Ratification de l’ordonnance DSP 2 : entre soulagement et agacement

Nécessité d’une ratification. La deuxième directive relative aux services de paiement [1] , dite « DSP 2 », que l’on ne présente plus, a fait son entrée en droit français, à la suite d’un processus de législation déléguée désormais bien rodé en droit bancaire et financier [2] . Elle a été transposée par l’ordonnance du 9 août 2017 [3] .

Les apports de la DSP 2 ont ainsi été intégrés dans notre système juridique par un texte qui a une nature hybride, mi-réglementaire mi-législative. Or toute ordonnance a vocation à être ratifiée par la loi [4] . Le Parlement peut à cette occasion reprendre la main sur le texte dont il a laissé le soin au Gouvernement d’adopter la première version. La ratification est ainsi l’occasion de rectifications, d’ajustements voire d’arbitrage sur des sujets qui peuvent avoir laissé explicitement ou implicitement une certaine marge de liberté aux États.

L’ordonnance de transposition de la DSP 2 avait soulevé des questions – quant à l’assiette des comptes dont il convenait d’ouvrir l’accès aux nouveaux prestataires –  et elle a ouvert une période transitoire qui a nourri des incertitudes. La loi de ratification, adoptée le 3 août 2018 [5] , répond aux attentes des acteurs de la place sur ces deux sujets, en fermant un débat important sur l’ouverture du droit d’accès aux données de comptes non visés par la DSP 2 et en offrant au pouvoir réglementaire la possibilité d’encadrer les pratiques durant la période qui perdurera jusqu’à l’entrée en application des normes techniques européennes. Elle est à cet égard synonyme de soulagement. Mais, parallèlement, elle a aussi prévu un nouveau dispositif qui pourrait, à terme, faire évoluer les habitudes en matière de retrait d’espèces, ce qui pourrait constituer pour les banques une source d’agacement.

I. Soulagement ? Des ambiguïtés
des autorités sur le web scraping

Pas d’extension de l’accès aux comptes. Depuis la transposition en France de la DSP 2, la rumeur courait que Bercy pourrait décider d’élargir l’accès aux comptes d’épargne (voire d’assurance vie). L’apport majeur de la DSP 2 est en effet d’avoir ouvert la possibilité aux titulaires de comptes de donner accès à leurs comptes de paiement à deux nouvelles catégories de prestataires : les prestataires de services d’information sur les comptes (PSIC) et les prestataires de services d’initiation de paiement (PSIP) [6] . Depuis le 13 janvier 2018, de nouveaux acteurs peuvent ainsi légalement obtenir de tout titulaire l’autorisation d’accéder aux comptes que ce dernier a ouvert auprès d’une ou plusieurs banques, du moins lorsque ces comptes peuvent être qualifiés de « comptes de paiement » [7] . Les acteurs qui se sont lancés dans les services d’information sur les comptes réclamaient le droit de pouvoir accéder à l’ensemble des comptes de leurs clients (comptes d’épargne, livret, LDD, comptes à terme, voire même compte d’assurance vie) afin de pouvoir leur fournir une information consolidée ou encore de faciliter ou d’optimiser une gestion de trésorerie sur les comptes d’épargne par l’initiation de virements aux moments opportuns.

La crainte était un peu retombée en 2017, puisque l’ordonnance de transposition s’était contentée de transposer la DSP 2. Mais l’on avait pu craindre que le dispositif soit étendu aux autres comptes par la loi de ratification.

C’est donc avec un grand soulagement que le texte a été accueilli car l’extension tant redoutée n’a pas finalement pas été réalisée. Bercy avait sans doute été sensibilisé aux craintes de la profession bancaire. Mais il a en tous les cas évité de prendre le risque d’une surtransposition dont la pérennité aurait pu être compromise par les juridictions européennes, la DSP 2 ayant notamment vocation à assurer une harmonisation maximale des conditions d’exercice des services de paiement et donc d’accès aux comptes en Europe.

Pour autant, il n’est pas certain que la solution adoptée mette fin à toutes les difficultés, car l’ouverture de l’accès aux comptes aurait pu avoir pour effet bénéfique de limiter la pratique du web scraping, grâce à laquelle les PSIP et PSIC accèdent aujourd’hui aux données ou aux comptes des titulaires de comptes via les identifiants personnels que ceux-ci leur ont préalablement confiés. Or les banques redoutent au plus haut point cette pratique puisqu’elle porte atteinte à la confidentialité des données. Elle présente en outre des risques en termes de cybersécurité, ce dont le gouverneur de la Banque de France et le directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSII) ont alerté le Gouvernement. Soulagement donc, mais le problème du web scraping pourrait tout de même subsister.

Mesures transitoires dans l’attente du règlement délégué sur la communication sécurisée de données. C’est précisément pourtant pour limiter cette pratique du web scraping que la loi de ratification concrétise un second souhait de la profession bancaire en confiant au pouvoir réglementaire de soin d’adopter des mesures transitoires dans l’attente de l’entrée en application du règlement délégué qui régira la communication sécurisée de données. L’un des grands apports de la DSP 2 est en effet d’avoir élevé les standards de sécurité pour les transactions, en généralisant l’authentification forte pour les transactions en ligne (qui restera sans doute comme l’apport de la DSP 2 le plus prégnant dans la vie quotidienne des Français), mais aussi en imposant l’adoption d’un protocole d’échange des données (via des interfaces de communication sécurisées, dénommées API, pour Application Programming Interface) permettant de maîtriser les risques en termes de cybersécurité. L’article 98 de la DSP 2 confiait à la Commission le soin d’adopter les normes en matière d’authentification forte et de communication de données. Après une longue attente, le règlement délégué est enfin paru au JOUE du 13 mars 2018 [8] . Les normes ainsi adoptées sont très importantes puisqu’elles précisent non seulement les modalités techniques d’authentification forte, mais aussi les conditions que doivent remplir les API pour l’échange des données avec les nouveaux prestataires. Or leur entrée en application a été reportée, comme il est usuel, à 18 mois après l’entrée du règlement, soit au 14 septembre 2019. Si ce délai de 18 mois a l’avantage de laisser les banques et autres acteurs du paiement de pouvoir mettre en place les dispositifs adéquats, ils présentent aussi l’inconvénient de laisser perdurer, et même de rendre implicitement légal, la pratique du web scraping.

La loi de ratification prévoit donc qu’un décret précisera, jusqu’à dix-huit mois après l’entrée en vigueur du règlement délégué, soit jusqu’à l’entrée en application de celui-ci en avril 2019, les conditions de cette entrée en vigueur. Il précisera surtout les conditions suivant lesquelles les PSIP et les PSIC communiquent de manière sécurisée avec les utilisateurs de services de paiement et les prestataires de services de paiement gestionnaires de comptes (c’est-à-dire essentiellement les banques) [9] . La loi de ratification offre donc à Bercy la possibilité d’anticiper le règlement délégué concernant la question des modalités d’accès aux comptes et de mettre fin à la tolérance légale du web scraping. Mais le dispositif se veut non contraignant : il est conçu, d’après les dires du Gouvernement, pour permettre aux banques déjà prêtes de tester et de rendre obligatoires leur API si deux conditions sont réunies : d’une part, qu’elles satisfassent aux exigences de performance et de qualité définies par la norme technique et, d’autre part, que les nouveaux acteurs puissent continuer d’exercer leur activité.

C’est une partie de bras de fer gagnée par les banques, mais une partie seulement, car l’accès aux comptes d’épargne et autres (livrets, comptes à terme…) n’ayant pas été étendu, il est fort probable que certains prestataires continueront de procéder par web scraping.

II. Agencement ? Les nouveaux services de fourniture d’espèces par des commerçants (cash back).

Du principe du cash back : un nouveau service de paiement ? Bercy a profité de l’opportunité que constituait la loi de ratification pour autoriser une nouvelle pratique, bien connue chez nos voisins (Allemagne, Espagne, Belgique et Royaume-Uni), dite de « cash back ». Il s’agit de permettre à un commerçant d’offrir un service de retrait d’espèces à ses clients à l’occasion de leurs achats : concrètement, le titulaire d’une carte bancaire qui entend régler un achat ou un service chez un commerçant peut demander à ce dernier de lui régler par carte un montant plus élevé que son dû afin que des espèces (cash) lui soient rendues (back) pour la différence.

Ce dispositif est supposé présenter de nombreux avantages. Pour les commerçants, puisqu’il leur permet de proposer un nouveau service en vue d’attirer la clientèle en magasin, tout en leur permettant de gérer plus efficacement leurs encours en caisse [10] . Le cash back est aussi intéressant pour les clients puisqu’il leur évitera d’avoir à se déplacer à un guichet automatique pour obtenir « de la monnaie » (pièces ou billets) et permettra, socialement, de lutter contre l’isolement de certains territoires et la désertification des agences bancaires qui frappent certaines zones [11] . Pour les banques enfin, la nouvelle est évidemment moins réjouissante, car elle signifie que les guichets de retrait automatique pourraient à terme être moins utilisés et donc être moins rentables, et que le volume des commissions perçues à l’occasion des retraits hors réseau devrait diminuer. Ce sont les commerçants qui pourront désormais toucher une rémunération pour ce service.

Fourniture d’espèces ou service de paiement exclu du champ du régime ? La DSP 2 prévoit expressément ce service pour l’exclure de son champ d’application [12] , de sorte qu’il n’existait aucune objection juridique à sa consécration par la loi de ratification. Pour autant, sur le plan théorique, on peut s’étonner qu’il ne soit pas traité dans la loi comme un cas d’exclusion de l’application du droit des services de paiement. Le législateur français le consacre en effet dans une section 6 du chapitre II qui est dédié au « Règles d’usage de la monnaie » inséré dans le titre Ier (« dispositions générales ») du livre Ier (« la monnaie ») du Code monétaire et financier [13] . À cet égard, on peut se demander si le nouveau texte ne fait pas doublon avec le dispositif visé au sein de l’article L. 314-1 du Code monétaire et financier qui, dans son III au 6°, énumère parmi les différentes opérations « non constitutives d’un service de paiement » « [l]a fourniture de services pour lesquels des espèces sont fournies par le bénéficiaire au bénéfice du payeur dans le cadre d’une opération de paiement, à la demande expresse de l’utilisateur de services de paiement formulée juste avant l’exécution de l’opération de paiement via un paiement pour l’achat de biens ou de services ».

Évidemment, l’opération ne saurait être assimilée au retrait d’espèces, qui est l’un des services de paiement visés par les réglementations française [14] et européenne [15] . Le retrait est en effet conçu dans la réglementation des services de paiement comme l’opération qui fait suite à un dépôt préalable (au sens bancaire ou non) puisqu’il est censé être adossé à un compte de paiement (notion qui peut s’appliquer à un compte de dépôt), ce qui ne correspond pas au schéma de l’opération de cash back.

Précisions techniques. C’est donc désormais l’article L. 112-14 du Code monétaire et financier qui constitue l’assise du cash back en droit français. Ce service ne peut être proposé que par des commerçants au sens de l’article L. 121-1 du Code de commerce, indique le texte, de manière pour le moins maladroite à notre sens. Ledit article L. 121-1 énonce en effet que « sont commerçants ceux qui exercent des actes de commerce et en font leur profession habituelle », ce qui vise en réalité les personnes physiques exploitant un commerce de façon indépendante. Or nul doute que les sociétés commerciales sont supposées pouvoir offrir ce service de cash back, à défaut de quoi il pourrait bien rester lettre morte. La question est alors de savoir si une société commerciale pourra le proposer même si elle n’exploite pas une activité commerciale mais qu’elle est seulement commerciale par la forme (ce qui vise les sociétés par actions et SARL) [16] . En tout état de cause, les artisans (boulangers… quel dommage ! ), les professionnels libéraux (professions médicales ou juridiques) ne sont donc a priori pas autorisés à proposer ce service.

Par ailleurs, le service de fourniture d’espèces doit être sollicité par le client, « utilisateur de services de paiement » dit le texte, ce qui vise en réalité le titulaire de carte bancaire aujourd’hui. Mais peut-être à terme, ce service sera-t-il aussi utilisé en combinaison à l’initiation de paiement. Il pourra être facturé (le sera sans doute), dans les conditions posées par le Code de la consommation [17] , c’est-à-dire que le prix devra être préalablement porté à la connaissance du consommateur. La référence au Code la consommation laisse aussi à penser que le service ne pourra être fourni qu’à un consommateur. Enfin, le texte exclut toute possibilité de proposer ce service lors d’un paiement par chèque ou par titres spéciaux de paiement.

Lutte antiblanchiment. Enfin, un cadre est prévu afin de concilier ce nouveau service de fourniture d’espèces avec la lutte contre le blanchiment des capitaux et le financement du terrorisme. Le pouvoir réglementaire devra fixer, par décret, le montant minimal de l’opération de paiement d’achat de biens ou de services dans le cadre de laquelle des espèces pourront être fournies au consommateur qui le demande et le montant maximal en numéraire pouvant être décaissé par le commerçant.

Le nouveau dispositif conduit aussi la Banque de France à se voir confier un nouveau pouvoir de régulation. En cas de menace pour la qualité de la circulation fiduciaire ou d’événement exceptionnel ayant pour conséquence d’entraver de manière significative l’approvisionnement de billets en euros, elle pourra, après en avoir informé le ministre chargé de l’économie, autoriser temporairement un plafond supérieur ou inférieur à celui qui sera arrêté par le pouvoir règlementaire et ajuster la liste des instruments de paiement ne permettant pas la fourniture d’espèces. Elle pourra même à tout moment mettre fin à ce régime temporaire.