Passeport UE

Un passeport existe uniquement si une loi européenne harmonise l'agrément. Le cabinet CMS cite MiFID II, la directive sur les exigences de fonds propres et celle sur la distribution d'assurances comme sources de droits au passeport; pour les paiements, ce sont PSD2 et la directive monnaie électronique, et pour les cryptoactifs MiCAR. Une entreprise l'utilise de deux façons: ouvrir une succursale dans l'État d'accueil ou y servir des clients à distance. Les établissements de paiement peuvent aussi passer par des agents dans cet État.

Le superviseur d'origine conserve la responsabilité et reçoit la notification, la vérifie et la transmet au superviseur d'accueil, tout en supervisant l'entreprise dans son ensemble. Le superviseur d'accueil peut signaler des risques de blanchiment ou de protection des consommateurs et intervenir contre une succursale en urgence.

Selon l'article 28 de PSD2, l'autorité d'origine transmet une notification complète à l'autorité d'accueil sous un mois et décide sous trois mois d'enregistrer la succursale ou l'agent. En Allemagne, l'article 38 du ZAG l'applique aux établissements allemands allant à l'étranger: ils notifient BaFin et la Bundesbank, précisent l'État d'accueil, le plan d'activité et les agents éventuels, puis commencent après inscription de la succursale ou de l'agent.

Pour les entreprises entrantes, l'article 39 permet à un établissement agréé dans un autre État de l'EEE de fournir paiements ou monnaie électronique en Allemagne sans agrément BaFin, via succursale, agents ou services transfrontaliers. BaFin évalue les informations reçues sous un mois et peut interdire de nouvelles activités si l'entreprise menace gravement les utilisateurs allemands et si l'autorité d'origine n'agit pas. La page ZAG couvre le reste de la loi.

MiCAR fixe le délai de notification le plus court. Selon l'article 59, un prestataire de services sur cryptoactifs agréé peut servir toute l'Union sans présence physique dans les États d'accueil. Selon l'article 65 de MiCAR, il indique à son autorité d'origine les États visés et la date de début; l'autorité transmet sous dix jours ouvrables, et le prestataire peut commencer au plus tard le 15e jour calendaire après sa déclaration.

Les émetteurs de stablecoins ont besoin d'un agrément portant son propre passeport: l'émetteur d'un jeton de monnaie électronique doit être un établissement de crédit ou de monnaie électronique, selon le considérant 66 de MiCAR.

Une entreprise peut aussi servir un troisième pays depuis une succursale dans un deuxième, comme une banque agréée en France servant des clients allemands depuis l'Irlande, selon CMS. Le droit européen ne couvre ni n'interdit cette structure. L'EBA attend une notification de l'autorité d'origine à celle de l'État des clients, et la réforme PSD3 doit régler cette question pour les établissements de paiement.

Le passeport accorde le droit d'une entreprise agréée dans un État de l'UE ou de l'EEE d'offrir les mêmes services réglementés dans les autres États membres, via une succursale ou à distance, après notification au superviseur d'origine et sans second agrément.

Pas pour les services couverts par son agrément d'origine, une fois leur passeport activé en Allemagne. BaFin conserve ses pouvoirs sur les succursales et agents en Allemagne, où le droit commercial allemand s'applique toujours. Les services hors agrément d'origine nécessitent leur propre autorisation.

Sous PSD2, l'autorité d'origine transmet la notification sous un mois et décide sur une succursale ou un agent sous trois mois. Sous MiCAR, un prestataire crypto peut commencer au plus tard le 15e jour calendaire après information de son autorité d'origine.