⚖️ La régulation du paiement

Qui régule quoi

La régulation du paiement européen se répartit sur trois étages institutionnels. L'Union européenne fixe le cadre, par ses directives et ses règlements ainsi que par les standards techniques de l'EBA. Les autorités nationales agréent et supervisent les acteurs, tandis que les banques centrales surveillent les infrastructures et les instruments. La France y ajoute une instance d'observation qui lui est propre, l'OSMP.

De la DSP1 à la DSP2 : l'ouverture du marché

La DSP1 (directive 2007/64/CE, transposée en France en 2009) fonde le marché unique des paiements. Elle crée le statut d'établissement de paiement, qui met fin au monopole bancaire sur les services de paiement. Elle pose également le socle juridique du SEPA, avec des règles communes d'exécution, de délais et de responsabilité. Ce statut a permis l'éclosion des premiers PSP non bancaires européens.

La DSP2 (directive 2015/2366, applicable depuis le 13 janvier 2018) élargit ce cadre à l'accès aux comptes bancaires eux-mêmes. Deux nouveaux métiers régulés y apparaissent, l'initiation de paiement (PISP) et l'information sur les comptes (AISP). Les banques doivent servir ces deux métiers au moyen d'API dédiées, sans qu'un contrat préalable soit exigé du prestataire tiers. L'open banking réglementaire européen naît de cette obligation.

• Authentification forte (SCA) obligatoire pour l'accès aux comptes et les paiements électroniques (détaillée à la section suivante).
• Encadrement des frais : interdiction de la surfacturation des paiements par carte consommateur (art. 62), partage des frais SHA par défaut dans l'UE.
• Responsabilité renforcée : franchise porteur ramenée de 150 € à 50 €, remboursement des opérations non autorisées à J+1, renversement de la charge de la preuve vers le PSP.
• Restriction de l'exemption d'agent commercial, l'onde de choc réglementaire des marketplaces (cf. topic accepteur-acquéreur-PSP).
• Passeport renforcé et registre EBA : supervision coordonnée des acteurs paneuropéens.

SCA : l'authentification forte du client

La SCA (Strong Customer Authentication) est l'obligation de combiner au moins deux facteurs indépendants parmi trois catégories : connaissance (code, mot de passe), possession (téléphone enrôlé, carte), inhérence (biométrie). Les RTS de l'EBA qui la précisent s'appliquent depuis le 14 septembre 2019. Le plan de migration du e-commerce français s'est achevé en 2021. Le paiement e-commerce français repose en pratique sur 3-D Secure v2, la validation se faisant dans l'application bancaire par biométrie, ou par un code reçu associé à un mot de passe.

La fraude s'est déplacée sur 2023-2026 vers la manipulation du client lui-même. Le spoofing téléphonique de faux conseillers bancaires, la fraude au président et les faux liens de livraison relèvent de cette catégorie, dans laquelle la victime authentifie elle-même l'opération contestée. Le paquet DSP3/RSP prévoit d'y répondre : remboursement en cas d'usurpation d'identité du personnel bancaire, partage de données de fraude entre PSP, obligations des opérateurs télécoms et des plateformes.

Le règlement Interchange (IFR, 2015)

Le règlement (UE) 2015/751 du 29 avril 2015 (Interchange Fee Regulation) encadre directement le prix de l'interchange dans le modèle à quatre coins. Fixé collectivement avant ce texte, l'interchange fonctionnait comme un prix plancher répercuté aux commerçants. Le législateur l'a plafonné pour les cartes de particuliers : 0,2 % du montant pour les cartes de débit, 0,3 % pour les cartes de crédit. Ces plafonds s'appliquent depuis le 9 décembre 2015.

• Séparation scheme / processing (art. 7) : les schemes doivent séparer comptablement et organisationnellement la gestion de la marque et le traitement des transactions, pour ouvrir le processing à la concurrence.
• Choix de la marque sur carte cobadgée (art. 8) : ni le scheme ni l'émetteur ne peuvent imposer le routage ; commerçant et porteur ont chacun leur mot à dire, clef de voûte de la coexistence CB/Visa/Mastercard.
• Assouplissement de la règle « honor all cards » (art. 10) : un commerçant peut accepter les cartes de débit d'une marque sans être contraint d'accepter ses cartes de crédit ou commerciales (l'acceptation reste liée au sein d'une même catégorie).
• Transparence (art. 9 et 12) : facturation détaillée par catégorie de cartes (unblending) sur demande du commerçant, information transaction par transaction.

Le règlement virements instantanés (2024)

Le règlement (UE) 2024/886 du 13 mars 2024 (Instant Payments Regulation) est entré en vigueur le 8 avril 2024. Il fait du virement instantané une obligation légale pour tous les PSP de l'UE offrant le virement classique, alors qu'il ne constituait jusque-là qu'une option commerciale. Le SCT Inst, schéma EPC lancé en 2017, met les fonds à disposition en moins de 10 secondes, 24/7/365. Le texte vise deux freins historiques : la disponibilité, toutes les banques n'étant pas joignables, et le prix, souvent de ~1 € par virement instantané en France avant ce texte.

POST /verification-of-payee HTTP/1.1
Host: api.banque-beneficiaire.example

{
  "iban": "FR7630004000050000123456789",
  "name": "SARL DUPONT ET FILS"          <- nom saisi par le payeur
}

--> 200 OK
{
  "result": "CLOSE_MATCH",               <- concordance approchante
  "matched_name": "DUPONT & FILS SARL"   <- nom reel, affiche au payeur
}
// MATCH      : le virement part sans friction
// CLOSE_MATCH: le payeur confirme en connaissance de cause
// NO_MATCH   : alerte forte ; s'il force, sa responsabilite s'alourdit

Les conséquences de cette obligation se propagent à tout l'écosystème. Le virement instantané, devenu universel et facturé au plus comme un virement classique, constitue un rail concurrent de la carte pour le e-commerce, et Wero repose sur cette hypothèse. Il sert aussi de support à la demande de paiement (Request-to-Pay) et de socle probable à l'euro numérique en préparation à la BCE. Pour les trésoriers d'entreprise, il modifie le cash management, avec des paiements de salaires au fil de l'eau et des remboursements immédiats.

DSP3/RSP et l'horizon 2026-2028

La Commission a présenté le 28 juin 2023 le paquet de révision de la DSP2. Il est bâti autour d'une directive DSP3, recentrée sur l'agrément et la supervision des établissements. Il comprend aussi un règlement RSP (règlement sur les services de paiement) directement applicable, qui reprend l'essentiel des règles de conduite : SCA, droits des utilisateurs, open banking. Le paquet fusionne le régime de la monnaie électronique (DME2) dans celui des services de paiement, le statut d'EME ayant vocation à être absorbé.

• Lutte contre la fraude par manipulation : remboursement du client victime d'usurpation de l'identité de sa banque (spoofing), sous conditions ; partage d'informations de fraude entre PSP ; extension de la VoP.
• Open banking renforcé : exigences de performance et de disponibilité des API, tableau de bord des consentements pour l'utilisateur, interdiction des obstacles (frictions) injustifiés, sans standard technique unique imposé, mais avec des exigences de résultat.
• Accès des EP/EME aux systèmes de paiement et aux comptes de banque centrale : réponse au risque de dérisquage bancaire des fintechs (accès aux infrastructures type TARGET encadré).
• SCA ajustée : clarifications sur les exemptions, l'externalisation de l'authentification (délégation aux wallets), l'accessibilité pour les utilisateurs sans smartphone.
• En parallèle : règlement FIDA (accès aux données financières au-delà des comptes de paiement, comme l'épargne, l'assurance ou le crédit) et entrée en application de DORA (résilience opérationnelle numérique, applicable depuis janvier 2025) et de MiCA pour les crypto-actifs, y compris stablecoins de paiement.