Les impacts juridiques de la DSP2 sur le RGPD

Le RGPD engage particulièrement les banques, qui collectent des données personnelles financières particulièrement exposées. Il constitue ainsi un renforcement du cadre existant pour les établissements bancaires au sein desquels les avocats ont un rôle important à jouer en matière de conformité.

La Directive sur les services de paiement 2 (DSP 2)[2] a été transposée en droit français par une ordonnance du 9 août 2017[3] et s’applique depuis le 13 janvier 2018. Ainsi, elle actualise le cadre réglementaire des paiements en Europe en permettant l’émergence de « services de paiement numériques novateurs, sûrs et conviviaux ».

Le règlement général européen sur la protection des données (RGPD) (règlement (UE) 2016/679 du 27 avril 2016), applicable depuis le 25 mai 2018, renforce et unifie la protection des données pour les individus au sein de l’Union européenne.

L’objectif est de renforcer la transparence et la sécurité en matière de données personnelles.

Ainsi, la notion de donnée personnelle est définie comme « toute information se rapportant à une personne physique identifiée ou identifiable », c’est-à-dire une personne qui « peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale »[1].

Les obligations issues de DSP2 

La lutte contre les cyberattaques et la fraude occupe une place centrale dans la directive.

Le texte vise à protéger de manière adéquate les utilisateurs contre ces risques. Le considérant n° 95 de la Directive énonce que « la sécurité des paiements électroniques est fondamentale pour garantir la protection des utilisateurs (…) Tous les services de paiement proposés par voie électronique devraient être sécurisés, grâce à des technologies permettant de garantir une authentification sûre de l’utilisateur et de réduire, dans toute la mesure du possible, les risques de fraude ».

Certaines mesures de sécurité ne sont pas entrées en application immédiatement : la directive les rend applicables dix-huit mois après l’entrée en vigueur des normes techniques de réglementation (règlement délégué (UE) 2018/389), soit à partir du 14 septembre 2019. Il s’agit notamment de :

• L’obligation de l’authentification forte. Elle est obligatoire pour les paiements électroniques, sauf dérogations (notamment les paiements à distance de 30 euros au plus, dans certaines limites de cumul), afin de réduire la fraude dans l’e-commerce. L’authentification forte se définit par au moins deux facteurs entre un mot de passe, un appareil que l’on possède et une donnée biométrique telle que l’empreinte digitale, la voix ou l’iris.
• L’ouverture du marché à de nouveaux acteurs (prestataires de services d’initiation de paiement et d’information sur les comptes) en permettant un accès aux informations sur les comptes par un canal de communication sécurisé. Pour la consultation des informations sur les comptes, les textes imposent une nouvelle authentification forte du client au moins tous les 180 jours (90 jours avant le 25 juillet 2023).

Un alignement entre la DSP2 et le RGPD

La DSP2 oblige les banques à fournir, avec l’accord de leurs clients, l’accès à leurs données à des acteurs tiers tels que les prestataires de services d’initiation de paiement ou des prestataires de services d’informations sur les comptes. Dans le but d’assurer une communication fondée sur des « normes ouvertes communes et sécurisées », les banques ont l’obligation d’adapter leur interface bancaire en ligne ou de créer une interface spécifique (une API, une interface de programmation interopérable). Cette interface permet d’éviter les techniques de « screen scraping »[4], basées sur l’utilisation par les initiateurs de paiement des identifiants et des mots de passe des clients, en utilisant leurs codes d’accès.

Ainsi, les banques françaises ont ainsi dû travailler à la définition, au développement et à la mise en production d’API (Application Programming Interface).

Par conséquent, le RGPD et DSP2 correspondent à deux réglementations très importantes. Certaines exigences peuvent sembler contradictoires en raison de l’ouverture aux paiements par la DSP2. En effet, l’accroissement de l’accessibilité des données exigera la mise en place de mesures de protection importantes. C’est sur ce point que la DSP2 et le RGPD se rejoignent. D’un côté, on facilite l’accès aux données, et de l’autre côté, on s’assure que l’utilisation de ces données est réglementée et respectueuse des droits des personnes concernées.

Le règlement général sur la protection des données – RGPD

Le rôle de l’avocat dans la mise en conformité du RGPD

Du RGPD à la DSP2, les banques n’en finissent plus de relever le défi de la confidentialité

[1] Article 4, point 1, du règlement (UE) 2016/679 (RGPD)

[2] Directive 2015/2366

[3] Ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur

[4] La capture de données d’écran (screen scraping en anglais) est une technique par laquelle un programme récupère des données normalement destinées à être envoyées à un dispositif de sortie (généralement un moniteur) afin d’y extraire des informations.