mínimo do seguro de responsabilidade civil profissional ou de outra garantia equivalente a que se refere o número anterior são objeto de portaria do Ministro das Finanças, ouvido o Banco de Portugal e a Autoridade de Supervisão de Seguros e Fundos de Pensões.

8 - O Banco de Portugal define por Aviso os elementos de informação que concretizam os elementos do n.º 2 e que devem acompanhar o pedido de autorização indicado no n.º 1.

9 - As informações fornecidas pelas instituições requerentes para os efeitos do presente artigo, devem ser verdadeiras, completas, precisas e atualizadas e cumprir o disposto nas normas legais e regulamentares aplicáveis.

10 - Para efeitos de apreciação do pedido de autorização, o Banco de Portugal pode promover as consultas que considere necessárias, nomeadamente, outras autoridades públicas relevantes.