Certains de nos lecteurs se souviendront sans doute que, plus jeunes et à de rares occasions, nous nous rendions dans notre agence bancaire pour demander au guichetier de bien vouloir transférer de l’argent à telle ou telle personne. Cette période n’est finalement pas si lointaine. Elle date d’à peine quinze ans et précède la démocratisation d’Internet, son adaptation et son intégration à la banque de détail et à la relation client. Une époque qui, vue de 2015, s’apparente plus à la préhistoire qu’au début du xxie siècle.
En effet, aujourd’hui autour de nous, le nombre de personnes qui se rendent régulièrement en agence pour effectuer un paiement se compte sur les doigts d’une main quand les autres ne s’y rendent que dans des cas très exceptionnels comme, par exemple, lors de l’achat d’un appartement. Preuve en est la réduction et la réorganisation du tissu d’agences à travers l’Europe au cours des dernières années et notamment en France où les agences elles-mêmes changent de rôle pour s’adapter au numérique et à la nouvelle relation client. Encore récemment, les syndicats s’inquiétaient d’une possible fermeture de quatre cents agences de la Société générale d’ici à 2020, soit près de 20 % de son réseau. Si la génération de nos parents est toujours encline à remplir un virement papier, celles de demain n’en verront plus jamais la couleur1 ! Le dernier papier qu’elles verront est peut-être celui des mandats de prélèvement SEPA (Single Euro Payments Area ou espace unique des paiements en euros) avant que celui-ci ne disparaisse à son tour, poussé vers la sortie par la signature électronique et l’identité numérique.
L’industrie des paiements a connu en quinze ans une mutation que peu d’autres industries auront expérimentée aussi intensément : la monnaie unique a ouvert les portes d’une nouvelle ère, celle du SEPA ; le monopole bancaire s’est en partie effacé pour laisser place à une myriade d’acteurs spécialisés (monnaie électronique, transferts internationaux, etc.) ou généralistes ; la réglementation européenne a fait pression sur les acteurs de marché pour qu’ils fournissent un socle de services standardisés, à vocation européenne et au meilleur prix pour les utilisateurs ; la technologie et plus précisément l’Internet mobile et les smartphones ont permis d’ancrer le paiement entre les mains du consommateur, au sens propre comme au sens figuré, alors qu’auparavant, il le partageait avec sa banque ; la norme dans la transmission d’information est celle de l’instantanéité. Si l’immédiat et l’ubiquité ne font pas encore loi partout en Europe dans les paiements, nul doute qu’il s’agit néanmoins de la prochaine (r)évolution de notre industrie, en fait une révolution déjà en marche.
Ces changements, d’autres secteurs les affrontent depuis quelque temps avec difficulté et peinent à s’adapter (la vidéo, la musique et la presse se lisent désormais en ligne et plus vraiment sur support physique) et certains y font face maintenant (le tourisme et le transport urbain deviennent des industries « collaboratives » et les plus affectés par ces changements bloquent les rues).
Face à ces bouleversements, l’industrie des paiements a peut-être, bien que le qualificatif « assurément » me semble plus indiqué, perdu une partie de sa rentabilité. Le prix d’un virement est devenu dérisoire, qu’il soit domestique ou transfrontalier, et tout particulièrement s’il s’agit d’un virement en euros au sein de la zone euro. Pour rappel, en 2003, il vous aurait coûté en moyenne 10,56 euros pour transférer 100 euros depuis l’Allemagne vers un autre pays de la zone euro et 22,62 euros depuis la France pour la même somme. Neuf ans plus tard, ces frais moyens étaient divisés par 100 pour la France (0,29 euros) et 1 000 pour l’Allemagne (0,01 euros), la gratuité étant même le plus souvent de mise. Les frais liés aux cartes ont partiellement été réglementés et le secteur bancaire s’est fait largement l’écho du manque à gagner que le règlement sur les frais d’interchange allait causer. Payer pour effectuer un paiement était un fait au début des années 2000. C’est aujourd’hui une incongruité.
Pourtant, le nombre d’acteurs sur le marché des paiements reste stable comme l’indiquent les statistiques de la Banque centrale européenne (BCE, 2015) qui comptabilisaient 8 742 institutions offrant des services de paiement en 2009 et 9 079 en 2013. Ces statistiques n’intègrent par ailleurs pas encore les nouveaux types de prestataires que la deuxième directive sur les services de paiement (PSD2)2 légitime et intégrera au marché d’ici à 2018 en tant que prestataires de services de paiement réglementés : prestataires de services d’initiation de paiement (plus connus sous l’acronyme TPP pour third party providers) et prestataires de services d’information sur les comptes (ou agrégateurs). C’est aussi sans compter les prestataires techniques, les opérateurs de télécommunications, les monnaies virtuelles, les géants de l’Internet ou du téléphone (Google, Samsung, Apple), etc., tout un ensemble d’acteurs qui participent à l’industrie du paiement ou effectuent des paiements pour le compte de nos concitoyens, mais qui sont exclus du cadre législatif ou en attente d’y être intégrés.
L'évolution du cadre législatif
Qu’en est-il de la réglementation qui s’appliquera à ces nouveaux acteurs de l’industrie des paiements ? En quelques mots, la même réglementation que celle qui s’applique aux anciens acteurs de l’industrie des paiements vaudra également pour les nouveaux entrants. C’est une question d’égalité de traitement et de préservation de la concurrence.
Dans le détail, c’est l’ensemble de la réglementation qui évolue pour s’adapter au nouvel environnement des paiements. Non pas que la première directive sur les services de paiement (PSD1) n’était pas adaptée à son temps, mais force est de constater que la digitalisation a permis d’ouvrir les portes du domaine des paiements et qu’en conséquence, il était temps pour la législation européenne d’accueillir, d’intégrer, mais aussi de responsabiliser ceux que la technologie a portés sur le marché. Pour exemple, les services d’initiation de paiement n’existaient pas en 2007 et, pour cause, le commerce électronique en était encore à ses balbutiements et l’on ne remettait pas en cause l’utilisation des cartes pour payer en ligne. Mais des trublions en ont décidé autrement en court-circuitant les systèmes de cartes au profit des virements. Il était donc nécessaire, du moment que leur existence n’était pas remise en cause, de les intégrer au cadre légal.
Si l’on s’attache aux méthodes d’identification des clients et à la sécurité de leurs codes confidentiels ou de leurs moyens de paiement, certaines méthodes dites « un clic » ont vu le jour, d’autres méthodes fondées sur les codes confidentiels des clients sont apparues et il était temps de se poser la question de leur sécurité.
Les nouveaux entrants, qu’ils soient parmi les nouveaux types d’acteurs ou parmi les acteurs traditionnels, vont donc faire face à une réglementation qui a évolué sous bien des aspects. Ces évolutions sont portées par la PSD2 et le règlement sur les frais d’interchange (règlement IF) (UE, 2015), adoptés par la Commission européenne au milieu de 2013, revus et amendés par le Parlement européen et le Conseil européen en 2014, et adoptés et votés par ces mêmes acteurs en 2015.
Dans le contexte du commerce en ligne, les porte-monnaie électroniques ont gagné en popularité. La deuxième directive sur la monnaie électronique (2009/110/EC – EMD2) établissait le cadre légal pour des acteurs tels que PayPal ou Google Wallet. Ce cadre semble satisfaisant, mais quelques retouches pourraient être nécessaires à l’avenir lorsqu’on constate la vitesse avec laquelle de nouveaux produits sont lancés sur le marché du paiement en ligne.
L'extension du cadre législatif
Commençons cette revue des évolutions du cadre réglementaire par la portée de la législation qui se voit étendue par la PSD2. Auparavant dotée d’un champ d’application réduit aux transactions intra-Union européenne (UE), la législation vise plus loin et s’attaque aux transactions où l’un des prestataires de service de paiement, qu’il soit émetteur ou récepteur, est situé au sein de l’UE – ce que l’on appelle les transactions « une branche » ou « one leg ». Sont ainsi particulièrement visés les prestataires de services de paiement spécialisés dans les transferts internationaux. Les règles de transparence s’appliqueront aux transactions partiellement réalisées dans l’UE avec, pour résultat attendu, une pression accrue sur ces mêmes prestataires et les prix qu’ils pratiquent. Certains axes de transferts depuis l’UE sont encore très, voire trop, chers pour des utilisateurs souvent peu fortunés et pour lesquels le moindre gain financier sur un transfert a un réel impact. Pour mémoire, le coût moyen d’un transfert de fonds international de ce type est estimé à 8 %, soit huit cents fois le coût moyen d’un virement en euros au sein de l’UE depuis l’Allemagne, pour poursuivre la comparaison entamée plus haut, et le coût de ces mêmes envois vers l’Afrique subsaharienne grimpe jusqu’à une moyenne de 12 % (Banque mondiale, 2015). La réduction de ces coûts à un niveau moyen de 3 % d’ici à 2030 est l’un des objectifs du G20.
La nomenclature des acteurs et des activités possibles sur le marché des paiements (annexe 1 de la PSD2) s’enrichit avec l’apparition des tiers prestataires de services de paiement et des agrégateurs. En effet, certains marchés européens ont vu de nouveaux prestataires apparaître, des intermédiaires qui font le lien entre le consommateur et le commerçant (les TPP) leur assurant une certitude quasi instantanée de paiement et accélérant ainsi les process du commerce électronique, en incitant notamment le bénéficiaire à livrer les biens ou fournir les services sans retard excessif. D’autres acteurs permettent à nos concitoyens multibancarisés d’avoir un aperçu de l’ensemble de leurs comptes. Jusqu’ici, ces prestataires opéraient dans le vide juridique le plus complet, sans obligation réglementaire spécifique vis-à-vis de la protection du consommateur, de sécurité et de responsabilité, de protection de ses informations personnelles et bénéficiaient peut-être d’un avantage concurrentiel lié à cette absence de réglementation. Ce vide juridique n’a, semble-t-il jusqu’à aujourd’hui, pas entraîné d’abus et aucune plainte ou fraude de grande ampleur n’a été constatée avec ces nouveaux acteurs. Néanmoins, inexistants en 2007 lors de la publication de la PSD1, leur émergence rapide a conduit à réformer le cadre législatif au grand dam des établissements bancaires qui auraient peut-être préféré leur disparition pure et simple.
Seule grande différence d’évidence avec les autres prestataires traditionnels du marché des paiements, du fait que ces prestataires n’entrent pas en possession des fonds de leurs clients, la réglementation ne leur impose pas des exigences de fonds propres. Ils seront tout de même tenus de souscrire une assurance de responsabilité civile professionnelle ou une garantie comparable afin de faire face à leur responsabilité si elle devait être engagée.
Enfin, afin de garantir une concurrence saine et un niveau adéquat de protection de l’ensemble de la chaîne d’acteurs, l’Autorité bancaire européenne (ABE) est en charge du développement de normes ouvertes de communication que les prestataires de services de paiement, gestionnaires de comptes et TPP, devront appliquer, garantissant ainsi l’interopérabilité des systèmes, l’identification des acteurs, la traçabilité des opérations et la sécurité de tous.
Compte tenu de la quasi-généralisation des smartphones et autres tablettes, les opérateurs de télécommunications ont aussi pris leur part dans le monde des paiements, particulièrement comme intermédiaires pour le paiement d’applications qui se retrouvent facturées, au même titre que le forfait téléphonique, en fin de mois. En 2007, lors des discussions autour de la première PSD, le besoin ne se faisait pas sentir de réglementer cette activité, étant donné que les achats d’alors consistaient principalement en du tuning de téléphone via le téléchargement de sonneries ou de fonds d’écran pour des sommes dérisoires. Mais les temps ont changé et les jeux ou les applications professionnelles s’achètent à des prix qui peuvent atteindre des montants considérables. L’exemption ne se justifie dès lors plus pour de telles sommes. Désormais, seuls les paiements inférieurs à 50 euros continueront d’être exemptés. Et si leur valeur cumulée sur un mois venait à dépasser 300 euros, les opérateurs de télécommunications perdraient également cette exemption, cela dans le but de protéger les consommateurs.
Sécurité accrue et protection du client
Les nouveaux entrants tout comme les acteurs établis verront leurs obligations en termes de sécurité et protection du consommateur renforcées. L’authentification forte du client devient la norme pour l’ensemble des paiements électroniques, mais aussi pour l’accès aux comptes de paiement en ligne. Pour mémoire, ce type d’authentification requiert l’utilisation de deux éléments ou plus parmi les éléments suivants :
- la connaissance, une donnée que seul l’utilisateur connaît (par exemple, son mot de passe ou son code PIN) ;
- la possession, un élément que seul l’utilisateur possède (par exemple, sa carte bancaire) ;
- et l’inhérence, un élément qui fait l’identité de l’utilisateur (par exemple, son empreinte digitale).
Ces éléments devront être indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, de manière à protéger la confidentialité des données d’authentification. Un grand nombre de méthodes de paiement qui ont cours aujourd’hui et ne satisfont pas à ces exigences devront sans doute s’adapter. Dans le cas contraire, lorsque le prestataire de services de paiement du payeur n’exigera pas une authentification forte du client, le payeur ne supportera d’éventuelles conséquences financières que s’il a agi frauduleusement. Côté bénéficiaire, si celui-ci ou son prestataire de services de paiement n’accepte pas une authentification forte du client, il remboursera le préjudice financier causé au prestataire de services de paiement du payeur.
Les sceptiques penseront alors que la réglementation est aveugle et ne fait pas la différence entre une opération à plusieurs milliers d’euros pour laquelle, effectivement, un haut niveau de sécurité est nécessaire et une opération à 1 euro pour laquelle les mesures de sécurité semblent disproportionnées. Ceux-là seront ravis de savoir que la PSD2 prévoit que les mesures de sécurité doivent être compatibles avec le niveau de risque associé aux services de paiement. Pour cette raison, l’ABE sera responsable, au cours des prochains mois, de la définition des exceptions à l’application des exigences de sécurité. L’objectif ici étant de favoriser le développement de moyens de paiement accessibles et faciles à utiliser pour les paiements présentant peu de risques.
L’émergence des TPP a aussi lancé un grand débat, ou plutôt une guerre, sur la réutilisation des codes confidentiels reçus par les consommateurs de la part de leurs banques pour leurs activités en ligne. Les craintes des banques seront levées par la réglementation. Lorsqu’un consommateur fera appel à un TPP, l’authentification forte du client sera obligatoire. Le flux d’informations entre le consommateur, sa banque et le TPP passera par des canaux de communication sécurisés pour lesquels l’ABE définira un cahier des charges technique. À aucun moment, le TPP n’aura accès à ces éléments. Sa seule fonction sera de commencer un paiement spécifique via l’utilisation de codes non réutilisables qui lieront dynamiquement le paiement à un montant et un bénéficiaire.
Dernier point majeur dans la relation entre les clients, leurs gestionnaires de compte et les nouveaux acteurs de marché, en cas de paiement non autorisé, le prestataire gestionnaire de compte ou, plus simplement, la banque du client reste le premier point de contact même si, au final, il est établi que la responsabilité du paiement non autorisé incombait au TPP. Contrairement à ce qui a été longtemps proclamé, les prestataires tiers ne sont pas relevés de leurs devoirs et leurs responsabilités envers le consommateur et son teneur de compte. C’est en définitive une mesure proconsommateur qui s’explique très bien par le fait que le compte bancaire du client et sa banque restent l’élément majeur dans le processus de paiement et l’unique intermédiaire (à l’exception du marchand électronique) avec lequel le consommateur dispose d’une relation privilégiée, le TPP lui étant plus probablement inconnu.
Marché des cartes
Le domaine des cartes est sans aucun doute le plus touché par le nouveau cadre législatif. D’une part, la PSD2 interdit toute application d’un surcoût par le commerçant lorsque le consommateur effectue un paiement par carte si celle-ci est couverte par le chapitre II du règlement IF (soit, pour simplifier, la quasi-totalité des cartes de débit et cartes de crédit). De plus, cette même législation met en place un ensemble de règles visant à la fois les pratiques commerciales et les frais liés aux cartes qui seront appliquées aux systèmes de cartes d’ici au milieu de 2016 (certaines règles étant déjà entrées en vigueur à l’heure où vous lirez ces lignes).
Parmi ces règles, les plus commentées sont celles liées au plafonnement des commissions d’interchange. Comme indiqué dans les considérants du règlement IF, « ces commissions appliquées entre les prestataires de services de paiement acquéreurs et émetteurs de cartes appartenant à un schéma de cartes de paiement constituent une partie importante des frais facturés aux commerçants par les prestataires de services de paiement acquéreurs pour chaque opération de paiement liée à une carte. Les commerçants, à leur tour, répercutent ces coûts liés aux cartes, comme tous leurs autres coûts, sur le prix global de leurs biens et services. La concurrence entre les schémas de cartes de paiement visant à convaincre les prestataires de services de paiement d’émettre leurs cartes entraîne une hausse, et non une baisse, des commissions d’interchange sur le marché, contrairement à l’effet attendu sur les prix que la concurrence exerce habituellement dans une économie de marché ». Pour résumer, le marché des cartes était inefficace : la concurrence entraînait une hausse des prix, subie par les consommateurs sur lesquels étaient répercutés les frais facturés aux commerçants, aux bénéfices des émetteurs de cartes qui voyaient leurs revenus s’accroître à chaque hausse des frais d’interchange, comme l’illustre l’exemple de l’évolution des frais IF au Royaume-Uni (Commission européenne, 2013). L’augmentation en 2007 des frais d’interchange par Visa, le système le plus cher, a dépossédé Mastercard de ses parts de marché au Royaume-Uni (cf. tableau ci-contre). Un comble pour une économie de marché !
La grande diversité de ces commissions au sein de l’UE et leurs niveaux élevés empêchaient par ailleurs l’arrivée sur le marché de nouveaux acteurs. Autant de barrières à l’entrée pour tout nouvel acteur qui souhaiterait profiter des économies d’échelle offerte par notre marché intérieur pour proposer des solutions moins chères. Incapables de s’aligner sur les revenus attendus par les prestataires de services de paiement sur ce segment, leurs solutions ne trouveraient pas preneurs.
Les pratiques commerciales du marché des cartes sont également visées par le règlement. Il signe la fin des règles imposant l’obligation d’accepter toutes les cartes, ouvre l’acquisition transfrontalière, instaure une séparation du schéma des cartes de paiement et des entités de traitement et interdit toute règle limitant le co-badgeage (l’inclusion de deux ou de plusieurs marques de paiement ou applications de paiement de la même marque sur le même instrument de paiement lié à une carte) en rendant le consommateur maître du choix de l’instrument de paiement qu’il souhaite utiliser.
La PSD2 ouvre la porte à de nouvelles opportunités d’affaires pour des prestataires de services de paiement qui souhaiteraient émettre des cartes de débit ou de crédit sans pour autant être les teneurs de compte de leurs clients. Cela existait déjà dans le domaine des cartes de crédit (cf. Amex), mais les cartes de débit n’étaient pas concernées, le risque financier étant ici plus grand. Le nouveau cadre législatif ouvre la voie à la confirmation de la disponibilité des fonds. En d’autres termes, une banque, sur interrogation d’un autre prestataire de services de paiement qui émet des instruments de paiement liés à une carte, confirmera immédiatement si la somme à payer est disponible sur le compte du payeur. Les chaînes de supermarché, des acteurs exclusifs du domaine des cartes (tel que Payfair) seront sans doute intéressés par cette nouvelle possibilité.
Accès aux données bancaires
Enfin, concluons ces grands thèmes législatifs par le sujet des données bancaires. Le big data est avec la digitalisation l’un des mots-clés des prochaines années. Si la législation s’ouvre à de nouveaux acteurs, elle continue de protéger les données des clients, et ce, d’autant que la réforme de la législation relative à la protection des données est toujours en discussion, à l’heure où nous écrivons ces lignes, entre le Parlement européen et le Conseil européen.
Les prestataires de services d’information sur les comptes bénéficieront en effet d’accès aux comptes de leurs utilisateurs, mais cela sous réserve du respect d’un grand nombre d’obligations visant à assurer la sécurité des données du client. Ainsi, ces prestataires ne détiendront à aucun moment les fonds du payeur, ils veilleront à ce que les identifiants personnalisés de l’utilisateur de services de paiement soient protégés, qu’aucune autre information relative à l’utilisateur de services de paiement et obtenue lors de la fourniture de ces services ne filtre, ils s’identifieront auprès de la banque de leur client sans pour autant nécessiter de relation contractuelle et ne stockeront pas de données de paiement sensibles concernant l’utilisateur de services de paiement ou d’information sur les comptes.
Conclusion
Le nouveau cadre législatif européen des paiements ouvre donc les portes à de nouveaux acteurs sur le marché des paiements. Ceux-ci ne bénéficient pas d’un traitement privilégié. Au contraire même, leur inclusion dans la législation les fait tomber sous le coup des obligations de protection du consommateur, de sécurité, et s’ils échappent à une forte mobilisation de fonds propres, logique à la vue de leurs activités, ils devront toutefois s’acquitter d’une assurance professionnelle. Autant d’éléments qui n’entraient pas par le passé dans leurs business models, autant d’éléments à chiffrer donc.
TPP et agrégateurs ont désormais la voie libre sur le marché européen et bénéficient du cadre nécessaire à leur développement paneuropéen. Bankin, Linxo, Tink, Fintonic, pour les agrégateurs, ou Trustly, SoFort, Ideal, pour les TPP (parmi tant d’autres), seront peut-être les prestataires de demain au bénéfice des commerçants et des consommateurs séduits par de nouveaux services et des coûts réduits. Encore inconnu dans certains pays, il ne fait aucun doute que cet état de fait ne durera plus longtemps. Et même si l’entrée en vigueur de la PSD2 n’intervient pas avant 2018, les nouveaux acteurs déjà présents sur le marché pourront poursuivre leurs activités et prospérer… jusqu’à une prochaine mutation du marché des paiements déjà annoncée par l’arrivée imminente des paiements instantanés.
Les grands absents de la réglementation, à l’heure actuelle, sont Apple, Google, Samsung et consorts. S’il s’agit de nouveaux entrants sur le marché des paiements, seul ApplePay est une réalité en Europe, et ce, uniquement dans un nombre limité d’États membres. Quel traitement leur sera réservé ? Comment les États membres confrontés à leur entrée sur leurs marchés réagiront-ils ? Licence d’établissement de paiement ? Simples prestataires techniques ? Les réponses viendront dans un premier temps des premiers pays ciblés par ces nouveaux acteurs. Chaque nouveau système devra être analysé en détail avant que les autorités puissent se prononcer.