Évolutions du droit de la régulation bancaire découlant de la DSP 2

L'ordonnance n° 2009-866 du 15 juillet 2009 relative aux conditions régissant la fourniture de services de paiement était venue transposer en droit français la directive 2007/64/CE du 13 novembre 2007 concernant les services de paiement dans le marché intérieur, dite « DSP 1 ». Les évolutions en découlant avaient été importantes : création des établissements de paiement, encadrement des relations contractuelles entre les clients et les prestataires de services de paiement et instauration d'un cadre général applicable à toutes les opérations de paiement. Mais ce droit devait encore évoluer. En effet, un nouveau texte a été adopté par le législateur européen en la matière : la directive (UE) 2015/2366 du Parlement et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, dite « DSP 2 » [1] . Ce nouveau cadre législatif a cherché à prendre en compte les évolutions technologiques et les nouveaux usages apparus sur le marché des paiements depuis l’adoption de la DSP 1 en 2007.

Or cette directive vient d'être transposée dans notre droit par l'ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur [2] . Plusieurs évolutions intéressant le droit de la régulation bancaire, et plus particulièrement l'Autorité de contrôle prudentiel et de résolution (ACPR), sont observées [3] . L'entrée en vigueur de ces « nouveautés » est prévue pour le 13 janvier 2018.

I. Extension du champ de compétence de l'ACPR

L'article L. 612-2 du Code monétaire et financier, qui concerne les professionnels sur lesquels le superviseur peut exercer sa compétence, est étendu aux « prestataires de services d'information sur les comptes ». Cette évolution ne saurait surprendre. Nous sommes ici en présence d'une nouvelle catégorie de prestataire de services de paiement expressément envisagée par l'ordonnance étudiée. Il est alors logique que l'ACPR puisse exercer ses compétences à son égard.

Mais de quoi s'agit-il ? Les services d'information sur les comptes sont des services en ligne « consistant à fournir des informations consolidées, concernant un ou plusieurs comptes de paiement détenus par l'utilisateur de services de paiement, soit auprès d'un autre prestataire de services de paiement, soit auprès de plus d'un prestataire de services de paiement » [4] . Ils permettent ainsi à l'utilisateur de services de paiement d'avoir une vue d'ensemble de sa situation financière à tout moment et de gérer au mieux ses finances personnelles. Ces services, qui ont pour caractéristique d'être fournis à partir de comptes gérés par d'autres prestataires de services de paiement, principalement les établissements de crédit, peuvent être assurés par une nouvelle catégorie de prestataires [5] : les « prestataires de services d'information sur les comptes » mentionnés précédemment, qui sont traités comme des établissements de paiement.

Notons qu'une nouvelle sous-section vient régir l'enregistrement de ces prestataires de services d'information sur les comptes [6] . Aucun agrément n'est en principe requis ; les intéressés doivent simplement adresser à l'ACPR une demande d'enregistrement accompagnée des informations définies par un arrêté du 31 août 2017 [7] . À défaut de notification du superviseur, le prestataire de services d'information sur les comptes sera réputé dûment enregistré. En revanche, si le même prestataire souhaite fournir d'autres services de paiement mentionnés au II de l'article L. 314-1, il devra déposer une demande d'agrément auprès de l'ACPR, en application de l'article L. 522-6.

II. Renforcement du pouvoir de contrôle de l'ACPR

Une autre modification de l'article L. 612-2 est à observer à son alinéa 21. Aux fins du contrôle des établissements de paiement, des prestataires de services d'information sur les comptes et des établissements de monnaie électronique, l'Autorité pourra désormais « solliciter l'avis de la Banque de France, au titre des missions de surveillance qui lui sont conférées par le I de l'article L. 141-4 et de surveillance de la sécurité de l'accès aux comptes de paiement qui lui sont conférées par l'article L. 521-8 ». Il est alors précisé que la Banque de France pourra porter à la connaissance de l'autorité toute information.

Par ailleurs, le chapitre III du titre I du Livre VI du code relatif aux « Dispositions spécifiques aux établissements de crédit, société de financement, entreprises d'investissement, établissement de monnaie électronique et établissements de paiement [8] », et plus particulièrement sa section III, relative au « régime de contrôle spécifique [9] », fait l'objet de modifications par l'article 20 de l'ordonnance du 9 août 2017. Les pouvoirs de l'État membre d'accueil seront ainsi renforcés en matière de supervision des activités transfrontalières. Plus concrètement, est désormais prévue la désignation d'un point de contact central pour les établissements de paiement et de monnaie électronique ayant recours à des agents en libre établissement et remplissant les conditions qui seront fixées par un règlement délégué de l'Autorité bancaire européenne (ABE). Ce point de contact central aura vocation à constituer l'interlocuteur de l'ACPR pour la surveillance des réseaux d'agents exerçant leur activité sur le territoire national, lorsque le siège de l'établissement dont ils relèvent se trouvera sur le territoire d'un autre État membre de l'Union européenne [10] .

En outre, il sera permis à l'ACPR de prendre des mesures conservatoires en cas d'urgence à l'égard des établissements de paiement ou de monnaie électronique agréés dans un autre État membre de l'Union européenne et exerçant leur activité en France, lorsqu'une action immédiate sera nécessaire pour contrer une « menace grave pesant sur les intérêts collectifs des utilisateurs de services de paiement résidant en France » [11] . L'ACPR informera préalablement ou, si la situation d'urgence ne le permet pas, sans délai, les autorités compétentes de l'État d'origine, la Commission européenne et l'ABE des mesures conservatoires prises ici.

III. Élargissement de l'information de l'ACPR

Dans un souci de renforcement des exigences de sécurité pour les paiements électroniques et la protection des données financières des consommateurs, l'information du superviseur bancaire se retrouve renforcée par l'ordonnance du 9 août 2017.

Ainsi, selon un nouvel article L. 521-10, les prestataires de services de paiement devront informer sans retard injustifié l'ACPR de tout incident opérationnel majeur. Les mêmes prestataires devront encore informer la Banque de France de tout incident de sécurité majeur. Dans ce second cas, ce sera la Banque de France qui informera, si elle l'estime nécessaire, l'ACPR. Les modalités de ces notifications ont d'ores et déjà été précisées par un arrêté du 31 août 2017 [12] .

Notons que, dès réception d'une telle notification, l'ACPR ou la Banque de France devra communiquer, sans retard injustifié, les détails importants de l'incident à l'ABE et la Banque centrale européenne, et, après avoir évalué la pertinence de l'incident pour d'autres autorités nationales concernées, informer celles-ci en conséquence [13] .