Tout savoir sur les dates et les délais de la directive DSP2

Que vous soyez un commerçant vendant par le biais d’un site internet ou un particulier achetant régulièrement en ligne, vous avez sans doute dû suivre les débats qui ont fait suite à l’adoption par le Parlement Européen de la nouvelle directive sur les services de paiement. Mais si vous ignorez de quoi il s'agit, ou si vous désirez en savoir plus sur ses conditions, cet article va revenir en détail sur cette DSP2, et évoquer en particulier les dates retenues pour son application.

La DSP2 en détail : tout savoir sur la nouvelle directive

Commençons par un petit retour en arrière. En 2009, avec la signature par tous les états membres de l’Union Européenne de la première directive sur les services de paiement (ou DSP1). Elle avait pour objectif de protéger les consommateurs mais aussi d’améliorer la qualité des services tout en stimulant la concurrence. Dans les faits, elle a facilité les paiements en ligne au sein du marché européen (notamment en créant la norme SEPA ou « Single Euro Payments Area »), elle a également contraint les banques à être plus transparentes sur leurs services et leurs frais ; enfin elle a introduit la notion de prestataire de services de paiement, permettant à des sociétés non bancaires d'effectuer des transactions financières.

Adoptée en 2013, et renforcée en 2017, la DSP2 améliore encore la sécurité de toutes les opérations effectuées en ligne. Bien que le code à usage unique, envoyé par SMS, ait permis d’obtenir d’excellents résultats (avec un taux de fraude moyen de 0,173 %), la nouvelle directive souhaite systématiser la vérification forte, également appelée « authentification multi-facteurs » (ou SCA en anglais). Pour les paiements de plus de 30 euros, il faudra ainsi prouver son identité en ligne en utilisation deux facteurs parmi les trois suivants :

-        Fournir une information personnelle (mot de passe, réponse à une question secrète…)

-        Utiliser un appareil électronique personnel (smartphone, ordinateur, clé USB, carte à puce, etc.)

-        Se soumettre à une identification biométrique (empreinte digitale, reconnaissance faciale ou vocale, scan rétinien).

Aussi efficaces que soient ces méthodes, il faut reconnaître qu’elles ne sont pas faciles à mettre en place. C’est la raison pour laquelle la première date retenue pour l’application de la DSP2 était septembre 2019.

La DSP2 en 2019 ?

Si l’application de la DSP2 était prévue le 14 septembre 2019, il a fallu constater que les 18 mois de délai prévus au départ n’ont pas suffi à mettre en œuvre les solutions techniques nécessaires. En effet, si les établissements bancaires ont progressivement installé le système 3D Secure 2.0 qui permet la double authentification, ce n’est pas le cas de la plupart des autres prestataires de paiement.

Par ailleurs, les établissements bancaires n’ont pas encore tous réussi à installer les interfaces de programmation (ou API, pour Application Program Interface) requises pour des échanges de données plus sécurisés. En France, si 80 % d'entre eux déclarent s'être penchés sur ce sujet, seuls 10 % étaient opérationnels à cette date. Comme de nombreux pays européens, la France a donc prévu des aménagements afin de permettre une mise en place progressive de ces API au premier trimestre 2020.

Quand l’entrée en vigueur de la DSP2 sera-t-elle officielle ?

Soucieuse de limiter les impacts possibles sur l'e-commerce, la France a donc accordé un délai supplémentaire de trois ans pour la mise en place de solutions sécurisées. Après avoir fait appel à l’Autorité Bancaire Européenne, comme ses voisins anglais et allemands, la France a donc fixé l’année 2022 comme date butoir pour l’application de la DSP2. Ce délai supplémentaire devrait permettre à tous les acteurs concernés d’être prêts : les banques en ligne (ou néo-banques) et tous les prestataires de services de paiement en ligne, comme les e-commerçants, auront ainsi le temps de suivre la voie tracée par les établissements bancaires classiques.