“Faire entrer les paiements et le secteur financier au sens large dans l'ère numérique” : la Commission européenne a présenté le 28 juin ses propositions constitutives de la 3ème directive des services de paiements (DSP). Ces pistes, qui devront être discutées par le Parlement européen et le Conseil de l’Europe, traitent à la fois des données personnelles des clients, de leur protection en cas de fraude et des modalités d’authentification. Elles pourraient être votées d’ici le printemps 2024, espèrent les acteurs du marché, soit avant l’élection du Parlement prévue le 9 juin 2024. L’application du texte entrerait en vigueur 18 mois plus tard, en 2026.
L’ensemble de ces mesures est formulé dans un contexte de forte augmentation des volumes de paiement en Europe. De 184.200 milliards en 2017, ils sont passés à 240.000 milliards en 2021, notamment sous l’effet de la pandémie. De nouveaux acteurs, des prestataires de services de paiement, se sont aussi multipliés sur le marché des “services bancaires ouverts” (open banking, en anglais). Leur créneau : utiliser les données financières des clients, si ce dernier y consent.
Transparence des tarifs
Puisqu’il s’agit d’une directive, chaque État membre devra la transposer à sa manière dans la loi nationale. La Commission n’a donc pas fourni les détails les plus complets en la matière, mais offre une direction. L’Europe souhaite entre autres limiter au maximum les désagréments subis par les clients lorsque leurs fonds sont bloqués sur une carte de paiement. Les droits des consommateurs seraient aussi renforcés par plus de transparence pour les virements et les transferts d’argent de l’Union européenne vers les pays tiers, mais aussi dans le cas des retraits d’argent au distributeur automatique de billets.
Accessibilité du cash
La disponibilité du cash occupe une place importante dans la nouvelle directive.
L’exécutif européen entend contraindre les commerçants à proposer des services de fourniture d’espèces plafonnés à 50 euros. En clair, forcer les commerçants à se muer en distributeur de billets. Et ce, même si le client n’effectue aucun achat. Une nouveauté, car ce type de prestation est normalement réservé aux acteurs ayant obtenu un agrément de prestataire de services de paiement ou au moins être mandataire d’un établissement de paiement.
Lutte contre la fraude et authentification
La lutte contre la fraude, de plus en plus sophistiquée, est aussi érigée en priorité. Parmi les solutions de prévention, la Commission souhaite contraindre les banques à vérifier, pour l’ensemble des virements, la correspondance entre l’Iban et l’identité du bénéficiaire. Les établissements de paiement seraient aussi autorisés à partager entre eux les informations relatives à la fraude dont ils disposent.
Mais pour lutter contre la fraude, difficile de ne pas évoquer l’authentification forte, cette nouvelle norme de sécurité imposée par la DSP2, appliquée depuis mai 2021. Elle contraint en effet les clients à valider une transaction avec non plus un mais deux facteurs de nature distincte. Il peut s’agir d’une donnée connue (un code), détenue (une autorisation envoyée sur un mobile), ou constitutive du client (une empreinte digitale ou un scan du visage par exemple). Certaines exceptions sont cependant prévues, et la Commission souhaite que ces cas exceptionnels soient précisément définis afin d’éviter un régime d’exception permanent. Le texte confirme également que les clients devront, au moins une fois par intervalle de 180 jours, se connecter à leur compte bancaire par authentification forte. Sans quoi ils ne pourront se connecter à leur compte bancaire.
Sécurité des données personnelles
En parallèle, et comme souvent, l’Union européenne aime libéraliser les marchés. La DSP3 entend poursuivre le travail entamé par la DSP2, en accentuant encore les “services bancaires ouverts”. Derrière ce terme farfelu, une technologie assez simple : permettre à des acteurs tiers d’accéder aux données bancaires du client. Et pour ce dernier d’agréger ses comptes s’il est multi bancarisé, par exemple. Un acteur comme Bridge - qui a participé aux consultations sur la DSP3 - est pionnier en la matière. “Le texte réglementaire qui accompagne la DSP3 confirme le principe de l’open banking, rappelle Richard Boutet, chargé des affaires publiques chez Bridge. C’était nécessaire car les API (les interfaces de programmation) des banques n'étaient pas toutes de qualité suffisante pour pouvoir se connecter, bien qu’elles soient censées être gratuites et libres d’accès. Ce texte réglementaire pose le principe de la sécurité et de la qualité de ces API, ainsi que les obstacles qui ne doivent pas exister.“
Accéder à ce type de données sensibles n’est cependant pas anodin. D’autant que la Commission souhaite étendre l’open banking à l’ensemble des produits financiers - épargne, investissement, assurance -, et non plus aux seuls comptes courants. “Raison pour laquelle la Commission entend permettre au client de disposer d’un tableau de bord qui synthétise tous les consentements. Il disposera ainsi d’un contrôle total sur ces données”, souligne Mathieu Thépaut, directeur associé au cabinet MC2I et fin connaisseur de ces questions.
- Accès à tous les articles réservés aux abonnés
- Le magazine en version numérique
- Sans engagement
