Qu’est-ce que la DSP2 ?

Afin que les con­som­ma­teurs n’aient pas à traiter avec des en­tre­prises peu scru­pu­leuses, la Com­mis­sion eu­ro­péenne a adopté en 2015 une version révisée de la directive sur les services de paiement. Que se cache-t-il exac­te­ment derrière la DSP2 ?

Directive DSP2 : qu’est-ce que c’est ?

La DSP2 est une version révisée de la directive sur les services de paiement (DSP), initiée en 2007. Elle a été adoptée par le Conseil de l’Union eu­ro­péenne le 16 novembre 2015 et est entrée en vigueur en 2019. Elle régit, à l’échelle eu­ro­péenne, les opé­ra­tions de paiement ef­fec­tuées par des en­tre­prises qui ne sont pas con­si­dé­rées comme des banques tra­di­tion­nelles. L’objectif est de permettre à de nouveaux acteurs de proposer des services de paiement innovants via Internet, et donc de stimuler et réguler par la même occasion la con­cur­rence dans le secteur financier.

Les di­rec­tives sur les services de paiement, dans leur version 1 et 2, ont plusieurs objectifs :

• Ouvrir la con­cur­rence dans les services de paiement
• Réduire les coûts pour les con­som­ma­teurs
• Contrôler et renforcer les start-ups du secteur des tech­no­lo­gies fi­nan­cières (les Fintech)
• Créer plus de sécurité lors des paiements en ligne

La directive sur les services de paiement 2 en détail

La version 2 de la directive sur les services de paiement a été adoptée dès 2017 et trans­po­sée en droit français le 25 juillet 2018. L’une des in­no­va­tions les plus im­por­tantes est que les banques doivent désormais permettre à d’autres four­nis­seurs d’accéder aux in­for­ma­tions de leurs clients. Seulement, bien sûr, si l’uti­li­sa­teur concerné a donné son accord.

Les banques doivent fournir une interface aux pres­ta­taires autorisés afin qu’ils puissent effectuer di­rec­te­ment des virements et obtenir des in­for­ma­tions sur le solde des comptes et d’autres détails fi­nan­ciers des clients.

Dans le secteur de la Fintech, certaines en­tre­prises proposent des logiciels innovants per­met­tant aux uti­li­sa­teurs de gérer leurs actifs. Les ap­pli­ca­tions per­met­tant d’épargner, de souscrire des as­su­rances ou de spéculer en bourse ont besoin des in­for­ma­tions de la banque. Depuis l’entrée en vigueur de la DSP2, les banques sont tenues d’offrir aux en­tre­prises disposant des cer­ti­fi­cats cor­res­pon­dants une interface per­met­tant aux pres­ta­taires de services de consulter les in­for­ma­tions né­ces­saires et d’effectuer des paiements ou des virements.

Comment fonc­tionne la DSP2 ?

Bien que les four­nis­seurs de services aient déjà eu accès aux in­for­ma­tions à partir du compte bancaire dans le passé, ils n’y avaient pas un accès uniforme. Avec la DSP2, des API doivent être dé­ve­lop­pées afin de pouvoir com­mu­ni­quer sur des in­ter­faces sé­cu­ri­sées. À l’échelle in­ter­na­tio­nale, si les en­tre­prises ne disposent pas d’API, elles doivent dépendre d’une tech­no­lo­gie appelée Web scraping. Dans ce processus, le pres­ta­taire de services extrait toutes les in­for­ma­tions du site Web du four­nis­seur de services bancaires en ligne. Cette méthode est peu fiable et sujette à des erreurs. C’est pourquoi la DSP2 impose aux banques de mettre en place une interface sécurisée d’accès aux comptes (XS2A). Celle-ci permet aux pres­ta­taires de services agréés d’accéder aux in­for­ma­tions bancaires des clients, à condition que ces derniers aient donné leur con­sen­te­ment explicite.

La DSP2 propose également des solutions pour que le transfert des données sensibles via les in­ter­faces se fasse sans risque pour les con­som­ma­teurs. La sécurité des données est garantie de deux manières dif­fé­rentes :

• QWAC : ce cer­ti­fi­cat permet au four­nis­seur et à la banque de s’iden­ti­fier mu­tuel­le­ment. De plus, le QWAC chiffre la trans­mis­sion des données.
• QSealC (cer­ti­fi­cat cachet) : le cachet est relié aux données et les assigne à une en­tre­prise. Il permet de suivre par la suite quelles sociétés ont eu accès au compte bancaire via l’interface et ont transféré des données. De plus, le cachet garantit que les mo­di­fi­ca­tions de données ne passent pas ina­per­çues.

Pour demander ces licences ou ces cachets, les four­nis­seurs doivent obtenir l’ap­pro­ba­tion d’une autorité de sur­veil­lance nationale ; en France, il s’agit de l’Autorité de contrôle pru­den­tiel et de ré­so­lu­tion (ACPR). La DSP2 permet de créer deux nouveaux services :

• Service d’in­for­ma­tion sur les comptes : les pres­ta­taires de services peuvent obtenir des in­for­ma­tions sur les comptes bancaires du client.
• Service d’ini­tia­tion de paiement : l’en­tre­prise titulaire de cette licence peut effectuer des paiements ou des trans­ferts à la demande du client depuis le compte d’un autre PSP (Payment Service Provider ou pres­ta­taire de service de paiement).

Que signifie la directive sur les services de paiement pour les boutiques en ligne ?

La directive sur les services de paiement concerne en grande partie les banques et les autres pres­ta­taires de services fi­nan­ciers. Le grand public n’a que peu remarqué les chan­ge­ments en arrière-plan. Pour les com­mer­çants en ligne, quelques ajus­te­ments tech­niques ont été né­ces­saires, notamment en matière de sécurité et d’au­then­ti­fi­ca­tion.

La DSP2 du point de vue de l’uti­li­sa­teur

La DSP version 2 a apporté plus de sécurité dans les paiements. L’octroi de licences pour les solutions tech­niques ainsi que le contrôle par les autorités de sur­veil­lance ga­ran­tis­sent depuis l’entrée en vigueur une pro­tec­tion plus fiable des données sensibles. En par­ti­cu­lier, l’au­then­ti­fi­ca­tion à deux facteurs obli­ga­toire, par exemple via un SMS avec un TAN, est un facteur important à cet égard.

Com­mer­çants en ligne & DSP II : à quoi faut-il faire attention ?

De nombreux aspects de la Payment Service Directive 2 sont liés à la mise en œuvre technique, comme l’obli­ga­tion d’une au­then­ti­fi­ca­tion à deux facteurs et les mé­ca­nismes associés.

Cette exigence cor­res­pond à l’au­then­ti­fi­ca­tion forte du client exigée par la DSP2. Les clients doivent autoriser le transfert d’argent par au moins deux facteurs : soit avec des in­for­ma­tions qui relèvent de la con­nais­sance per­son­nelle (par ex. mot de passe ou PIN), soit d’un objet que l’on possède (par ex., carte ou smart­phone), ou soit par quelque chose d’inhérent à la personne (par ex. la voix ou une empreinte digitale). Cela s’applique à toutes les sommes su­pé­rieures à 30 €. Si plusieurs achats au cours d’une même journée dépassent une valeur totale de 100 €, l’au­then­ti­fi­ca­tion à deux facteurs (2FA) est de nouveau né­ces­saire, même si chacun des articles pris in­di­vi­duel­le­ment tombe en dessous du seuil de 30 €.

Pour pouvoir effectuer des paiements, les ex­ploi­tants d’une boutique en ligne col­la­bo­rent gé­né­ra­le­ment avec un par­te­naire. Celui-ci doit mettre en œuvre les exigences de la DSP2 dans son système. Les instituts de cartes de crédit proposent par exemple des mesures im­por­tantes avec des pro­cé­dures de sécurité telles que 3D Secure. Les vendeurs en E-commerce doivent sim­ple­ment veiller à ce que leur boutique intègre cor­rec­te­ment de telles pro­cé­dures de sécurité.

Les exigences de l’au­then­ti­fi­ca­tion forte du client ne s’ap­pli­quent pas aux pré­lè­ve­ments au­to­ma­tiques, également appelés pull payments, où le com­mer­çant initie le paiement en demandant les fonds à la banque du client. Elles con­cer­nent uni­que­ment les paiements initiés par le client (push payments), comme les virements bancaires ou les paiements par carte. Dans ces cas, l’uti­li­sa­tion d’une procédure de sécurité renforcée est obli­ga­toire.

La DSP2 n’autorise plus la surtaxe. Avant l’ap­pli­ca­tion de la directive, il était courant que les com­mer­çants exigent une ma­jo­ra­tion du prix d’achat pour les paiements par carte de crédit, afin de ne pas avoir à supporter les frais sup­plé­men­taires qui en ré­sul­taient.

Évolution de la directive de services de paiement : de la DSP I à la DSP II

Avec la première version de la directive sur les services de paiement, la Com­mis­sion eu­ro­péenne a franchi une étape décisive dans la ré­gle­men­ta­tion des paiements in­ter­na­tio­naux. La DSP a posé les bases ju­ri­diques per­met­tant aux pres­ta­taires non bancaires d’opérer dans ce secteur, tout en har­mo­ni­sant les tran­sac­tions à l’échelle eu­ro­péenne grâce à la mise en place de l’espace SEPA (Single Euro Payments Area), qui vise à faciliter les paiements en euros au sein de l’UE. Cette directive a ainsi mis fin au monopole des éta­blis­se­ments de crédit sur les services de paiement.

Cependant, toutes les en­tre­prises ne peuvent pas agir en tant qu’éta­blis­se­ment de paiement. La directive sur les services de paiement a fixé des critères stricts qu’un tel pres­ta­taire doit respecter. Toutefois, en dépit de nom­breuses règles claires, des in­cer­ti­tudes sub­sis­tent et une certaine marge de manœuvre reste ouverte : certains de ces problèmes sont d’ailleurs apparus à partir de la mise en vigueur de la directive.

Avec la directive DSP2, l’UE tente de combler ces lacunes et d’améliorer encore la sécurité des con­som­ma­teurs. Cela peut se faire, par exemple, par la dé­li­vrance de cer­ti­fi­cats ou de cachets, qui ne peuvent être obtenus qu’auprès d’or­ga­nismes agréés. Les PSP doivent obtenir une au­to­ri­sa­tion d’une autorité bancaire nationale.

Veuillez consulter les mentions légales en vigueur sur cet article.