Article publié le
Réglementation des services de paiement : obligations DSP2 et conformité
La directive sur les services de paiement 2 (DSP2), entrée en vigueur le 13 janvier 2018, représente une refonte majeure du cadre réglementaire européen des paiements. Cette directive, transposée en droit français par l'ordonnance n° 2017-1252 du 9 août 2017, vise à renforcer la sécurité des paiements électroniques tout en favorisant l'innovation et la concurrence dans le secteur bancaire.
La DSP2 s'inscrit dans la continuité de la première directive sur les services de paiement (DSP1) de 2007, mais introduit des changements substantiels pour répondre aux évolutions technologiques et aux nouveaux enjeux de cybersécurité. Elle établit un cadre juridique harmonisé au niveau européen pour les prestataires de services de paiement (PSP) et renforce les droits des consommateurs.
Table des matières
- Champ d'application de la directive DSP2 et acteurs concernés
- Obligations principales des prestataires
- Authentification forte du client (SCA)
- Protection des données et confidentialité
- Contrôles et sanctions
- Mise en conformité et bonnes pratiques
Champ d'application de la directive DSP2 et acteurs concernés
La directive DSP2 s'applique à l'ensemble des prestataires de services de paiement opérant dans l'Union européenne, incluant les établissements de crédit, les établissements de monnaie électronique, les établissements de paiement, ainsi que les nouveaux acteurs du marché des paiements.
Les principaux services de paiement couverts par la réglementation comprennent :
- Les services de virement et de prélèvement
- L'émission et la gestion d'instruments de paiement
- L'acquisition d'opérations de paiement
- Les services d'initiation de paiement (PIS)
- Les services d'information sur les comptes (AIS)
La DSP2 introduit notamment deux nouvelles catégories de prestataires : les prestataires de services d'initiation de paiement (PISP) et les prestataires de services d'information sur les comptes (AISP), communément appelés "tiers prestataires" (TPP).
Obligations principales des prestataires
Les prestataires de services de paiement doivent respecter un ensemble d'obligations strictes pour assurer la conformité avec la réglementation DSP2. Ces obligations se déclinent en plusieurs volets essentiels.
| Catégorie d'obligation | Description | Délai de mise en œuvre |
|---|---|---|
| Authentification forte (SCA) | Mise en place d'une authentification à deux facteurs minimum | 14 septembre 2019 |
| APIs dédiées | Interfaces techniques pour les tiers prestataires | 14 mars 2019 |
| Notification d'incidents | Signalement des incidents opérationnels et de sécurité | 13 janvier 2018 |
| Protection des données | Mesures de sécurité et de confidentialité renforcées | 13 janvier 2018 |
L'agrément et l'enregistrement constituent la première étape obligatoire pour tout prestataire souhaitant exercer des activités de paiement. L'Autorité de contrôle prudentiel et de résolution (ACPR) est l'autorité compétente en France pour délivrer ces autorisations.
Authentification forte du client (SCA)
L'authentification forte du client représente l'une des innovations majeures de la DSP2. Cette mesure de sécurité impose l'utilisation d'au moins deux éléments d'authentification appartenant à des catégories différentes : connaissance (mot de passe), possession (téléphone mobile) et inhérence (biométrie).
Le règlement technique sur l'authentification forte (RTS SCA) précise les modalités d'application de cette obligation. Les prestataires doivent mettre en œuvre la SCA pour :
- L'accès aux comptes de paiement en ligne
- L'initiation d'opérations de paiement électronique
- Les actions sensibles présentant un risque de fraude
Certaines exemptions sont prévues, notamment pour les paiements de faible montant (inférieurs à 30 euros), les transactions récurrentes vers le même bénéficiaire, ou les paiements vers des bénéficiaires de confiance.
Protection des données et confidentialité
La DSP2 renforce considérablement les exigences en matière de protection des données personnelles et de sécurité des systèmes d'information. Les prestataires doivent mettre en place des mesures techniques et organisationnelles appropriées pour protéger les données de leurs clients.
Les obligations incluent la mise en œuvre de systèmes de chiffrement robustes, la sécurisation des canaux de communication, et la mise en place de procédures de gestion des incidents de sécurité. Les prestataires doivent également respecter les principes du Règlement général sur la protection des données (RGPD).
L'ouverture contrôlée des comptes aux tiers prestataires nécessite un consentement explicite du titulaire du compte et doit respecter des protocoles de sécurité stricts. Les APIs dédiées constituent le canal privilégié pour ces échanges sécurisés.
Contrôles et sanctions
L'ACPR dispose de pouvoirs étendus pour contrôler le respect des obligations DSP2. L'autorité peut procéder à des contrôles sur pièces et sur place, demander tout document nécessaire à l'exercice de sa mission de supervision, et imposer des mesures correctives.
En cas de manquement, les sanctions peuvent être particulièrement sévères. Le code monétaire et financier prévoit des sanctions administratives pouvant atteindre 5 millions d'euros ou 10% du chiffre d'affaires annuel pour les personnes morales. Des sanctions pénales sont également applicables en cas d'exercice illégal d'activités de paiement.
Les autorités européennes coordonnent leurs actions de contrôle par l'intermédiaire de l'Autorité bancaire européenne (ABE), qui publie régulièrement des orientations et des standards techniques réglementaires.
Mise en conformité et bonnes pratiques
La mise en conformité avec la réglementation DSP2 nécessite une approche structurée et méthodique. Les prestataires peuvent procéder à un audit de conformité pour s'assurer de respecter les exigences réglementaires.
Les étapes clés de la mise en conformité incluent :
- L'analyse des procédures internes et des systèmes d'information
- La formation des équipes aux obligations
- La mise en place d'un dispositif de contrôle permanent
- L'établissement de relations avec les autorités de supervision
Faire appel à un avocat concernant la directive DSP2 (Directive sur les services de paiement) est essentiel pour sécuriser juridiquement vos activités financières, qu’il s’agisse d’un établissement bancaire, d’une fintech ou d’un commerçant utilisant des solutions de paiement en ligne.
Cette directive, en constante évolution, encadre notamment l’authentification forte du client, la protection des données bancaires et l’accès des prestataires tiers aux comptes.
Un avocat spécialisé en droit bancaire à Rouen vous aide à interpréter et mettre en conformité vos pratiques avec les obligations européennes, à limiter les risques juridiques et à anticiper les contentieux liés à la responsabilité en cas de fraude ou de litige de paiement. Il est également un interlocuteur clé en cas de contrôle ou de litige avec l’ACPR ou la CNIL.
Questions fréquentes
Quels sont les délais pour se mettre en conformité avec la DSP2 ?
Les principales échéances sont passées : la directive est entrée en vigueur le 13 janvier 2018, les APIs dédiées devaient être opérationnelles le 14 mars 2019, et l'authentification forte est obligatoire depuis le 14 septembre 2019. Cependant, de nouveaux textes d'application peuvent prévoir des échéances supplémentaires.
Qui peut bénéficier des exemptions à l'authentification forte ?
Les exemptions s'appliquent dans des cas précis : paiements inférieurs à 30 euros (avec plafonds cumulés), transactions vers des bénéficiaires de confiance, paiements récurrents de même montant, ou analyses de risque démontrant un faible niveau de fraude.
Quelles sont les sanctions en cas de non-conformité ?
Les sanctions administratives peuvent atteindre 5 millions d'euros ou 10% du chiffre d'affaires annuel. Des sanctions pénales sont également possibles, incluant des amendes et des peines d'emprisonnement pour les dirigeants en cas d'exercice illégal d'activités de paiement.
Comment obtenir un agrément de prestataire de services de paiement ?
La demande d'agrément doit être déposée auprès de l'ACPR en France, accompagnée d'un dossier détaillé incluant les informations sur les dirigeants, le programme d'activité, les moyens techniques et financiers, et les procédures de contrôle interne.
La DSP2 s'applique-t-elle aux cryptomonnaies ?
Les services liés aux cryptomonnaies peuvent entrer dans le champ d'application de la DSP2 s'ils constituent des services de paiement au sens de la directive. L'analyse doit être menée au cas par cas en fonction des caractéristiques spécifiques du service proposé.
Quelles sont les obligations spécifiques des tiers prestataires ?
Les PISP et AISP doivent obtenir un agrément ou un enregistrement, respecter des exigences de fonds propres, mettre en place des mesures de sécurité appropriées, et contracter une assurance responsabilité civile professionnelle.