Agréments et enregistrement des PSP à l’heure de la DSP 2

1. Plan. Nous allons parcourir (et reproduire pour l’essentiel) les conditions nouvelles d’agrément « plein » (i. e. de droit commun) des EP et EME [1] (I.), celles de leur agrément dit « simplifié » (donc dérogatoire) (II.), de leur agrément au cas où ils sont hybrides (autre activité principale que le paiement ou la monnaie électronique) (III.), de l’agrément « aménagé » (car le service est d’un genre particulier) de prestataire de services d’initiation de paiement (les « PSIP ») (IV.), sans oublier, naturellement, la procédure inédite d’enregistrement des prestataires de services d’information sur les comptes (les « PSIC ») (V.).

L’on se permet, au préalable, deux mots relatifs à la dimension européenne du droit nouveau de l’agrément (et de l’enregistrement). D’abord l’Autorité bancaire européenne (ABE) exploitera bientôt un registre central électronique de tous les acteurs du paiement agréés ou enregistrés, à partir des informations que lui feront remonter les autorités compétentes de chacun des États membres [2] . Ce sera un instrument précieux pour déterminer si telle ou telle entreprise que l’on côtoie est réglementée ou non. On consultera ensuite avec intérêt, publié le 11 juillet 2017, le Final Report on the EBA Guidelines under Directive (UE) 2015/2366 (PSD2) on the information to be provided for the autorisation of payment institutions and e-money institutions and for the registration of account information service providers. Y sont distinguées quatre lignes directrices particulières :

• relatives à l’agrément d’EP pour la fourniture, indistinctement, des services 1° à 8° de l’annexe I de la DSP2 ;
• relatives à l’enregistrement des PSIC ;
• relatives à l’agrément des EME ;
• et, enfin, « regarding the assessment of completeness of the application », une sorte d’évaluation de l’exhaustivité de la demande.

I. L’agrément plein d’EP ou d’EME

2. Règles. Les règles en sont principalement posées aux articles L. 522-6 (EP) et L. 526-8 (EME) du Code monétaire et financier (CMF), partiellement réécrits par l’ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la DSP 2. Où il est dit que l’Autorité de contrôle prudentiel et de résolution (ACPR) vérifiera que l’établissement dispose – pour son activité de prestation de services de paiement ou d’émission et de gestion de monnaie électronique – d’une gouvernance et d’un contrôle interne adéquat, et des dispositifs à même d’assurer la sécurité des services fournis ainsi que la protection des données de paiement sensibles. Voilà une formulation tout droit issue de la DSP 2.

3. Mise en œuvre. C’est peut-être la modification la plus remarquable – par deux arrêtés du 31 août 2017 – de l’arrêté du 29 octobre 2009 portant sur la réglementation prudentielle des EP et de l’arrêté du 2 mai 2013 portant sur la réglementation prudentielle des EME : celle de l’inscription en leur sein de l’ensemble des informations qui doivent accompagner une demande d’agrément d’EP ou d’EME (comme d’EP ou d’EME simplifié au demeurant : voir ci-après), alors qu’il fallait à ce jour recomposer celles-ci à partir des dossiers type d’agrément que l’on trouve sur le site de l’ACPR ; apport tellement majeur que nous reproduisons en annexe les articles 2 desdits arrêtés, en mariant les demandes concernant les EP avec celles relatives aux EME, dès lors que les écarts ne sont pas significatifs.

4. Capital minimum. Les nouveautés sont que :

• les PSIP (qui sont des EP) devront justifier d’un capital minimum de 50 000 € [3] ;
• pour la détermination du capital minimum d’un EP, la fourniture du service 8° d’information sur les comptes n’est pas prise en compte [4] .

5. Exigence territoriale. Cela est très nouveau et directement issu de l’article 11, 3 de la DSP 2 : tout EP (CMF, art. L. 522-8, II) ou EME (CMF, art. L. 526-9, III) agréé en France exerce au moins une partie de son activité (de prestation de services de paiement ou d’émission et de gestion de monnaie électronique) sur le territoire français. Gageons que cette disposition devrait freiner les velléités de forum shopping.

II. L’agrément simplifié d’EP ou d’EME

6. Condition. Auparavant qualifié de « limité » (EP) ou assorti d’« exemptions » (EME), l’agrément désormais « simplifié » d’EP ou d’EME demeure lié à la condition que le montant prévisionnel d’opérations de paiement ou de monnaie électronique en circulation soit inférieur à un certain plafond : trois millions d’euros par mois pour un EP (CMF, art. D. 522-1-1) [5] , cinq millions pour un EME (CMF, art. D. 526-2) [6] .

7. Dossier d’agrément. Les conditions de l’agrément simplifié des articles L. 522-11-1 (EP) et L. 526-19 (EME) ont été sensiblement réécrites par l’ordonnance de transposition de la DSP 2 et, surtout, précisées par les arrêtés du 31 août 2017, dont nous reproduisons en annexe 2 la liste des informations requises. L’impératif de sécurité – l’un des piliers de la DSP 2 – domine évidemment dès lors que l’établissement demandeur doit justifier avant tout que ses dispositifs sont à même d’assurer la sécurité des services fournis et la protection des données de paiement sensibles. C’est là un vocabulaire nouveau.

8. Dispenses prudentielles. Sous réserve de quelques modifications minimes, c’est à droit constant que les EP et EME à agrément simplifié sont dispensés des obligations prudentielles qui pèsent sur de tels établissements réglementés, à l’exception des dispositions relatives à la protection des fonds de la clientèle.

Si bien qu’outre une exigence de capital initial diminuée (40 000 euros pour les EP [7] , 100 000 euros pour les EME [8] ), les EP et EME concernés ne seront pas soumis à l’exigence traditionnelle de fonds propres [9] .

Et puis, qui n’est pas rien, la dispense des obligations de contrôle interne prévues par l’arrêté du 3 novembre 2014, à l’exception toutefois des dispositions relatives au risque de blanchiment et à celles en matière d’externalisation [10] .

9. Limitations. Le bénéfice du passeport européen demeure fermé aux EP et EME à agrément simplifié. Nouveau (et étonnant ?), la prestation des services 7° d’initiation de paiement et 8° d’information sur les comptes n’est pas permise aux EP [11] , les EME, de leur côté, se voyant toujours refuser la prestation de tout service de paiement [12] .

Sans surprise, les unités de monnaie électronique incorporées dans un instrument de monnaie électronique émis par un EME à agrément simplifié demeurent encore soumises à un plafond de 250 euros [13] .

III. L’agrément d’EP ou d’EME hybride

10. Ce qui ne change pas. EP (CMF, art. L. 522-3) et EME (CMF, art. L. 526-3) peuvent exercer à titre de profession habituelle une activité [14] autre que ce pourquoi ils sont agréés : la prestation de services de paiement ou l’émission et la gestion de monnaie électronique (éventuellement augmentée de la fourniture de services de paiement).

Cela s’appelle des EP ou des EME « exerçant des activités de nature hybride ». Mais cela est « sans préjudice », pour les EP comme pour les EME, de la faculté laissée à l’ACPR d’exiger qu’une personne morale distincte soit créée [15] .

11. Ce qui change. La rédaction de l’article L. 522-8 (EP) s’aligne sur celle de l’article L. 526-10 (EME) du CMF, en ce sens que l’ACPR vérifiera pour les EP hybrides que la personne responsable de la gestion des activités de services de paiement possède, au même titre qu’un dirigeant effectif d’EP, l’honorabilité, la compétence et l’expérience nécessaires à sa fonction et requises pour les activités de services de paiement.

12. Initiation de paiement. Le service 7° d’initiation de paiement peut manifestement être offert par un EP hybride (EME hybride ?), puisque « le montant minimal de l'assurance ou de la garantie comparable sera augmenté d'une somme de 50 000 euros si l'établissement assujetti a développé une activité de nature hybride, sauf si celui-ci a souscrit une assurance ou garantie comparable couvrant l'exercice de cette activité hybride » [16] .

IV. L’agrément aménagé de prestataire de services d’initiation de paiement

13. Renvoi. EP (presque) comme les autres, les PSIP obéissent aux règles de droit commun vues ci-dessus, à ceci près qu’ils doivent justifier d’un capital minimum abaissé à 50 000 € [17] .

14. Assurance de responsabilité civile professionnelle. Mais les EP fournissant seulement le service 7° d’initiation de paiement ne sont pas tout à fait des EP comme les autres, en particulier dans la mesure où ils n’entrent pas en possession des fonds de leurs clients, ce pourquoi ils échappent à l’exigence de fonds propres [18] . En contrepartie, et au même titre que les PSIC, les PSIP « doivent disposer, au moment de l'agrément, d'une assurance de responsabilité civile professionnelle couvrant les territoires où ils proposent des services ou une autre garantie comparable contre l'engagement de leur responsabilité » (CMF, art. L. 522-7-1, I).

Le calcul du montant de l’assurance de responsabilité civile professionnelle (ou d’une autre garantie comparable) fait l’objet d’un article 5-1 de l’arrêté du 29 octobre 2009 modifié portant sur la réglementation prudentielle des EP. Le montant minimal de celle-ci est déterminé en fonction d’orientations de l’ABE [19] qui ont pris la forme, en dernier lieu, d’un Final Report on Guidelines on the criteria on how to stipulate tne minimum monetary amount of the professional indemnity insurance under PSD2, publié le 7 juillet 2017.

Retenons enfin que l’EME qui fournit l service 7° d’initiation de paiement doit obéir à l’article 5-1 précité [20] .

V. L’enregistrement des prestataires de services d’information sur les comptes

15. Une place à part. On le sait, les PSIC sont irréductibles aux catégories existantes de prestataires de services de paiement (les « PSP »), qui sont désormais composés des EP, des EME, des établissements de crédit « et des prestataires de services d’information sur les comptes » [21] .

16. Des guidelines particulières. Au sein des EBA Guidelines under Directive (UE) 2015/2366 (PSD2) on the information to be provided for the autorisation of payment institutions and e-money institutions and for the registration of account information service providers, évoquées en introduction, figure en effet des Guidelines on the information required from applicants for registration for the provision of only service 8 of Annex I to Directive (EU) 2015/2366 (account information services). On s’y reportera avec intérêt.

17. Une procédure d’enregistrement inédite. La réglementation des conditions d’accès à la profession de PSP marche désormais sur deux jambes : l’agrément des EP aux articles L. 522-1 et suivants du CMF, d’une part, l’enregistrement des PSIC aux articles L. 522-11-2 et L. 522-11-3, de l’autre.

Et tandis que le II de l’article L. 522-11-2 précité circonscrit les règles régissant les EP auxquelles les PSIC sont soumis [22] , l’article 2-2 de l’arrêté du 29 octobre 2009 modifié portant sur la réglementation prudentielle des EP dresse la liste fort utile de la douzaine d’informations composant le futur dossier d’enregistrement desdits prestataires. Nous reproduisons cette liste en annexe 3 de ce commentaire.

18. EP fournissant le service 8° d’information sur les comptes. La fourniture d’un tel service n’est pas prise en compte pour la détermination du capital minimum, précise le dernier alinéa de l’article L. 522-7 du CMF. Mais, à l’instar des EP fournissant le service 7° d’initiation de paiement, les EP « qui fournissent le service de paiement mentionné au 8° du II de l'article L. 314-1 doivent disposer, au moment de l'agrément d'une assurance de responsabilité civile professionnelle couvrant les territoires où ils proposent des services ou une autre garantie comparable contre l'engagement de leur responsabilité vis-à-vis du prestataire de services de paiement gestionnaire du compte ou de l'utilisateur de services de paiement à la suite d'un accès non autorisé ou frauduleux aux données des comptes de paiement ou d'une utilisation non autorisée ou frauduleuse de ces données » [23] .

19. Assurance de responsabilité civile professionnelle (renvoi). Renvoi, en effet, à ce que nous avons dit plus haut concernant les PSIP, sachant que la détermination du montant minimal de l’assurance de responsabilité professionnelle (ou d’une autre garantie comparable) est l’objet de l’article 5-2 de l’arrêté du 29 octobre 2009 modifié ; et que l’EME qui fournit le service 8° d’information sur les comptes doit obéir lui-même à cet article 5-2 [24] .

Achevé de rédiger le 16 octobre 2017.