Du PSD2 au PSD3 : pourquoi l’Union européenne refond son cadre des paiements
La directive sur les services de paiement de 2015, dite PSD2, a imposé l’ouverture des données bancaires aux tiers agréés et généralisé l’authentification forte des clients. Des services d’initiation de paiement et d’agrégation de comptes ont vu le jour, les banques ont progressivement ouvert leurs interfaces de programmation. La concurrence dans le secteur des paiements s’en est trouvée renforcée. Mais dix ans après l’adoption du texte, ses limites sont bien réelles. Les API d’open banking restent hétérogènes d’un établissement à l’autre, et les schémas de fraude ont largement évolué depuis lors. La cohérence des droits des utilisateurs entre États membres laisse également à désirer.
La Commission européenne a répondu en juin 2023 avec un paquet législatif en deux volets : une directive PSD3, centrée sur les conditions d’agrément et les superviseurs nationaux, et un règlement sur les services de paiement dit PSR, dont le caractère directement applicable permettrait d’uniformiser les règles dans les vingt-sept États membres sans passer par des transpositions nationales différenciées. Cette bifurcation entre une directive et un règlement n’est pas anodine. Avec PSD2, chaque pays conservait une latitude dans la transposition, ce qui a produit des disparités opérationnelles : les acteurs présents sur plusieurs marchés géraient des nuances locales coûteuses. Le règlement PSR vise précisément à réduire cet écart. Mais sans période de transposition, les délais d’adaptation seront plus courts une fois le texte définitivement adopté.
Les axes de la réforme : fraude, qualité des API et droits des utilisateurs
Le premier axe porte sur la lutte contre la fraude. PSD2 avait instauré l’authentification forte (SCA), mais des failles persistent, notamment via les schémas dits de fraude sociale : le client authentifie lui-même une opération frauduleuse, et la responsabilité des prestataires reste difficile à engager. Le PSR prévoit d’élargir cette responsabilité dans certains cas, ce qui change les modèles de risque des émetteurs. Par ailleurs, les établissements seront tenus de partager davantage de données sur les transactions suspectes via des mécanismes inter-établissements. Pour une banque de détail, cela se traduit par des investissements dans les systèmes de détection et dans la gouvernance des données partagées, avec des enjeux de coordination inédits avec d’autres acteurs du secteur.
Le deuxième axe concerne la qualité des API bancaires destinées aux tiers agréés. Dans la pratique, les interfaces mises en place sous PSD2 ont souvent posé problème : performances insuffisantes au pic de charge, manque de documentation standardisée. Ces lacunes ont limité la portée concrète de l’ouverture imposée par la directive. Le PSR prévoit des exigences de disponibilité et de performance plus strictes pour ces interfaces, avec un mécanisme de certification. Les banques seront donc tenues de relever le niveau de qualité de leurs API. Pour les fintech qui fondent leur modèle sur l’open banking, c’est une avancée potentielle, même si elle s’accompagne d’un cadre de conformité plus exigeant.
Le troisième axe renforce les droits des utilisateurs, avec des règles plus précises sur la transparence des frais et sur les délais de remboursement en cas de paiement non autorisé. Ces évolutions paraissent parfois secondaires dans une discussion de direction financière, mais leurs effets sur les marges et sur la gestion de trésorerie des émetteurs sont concrets. Des délais de remboursement raccourcis modifient la rétention des flux, et une transparence accrue des frais exerce une pression directe sur les marges tarifaires.
Ce que la réforme implique pour les acteurs du marché français
Pour les banques françaises, la réforme prolonge la mise à niveau technique engagée depuis PSD2. L’enjeu n’est pas de repartir de zéro mais d’intégrer des exigences supplémentaires dans des architectures existantes, avec les contraintes de coût et de délai que cela entraîne. Les établissements qui avaient investi tôt dans des API robustes et dans des dispositifs avancés de détection de la fraude se retrouvent mieux positionnés que ceux qui avaient opté pour le minimum réglementaire lors de la mise en œuvre de PSD2.
Les établissements de paiement et les fintech spécialisées sont dans une situation qui varie selon leur positionnement. Ceux qui ont construit leur modèle sur les opportunités de PSD2 devront adapter leurs pratiques aux nouvelles exigences de partage des données sur la fraude et aux standards renforcés d’agrément. D’autres, en revanche, pourraient tirer parti de règles plus uniformes à l’échelle européenne pour accélérer leur développement transfrontalier : c’est l’un des effets potentiellement positifs d’un règlement directement applicable, qui supprime les divergences nationales de transposition.
Les commerçants en ligne constituent un troisième profil d’acteurs à surveiller de près. L’évolution des règles d’authentification forte, couplée aux aménagements prévus pour les paiements de faible montant, aura des effets sur les taux de conversion et sur les pratiques d’acquisition. Une clarification des règles de responsabilité en cas de fraude modifiera également les arbitrages entre prestataires et schémas de paiement.
Ce que les décideurs doivent anticiper dès maintenant
Du point de vue d’un directeur financier ou d’un responsable conformité dans un établissement de paiement ou une banque, l’entrée en vigueur d’un règlement directement applicable a une conséquence immédiate : il n’est plus possible d’attendre une loi nationale de transposition pour commencer à adapter ses processus. La préparation doit être initiée dès que le texte est adopté, ce qui implique une implication précoce des équipes techniques et juridiques.
Selon les documents de la Commission européenne, le paquet PSD3/PSR s’inscrit dans une stratégie plus large autour des paiements, qui comprend également l’obligation généralisée du virement instantané et les travaux en cours sur un euro numérique. Les interactions entre ces textes sont réelles : un établissement déjà conforme sur le virement instantané peut capitaliser sur ses investissements, mais les articulations réglementaires restent complexes et méritent une analyse juridique rigoureuse.
La question des normes techniques de mise en œuvre (RTS), dont la publication incombera à l’Autorité bancaire européenne, est décisive pour la suite. L’expérience de PSD2 avait montré que des délais trop longs dans la publication de ces normes pouvaient maintenir des zones d’incertitude opérationnelle pendant des mois. Sur ce point, les acteurs qui suivent de près les travaux de l’ABE auront une longueur d’avance dans leur préparation.
PSD3/PSR n’est pas un ajustement marginal du cadre existant. La réforme touche à la fois les règles de responsabilité sur la fraude et les conditions d’accès aux données bancaires, en modifiant au passage les standards d’authentification forte et les exigences de qualité des interfaces. Pour les acteurs français, la vraie question n’est pas de savoir si cette réforme aura des effets, mais d’évaluer précisément lesquels, et de commencer à s’y préparer avant que le calendrier législatif ne les y contraigne.
