L’open finance, au-delà des comptes et des données de paiement

Il en va de la banque et de la finance comme des autres activités humaines, y compris à l’heure de l’intelligence artificielle : elles connaissent des tendances, mais aussi des modes, que l’on repère à l’usage de mots magiques : l’« ouvert » (open) est de ceux-là, associé à la course à l’innovation, bien entendu. Ouvrir toujours plus l’accès aux données financières, les partager davantage... tout en encadrant strictement tout cela ; telle est, rapidement dit, la tendance – ou la mode, c’est selon – de l’open finance, version financiarisée de la fameuse « économie fondée sur les données »...

L’expression d’open finance ou « finance ouverte » a semble-t-il été popularisée, sur le terrain réglementaire, par la communication de la Commission européenne sur « une stratégie en matière de finance numérique pour l’UE », du 24 septembre 2020¹. Au titre des priorités exposées, figurait celle de promouvoir l’innovation fondée sur les données dans le domaine de la finance en créant un « espace commun » des données financières. Où l’on observe avec intérêt la confluence entre droit des données et droit des paiements : « D’ici 2024, l’Union devrait avoir mis en place un cadre en matière de finance ouverte, conformément à la stratégie européenne en matière de données, à la future loi sur les données et à la législation sur les services numériques. Ce cadre sera coordonné avec le réexamen de la directive sur les services de paiement »². Ce sont encore les experts, en somme, qui en parlent le mieux (et en anglais) : « Open finance refers to the sharing, access and reuse of personal and non-personal data for the purposes of providing a wide range of financial services. The objective of open finance is to promote innovative financial products and services to the direct benefit of consumers and firms. A key condition for open finance is strong consumer trust and confidence³. »

C’est que la stratégie en matière de finance numérique répond en effet à une autre : « Une stratégie européenne pour les données », exposée par la Commission le 19 février précédent ⁴, dans le prolongement de la directive (UE) 2019/1024 du Parlement européen et du Conseil du 20 juin 2019 concernant les données ouvertes (open data) et la réutilisation des informations du secteur public. L’enseignement immédiat d’une telle collision entre données et finance est, à l’évidence, qu’il existe un marché de la donnée (numérique) et que les pouvoirs publics de l’Union entendent bien en tirer les meilleurs profits, ce dont, manifestement, le contrôleur européen de la protection des données se félicite⁵.

L’open finance est la suite d’un précédent mouvement : celui de l’open banking, très exactement né de la deuxième directive relative aux services de paiement, dite « DSP2 »⁶. En fait de « banque ouverte », la grande nouveauté était que la loi fondamentale des paiements révisée permettait à de nouveaux acteurs – prestataires de services d’information sur les comptes (PSIC) et prestataires de services d’initiation de paiement (PSIP) – d’accéder, sur permission expresse de leur titulaire, aux comptes bancaires (de paiement, est-il plus juste de les nommer) tenus par d’autres, dénommés pour l’occasion « prestataires de services de paiement gestionnaires de comptes » (PSPGC)⁷. À l’unique condition que son compte de paiement soit accessible en ligne, l’utilisateur de services de paiement (USP) se voyait ainsi reconnaître tant le droit de recourir à des services permettant l’accès aux données de compte (information sur les comptes ou « agrégation de données ») que le droit de s’adresser à un PSIP pour initier un paiement par virement. Dit autrement, « l’open banking désigne l’ouverture et le partage des données dans le cadre des nouvelles technologies, de la directive service de paiement 2 (DSP2) et du règlement sur la protection des données personnelles (RGPD) »⁸.

On se souvient qu’au moment de la transposition française de la DSP2, de nombreux acteurs fintechs plaidèrent, non sans mauvaise foi, pour une ouverture de ces services de banque ouverte au-delà des seuls comptes – et données – de paiement. À quoi il fut légitime de leur répondre que la DSP2, par définition, ne pouvait aller au-delà de son objet : les services de paiement assis sur les comptes de paiement aux fins d’exécution d’opérations de paiement. Il n’empêche, l’ouverture, par nature, souffre assez mal d’être bridée.

C’est donc sans surprise que les futures règles de l’open finance, bien qu’elles prennent directement leur source dans l’open banking, ne se trouvent pas logées dans les propositions de DSP3⁹ ou de RSP¹⁰ concomitantes, mais dans une proposition de règlement relatif à « un cadre pour l’accès aux données financières » : « La présente proposition se fonde sur la deuxième directive sur les services de paiement (DSP2), qui a autorisé le partage des données relatives aux comptes et aux paiements (“banque ouverte”). Elle permet de partager un ensemble plus large de données relatives aux services financiers et fixe les modalités selon lesquelles le partage de données doit être réalisé »¹¹.

Figurant dans le même paquet législatif que les propositions de DSP3 et de RSP, le projet dit « FiDA » (Financial Data Access) a tout pour épouser l’air du temps : octroi de la possibilité, mais pas l’obligation, pour les clients de partager leurs données avec des utilisateurs de données ; obligation pour les détenteurs de données clients (les établissements financiers) de mettre ces données à la disposition des utilisateurs de données ; contrôle total, par les clients, des personnes qui accèdent à leurs données et de la finalité poursuivie ; normalisation des données clients et des interfaces techniques requises dans le cadre des systèmes de partage de données financières ; régimes de responsabilité clairs en cas de violations de données et des mécanismes de règlement des litiges prévus dans les systèmes de partage des données financières, et incitations supplémentaires pour les détenteurs de données à mettre en place des interfaces de haute qualité pour les utilisateurs de données grâce à une compensation raisonnable de la part des utilisateurs de données¹².

Cela n’est toutefois pas sans paradoxe, dont le plus visible est sans doute que les données de « banque ouverte » (comptes de paiement), puisqu’elles obéissent déjà au régime de la DSP2 et, bientôt, à celui des DSP3 et RSP, se trouvent de facto exclues du futur cadre général de l’accès aux données financières, même si une clause de réexamen est prévue afin que la Commission puisse évaluer les conditions d’accès aux données financières par les PSIC¹³. Quelle ironie que ceux-là mêmes qui réclamaient, hier, de pouvoir opérer au-delà des comptes et données de paiement à partir de leur statut de prestataire de services de paiement (PSP), soient traités demain en marge de l’open finance.

À ce partage historique lié au passage de l’open banking à l’open finance, s’ajouterait au moins un autre, exposé au considérant 50 de la proposition de règlement, lorsqu’il énonce que le texte ne porterait pas atteinte aux dispositions existantes, dans le droit financier de l’Union, en matière d’accès et de partage des données. Leur rappel permet de balayer d’un coup le paysage réglementaire existant : i) accès aux indices de référence et régime d’accès aux produits dérivés cotés entre plates-formes de négociation et contreparties centrales (règlement (UE) nº 600/2014 du Parlement européen et du Conseil), ii) règles en matière d’accès des prêteurs aux bases de données (directive 2014/17/UE du Parlement européen et du Conseil), iii) règles en matière d’accès aux référentiels des titrisations (règlement (UE) 2017/2402 du Parlement européen et du Conseil), iv) règles concernant le droit de demander un relevé de sinistres à un assureur et accès aux référentiels centraux et aux données de base nécessaires au règlement des sinistres (directive 2009/103/CE du Parlement européen et du Conseil), v) droit d’accéder à toutes les données à caractère personnel nécessaires aux fournisseurs de produits paneuropéens d’épargne retraite individuelle, et de les leur transmettre (règlement (UE) 2019/1238 du Parlement européen et du Conseil), et vi) externalisation (directive (UE) 2018/843 du Parlement européen et du Conseil).

Mais là où le bât blesse, notamment, c’est lorsque la Commission nous promet un règlement relatif à l’accès aux « données financières », alors que celles-ci ne sont finalement... jamais définies. Le sont, en revanche, et ce n’est pas tout à fait la même chose, les « données client », entendues comme « les données à caractère personnel et non personnel qui sont collectées, conservées et traitées d’une autre manière par un établissement financier dans le cadre de ses relations commerciales normales avec ses clients et qui recouvrent à la fois les données fournies par les clients et les données générées à la suite d’une interaction entre un client et l’établissement financier »¹⁴ (étant précisé que le client est lui-même défini comme « une personne physique ou morale qui utilise des produits et services financiers »¹⁵). On se forgera peut-être une autre définition, plus rapide, des données financières : les données client relevant du domaine des services financiers¹⁶.

Sachant que cette définition ne dit encore rien si l’on ne se réfère pas également aux « catégories de données client » couvertes par la proposition de règlement, telles que listées au paragraphe 1^er de son article 2 (voir encadré) ; à moins que l’on choisisse cette autre délimitation tenant à la qualité d’« établissement financier », qui recouvre, que ce soit en tant que détenteur ou utilisateur de données : a) les établissements de crédit ; b) les établissements de paiement, y compris les prestataires de services d’information sur les comptes et les établissements de paiement exemptés en vertu de la DSP2 ; c) les établissements de monnaie électronique, y compris les établissements de monnaie électronique exemptés en vertu de la DME 2 ; d) les entreprises d’investissement ; e) les prestataires de services sur crypto-actifs ; f) les émetteurs de jetons se référant à un ou des actifs ; g) les gestionnaires de fonds d’investissement alternatifs ; h) les sociétés de gestion d’organismes de placement collectif en valeurs mobilières ; i) les entreprises d’assurance et de réassurance ; j) les intermédiaires d’assurance et les intermédiaires d’assurance à titre accessoire ; k) les institutions de retraite professionnelle ; l) les agences de notation de crédit ; m) les prestataires de services de financement participatif, et n) les fournisseurs de PEPP¹⁷. Tout le monde, donc, à l’exception, faut-il noter, des PSIC...

On le sait, parce qu’on l’a vu à l’œuvre dans la DSP2, l’ouverture doit composer avec la sécurité¹⁸ ; toujours plus d’ouverture, ou de liberté, suppose paradoxalement de renforcer sans cesse les mesures de protection contre à peu près tous les risques ; protection et « résilience », faut-il ajouter, à telle enseigne, au demeurant, que notre proposition législative prévoit d’ajouter la catégorie des « prestataires de services d’information financière » (PSIF, voir infra) à la liste des assujettis au règlement DORA¹⁹. Mais le couple « ouverture et sécurité » n’est plus le seul ; le banquier central en ajoute volontiers deux autres : « innovation et intégration », d’une part ; « concurrence et souveraineté », de l’autre²⁰. Ainsi, le risque de fragmentation justifierait une coopération accentuée avec les pouvoirs publics, par exemple en faveur d’une amélioration des APIs, sinon de leur standardisation. Plus éloquente encore est la création en cours, sous l’égide de l’European Payments Council, du SEPA Payment Account Access (SPAA), qui se présente comme un nouveau schéma d’open payments, à mi-chemin entre la banque et la finance ouvertes. Quant à l’enjeu de concurrence vs souveraineté, il renvoie directement à la peur des bigtechs extra-européennes et à leur pouvoir de marché, en l’espèce le marché des données (des data). Mais cela dépasse, nous semble-t-il, la simple régulation, qui ne pourra pas grand-chose tant que des champions industriels européens ne seront pas au niveau d’une économie ouverte... et sûre.

Pour l’heure, la Commission européenne entend promouvoir « l’économie des données financières de l’Union »²¹. Trois instruments principaux y pourvoiraient : (1) la fourniture obligée, par les détenteurs de données aux clients, de « tableaux de bord des permissions d’accès aux données financières communs et cohérents »²² ; (2) l’appartenance, également obligée, de ces mêmes détenteurs, rejoints par les utilisateurs de données, à des « systèmes de partage des données financières », propres à « élaborer des normes en matière de données et d’interfaces, des cadres contractuels communs et normalisés régissant l’accès à des ensembles de données spécifiques, ainsi que des règles de gouvernance applicables au partage de données »²³ et, enfin, (3) la création de la nouvelle catégorie des « prestataires de services d’information financière » qui, titulaires d’un agrément spécifique prévu par la présente proposition de règlement, seraient, avec les établissements financiers d’ores et déjà réglementés, les seuls à avoir accès aux données financières²⁴.

On corrige, du coup, un peu, ce que l’on a écrit plus haut sur les limites de la régulation : l’obligation faite aux PSIF d’être constitués dans l’Union ou, à défaut, de désigner un représentant légal dans l’Union, responsable devant les autorités compétentes²⁵, devrait être une sacrée « pierre » dans le jardin européen des si redoutées bigtechs...