Loi de surveillance des services de paiement

La loi actuelle date du 17 juillet 2017 et est entrée en vigueur le 13 janvier 2018, échéance de la DSP2, selon son texte officiel. Elle comprend quatorze parties, des définitions, agrément, protection des fonds au passeport européen, aux obligations de conduite pour tous les prestataires et aux sanctions.

L’article 1 énumère les services, des dépôts et virements à l’acquisition par carte, la transmission de fonds, l’initiation de paiement et l’information sur les comptes. La ZAG dépasse banques et fintechs: le cabinet SZA Schilling, Zutt & Anschütz cite les plateformes de livraison reversant l’argent des clients aux restaurants. L’article 2 énumère les exceptions, notamment les agents commerciaux d’une seule partie, les prestataires techniques et les instruments limités à un réseau ou une gamme restreinte de biens. Une entreprise invoquant l’exception de réseau limité doit notifier BaFin si ses paiements des douze derniers mois dépassent un million d’euros.

Une entreprise fournissant commercialement des services de paiement en Allemagne doit obtenir l’autorisation écrite ou électronique de BaFin selon l’article 10, et un émetteur de monnaie électronique selon l’article 11. BaFin statue dans les trois mois suivant une demande complète et rejette un dossier incomplet après douze mois. Un prestataire d’information sur les comptes seul s’enregistre selon l’article 34 plutôt que d’obtenir un agrément complet. Procédure et coûts figurent sur les pages réglementation des paiements en Allemagne et dans le guide agrément BaFin.

L’article 12 fixe le capital initial: 20 000 euros pour la seule transmission de fonds, 50 000 euros pour la seule initiation de paiement, 125 000 euros pour les autres services et 350 000 euros pour un établissement de monnaie électronique. L’article 17 impose de séparer constamment les fonds clients, par compte distinct auprès d’un établissement de crédit ou d’une banque centrale, actifs sûrs, liquides et peu risqués, ou assurance ou garantie d’une entreprise extérieure au groupe. Les fonds reçus pour la monnaie électronique doivent être protégés sous cinq jours ouvrés selon l’article 18.

La partie 10 de la ZAG s’applique à tout prestataire de paiement, banques comprises. Les articles 48 à 52 donnent aux services agréés d’initiation et d’information accès aux comptes clients par l’interface bancaire, fondement de l’open banking en Allemagne; l’article 55 impose l’authentification forte du client. Les articles 53 et 54 couvrent les risques opérationnels et déclarations d’incidents.

L’agrément prévu par la ZAG concerne aussi les stablecoins libellés en euros. Selon MiCAR, seul un établissement de crédit ou de monnaie électronique peut offrir au public un jeton de monnaie électronique; un émetteur allemand non bancaire a donc besoin d’un agrément selon l’article 11. La ZAG régit l’émetteur; MiCAR ajoute les règles propres au jeton.

Avant d’utiliser un agent, l’article 25 impose à l’établissement de notifier à BaFin et à la Bundesbank son nom, son adresse, ses contrôles antiblanchiment, ses dirigeants et les services proposés. BaFin dispose de deux mois pour décider de son inscription, préalable au démarrage. Les articles 38 et 39 portent le passeport européen: un établissement agréé ailleurs dans l’EEE peut opérer en Allemagne sans agrément BaFin.

BaFin a publié ZAG-MaRisk, ses exigences minimales de gestion des risques pour ces établissements, par la circulaire 07/2024 (BA) du 27 mai 2024, selon la page Bundesbank consacrée aux établissements de paiement et de monnaie électronique (en allemand). Les établissements transmettent des déclarations mensuelles selon l’article 29; depuis le 17 janvier 2025, DORA régit leurs risques informatiques. Selon l’article 63, fournir des services de paiement ou de monnaie électronique sans agrément constitue un délit passible de cinq ans de prison.

La ZAG est la loi allemande sur la surveillance des services de paiement. Elle exige un agrément BaFin pour les paiements et la monnaie électronique et transpose les dispositions prudentielles de la DSP2 en droit allemand.

BaFin délivre les agréments et prend les mesures de surveillance prudentielle. La Deutsche Bundesbank publie les formulaires et instructions, de la notification des agents aux déclarations mensuelles, et participe avec BaFin à la surveillance continue.

Pas aux cryptoactifs en tant que tels, qui relèvent de MiCAR et de la loi bancaire allemande. La ZAG s’applique à l’émetteur non bancaire d’un jeton de monnaie électronique en euros, qui nécessite son agrément de monnaie électronique.

La DSP3 étant une directive, l’Allemagne doit la transposer dans la ZAG, et la directive monnaie électronique rejoint ce même cadre. Les règles de conduite passent dans le règlement directement applicable sur les services de paiement. La page DSP3 présente l’état d’avancement de ce nouveau cadre européen.