Règlement FIDA

Le règlement sur les services de paiement (RSP) conserve l'accès gratuit aux comptes de paiement prévu par la DSP2 et le renforce. La DSP3 traite de l'agrément et de la supervision des établissements de paiement. FIDA régit tout le reste: les données qu'une banque, un assureur ou une entreprise d'investissement détient et qui ne relèvent pas d'un compte de paiement, et comme il s'agit d'un règlement, il s'appliquerait directement dans chaque État membre sans transposition nationale.

La séparation pratique compte au moment de cadrer un projet. Une équipe qui travaille pour le RSP étend une interface DSP2 existante. Une équipe qui travaille pour FIDA ouvre des domaines de données qui n'ont jamais eu d'API externe, dans des systèmes jamais conçus pour les exposer, souvent dans une plateforme d'assurance ou de titres et non dans le système bancaire central. Le core banking en Allemagne décrit à quoi ressemblent ces systèmes.

La proposition et les positions de négociation couvrent le crédit immobilier et le crédit à la consommation, les comptes et l'épargne, les instruments d'investissement, les avoirs en crypto-actifs, les produits d'assurance non-vie, les droits à pension et les données d'évaluation de la solvabilité. Simmons & Simmons relève que les versions de la Commission, du Parlement et du Conseil divergent nettement sur l'étendue exacte de ce champ.

Les données d'entrée des évaluations d'adéquation et de caractère approprié, les données de tiers et les données produites au cours d'une demande de prêt ont été proposées à l'exclusion, comme le note Deloitte, et l'assurance vie et les produits maladie ont été contestés tout au long du processus. Une banque qui prépare son inventaire de données devrait considérer la frontière comme non tranchée et inventorier plus que le minimum.

Avec FIDA, le législateur n'écrirait pas l'API. Les détenteurs et les utilisateurs de données devraient adhérer à un système de partage de données financières, un organe de gouvernance qui réunit détenteurs de données, utilisateurs de données et organisations de consommateurs, et qui fixe les normes communes, les interfaces et les conditions. L'adhésion serait obligatoire pour les entreprises concernées.

Cette conception explique pourquoi le schéma SPAA et les travaux openFinance du Berlin Group comptent commercialement: un système sectoriel qui fonctionne peut devenir le système FIDA de son domaine. Les questions non résolues sont importantes, et Simmons & Simmons les énumère: le fonctionnement transfrontalier d'un système, sa supervision, la fixation de la compensation en son sein, et la nécessité même d'un système pour chaque type de données quand la demande des clients pour certains n'est pas démontrée.

Chaque détenteur de données devrait fournir au client un tableau de bord des autorisations: un endroit unique pour voir quelles entreprises ont accès à quelles données, dans quel but, et pour retirer une autorisation. Pour un client, c'est la partie la plus visible de FIDA, et la seule que la plupart utiliseront jamais.

Un tableau de bord doit regrouper en une seule vue, presque en temps réel, des autorisations accordées par différents canaux et différents systèmes. La question de savoir s'il doit permettre au client de modifier une autorisation ou seulement l'afficher a fait débat, car un tableau de bord en lecture seule est bien plus simple à construire et bien moins utile. Une banque qui exploite déjà le dispositif de consentement DSP2 décrit dans la norme d'API du Berlin Group en a la base.

FIDA permettrait de rémunérer un détenteur de données pour la mise à disposition des données, et c'est là la différence structurelle avec la DSP2, où l'accès est gratuit. La compensation serait fixée au sein du système de partage de données et non par chaque entreprise, et pour les banques, elle transforme un coût de conformité en source possible de revenus.

Le mode de calcul du montant reste à définir et concerne détenteurs et utilisateurs de données. Trop bas, l'API n'est qu'un coût et les établissements construisent le minimum. Trop haut, aucun utilisateur de données ne peut payer les données et le règlement n'apporte rien. C'est le même calcul que le marché fait de façon volontaire avec SPAA, et les paiements récurrents variables montrent comment la question du prix peut bloquer un produit pendant des années.

FIDA est en trilogue entre le Parlement, le Conseil et la Commission depuis 2025, sans conclusion. À l'automne 2026, aucune date n'est fixée pour de nouvelles réunions de trilogue et la poursuite des négociations est incertaine, et il est donc raisonnable de se demander si le dossier aboutira pendant le mandat actuel de la Commission.

La période de transition n'est pas tranchée non plus, et les trois institutions divergent: la Commission a proposé 24 mois après l'entrée en vigueur, le Parlement 30 à 38 mois et le Conseil entre 18 et 48 mois selon le type de données. Cet écart situe une application réaliste vers 2028 à 2029, et l'analyse allemande de mise en œuvre place la transition entre 24 et 48 mois après l'entrée en vigueur.

En tant que règlement, FIDA s'appliquerait directement en Allemagne sans loi allemande de mise en œuvre, la BaFin le complétant par des orientations de supervision et en agréant la nouvelle catégorie de prestataire de services d'information financière, le FISP, qui a besoin de son propre agrément, d'une couverture d'assurance et d'un établissement réel plutôt que d'une coquille. Un assureur y est soumis au même titre qu'une banque, un point que traite l'insurtech en Allemagne.

La préparation commence par un inventaire des données qui indique quelles données clients l'établissement détient, dans quel système, avec quelle qualité, et qui en est propriétaire en interne. Les travaux de gouvernance, d'IT et de risque lié aux tiers recoupent largement MaRisk, BAIT et DORA, si bien qu'une banque qui les a bien menés ne part pas de zéro. Ce qui ne peut pas être emprunté, c'est l'exploitation par API de données qui n'ont jamais quitté la maison.

FIDA est le projet de règlement de l'UE établissant un cadre pour l'accès aux données financières, parfois appelé règlement sur l'open finance. FIDA obligerait les banques, les assureurs, les entreprises d'investissement et d'autres établissements financiers à partager des données clients avec des utilisateurs de données autorisés, sur instruction du client, via des API et selon les règles des systèmes de partage de données financières, contre compensation.

FIDA est un règlement distinct qui suit sa propre voie législative. La DSP3 et le règlement sur les services de paiement couvrent les services de paiement et maintiennent la gratuité de l'accès aux données des comptes de paiement. FIDA couvre les autres données financières et introduit une compensation. Les deux sont liés par leur intention et distincts en droit, et ils n'arriveront pas en même temps.

Aucune date d'application n'est fixée, car le règlement est toujours en trilogue et les trois institutions ont proposé des périodes de transition de 18 à 48 mois après l'entrée en vigueur. Au vu des positions publiées, une application vers 2028 ou 2029 est la prévision réaliste, et à l'automne 2026, aucune suite n'était programmée pour les négociations.