Un parc de cartes, deux trajectoires opposées
Le parc de cartes indien réunit les cartes de débit et les cartes de crédit en circulation, deux catégories dont les trajectoires ont divergé depuis 2021. L'Inde compte environ 103,43 crore de cartes de débit et 11,58 crore de cartes de crédit en circulation en décembre 2025, selon le Payment Systems Report de la Reserve Bank of India. Le parc est donc massivement un parc de débit, alors que les volumes de transactions évoluent en sens inverse. Entre 2021 et 2025, les transactions par carte de débit sont passées de 408,7 crore à 133,6 crore, soit un recul annuel moyen de 24,4 %. Sur la même période, les transactions par carte de crédit ont progressé de 2,16 milliards à 5,7 milliards (RBI, Payment Systems Report, décembre 2025). Le nombre de cartes émises et le nombre de paiements effectués mesurent donc deux grandeurs distinctes, et dimensionner un marché indien sur la taille du parc revient à compter des supports que leurs porteurs n'utilisent plus pour payer.
| Carte de débit | Carte de crédit | |
|---|---|---|
| Volume | 408 crore → 133 crore de transactions | 2,16 Md → 5,7 Md de transactions |
| Valeur | ₹7,4 lakh crore → ₹4,5 lakh crore | ₹8,9 lakh crore → ₹23,2 lakh crore |
| Tendance annuelle | −24,4 % par an en volume | +27 % par an environ en valeur |
| Cause | Substitution intégrale par UPI, gratuit pour le porteur et pour le commerçant | Le crédit n'a pas d'équivalent sur UPI, sauf par RuPay |
| Usage résiduel | Retrait au distributeur, accès au compte, enrôlement de mandat | Paiement en ligne, gros paniers, échéanciers (EMI) |
Deux QR codes interopérables coexistent sur le territoire. UPI QR porte le paiement de compte à compte, tandis que Bharat QR, adossé aux rails carte, porte le paiement carte scanné. La RBI a interdit en octobre 2020 le lancement de tout nouveau QR propriétaire par un opérateur de système de paiement. Elle a confirmé que ces deux standards continueraient seuls. L'acceptation par QR code se limite donc à deux options pour le commerçant, un rail de compte à compte (A2A) gratuit et un rail carte facturé.
RuPay : un scheme domestique et une part conquise par le crédit
RuPay est le scheme carte domestique indien, lancé en 2012 par la National Payments Corporation of India (NPCI), entité à but non lucratif détenue par les banques et supervisée par la RBI. Plus de 760 millions de cartes RuPay tous produits confondus avaient été émises selon la NPCI en 2024. Cette base est d'abord héritée des politiques d'inclusion bancaire. Les comptes ouverts sous le programme Pradhan Mantri Jan Dhan Yojana ont été équipés en RuPay débit par défaut. Ces cartes ne produisent presque plus de paiements, à l'image de l'ensemble du parc de débit décrit plus haut.
La progression de RuPay porte désormais sur le crédit, et sur une fonction réservée au scheme domestique. RuPay Credit Card on UPI rattache une carte de crédit RuPay à un identifiant UPI. Le porteur scanne le QR du commerçant, s'authentifie par son code UPI, et le paiement est débité sur la ligne de crédit. Le commerçant encaisse ainsi du crédit sans terminal, sur un rail où aucun équivalent Visa ou Mastercard n'existe. La NPCI indiquait en 2025 que 16 % des dépenses par carte passaient par RuPay, dont près de la moitié en crédit sur UPI. La presse indienne situait la part de RuPay sur le marché de la carte de crédit autour de 18 % en octobre 2025, ce chiffre n'ayant aucun caractère officiel.
- National Common Mobility Card (NCMC), depuis 2019 : carte transport ouverte et interopérable entre réseaux urbains, adossée à RuPay, avec un porte-monnaie hors ligne embarqué sur la puce.
- National Electronic Toll Collection (NETC) / FASTag, depuis 2016 : péage RFID interopérable exploité par la NPCI, obligatoire sur les autoroutes nationales, adossé à des instruments prépayés.
- National Financial Switch (NFS), transféré de l'IDRBT à la NPCI en 2009 : le switch interbancaire du parc de distributeurs, invisible dans les analyses de marché et pourtant seul garant de l'interopérabilité du retrait.
- Bharat Connect (ex-Bharat Bill Payment System, 2017), opéré par NPCI Bharat BillPay Ltd : rail de facturation interopérable, où un facturier se raccorde une fois et devient payable depuis n'importe quelle application.
Le choix du réseau : la version indienne de l'ouverture
Le choix du réseau désigne la faculté, pour le titulaire d'une carte, de retenir le réseau de cartes qui portera celle-ci, à son émission puis à son renouvellement. Les émetteurs indiens signaient traditionnellement des accords d'exclusivité avec un réseau, portefeuille par portefeuille. La RBI y a mis fin par une circulaire du 6 mars 2024, applicable depuis le 6 septembre 2024, après un projet soumis à consultation le 5 juillet 2023. Le texte interdit les clauses qui empêchent un émetteur de recourir à d'autres réseaux, et lui impose d'offrir au client le choix du réseau à l'émission puis au renouvellement. Les émetteurs détenant 10 lakh cartes de crédit actives ou moins sont hors du champ.
Cinq réseaux carte sont autorisés à opérer en Inde et cités par la RBI. Ce sont American Express Banking Corp., Diners Club International Ltd, Mastercard Asia/Pacific Pte Ltd, National Payments Corporation of India – RuPay et Visa Worldwide Pte Ltd. Un émetteur au-dessus du seuil doit présenter au moins deux d'entre eux à son client. Le client retient un réseau une seule fois, la carte ne portant ensuite qu'une seule application de paiement.
| Inde, circulaire RBI du 6 mars 2024 | Union européenne, article 8 du règlement (UE) 2015/751 | |
|---|---|---|
| Objet régulé | Le contrat entre l'émetteur et le réseau | Le support : une carte porte deux applications de paiement |
| Ce qui est interdit | Les accords d'exclusivité émetteur-réseau | Empêcher le co-badgeage et bloquer le choix au point de vente |
| Ce que choisit le porteur | Un réseau, à l'émission puis au renouvellement | L'application utilisée, transaction par transaction |
| Champ d'application | Émetteurs de plus de 10 lakh cartes de crédit actives | Tous les schemes et émetteurs de l'Espace économique européen |
| Effet sur le routage | Aucun routage dynamique : le réseau est figé à l'émission | Routage possible en magasin et en ligne selon le choix exprimé |
| Conséquence pour l'acquéreur | Le mix de marques se pilote à l'émission, pas à l'acceptation | Le mix de marques se pilote au paramétrage de la page de paiement |
Le MDR nul sur le débit RuPay et ce qu'il détruit
La commission commerçant, ou MDR pour merchant discount rate, désigne le prélèvement supporté par le commerçant sur chaque encaissement par carte. Depuis le 1er janvier 2020, en application de la section 269SU introduite par la loi de finances de 2019, cette commission est réglementairement nulle sur les cartes de débit RuPay et sur BHIM-UPI. La règle interdit toute facturation au commerçant, au lieu d'en plafonner le niveau. L'interchange disparaît avec la commission, ce qui prive l'émission de débit RuPay de tout modèle économique. Celle-ci ne subsiste que par contrainte réglementaire et par incitation publique.
| Instrument présenté | Coût pour le commerçant | Qui perçoit |
|---|---|---|
| Carte de débit RuPay | Nul, interdit par la loi depuis le 1er janvier 2020 | Personne : l'interchange est supprimé |
| UPI de compte à compte | Nul, même régime | Personne : le coût est porté par les banques et par l'État |
| Carte de débit Visa ou Mastercard | MDR négocié, régime de droit commun | Émetteur, réseau, acquéreur |
| Wallet prépayé (PPI) présenté sur UPI | Interchange de 1,1 % au-delà de ₹2 000, nul en deçà | Émetteur du wallet, depuis le 1er avril 2023 (circulaire NPCI) |
| Carte de crédit RuPay liée à UPI | Interchange applicable au-delà de ₹2 000, nul en deçà, barème NPCI | Chaîne carte classique (seul crédit scannable en QR) |
| Carte de crédit Visa ou Mastercard | MDR négocié | Chaîne carte classique |
La distorsion est explicite et voulue, la réglementation traitant différemment deux cartes de débit selon le scheme qui les porte. Deux cartes présentées au même commerçant n'ont pas le même coût d'acceptation, l'une gratuite par la loi, l'autre facturée au prix du marché. Aucun autre grand marché n'a mis son scheme national à zéro tout en laissant les réseaux internationaux à tarif libre. Le Brésil plafonne l'interchange débit sans distinguer selon le scheme, et l'Espace économique européen plafonne à 0,2 % pour tous les émetteurs. Ces deux plafonds valent pour l'ensemble des schemes, là où l'Inde a choisi de réserver la gratuité à son seul scheme domestique.
La soutenabilité de ce régime fait l'objet d'un débat public en Inde. La Payments Council of India demande le rétablissement d'un MDR de 0,3 % sur UPI pour les seuls grands commerçants, avec un seuil de chiffre d'affaires évoqué autour de ₹40 lakh. La commission parlementaire permanente des Finances a recommandé, en mars-avril 2026, de rétablir une commission pour les grands commerçants, jugeant le modèle actuel financièrement intenable. Le ministère des Finances a démenti tout projet arrêté. Aucune décision n'est intervenue à ce jour.
La tokenisation obligatoire et la fin du stockage du PAN
La tokenisation d'une carte consiste à remplacer son numéro par un identifiant de substitution, le jeton, dont la portée est restreinte à un périmètre d'emploi déterminé. Depuis le 1er octobre 2022, un commerçant indien, un payment aggregator et un payment gateway n'ont plus le droit de conserver le numéro de carte, le cryptogramme visuel ni la date d'expiration. La donnée reste chez l'émetteur et chez le réseau. Le commerçant ne manipule qu'un jeton, propre au couple carte-commerçant. Cette règle constitue une interdiction de stockage opposable, distincte de PCI DSS qui continue de s'appliquer par-dessus.
| Acteur | Numéro de carte (PAN) | CVV / expiration | Jeton | 4 derniers chiffres + émetteur |
|---|---|---|---|---|
| Commerçant | Interdit | Interdit | Autorisé | Autorisé (suivi et rapprochement) |
| Payment aggregator / payment gateway | Interdit | Interdit | Autorisé | Autorisé |
| Acquéreur | Selon son rôle dans la chaîne, sous contrainte réseau | Interdit | Autorisé | Autorisé |
| Token Service Provider (réseau, NPCI) | Autorisé | Selon les règles du réseau | Émet et gère | – |
| Émetteur | Autorisé | Autorisé | Reçoit le PAN dé-tokenisé | – |
La circulaire du 20 décembre 2023 a ajouté un second point d'entrée à la création des jetons. Le porteur peut désormais les générer depuis l'application ou l'espace en ligne de sa banque, en sélectionnant plusieurs commerçants d'un coup, avec une AFA mutualisée. Le jeton apparaît ensuite sur la page de paiement du commerçant concerné. Une part des jetons rattachés à un marchand est donc créée en dehors de son propre parcours de paiement. Le taux de cartes tokenisées qu'il mesure recouvre alors deux phénomènes, l'ergonomie de son tunnel et l'enrôlement conduit par les banques.
Les mandats récurrents : e-NACH, UPI AutoPay, cadre 2026
Un mandat récurrent est l'autorisation donnée par un payeur à un créancier de prélever son compte à échéances répétées. Un abonnement, une échéance de crédit, une prime d'assurance ou un plan d'investissement programmé s'exécutent en Inde sur deux familles de mandats. NACH, opéré par la NPCI, est le rail de compensation de masse des prélèvements récurrents. Sa version dématérialisée, l'e-NACH, enregistre le mandat en ligne par Aadhaar, par banque en ligne ou par carte de débit. UPI AutoPay remplit la même fonction sur le rail UPI, le mandat étant adossé à l'identifiant UPI du payeur. Le choix entre les deux rails détermine le taux d'échec, le délai de recouvrement et le coût du recyclage.
| e-NACH (rail NACH) | UPI AutoPay (rail UPI) | |
|---|---|---|
| Adressage du payeur | Compte bancaire : numéro et code IFSC | Identifiant UPI (VPA) |
| Enrôlement | Aadhaar, banque en ligne ou carte de débit (parcours long) | Dans l'application UPI, en quelques secondes |
| Délai de mise en service | Validation du mandat par la banque du payeur, en jours | Immédiat |
| Exécution | Compensation par lots, règlement net différé | Débit sur le rail instantané |
| Terrain naturel | Montants élevés, EMI, primes, SIP, versements sociaux via APBS | Abonnements grand public, petits montants récurrents |
| Échec de prélèvement | Rejet traité dans le cycle NACH, relance à programmer | Rejet immédiat, relance possible le jour même |
| Rôle de la carte | La carte de débit ne sert qu'à authentifier l'enrôlement | Aucun, la carte n'intervient pas |
Le cadre juridique a été réécrit le 21 avril 2026 par le Digital Payments – E-mandate Framework, 2026 (circulaire RBI/CO.DPSS.POLC.No.S56/02.14.003/2026-27). Le texte, qui abroge et consolide les circulaires accumulées depuis 2019, s'applique de façon identique aux cartes, à UPI et aux instruments prépayés, pour les transactions récurrentes domestiques comme transfrontalières. Son entrée en vigueur a été immédiate.
- La première transaction d'un mandat exige toujours une authentification à facteur additionnel. Sans exception.
- Au-delà, l'AFA n'est pas requise jusqu'à ₹15 000 par transaction. Au-dessus, elle redevient obligatoire au moment du débit.
- Seuil porté à ₹1 lakh par transaction pour trois catégories : primes d'assurance, souscriptions de fonds communs de placement, règlements de relevés de carte de crédit.
- Pré-notification au moins 24 heures avant chaque débit, portant le nom du bénéficiaire, le montant, la date et l'heure prévues, la référence du mandat et le motif.
- Faculté de refus transaction par transaction et de révocation du mandat, la révocation étant validée par authentification forte.
- Interdiction de facturer au client le service d'e-mandat, et notification obligatoire après le débit, portant les voies de réclamation.
- Dispositif de traitement des litiges à mettre en place par l'entité qui collecte le mandat.
La localisation des données de paiement
La localisation des données de paiement désigne l'obligation de conserver ces données sur le territoire national. La circulaire DPSS.CO.OD n° 2785/06.08.005/2017-2018 du 6 avril 2018 impose à tous les opérateurs de systèmes de paiement de stocker uniquement en Inde l'intégralité des données relatives à leurs systèmes. La justification avancée par la RBI est la supervision, l'autorité exigeant un accès sans entrave qui ne dépende d'aucune juridiction étrangère. La conformité devait être déclarée au 15 octobre 2018. Le texte est bref, et sa portée est totale, puisqu'elle couvre toute la chaîne du paiement, des coordonnées du client aux informations d'authentification.
- Périmètre des données : coordonnées du client, détails du paiement, données de la transaction, informations d'authentification, soit l'ensemble de la chaîne, pas seulement le numéro de carte.
- Stockage exclusif : la donnée réside en Inde. Un miroir à l'étranger ne satisfait pas l'obligation, puisque c'est le stockage hors d'Inde qui est visé.
- Transactions transfrontalières : la jambe étrangère peut être conservée à l'étranger, et une copie du volet domestique y est tolérée.
- Traitement à l'étranger : un traitement hors d'Inde reste possible, à condition que la donnée soit rapatriée puis effacée des systèmes étrangers dans le délai fixé.
- Preuve de conformité : audit par un auditeur agréé du CERT-In et attestation transmise à la RBI. La conformité se démontre par un rapport, pas par une déclaration.
Un second régime, de portée générale, s'est ajouté depuis à cette obligation sectorielle. Le Digital Personal Data Protection Act de 2023 a été rendu applicable par les Digital Personal Data Protection Rules, 2025. Elles ont été notifiées le 13 novembre 2025 et publiées au Journal officiel le lendemain. Les obligations principales s'appliquent dix-huit mois plus tard, soit le 13 mai 2027. La logique du DPDP est l'inverse de celle de la RBI, le transfert hors d'Inde étant autorisé par défaut, sauf pays ou entités désignés par le gouvernement. Une restriction reste possible pour certaines catégories de données détenues par les Significant Data Fiduciaries.
PA et PG : qui a le droit d'encaisser en Inde
L'encaissement pour compte de tiers est une activité agréée. Les Guidelines on Regulation of Payment Aggregators and Payment Gateways du 17 mars 2020 ont posé le principe. Le payment aggregator (PA) touche les fonds des commerçants et se trouve, à ce titre, régulé et autorisé par la RBI. Le payment gateway (PG), qui ne fait que router des messages, reste un prestataire technique, soumis à des recommandations de sécurité. Un texte unique a consolidé l'ensemble le 15 septembre 2025, les Reserve Bank of India (Regulation of Payment Aggregators) Directions, 2025, qui remplacent les cadres de 2020, 2021 et 2023.
| Catégorie | Périmètre | Points de vigilance |
|---|---|---|
| PA-O (en ligne) | Encaissement à distance pour compte de commerçants | Régime historique de 2020 ; escrow obligatoire, interdiction de stocker le PAN |
| PA-P (proximité) | Encaissement en face à face, instrument et terminal physiquement proches | Catégorie créée par les Directions de 2025 ; les acteurs qui opéraient comme prestataires techniques basculent sous agrément |
| PA-CB (transfrontalier) | Import, export, ou les deux (PA-CB-I, PA-CB-E, PA-CB-E&I) | Enregistrement préalable auprès de la FIU-IND ; plafond de ₹25 lakh par unité de bien ou de service |
- Fonds propres : ₹15 crore de situation nette au dépôt de la demande, ₹25 crore dans les trois ans suivant l'autorisation, puis en permanence.
- Compte de cantonnement : les fonds collectés transitent par un compte escrow ouvert auprès d'une scheduled commercial bank ; les fonds des commerçants ne se mélangent jamais aux fonds propres de l'agrégateur.
- Calendrier PA-P : les acteurs de proximité devaient déposer leur demande avant le 31 décembre 2025 ; les non-déposants devaient cesser l'activité au 28 février 2026.
- Calendrier PA-CB : situation nette de ₹25 crore exigée au 31 mars 2026 pour les acteurs en place, après l'enregistrement FIU-IND.
- Gouvernance : critère fit and proper sur les dirigeants et les actionnaires ; toute prise de contrôle ou changement de direction est déclaré à la RBI dans les quinze jours.
- Diligence commerçant : contrôle d'identité des marchands enrôlés, surveillance du site de vente et des flux, dispositif de gestion des réclamations.
Le traitement des contestations diffère en Inde selon le rail emprunté par le paiement. La carte conserve son mécanisme de rétrofacturation, régi par les règles du réseau retenu à l'émission. UPI ne comporte pas de chargeback au sens carte. La contestation passe par une escalade auprès de la banque, puis devant l'ombudsman de la RBI. Cette voie ne comporte pas de transfert de responsabilité vers le commerçant comparable à celui d'un réseau carte. Un marchand qui encaisse sur les deux rails gère donc deux régimes de litige distincts, avec deux horloges et deux interlocuteurs.