Les innovations technologiques dans le trafic des paiements ont donn\u00e9 lieu \u00e0 un grand nombre de nouveaux produits et prestataires. Le bitcoin, l\u2019ethereum, le ripple ou d\u2019autres parmi les pr\u00e8s de 1500 cryptovaleurs viennent aussit\u00f4t \u00e0 l\u2019esprit. Elles servent, toutefois, rarement de moyen de paiement, mais plut\u00f4t d\u2019instruments de placement. Il existe en revanche des innovations incontournables dans le traitement des paiements traditionnels, telles que la communication en champ proche notamment, utilis\u00e9e par Apple Pay et l\u2019application suisse de paiements Twint. Au cours des derni\u00e8res ann\u00e9es, les nouvelles technologies ont \u00e9t\u00e9 largement adopt\u00e9es, ce qui a modifi\u00e9 en profondeur et acc\u00e9l\u00e9r\u00e9 les processus de paiement.
\n
\nLes entreprises de technologies financi\u00e8res (\u00ab\u00a0fintech\u00a0\u00bb) jouent un r\u00f4le d\u00e9cisif dans le d\u00e9veloppement de ces processus. Elles rompent les cha\u00eenes de valeur traditionnelles des banques, tout en se reposant en grande partie sur leur infrastructure pour fournir leurs propres services. Les services de paiement totalement ind\u00e9pendants des banques, tels que le promettent les promoteurs des cha\u00eenes de blocs, ne sont en effet pas encore fonctionnels \u00e0 ce jour.
\n
\nLe \u00ab\u00a0surf sur l\u2019infrastructure bancaire\u00a0\u00bb pratiqu\u00e9 accentue la probl\u00e9matique de la s\u00e9curit\u00e9 et de la protection des donn\u00e9es que soul\u00e8ve d\u00e9j\u00e0 le traitement \u00e9lectronique des paiements. Ce dernier implique un risque d\u2019acc\u00e8s non autoris\u00e9 aux comptes bancaires des clients \u2013 notamment par des attaques informatiques.
\n
\nL\u2019UE a d\u00e9j\u00e0 r\u00e9agi sur ce point. L\u2019apparition de prestataires sans licence bancaire et le risque accru de cyberattaques ont donn\u00e9 lieu \u00e0 une r\u00e9vision de la premi\u00e8re directive sur les services de paiement de 2009. Cette seconde directive (PSD2) est en vigueur depuis d\u00e9but 2018.
<\/p>\n
\nLa nouvelle directive PSD2 pr\u00e9voit trois cat\u00e9gories de prestataires dans le trafic des paiements tiers autoris\u00e9es sur le march\u00e9\u00a0: les services d\u2019information sur les comptes, les services d\u2019initiation de paiement et les \u00e9metteurs tiers de cartes de paiement. Ces derniers n\u2019existant pas encore sur le march\u00e9, le pr\u00e9sent article vise essentiellement les deux premi\u00e8res cat\u00e9gories.
\n
\nLes services d\u2019information sur les comptes tels que Qontis r\u00e9cup\u00e8rent toutes les informations concernant un client aupr\u00e8s des diff\u00e9rentes banques et lui permettent d\u2019obtenir facilement une vue d\u2019ensemble de sa situation financi\u00e8re. Ils s\u2019ajoutent souvent \u00e0 d\u2019autres services, tels que des outils de liquidit\u00e9 ou de budg\u00e9tisation. Les services d\u2019initiation de paiement tels que Klarna (ant\u00e9rieurement Sofort GmbH) proposent une passerelle logicielle entre les commer\u00e7ants en ligne et les portails web des banques qui permet de simplifier les processus d\u2019achat. Ces deux types de services impliquent que le client du prestataire donne \u00e0 ce dernier un acc\u00e8s direct en ligne \u00e0 son compte bancaire, en indiquant son NIP ou son code de transaction sur le portail web du prestataire externe. Ce proc\u00e9d\u00e9, appel\u00e9 \u00ab\u00a0screen scaping\u00a0\u00bb, est vuln\u00e9rable aux attaques informatiques (attaques dites de l\u2019\u00ab\u00a0homme du milieu\u00a0\u00bb).
\n
\nLa Suisse poss\u00e8de \u00e9galement des services d\u2019information sur les comptes et d\u2019initiation de paiement. Leurs utilisateurs supportent toutefois \u00e0 ce jour l\u2019enti\u00e8re responsabilit\u00e9 d\u2019un \u00e9ventuel dysfonctionnement, notamment en cas de cyberattaque visant leur compte. Les conditions g\u00e9n\u00e9rales des banques suisses interdisent en effet aux clients de transmettre leurs NIP ou leurs codes de transaction \u00e0 des tiers.
<\/p>\n
\nL\u2019UE a choisi une tout autre approche dans sa directive PSD2, laquelle pr\u00e9voit une obligation expresse pour les banques d\u2019autoriser les prestataires de paiement tiers \u00e0 acc\u00e9der aux comptes des clients qui le souhaitent. Cet acc\u00e8s doit toutefois se faire \u00e0 travers une interface distincte, le \u00ab\u00a0screen scraping\u00a0\u00bb devant \u00eatre interdit dans l\u2019UE \u00e0 l\u2019issue d\u2019une p\u00e9riode transitoire. La coop\u00e9ration avec les nouveaux prestataires de paiements devient \u00e9galement obligatoire pour les banques. Les transferts demand\u00e9s par l\u2019interm\u00e9diaire de services d\u2019initiation de paiement doivent ainsi \u00eatre trait\u00e9s aussi vite et au m\u00eame co\u00fbt que s\u2019ils avaient \u00e9t\u00e9 effectu\u00e9s par la banque elle-m\u00eame. La directive pr\u00e9voit que la banque doit coop\u00e9rer avec le service d\u2019initiation de paiement m\u00eame lorsqu\u2019elle n\u2019a pas conclu de contrat avec ce dernier. Les banques doivent donc mettre ce service \u00e0 disposition gratuitement. Le \u00ab\u00a0parasitisme\u00a0\u00bb des prestataires de paiement tiers est ainsi consciemment encourag\u00e9 par l\u2019UE dans le but de renforcer la concurrence sur le march\u00e9 des services de paiement. L\u2019ouverture forc\u00e9e du march\u00e9 aux prestataires de paiement tiers ne peut toutefois se passer de r\u00e9glementation. Ils doivent donc \u00eatre agr\u00e9\u00e9s et se conformer \u00e0 de nombreuses exigences en mati\u00e8re de s\u00e9curit\u00e9 et de protection des donn\u00e9es.
\n
\nEn Suisse, les prestataires tiers ne sont en revanche pas r\u00e9glement\u00e9s. Cela signifie concr\u00e8tement qu\u2019ils peuvent continuer \u00e0 proc\u00e9der par \u00ab\u00a0screen scraping\u00a0\u00bb, les clients supportant l\u2019int\u00e9gralit\u00e9 du risque de dysfonctionnement.
<\/p>\n
\nEn mati\u00e8re d\u2019attaques informatiques \u2013 risque le plus important \u00e0 ce jour dans le domaine du trafic de paiements de d\u00e9tail \u2013, l\u2019UE adopte \u00e9galement une approche diff\u00e9rente de celle de la Suisse. La directive PSD2 exige ainsi des banques qu\u2019elles proc\u00e8dent \u00e0 une \u00ab\u00a0identification forte du client\u00a0\u00bb pour les op\u00e9rations de paiement \u00e9lectroniques. Cela implique que les moyens de l\u00e9gitimation personnels soient constitu\u00e9s d\u2019au moins deux moyens d\u2019authentification ind\u00e9pendants et qu\u2019il existe un lien dynamique entre l\u2019op\u00e9ration, le montant et le b\u00e9n\u00e9ficiaire. Le d\u00e9clenchement d\u2019une op\u00e9ration de paiement en ligne \u2013 via la saisie d\u2019un NIP et d\u2019un code de transaction sur un ordinateur par exemple \u2013 ne doit \u00eatre possible que si un code suppl\u00e9mentaire accompagn\u00e9 de l\u2019indication du destinataire et du montant de la transaction est transmis au client sur un appareil distinct, tel qu\u2019un smartphone. Ce syst\u00e8me permet notamment d\u2019identifier les attaques de l\u2019\u00ab\u00a0homme du milieu\u00a0\u00bb.
\n
\nAu sein de l\u2019UE, de telles exigences en mati\u00e8re de s\u00e9curit\u00e9 sont mises en \u0153uvre non seulement \u00e0 travers la r\u00e9glementation, mais \u00e9galement par le biais des r\u00e8gles en mati\u00e8re de responsabilit\u00e9. Si la banque ne requiert pas d\u2019identification forte du client pour l\u2019initiation d\u2019un paiement \u00e9lectronique, elle est tenue de rembourser les montants ind\u00fbment soustraits, m\u00eame en cas de n\u00e9gligence grave du client dans l\u2019usage de ses moyens d\u2019authentification personnels. Ce n\u2019est qu\u2019en cas de fraude volontaire que la banque peut faire supporter le risque d\u2019une transaction non autoris\u00e9e au client. En outre, l\u2019UE limite \u00e0 50 euros le montant du risque \u00e0 supporter par le client en cas d\u2019identification forte, m\u00eame en cas de n\u00e9gligence l\u00e9g\u00e8re de ce dernier. De tels incidents ne devraient toutefois plus survenir apr\u00e8s l\u2019introduction des processus d\u2019identification forte. La validation d\u2019un paiement non souhait\u00e9 malgr\u00e9 l\u2019indication du destinataire et du montant constituerait en effet sans doute un cas de n\u00e9gligence grave.
\n
\nEn Suisse, l\u2019authentification \u00e0 deux facteurs avec NIP et code de transaction s\u2019est \u00e9galement impos\u00e9e, mais tr\u00e8s peu d\u2019\u00e9tablissements financiers proposent une identification forte du client sur le mod\u00e8le europ\u00e9en. Les conditions g\u00e9n\u00e9rales des banques suisses pr\u00e9voient en outre qu\u2019un paiement est consid\u00e9r\u00e9 comme approuv\u00e9 d\u00e8s lors qu\u2019il a \u00e9t\u00e9 initi\u00e9 par l\u2019utilisation des moyens d\u2019authentification personnels. Le risque d\u2019attaque informatique est donc enti\u00e8rement support\u00e9 par les clients. Le doute subsiste quant \u00e0 la lic\u00e9it\u00e9 d\u2019une telle r\u00e9partition contractuelle des risques du point de vue du droit priv\u00e9. Elle est toutefois pr\u00e9vue de cette fa\u00e7on dans les conditions g\u00e9n\u00e9rales et les clients victimes de fraudes devraient, d\u00e8s lors, porter plainte devant chacune des instances comp\u00e9tentes pour faire valoir leurs droits. Il est certes possible que les banques fassent preuve d\u2019une certaine bonne volont\u00e9, notamment en cas d\u2019attaque \u00e0 grande \u00e9chelle. Du point de vue des clients, l\u2019espoir d\u2019un tel geste de la part des banques ne constitue toutefois pas une solution durable.
<\/p>\n
\nL\u2019UE a r\u00e9agi aux innovations et \u00e0 l\u2019augmentation des risques dans le trafic des paiements en prenant des d\u00e9cisions claires dans sa directive PSD2. Cette derni\u00e8re ouvre le march\u00e9 \u00e0 certaines cat\u00e9gories de prestataires en mati\u00e8re de trafic des paiements. En favorisant la concurrence, elle permet en outre \u00e0 des acteurs tiers de participer \u00e0 la cr\u00e9ation de valeur dans ce secteur. La directive fixe par ailleurs des normes \u00e9lev\u00e9es en mati\u00e8re de s\u00e9curit\u00e9 et \u00e9tend la protection des clients.
\n
\nDans une prise de position de septembre 2017, l\u2019Association suisse des banquiers (ASB) s\u2019est pour sa part prononc\u00e9e contre l\u2019instauration d\u2019une r\u00e9glementation \u00e9quivalente en Suisse. Les critiques formul\u00e9es visent essentiellement l\u2019obligation d\u2019ouvrir le march\u00e9 \u00e0 des concurrents non bancaires. L\u2019ASB estime qu\u2019une telle intervention est inutile dans un march\u00e9 qui ne pose pas de probl\u00e8me de fonctionnement. Cette ouverture pourrait \u00e9galement poser des probl\u00e8mes de s\u00e9curit\u00e9, synonymes de co\u00fbts suppl\u00e9mentaires devant \u00eatre report\u00e9s sur le client.
\n
\nLa mise en \u0153uvre de la directive PSD2 entra\u00eene effectivement des co\u00fbts importants. Elle pr\u00e9sente toutefois l\u2019avantage d\u2019inclure les nouveaux prestataires de paiement dans le champ de la r\u00e9glementation, am\u00e9liorant ainsi la s\u00e9curit\u00e9 des utilisateurs. \u00c0 moyen terme, ce secteur sera in\u00e9vitablement soumis \u00e0 certaines dispositions r\u00e9glementaires cl\u00e9s. C\u2019est au plus tard \u00e0 ce moment-l\u00e0 que la question d\u2019une ouverture impos\u00e9e du march\u00e9 des paiements aux prestataires externes au secteur bancaire se posera de nouveau.<\/p>","protected":false},"excerpt":{"rendered":"
Les innovations technologiques dans le trafic des paiements ont donn\u00e9 lieu \u00e0 un grand nombre de nouveaux produits et prestataires. Le bitcoin, l\u2019ethereum, le ripple ou d\u2019autres parmi les pr\u00e8s de 1500 cryptovaleurs viennent aussit\u00f4t \u00e0 l\u2019esprit. Elles servent, toutefois, rarement de moyen de paiement, mais plut\u00f4t d\u2019instruments de placement. Il existe en revanche des […]<\/p>","protected":false},"author":4675,"featured_media":22605,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"om_disable_all_campaigns":false,"ep_exclude_from_search":false,"footnotes":""},"post__type":[81,83],"post_opinion":[],"post_serie":[],"post_content_category":[108],"post_content_subject":[],"acf":{"seco_author":4675,"seco_co_author":null,"author_override":"","seco_author_post_ocupation_year":"","seco_author_post_occupation_de":"Professorin f\u00fcr Privat- und Bankrecht und Direktorin des Instituts f\u00fcr Bankrecht, Universit\u00e4t Bern","seco_author_post_occupation_fr":"Professeure de droit priv\u00e9 et de droit bancaire, directrice de l\u2019Institut de droit bancaire de l\u2019universit\u00e9 de Berne","seco_co_authors_post_ocupation":null,"short_title":"L\u2019UE ouvre son march\u00e9 des paiements","post_lead":"Les innovations port\u00e9es par des acteurs non bancaires sont en passe de r\u00e9volutionner le trafic des paiements. Les banques traditionnelles s\u2019opposent toutefois \u00e0 une ouverture r\u00e9gul\u00e9e du march\u00e9. Contrairement \u00e0 la Suisse, l\u2019UE a pris position en s\u2019ouvrant \u00e0 d\u2019autres prestataires tout en fixant des r\u00e8gles rigoureuses en mati\u00e8re de s\u00e9curit\u00e9.","post_hero_image_description":"En Suisse, celui qui utilise les services de paiement non-bancaires est responsable en cas d'attaques de hackers.","post_hero_image_description_copyright_de":"Keystone","post_hero_image_description_copyright_fr":"","post_references_literature":"","post_kasten":null,"post_notes_for_print":"","first_teaser_header_de":"","first_teaser_header_fr":"","first_teaser_text_de":"","first_teaser_text_fr":"","second_teaser_header_de":"","second_teaser_header_fr":"","second_teaser_text_de":"","second_teaser_text_fr":"","kseason_de":"","kseason_fr":"","post_in_pdf":137419,"main_focus":[156247,156982],"serie_email":null,"frontpage_slider_bild":137423,"artikel_bild-slider":null,"legacy_id":"77977","post_abstract":"La num\u00e9risation a permis l\u2019apparition sur le march\u00e9 des paiements de nouvelles offres et de prestataires non bancaires. La concurrence s\u2019est accrue, de m\u00eame que les risques d\u2019un acc\u00e8s non autoris\u00e9 aux comptes de la client\u00e8le. Comment les banques doivent-elles agir face \u00e0 ces nouveaux acteurs\u00a0? Comment la s\u00e9curit\u00e9 des comptes peut-elle s\u2019am\u00e9liorer\u00a0? Dans sa seconde directive sur les services de paiement (DSP2), l\u2019UE a fait des choix clairs qui obligent les banques \u00e0 s\u2019ouvrir aux nouveaux prestataires (les \u00ab\u00a0fintech\u00a0\u00bb) et rel\u00e8vent les exigences en mati\u00e8re de s\u00e9curit\u00e9 pour le traitement des paiements \u00e9lectroniques. En Suisse, les banques s\u2019opposent \u00e0 ce type de r\u00e9glementation. \u00c0 moyen terme, les nouveaux prestataires devront toutefois \u00eatre soumis \u00e0 certaines dispositions r\u00e9glementaires cl\u00e9s. C\u2019est au plus tard \u00e0 ce moment-l\u00e0 que la question d\u2019une ouverture forc\u00e9e du march\u00e9 des paiements aux prestataires du secteur non bancaire se posera de nouveau.","magazine_issue":"20180601","seco_author_reccomended_post":null,"redaktoren":[3988,0],"korrektor":4139,"planned_publication_date":"20180525","original_files":null,"external_release_for_author":"20180424","external_release_for_author_time":"00:00:00","link_for_external_authors":"https:\/\/dievolkswirtschaft.ch\/exedit\/5acf715068154"},"_links":{"self":[{"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/posts\/137416"}],"collection":[{"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/users\/4675"}],"replies":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/comments?post=137416"}],"version-history":[{"count":1,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/posts\/137416\/revisions"}],"predecessor-version":[{"id":188044,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/posts\/137416\/revisions\/188044"}],"acf:user":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/users\/4139"},{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/users\/0"},{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/users\/3988"},{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/users\/4675"}],"acf:post":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/main_focus_post\/156982"},{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/main_focus_post\/156247"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/media\/22605"}],"wp:attachment":[{"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/media?parent=137416"}],"wp:term":[{"taxonomy":"post__type","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/post__type?post=137416"},{"taxonomy":"post_opinion","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/post_opinion?post=137416"},{"taxonomy":"post_serie","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/post_serie?post=137416"},{"taxonomy":"post_content_category","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/post_content_category?post=137416"},{"taxonomy":"post_content_subject","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/fr\/wp-json\/wp\/v2\/post_content_subject?post=137416"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}