DSP2

La DSP2 a remplacé la première directive sur les services de paiement de 2007, et les États membres devaient la transposer au plus tard le 13 janvier 2018. L'annexe de la DSP2 énumère les services de paiement réglementés: dépôts et retraits d'espèces, virements, prélèvements et paiements par carte, émission d'instruments de paiement et acquisition d'opérations de paiement, transmission de fonds, initiation de paiement et information sur les comptes.

Seules certaines catégories d'entreprises peuvent les fournir: banques, établissements de monnaie électronique, établissements de paiement, offices de chèques postaux, banques centrales et autorités publiques. Un établissement de paiement doit disposer d'un capital initial de 20 000 euros pour la seule transmission de fonds, de 50 000 euros pour la seule initiation de paiement et de 125 000 euros pour les services des points 1 à 5 de l'annexe I, selon l'article 7 de la directive; l'article 33 exempte de ce capital initial les prestataires qui ne fournissent que l'information sur les comptes. L'article 3 énumère ce qui reste hors champ, comme les paiements passant par un agent commercial qui n'agit que pour une seule partie ou les instruments utilisables uniquement dans un réseau limité de magasins.

La DSP2 a placé sous supervision deux services qui fonctionnaient auparavant sans agrément. Un service d'initiation de paiement lance un virement depuis le compte en ligne du payeur dans une autre banque, et un service d'information sur les comptes affiche en un seul endroit les soldes de plusieurs comptes. La Banque de Slovénie décrit les deux et précise que le prestataire d'initiation ne détient jamais les fonds du payeur.

La banque teneuse du compte ne peut pas subordonner l'accès à un contrat avec le prestataire (articles 66 et 67). Le volet technique figure dans les normes techniques de réglementation sur l'authentification et la communication sécurisée, le règlement délégué (UE) 2018/389. Les banques devaient ouvrir leurs interfaces aux tests à partir du 14 mars 2019 et s'y conformer pleinement à partir du 14 septembre 2019. En Allemagne, la plupart des banques utilisent pour cela le standard du Berlin Group, décrit avec l'API du Berlin Group et dans l'open banking en Allemagne.

L'article 97 impose l'authentification forte du client lorsqu'un payeur accède à son compte en ligne, initie un paiement électronique ou agit par un canal à distance comportant un risque de fraude. L'Autorité bancaire européenne a rédigé les normes techniques correspondantes et publie des orientations au titre de la DSP2, dont celles sur la notification des fraudes.

Pour une opération non autorisée, le prestataire du payeur rembourse le montant au plus tard à la fin du jour ouvrable suivant (article 73). Un payeur dont la carte a été perdue ou volée supporte au maximum 50 euros, sauf agissement frauduleux ou négligence grave de sa part (article 74). Pour un prélèvement, le payeur peut demander le remboursement pendant huit semaines après le débit (article 76), et un virement parvient à la banque du bénéficiaire à la fin du jour ouvrable suivant (article 83). Un commerçant ne peut pas facturer de frais pour un paiement par carte de consommateur dont la commission d'interchange est plafonnée (article 62).

L'Allemagne a transposé la DSP2 dans deux lois. Le volet prudentiel figure dans un ZAG réécrit, en vertu duquel la BaFin autorise et supervise les établissements de paiement et de monnaie électronique. Le volet civil (consentement, remboursements, responsabilité) figure aux articles 675c et suivants du Code civil allemand, et l'article 270a interdit les frais pour un paiement par virement SEPA, prélèvement SEPA ou carte de consommateur, comme l'explique la présentation de la DSP2 par la Bundesbank (en allemand).

L'UE remplace la DSP2 par la directive DSP3 et le règlement sur les services de paiement. Jusqu'à leur entrée en application, la DSP2 et les lois allemandes qui la transposent restent en vigueur, tout comme les autorisations délivrées sur leur fondement.

La DSP2 est la loi européenne qui fixe qui peut transférer de l'argent pour autrui, comment authentifier un paiement et ce que le client récupère en cas d'erreur. La DSP2 permet aussi à des applications agréées d'initier un paiement depuis un compte bancaire ou d'en lire le solde, avec l'accord du client.

C'est une directive, que chaque État membre a transposée dans son propre droit. L'Allemagne l'a fait par le ZAG et par le Code civil. Les normes techniques sur l'authentification forte et la communication sécurisée forment un règlement délégué d'application directe. Le successeur de la DSP2 sépare les deux niveaux: la DSP3 est une directive, et le règlement sur les services de paiement s'applique directement.

Toute entreprise qui fournit à titre professionnel l'un des services de paiement de l'annexe et qui n'est ni une banque ni un autre organisme exempté. En Allemagne, l'autorisation est délivrée par la BaFin au titre du ZAG. Une entreprise agréée dans un autre État de l'UE ou de l'EEE peut servir des clients allemands grâce au passeport européen, après notification à son autorité d'origine.

La DSP3 conserve les services et agréments de la DSP2 et absorbe la directive sur la monnaie électronique. Avec la DSP3, les règles de conduite passent dans le règlement sur les services de paiement, avec la vérification du nom du bénéficiaire, le remboursement de certaines fraudes à l'usurpation d'identité et des règles plus strictes pour les interfaces bancaires.