De la réglementation des nouveaux tiers de

De la réglementation des nouveaux tiers de paiement

Page 1 sur 5

Imprimé par [email protected]

Cette impression est à usage strictement personnel. Si vous souhaitez utiliser cet article à des fins collectives, merci de contacter Revue Banque. Accueil > De la réglementation des nouveaux tiers de paiement

Droit des moyens et services de paiement

De la réglementation des nouveaux tiers de paiement Gageons que 2015 sera l’année de « la régulation des nouveaux intervenants du marché des services de paiement », pour reprendre l’intitulé d’un article que vient de faire paraître l’ACPR. D’autant que la future DSP 2 nous promet d’étendre son champ d’application aux prestataires de services de paiement tiers (PSP tiers).

L'auteur

• Pierre Storrer • Avocat au Barreau de Paris • Kramer Levin Naftalis & Frankel LLP Pour en savoir plus • En bref... L’auteur invite les lecteurs à lui faire parvenir leurs réactions ou éléments d’actualité inédits : [email protected] propos de l’auteur n’engagent que celui-ci.

http://www.revue-banque.fr/print/chronique/reglementation-des-nouveaux-tiers-paiem... 05/03/2015

De la réglementation des nouveaux tiers de paiement

Page 2 sur 5

Revue de l'article Cet article est extrait de Revue Banque n°782

Entreprises sociales : vers un nouveau marché pour les banques Utilisateurs de services de paiement d’un côté, prestataires de services de paiement de l’autre : à ces deux catégories élémentaires s’ajoute désormais une troisième, dont on parle de plus en plus, celle des « tiers » de paiement (en anglais « third-party providers » – TTPs [1]), encore nommés « mandataires » ou facilitateurs de paiement [2], etc. Tiers de paiement qui, jusque-là considérés comme de simples « fournisseurs » (non réglementés) de paiement, pourraient être rattrapés par le droit des paiements, en qualité de PSP tiers. Les textes en vigueur (DSP, CMF) ignorent encore ces nouveaux tiers de paiement ; tout au plus prévoient-ils des règles relatives à ces « intermédiaires » que sont les démarcheurs, les IOBSP, les agents (de services de paiement) ou les distributeurs (de monnaie électronique). La proposition de deuxième directive concernant les services de paiement (DSP 2 [3]) s’est intéressée aux prestations tiers d’accès aux comptes de paiement, sous la forme d’initiation d’ordres de paiement ou d’agrégation de comptes). Quant à l’ACPR, elle développe aujourd’hui une « doctrine » sur l’activité d’encaissement de fonds pour le compte de tiers exercée par de nouveaux intervenants, de nouveaux intermédiaires aussi. Où l’on remarque que, signe des temps sans doute, la fameuse « désintermédiation » bancaire donne lieu aujourd’hui, en sens inverse (la nature a horreur du vide, quitte à risquer le trop-plein) à un mouvement de « ré-intermédiation », hétérogène (ré-intermédiation financière, commerciale ou technique), qu’illustrent nos nouveaux intermédiaires ou tiers de paiement [4]. I. L’encaissement de fonds pour le compte de tiers Il serait malvenu d’apprécier à nouveau les termes et conséquences de cette analyse (originale), n’y revenons pas [5]. Est en revanche d’un intérêt certain cette explication que nous donne l’ACPR, afin de dissiper tout « risque de malentendu » : « L’encaissement de fonds pour le compte de tiers désigne une activité et ne constitue pas en tant que telle une qualification juridique », de sorte que si « cette notion ne figure en effet ni dans le code monétaire et financier (CMF), ni dans la DSP », il n’en demeure pas moins que « l’analyse de cette activité au regard de ces textes conduit généralement à la qualification de fourniture de services de paiement mentionnés à l’article L. 314-1 du CMF ». L’encaissement de fonds pour le compte de tiers, si nous comprenons bien, participe davantage d’une qualification économique que juridique… même si elle nous conduit tout droit à la qualification de fourniture de services de paiement (reste à identifier lesquels). Or une telle fourniture, poursuit l’ACPR, sera retenue lorsque (i) il y a « encaissement de fonds », ce qui sera le cas « chaque fois que des fonds sont collectés ou réceptionnés sur un compte bancaire appartenant à l’auteur de la collecte » et (ii) les fonds sont encaissés « pour le compte de tiers », ce qui suppose que « l’auteur de la collecte ne reçoit pas des fonds pour lui-même, mais en qualité d’intermédiaire dans le but de les reverser à leur véritable destinataire ». Soit, plates-formes de crowdfunding ou places de marché [6] faisaient du paiement – même de façon accessoire [7] – sans le savoir ; mais elles le savent désormais et doivent se conformer à la réglementation en vigueur… ou presque en vigueur – on pense à l’exemption des agents commerciaux par l’article 3, b, de la DSP, redéfinie par la proposition de DSP 2. Mais comment le font-elles en pratique ? Le costume d’établissement de paiement ou d’établissement de monnaie électronique, même allégé, paraît bien trop grand (ou dépareillé) pour les « encaisseurs » de fonds. D’où le recours que l’on observe – sauf à faire valoir l’exemption de réseau ou éventail limité [8] – à un statut (d’)intermédiaire, tantôt d’agent (d’établissement de paiement), tantôt de distributeur (d’établissement de monnaie électronique), illustrant par-là, nous semble-t-il, un certain dévoiement du droit des paiements. Car ce n’est plus le PSP qui va chercher un agent

http://www.revue-banque.fr/print/chronique/reglementation-des-nouveaux-tiers-paiem... 05/03/2015

De la réglementation des nouveaux tiers de paiement

Page 3 sur 5

pour exercer, pour son compte, tels services de paiement, ou un distributeur pour mettre en circulation, le cas échéant pour rembourser, de la monnaie électronique. C’est au contraire la plate-forme de crowdfunding et la Place de marché qui vont s’abriter (se cacher ?) derrière un statut d’intermédiaire de paiement largement artificiel. Tout de même : s’il est vrai que nos intermédiaires encaissent des fonds pour le compte de tiers mais sur leur propre compte, pourquoi ne pas prévoir tout simplement de cantonner ceux-ci sur une sorte de compte séquestre, purement technique, ouvert auprès d’un PSP ? À suivre… II. L’accès aux comptes de paiement L’inclusion des PSP tiers dans le champ du droit des services de paiement est l’une des mesures phares de la proposition de DSP 2, présentée le 24 juillet 2013 et toujours en cours de discussion (on annonce son adoption prochaine). Ce n’est plus ici l’entrée en possession des fonds qui justifie la régulation [9], mais l’accès aux comptes, l’accès à des comptes tiers permettant notamment d’initier des paiements : « En particulier, les prestataires tiers ont évolué et proposent aux consommateurs et aux commerçants des services dits d’initiation de paiement, souvent sans entrer en possession des fonds à transférer. Ces services facilitent les paiements dans le cadre du commerce électronique en établissant une passerelle logicielle entre le site web du commerçant et la plateforme de banque en ligne du consommateur en vue d’initier des paiements par internet sur la base de virements et de prélèvements [10]. » La version initiale de la proposition donnait la définition suivante des PSP tiers : les PSP qui offrent les nouveaux services 7 de paiement, i.e. « les services fondés sur l’accès aux comptes de paiement fournis par un prestataire de services de paiement qui n’est pas le prestataire de services de paiement gestionnaire du compte, sous la forme de : (a) services d'initiation de paiement ; (b) services d'information sur les comptes [11] ». Dans son rapport 2014 sur la surveillance des moyens de paiement et des infrastructures des marchés financiers, venant de paraître, la Banque de France propose une illustration (voir Schéma). On peut observer que, dans le dernier état parvenu à notre connaissance de la proposition de DSP 2 (1er décembre 2014), la catégorie faîtière des services fondés sur l’« accès au compte » est supprimée pour laisser place aux services 7 (Payment initiation services) et 8 (Account information services), l’un et l’autre étant ainsi définis : « payment initiation service means a service to initiate a payment order at the request of the payment service user with respect to a payment account held at another payment service provider [12] » ; « account information service means an online service to provide consolidated information on one or more payment accounts held by the payment service user with one or more other payment service providers » (art. 4, 32 et 33). Quoi qu’il en soit, l’enjeu majeur de ces nouveaux services, spécialement celui des services d’information sur les comptes, sera la sécurité, la protection des données sur lesquels ils se fondent [14]. On remarque à cet égard qu’apparaît dans la dernière version de la proposition de DSP 2, la notion nouvelle de « données sensibles de paiement » : « “Sensitive payment data” means data, including personalised security credentials which allow control over the payment service user’s account or can be used to carry out fraud » (art. 4, 22c). Sensitive payment data déjà présentes dans les recommandations précitées de la Banque centrale européenne, qui les définissent ainsi : « Data which could be used to carry out fraud, excluding the name of the account owner and the account number, including data enabling a payment order to be initiated, data used for authentication, data used for ordering payment instruments or authentication tools to be sent to customers, as well as data, parameters and software which, if modified, may affect the legitimate party’s ability to verify payment transactions, authorise e-mandates or control the account, such as “black” and “white” lists, customer-defined limits, etc. » Reste à savoir si les PSP (anciennement) tiers obéiront au même régime, notamment d’agrément (capital initial, fonds propres, etc.), que les PSP « pleins ». La version initiale de la proposition de DSP 2 laissait entendre que « les services permettant seulement l’accès à des comptes de paiement, sans proposer de comptes, devraient être considérés comme comportant un risque moyen en ce qui concerne le capital initial » (cons. 23). Si bien qu’un capital initial minimum de 50 000 euros était prévu, entre les 20 000 euros exigés pour le service de transmission de fonds

http://www.revue-banque.fr/print/chronique/reglementation-des-nouveaux-tiers-paiem... 05/03/2015

De la réglementation des nouveaux tiers de paiement

Page 4 sur 5

et les 125 000 euros requis pour les services 1 à 5 (art. 6). Ces mêmes seuils sont repris dans le dernier état du texte de la proposition… sauf que le service 8 a manifestement été oublié. Que conclure, provisoirement, à l’issue de ces brèves observations ? Peut-être que se dessine peu à peu un droit du compte de paiement, un compte qui encaisse, un compte qui renseigne, un compte à partir duquel sont initiées des opérations de paiement. Achevé de rédiger le 15 février 2015. [1] On en profite pour corriger cette approximation répandue qui nomme « PSP » des acteurs qui ne sont que des prestataires « techniques » de « solutions » de paiement (Atos Wordline, Ingenico, Monext, etc.) et échappent ainsi au champ de la DSP (mais pas à certaines réglementations techniques, par exemple PCI DSS). [2] Les réseaux Visa et MasterCard connaissent ainsi la notion de « payment facilitators », parfois appelés « master-merchants ». [3] Cf. P. Storrer, « De la DME 2 à la DSP 2 : le nouvel horizon des paiements », Banque et Droit n° 152, nov.-déc. 2013, p. 8. [4] Dans un autre ordre d’idée, il y aurait encore à croiser nos rapides développements avec l’étude récente (sept. 2014) de la Banque des règlements internationaux, Non-banks in Retail Payments, qui opère une distinction entre Front-end Providers (p. ex. : établissements de paiement, de monnaie électronique, etc.), Back-end providers (p. ex. : services IT, antiblanchiment, etc.), Operators of retail payment infrastrucure (p. ex. : Visa, MasterCard, etc.) et End-to-end providers (p. ex. : PayPal, opérateurs de transmission de fonds, etc.). Voir à cet égard L. de Pellegars, « Shadow payment : quelle réglementation ? », Revue Banque n° 779-780, janv. 2015, p. 112. [5] Voir P. Storrer, « L’encaissement de fonds pour le compte de tiers vaut-il fourniture de services de paiement ? », Revue Banque n° 777, nov. 2014, p. 86. Adde, M. Roussille, «Marketplaces et services de paiement : jusqu’où ira l’impérialisme de l’ACPR ? », Rev. Dr. banc. et fin. nov.-déc. 2014, p. 3. [6] « Market places » dont le poids économique ne cesse d’augmenter. Ainsi, le Bilan du e-commerce en 2014, présenté par la Fevad le 27 janvier 2015, relève que le volume des ventes réalisées par les sites hébergés sur les places de marché a progressé de 53 % en un an, représentant 21 % du volume d’affaires total des sites considérés. [7] Dans son article, l’ACPR précise que le caractère accessoire de l’encaissement de fonds pour le compte de tiers n’empêche pas la qualification de fourniture de services de paiement. [8] Les chiffres parlent d’eux-mêmes : dans son Rapport 2014 sur la surveillance des moyens de paiement et des infrastructures des marchés financiers, la Banque de France révèle qu’ « entre le 1er janvier 2012 et le 31 décembre 2014, neuf établissements de paiement et établissements de monnaie électronique ont été agréés par l’Autorité de contrôle prudentiel et de résolution », cependant que « vingt-cinq sociétés ont bénéficié d’une exemption au statut d’’établissement de paiement ou de monnaie électronique ». [9] Comp. Rapp. CCSF 2012, p. 55, qui, à propos des « overlays payment service providers » (agrégateurs de donnée et mandataires de paiement) notait que, « dans la mesure où ces overlays ne collectent ni ne transfèrent de fonds du public, ils sont considérés comme de simples prestataires techniques intermédiaires entre le client et sa banque ». Adde, ECB, Final Recommendations for the Security of Payment Account Access Services Following the Public Information, mai 2014, p. 3: « Third-party providers offer so-called payment initiation services or account information services to payment service users, often without entering into the possession of the funds to be transferred. » [10] Prop. DSP 2, 24 juill. 2014, cons. 18.

http://www.revue-banque.fr/print/chronique/reglementation-des-nouveaux-tiers-paiem... 05/03/2015

De la réglementation des nouveaux tiers de paiement

Page 5 sur 5

[11] Comp. Rapp. CCSF 2013, p. 17, à propos des « agrégateurs » ou « overlays » : « Le terme recouvre deux services distincts, d’une part celui d’agrégateur de données bancaires, d’autre part celui de mandataire de paiement. L’agrégateur peut s’interposer dans la relation entre le client et ses banques en vue de compiler toutes les informations relatives à ses différents comptes pour faire un état général de son patrimoine à partir des éléments choisis par le client. Le mandataire, quant à lui, réalise les opérations de paiement pour le compte de son client, sans que la banque en soit informée, en disposant des identifiants et codes secrets d’accès au compte de son mandant. » [12] Comp. ECB, précit., p. 24: « Services to initiate payment transactions via the account owner’s payment account. The implementation of this service can differ based on whether or not a payee uses the service and is actively involved in the process of preparing the payment initiation and whether or not, for the purpose of authentication, the account owner transmits his/her personalised security features to the account-servicing PSP via the TPP. » [13] Comp. ECB, précit., p. 23: « Services that collect information on different (payment) accounts held by one account owner with one or several account-servicing PSPs and present the consolidated information to the account owner in a user-friendly way. » [14] Prop. DSP 2, version 1er décembre 2014, cons. 18a : « These services sould also be covered by this Directive in order to provide consumers with adequate protection for their payment and account data as well as legal certainty about their status. »

Publié sur Revue Banque (http://www.revue-banque.fr) Lien: http://www.revue-banque.fr/chronique/reglementation-des-nouveaux-tiers-paiement

http://www.revue-banque.fr/print/chronique/reglementation-des-nouveaux-tiers-paiem... 05/03/2015