Texte proposé par la Commission Modifications suggérées par la BCE (1)

Modification 1

Considérant 6

«(6) Ces dernières années ont vu croître les risques de sécurité liés aux paiements électroniques, ce qui s’explique par la plus grande complexité technique de ces paiements, leurs volumes toujours croissants à l’échelle mondiale et l’émergence de nouveaux types de services de paiement. Dès lors que la sûreté et la sécurité des services de paiement sont vitales au bon fonctionnement du marché de ces services de paiement, il convient de protéger adéquatement les utilisateurs contre ces risques. Les services de paiement étant essentiels au maintien de fonctions économiques et sociétales vitales, les prestataires de ces services, tels que les établissements de crédit, ont été qualifiés d’acteurs du marché au sens de l’article 3, point 8, de la directive [insérer le numéro de la directive sur la sécurité des réseaux et de l’information après son adoption] du Parlement européen et du Conseil (2).» «(6) Ces dernières années ont vu croître les risques de sécurité liés aux paiements électroniques, ce qui s’explique par la plus grande complexité technique de ces paiements, leurs volumes toujours croissants à l’échelle mondiale et l’émergence de nouveaux types de services de paiement. Dès lors que la sûreté et la sécurité des services de paiement sont vitales au bon fonctionnement du marché de ces services de paiement, il convient de protéger adéquatement les utilisateurs contre ces risques. Les services de paiement étant essentiels au maintien de fonctions économiques et sociétales vitales, les prestataires de ces services, tels que les établissements de crédit, ont été qualifiés d’acteurs du marché au sens de l’article 3, point 8, de la directive [insérer le numéro de la directive sur la sécurité des réseaux et de l’information après son adoption] du Parlement européen et du Conseil (2).»

Explication Voir la modification 31.

Modification 2

Considérant 7

«(7) Outre les mesures générales à prendre au niveau des États membres que prévoit la directive [insérer le numéro de la directive sur la sécurité des réseaux et de l’information après son adoption], il conviendrait de traiter les risques de sécurité liés aux opérations de paiement au niveau des prestataires de services de paiement également. Les mesures de sécurité à imposer à ces prestataires doivent être proportionnées aux risques de sécurité concernés. Il conviendrait de mettre en place un dispositif de déclaration régulière, en vertu duquel les prestataires de services de paiement seraient tenus de fournir annuellement aux autorités compétentes une évaluation à jour de leurs risques de sécurité, ainsi que des informations à jour sur les mesures (supplémentaires) prises en réponse à ces risques. En outre, pour limiter, dans toute la mesure du possible, les dommages pouvant être causés aux autres prestataires de services de paiement et aux systèmes de paiement, tels qu’une perturbation majeure d’un système de paiement, ainsi qu’aux utilisateurs, il est essentiel d’imposer aux prestataires de services de paiement l’obligation de signaler immédiatement à l’Autorité bancaire européenne les incidents de sécurité majeurs.» «(7) Outre les mesures générales à prendre au niveau des États membres que prévoit la directive [insérer le numéro de la directive sur la sécurité des réseaux et de l’information après son adoption], i Il conviendrait de traiter les risques de sécurité liés aux opérations de paiement au niveau des prestataires de services de paiement également. Les mesures de sécurité à imposer à ces prestataires doivent être proportionnées aux risques de sécurité concernés. Il conviendrait de mettre en place un dispositif de déclaration régulière, en vertu duquel de façon à garantir que les prestataires de services de paiement seraient tenus de fournir fournissent annuellement aux autorités compétentes une évaluation à jour de leurs risques de sécurité, ainsi que des informations à jour sur les mesures (supplémentaires) prises en réponse à ces risques. En outre, pour limiter, dans toute la mesure du possible, les dommages pouvant être causés aux autres prestataires de services de paiement et aux systèmes de paiement, tels qu’une perturbation majeure d’un système de paiement, ainsi qu’aux utilisateurs, il est essentiel d’imposer aux prestataires de services de paiement l’obligation de signaler immédiatement dans un délai raisonnable à l’Autorité bancaire européenne les incidents opérationnels et de sécurité majeurs à l’autorité compétente de l’État membre d’origine tel que défini dans la présente directive, qui évalue l’importance de l’incident pour les autres autorités et, en fonction de cette évaluation, communique les détails pertinents de la notification de l’incident à l’ABE et à la BCE, qui en informe les autorités compétentes des autres États membres et du SEBC.»

Explication Voir la modification 31.

Modification 3

Considérant 18

«(18) Depuis l’adoption de la directive 2007/64/CE, de nouveaux types de services de paiement ont fait leur apparition, notamment dans le domaine des paiements par internet. En particulier, les prestataires tiers ont évolué et proposent aux consommateurs et aux commerçants des services dits d’initiation de paiement, souvent sans entrer en possession des fonds à transférer. Ces services facilitent les paiements dans le cadre du commerce électronique en établissant une passerelle logicielle entre le site web du commerçant et la plateforme de banque en ligne du consommateur en vue d’initier des paiements par internet sur la base de virements et de prélèvements. Les prestataires tiers offrent, aux commerçants comme aux consommateurs, une solution à plus faible coût que les paiements par carte et permettent aux consommateurs de faire des achats en ligne même s’ils ne possèdent pas de carte de crédit. Cependant, étant donné qu’actuellement, les prestataires tiers ne sont pas régis par la directive 2007/64/CE, ils ne sont pas nécessairement surveillés par une autorité compétente et ne sont pas soumis aux exigences de ladite directive. Cela soulève de nombreuses questions juridiques, notamment en matière de protection des consommateurs, de sécurité et de responsabilité, ainsi que de concurrence et de protection des données. Les nouvelles règles devraient donc répondre à ces questions.» «(18) Depuis l’adoption de la directive 2007/64/CE, de nouveaux types de services de paiement ont fait leur apparition, notamment dans le domaine des paiements par internet. En particulier, les prestataires tiers ont évolué et proposent aux consommateurs, et aux commerçants et aux autres utilisateurs de services de paiement, des services dits d’initiation de paiement ou des services d’information sur les comptes, souvent sans entrer en possession des fonds à transférer. Ces Les services d’initiation de paiement facilitent les paiements dans le cadre du commerce électronique en établissant une passerelle logicielle entre le site web du commerçant et la plateforme de banque en ligne du consommateur en vue d’initier des paiements par internet sur la base de virements et de prélèvements initiant, à la demande du client, un ordre de paiement concernant un compte détenu auprès d’un autre prestataire de services de paiement, par exemple au moyen d’une connexion à la plateforme de banque en ligne des clients, ou en émettant un instrument de paiement. Les services d’information sur les comptes fournissent au payeur des informations consolidées concernant un ou plusieurs comptes qu’il détient auprès d’un autre ou plusieurs autres prestataires de services de paiement. Les prestataires tiers peuvent aussi fournir à la fois des services d’initiation de paiement et des services d’information sur les comptes. Les prestataires tiers offrent, aux commerçants comme aux consommateurs, une solution à plus faible coût que les paiements par carte classiques et permettent aux consommateurs de faire des achats en ligne même s’ils ne possèdent pas de carte de crédit. Cependant, étant donné qu’actuellement, les prestataires tiers ne sont pas régis par la directive 2007/64/CE, ils ne sont pas nécessairement surveillés par une autorité compétente et ne sont pas soumis aux exigences de ladite directive. Cela soulève de nombreuses questions juridiques, notamment en matière de protection des consommateurs, de sécurité et de responsabilité, ainsi que de concurrence et de protection des données. Les nouvelles règles devraient donc répondre à ces questions.»

Explication La BCE suggère de décrire tous les types de prestataires tiers dans le même considérant; par conséquent, les considérants 18 et 26 ont été fusionnés et il est en outre mentionné les prestataires tiers émettant des instruments de paiement, tels que des cartes de débit ou de crédit. Du fait de cette mention, la BCE suggère de supprimer l’exemple de la solution des paiements par carte. En outre, elle mentionne la possibilité de fournir simultanément des services d’information sur les comptes, comme services d’initiation de paiement.

Modification 4

Considérant 26

«(26) À la faveur des progrès technologiques, de nombreux services complémentaires ont également fait leur apparition ces dernières années, tels que les services d’information sur les comptes et d’agrégation de comptes. Ces services devraient également être régis par la présente directive, afin d’assurer aux consommateurs une protection adéquate et une sécurité juridique quant à leur statut.» «(26) À la faveur des progrès technologiques, de nombreux services complémentaires ont également fait leur apparition ces dernières années, tels que les services d’information sur les comptes et d’agrégation de comptes. Ces services devraient également être régis par la présente directive, afin d’assurer aux consommateurs une protection adéquate et une sécurité juridique quant à leur statut.»

Explication Ce considérant a été fusionné avec le considérant 18 (voir la modification 3).

Modification 5

Considérant 51

«(51) Il est nécessaire de fixer les critères selon lesquels les prestataires tiers sont autorisés à avoir accès à l’information relative à la disponibilité de fonds sur le compte détenu par l’utilisateur de services de paiement auprès d’un autre prestataire de services de paiement et à utiliser cette information. Il convient en particulier que les exigences nécessaires de protection des données et de sécurité prescrites ou mentionnées par la présente directive ou incluses dans les orientations de l’ABE soient satisfaites aussi bien par le prestataire tiers que par le prestataire de services de paiement qui gère le compte de l’utilisateur de services de paiement. Les payeurs devraient expressément donner l’autorisation au prestataire tiers d’accéder à leur compte de paiement et ils devraient être correctement informés de l’ampleur de cet accès. Pour que d’autres prestataires de services de paiement qui ne peuvent pas recevoir de dépôts puissent se développer, il est nécessaire que les établissements de crédit leur fournissent l’information sur la disponibilité des fonds si le payeur a donné son accord pour que cette information soit communiquée au prestataire de services de paiement émetteur de l’instrument de paiement.» «(51) Il est nécessaire de fixer les critères selon lesquels les prestataires tiers sont autorisés à avoir accès à l’information relative à la disponibilité de fonds sur le compte détenu par l’utilisateur de services de paiement auprès d’un autre prestataire de services de paiement et à utiliser cette information. Il convient en particulier que les exigences nécessaires de protection des données et de sécurité prescrites ou mentionnées par la présente directive ou incluses dans les orientations de l’ABE soient satisfaites aussi bien par le prestataire tiers que par le prestataire de services de paiement qui gère le compte de l’utilisateur de services de paiement. Les payeurs utilisateurs de services de paiement devraient expressément donner l’autorisation au prestataire tiers d’accéder à leur compte de paiement et ils devraient être correctement informés de l’ampleur de cet accès. Pour que d’autres de nouveaux prestataires de services de paiement qui ne peuvent pas recevoir de dépôts sont pas détenteurs des fonds du payeur puissent se développer, il est nécessaire que les établissements de crédit prestataires de services de paiement teneurs de compte leur fournissent aux prestataires tiers l’information sur la disponibilité des fonds si le payeur l’utilisateur de services de paiement a donné son accord pour que cette information soit communiquée au prestataire tiers prestataire de services de paiement émetteur de l’instrument de paiement.»

Explication La BCE propose de clarifier la rédaction à propos des parties concernées.

Modification 6

Considérant 52

«(52) Les droits et obligations des utilisateurs de services de paiement et des prestataires de services de paiement devraient être ajustés de manière appropriée pour tenir compte de l’intervention du prestataire tiers dans l’opération chaque fois que le service d’initiation de paiement est utilisé. En particulier, une répartition équilibrée des responsabilités entre le prestataire de services de paiement qui gère le compte et le prestataire tiers intervenant dans l’opération devrait contraindre ceux-ci à assumer la responsabilité des parties de l’opération qui sont sous leur contrôle respectif et désigner clairement la partie responsable en cas d’incidents. En cas de fraude ou de litige, le prestataire tiers devrait être dans l’obligation de fournir, au payeur et au prestataire de services de paiement gestionnaire du compte, les références des opérations et les informations sur les autorisations relatives aux opérations.» «(52) Les droits et obligations des utilisateurs de services de paiement et des prestataires de services de paiement devraient être ajustés de manière appropriée pour tenir compte de l’intervention du prestataire tiers dans l’opération chaque fois que le service d’initiation de paiement est utilisé. En particulier, une répartition équilibrée des responsabilités entre le prestataire de services de paiement qui gère le compte et le prestataire tiers intervenant dans l’opération devrait contraindre ceux-ci à assumer la responsabilité des parties de l’opération qui sont sous leur contrôle respectif et désigner clairement la partie responsable en cas d’incidents. En cas de fraude ou de litige, le prestataire tiers devrait être dans l’obligation de fournir, aux payeur utilisateurs de services de paiement et au prestataire de services de paiement gestionnaire du compte, les références des opérations et les informations sur les autorisations relatives aux opérations la preuve que les utilisateurs de services de paiement ont été authentifiés.»

Explication Voir les modifications 19 et 24.

Modification 7

Considérant 57

«(57) La présente directive devrait fixer des règles de remboursement visant à protéger le consommateur lorsque l’opération de paiement exécutée dépasse le montant auquel on aurait pu raisonnablement s’attendre. Afin d’éviter au payeur un préjudice financier, il convient de veiller à ce que la date de valeur de tout remboursement ne soit pas postérieure à la date à laquelle le montant correspondant a été débité. Dans le cas de prélèvements, les prestataires de services de paiement devraient pouvoir accorder des conditions encore plus favorables à leurs clients, qui devraient avoir un droit inconditionnel au remboursement de toute opération de paiement contestée. Toutefois, ce droit inconditionnel au remboursement qui garantit le plus haut niveau de protection du consommateur n’est pas justifié lorsque le commerçant a déjà exécuté le contrat et que le bien ou le service correspondant a déjà été consommé. Lorsque l’utilisateur demande le remboursement d’une opération de paiement, le droit au remboursement ne devrait affecter ni la responsabilité du payeur vis-à-vis du bénéficiaire qui découle de la relation sous‐jacente, c’est-à-dire pour les biens ou les services commandés, consommés ou légitimement facturés, ni le droit de l’utilisateur de révoquer un ordre de paiement.» «(57) La présente directive devrait fixer des règles de remboursement visant à protéger le consommateur lorsque l’opération de paiement exécutée dépasse le montant auquel on aurait pu raisonnablement s’attendre. Afin d’éviter au payeur un préjudice financier, il convient de veiller à ce que la date de valeur de tout remboursement ne soit pas postérieure à la date à laquelle le montant correspondant a été débité. Dans le cas de prélèvements, les prestataires de services de paiement devraient pouvoir accorder des conditions encore plus favorables à leurs clients, qui devraient avoir un droit inconditionnel au remboursement de toute opération de paiement contestée. Toutefois, ce droit inconditionnel au remboursement qui garantit le plus haut niveau de protection du consommateur n’est pas justifié lorsque le commerçant a déjà exécuté le contrat et que le bien ou le service correspondant a déjà été consommé un droit inconditionnel au remboursement pourrait être inapproprié pour certains types de biens ou de services. La mise en place d’un prélèvement sans droit au remboursement peut donc être envisagée, mais uniquement pour des biens ou des services figurant sur une liste établie par la Commission et à propos desquels le payeur a expressément donné son accord. Lorsque l’utilisateur demande le remboursement d’une opération de paiement, le droit au remboursement ne devrait affecter ni la responsabilité du payeur vis-à-vis du bénéficiaire qui découle de la relation sous‐jacente, c’est-à-dire pour les biens ou les services commandés, consommés ou légitimement facturés, ni le droit de l’utilisateur de révoquer un ordre de paiement.»

Explication Faire dépendre les droits au remboursement de l’achat sous-jacent soulève des questions concernant le respect de la vie privée, mais également concernant l’efficacité et les coûts. Selon toute probabilité, l’adoption de cette proposition signifierait qu’il ne serait plus accordé les droits illimités au remboursement prévus par le système actuel de prélèvement SEPA, si bien que les consommateurs bénéficieraient de conditions moins favorables. La BCE suggère d’instaurer, comme règle générale, un droit inconditionnel au remboursement, pour tous les prélèvements des consommateurs, pendant une période de huit semaines. Pour les biens ou services de la liste destinés à une consommation immédiate, les débiteurs et les créanciers pourraient expressément convenir, de façon séparée, de l’inapplication des droits au remboursement. La Commission pourrait dresser une telle liste au moyen d’un acte délégué.

Modification 8

Considérant 80

«(80) Afin de garantir une application cohérente de la présente directive, la Commission devrait pouvoir s’appuyer sur l’expertise et le soutien de l’ABE, qui devrait être chargée d’élaborer des orientations et de préparer des normes techniques de réglementation sur les questions de sécurité en matière de services de paiement et sur la coopération entre les États membres dans le contexte de la prestation de services et de l’établissement dans d’autres États membres des établissements de paiement agréés. La Commission devrait être habilitée à adopter ces normes techniques de réglementation. Ces tâches spécifiques concordent pleinement avec le rôle et les responsabilités de l’ABE définies dans le règlement (UE) no 1093/2010, par lequel l’ABE a été instituée.» «(80) Afin de garantir une application cohérente de la présente directive, la Commission devrait pouvoir s’appuyer sur l’expertise et le soutien de l’ABE, qui, en étroite collaboration avec la BCE, devrait être chargée d’élaborer des orientations et de préparer des normes techniques de réglementation sur les questions de sécurité en matière de services de paiement et sur la coopération entre les États membres dans le contexte de la prestation de services et de l’établissement dans d’autres États membres des établissements de paiement agréés. La Commission devrait être habilitée à adopter ces normes techniques de réglementation. Ces tâches spécifiques concordent pleinement avec le rôle et les responsabilités de l’ABE définies dans le règlement (UE) no 1093/2010, par lequel l’ABE a été instituée.»

Explication Les questions de sécurité en matière de services de paiement relèvent aussi de la compétence des banques centrales. La BCE a délibérément établi une collaboration étroite avec les autorités de surveillance prudentielle des prestataires de services de paiement lors du forum SecuRe Pay (Forum européen sur la sécurité des paiements de détail). Il convient d’officialiser cette collaboration fructueuse. La proposition actuelle ne comporte aucune norme technique de réglementation; la référence à de telles normes est donc supprimée.

Modification 9

Article 2

«1. La présente directive s’applique aux services de paiement fournis au sein de l’Union, lorsque le prestataire de services de paiement du payeur et celui du bénéficiaire sont tous deux situés dans l’Union, ou lorsque l’unique prestataire de services de paiement intervenant dans l’opération de paiement est situé dans l’Union. L’article 78 et le titre III s’appliquent également aux opérations de paiement pour lesquelles un seul des prestataires de services de paiement est situé dans l’Union, en ce qui concerne les parties de l’opération de paiement qui sont effectuées dans l’Union. 2. Le titre III s’applique aux services de paiement dans toute devise. Le titre IV s’applique aux services de paiement fournis en euros ou dans la devise d’un État membre n’appartenant pas à la zone euro.» «1. La présente directive s’applique aux services de paiement fournis au sein de l’Union, lorsque le prestataire de services de paiement du payeur et celui du bénéficiaire sont tous deux situés dans l’Union, ou lorsque l’unique prestataire de services de paiement intervenant dans l’opération de paiement est situé dans l’Union. L’article 78 et l Le titre III et le titre IV, sauf l’article 72 et l’article 74, paragraphe 1, s’appliquent également aux opérations de paiement pour lesquelles un seul des prestataires de services de paiement est situé dans l’Union, en ce qui concerne les parties de l’opération de paiement qui sont effectuées dans l’Union. 2. Les titres III et IV s’appliquent aux services de paiement dans toute devise. Le titre IV s’applique aux services de paiement fournis en euros ou dans la devise d’un État membre n’appartenant pas à la zone euro.»

Explication Afin de garantir une large protection des utilisateurs des services de paiement, les dispositions relatives à la transparence et à la date de valeur du crédit, ainsi que celles relatives aux droits et obligations liés à la prestation et à l’utilisation de services de paiement devraient s’appliquer aux opérations de paiement pour lesquelles un seul des prestataires de services de paiement est situé dans l’Union, en ce qui concerne les parties de l’opération de paiement qui sont effectuées dans l’Union.

Modification 10

Article 4, paragraphe 32

«32. “service d’initiation de paiement”: un service de paiement permettant l’accès à un compte de paiement fourni par un prestataire de services de paiement tiers, dans le cadre duquel le payeur peut intervenir activement dans l’initiation du paiement ou le logiciel du prestataire de service de paiement tiers, ou dans le cadre duquel des instruments de paiement peuvent être utilisés par le payeur ou par le bénéficiaire pour transmettre les coordonnées du payeur au prestataire de services de paiement gestionnaire du compte;» «32. “service d’initiation de paiement”: un service de paiement permettant l’accès d’initier un ordre à un compte de paiement fourni donné par un prestataire de services de paiement tiers, à la demande du payeur, concernant un compte détenu auprès d’un autre dans le cadre duquel le payeur peut intervenir activement dans l’initiation du paiement ou le logiciel du prestataire de service de paiement tiers, ou dans le cadre duquel des instruments de paiement peuvent être utilisés par le payeur ou par le bénéficiaire pour transmettre les coordonnées du payeur au prestataire de services de paiement gestionnaire du compte;»

Explication La définition doit rester aussi simple et souple que possible de manière à couvrir les solutions futures. Elle ne devrait pas comporter d’exigences relatives à des technologies particulières ni de références à celles-ci.

Modification 11

Article 4, paragraphe 33

«33. “service d’information sur les comptes”: un service de paiement consistant à fournir à un utilisateur de services de paiement des informations consolidées et faciles à exploiter concernant un ou plusieurs comptes de paiement qu’il détient auprès d’un ou plusieurs prestataires de services de paiement gestionnaires de comptes.» «33. “service d’information sur les comptes”: un service de paiement fourni par un prestataire de services de paiement tiers consistant à communiquer fournir à un utilisateur de services de paiement des informations consolidées et faciles à exploiter concernant un ou plusieurs comptes de paiement qu’il que l’utilisateur de services de paiement détient auprès d’un ou plusieurs autres prestataires de services de paiement gestionnaires de comptes.»

Explication La définition doit rester aussi simple et souple que possible de manière à couvrir les solutions futures. Elle ne devrait pas comporter d’exigences relatives à des technologies particulières ni de références à celles-ci.

Modification 12

Article 4, paragraphes 39 à 43 (nouveaux)

Pas de texte. «39. “acquisition d’opérations de paiement”: un service de paiement fourni par un prestataire de services de paiement lié par un contrat à un bénéficiaire afin d’accepter et de traiter les opérations de paiement de ce dernier initiées par un instrument de paiement du payeur; le service pourrait comprendre la fourniture, au bénéficiaire, de services d’authentification, d’autorisation et d’autres services liés à la gestion des flux financiers, que le prestataire de services de paiement détienne ou non les fonds pour le compte du bénéficiaire; 40. “émission d’instruments de paiement”: un service de paiement pour lequel un prestataire de services de paiement fournit, directement ou indirectement, au payeur un instrument de paiement afin d’initier, de traiter et de régler les opérations de paiement de ce dernier; 41. “virement”, un service de paiement national ou transfrontalier fourni par le prestataire de services de paiement qui détient le compte de paiement d’un payeur, visant à créditer, sur la base d’une instruction donnée par le payeur, le compte de paiement d’un bénéficiaire par une opération ou une série d’opérations de paiement, réalisées à partir du compte de paiement du payeur; 42. “paiement transfrontalier”, une opération de paiement traitée électroniquement initiée par un payeur ou par l’intermédiaire d’un bénéficiaire lorsque le prestataire de services de paiement du payeur et celui du bénéficiaire sont situés dans des États membres différents; 43. “paiement national”, une opération de paiement traitée électroniquement initiée par un payeur ou par l’intermédiaire d’un bénéficiaire lorsque le prestataire de services de paiement du payeur et celui du bénéficiaire sont situés dans le même État membre».

Il convient d’ajouter les définitions d’une «émission d’instruments de paiement» et d’une «acquisition d’opérations de paiement» afin de garantir que tous les prestataires intervenant dans des services de paiement soient soumis à la directive proposée, conformément aux dispositions de l’annexe I. Ces définitions devraient être cohérentes avec celles de la proposition de règlement du Parlement européen et du Conseil relatif aux commissions d’interchange pour les opérations de paiement liées à une carte [COM(2013) 550/3]; 2013/0265. Elles devraient comprendre une définition du «virement», étant donné qu’il s’agit d’un des principaux instruments de paiement de la proposition de règlement susmentionnée. La définition ajoutée est conforme à celle du règlement SEPA. L’ajout de définitions pour les concepts de «paiement transfrontalier» et de «paiement national» devrait apporter une plus grande clarté.

Modification 13

Article 9, paragraphe 1, phrase introductive

«1. Les États membres ou les autorités compétentes exigent qu’un établissement de paiement qui fournit un service de paiement et qui, parallèlement, exerce d’autres activités visées à l’article 17, paragraphe 1, point c), protège, de l’une des façons suivantes, l’ensemble des fonds qui ont été reçus soit des utilisateurs de services de paiement, soit par le biais d’un autre prestataire de services de paiement pour l’exécution d’opérations de paiement:» «1. Les États membres ou les autorités compétentes exigent qu’un établissement de paiement qui fournit un service de paiement et qui, parallèlement, exerce d’autres activités visées à l’article 17, paragraphe 1, point c), protège, de l’une des façons suivantes, l’ensemble des fonds qui ont été reçus soit des utilisateurs de services de paiement, soit par le biais d’un autre prestataire de services de paiement pour l’exécution d’opérations de paiement:»

Explication Conformément à l’objectif d’harmonisation des exigences en matière de protection des fonds, la BCE suggère une rédaction différente afin de garantir que les fonds des utilisateurs de services de paiement soient dûment protégés pour tous les établissements de paiement, que ces derniers exercent ou non d’autres activités.

Modification 14

Article 12, paragraphe 1

«1. Les autorités compétentes ne peuvent retirer l’agrément accordé à un établissement de paiement que lorsque celui-ci se trouve dans l’une des situations suivantes: […] c) il ne remplit plus les conditions d’octroi de l’agrément ou omet d’informer l’autorité compétente de changements majeurs à ce sujet;» «1. Les autorités compétentes ne peuvent retirer l’agrément accordé à un établissement de paiement que lorsque celui-ci se trouve dans l’une des situations suivantes: […] c) il ne remplit plus les conditions d’octroi de l’agrément ou omet d’informer l’autorité compétente de changements majeurs à ce sujet ou de fournir des déclarations statistiques exactes;»

Explication Il est essentiel de fournir des informations statistiques exactes afin de suivre le risque lié aux établissements de paiement.

Modification 15

Article 25, paragraphe 2

«2. En outre, chaque État membre autorise l’échange d’informations entre ses autorités compétentes et: a) les autorités compétentes d’autres États membres chargées de l’agrément et de la surveillance des établissements de paiement; b) la Banque centrale européenne et les banques centrales nationales des États membres, agissant en qualité d’autorités monétaires et de surveillance et, le cas échéant, d’autres autorités publiques chargées de la surveillance des systèmes de paiement et de règlement; c) d’autres autorités compétentes désignées en vertu de la présente directive, de la directive 2005/60/CE et d’autres dispositions de l’Union applicables aux prestataires de services de paiement, comme les dispositions en matière de blanchiment de capitaux et de financement du terrorisme; d) l’ABE, dans le cadre du rôle lui incombant de contribuer au fonctionnement cohérent des mécanismes de surveillance, tel que visé à l’article 1er, paragraphe 5, point a), du règlement (UE) no 1093/2010.» «2. En outre, chaque État membre autorise l’échange d’informations entre ses autorités compétentes et: a) les autorités compétentes d’autres États membres chargées de l’agrément et de la surveillance prudentielle des établissements de paiement; b) la Banque centrale européenne et les banques centrales nationales des États membres, agissant en qualité d’autorités monétaires et de surveillance et, le cas échéant, d’autres autorités publiques chargées de la surveillance des systèmes de paiement et de règlement; c) d’autres autorités compétentes désignées en vertu de la présente directive, de la directive 2005/60/CE et d’autres dispositions de l’Union applicables aux prestataires de services de paiement, comme les dispositions en matière de blanchiment de capitaux et de financement du terrorisme; d) l’ABE, dans le cadre du rôle lui incombant de contribuer au fonctionnement cohérent des mécanismes de surveillance, tel que visé à l’article 1er, paragraphe 5, point a), du règlement (UE) no 1093/2010 et, s’il y a lieu; e) Europol, en sa qualité d’agence de l’Union en matière répressive chargée d’assister les autorités de police compétentes des États membres et de coordonner une approche commune entre ces autorités en luttant contre la criminalité organisée et les autres formes graves de criminalité et de terrorisme, y compris le faux‐monnayage, la contrefaçon de l’euro et des autres moyens de paiement.»

Explication Il convient d’ajouter Europol, une autorité avec laquelle les autorités compétentes devraient pouvoir partager des informations étant donné ses compétences et son savoir-faire en matière d’enquête et de coordination, à l’échelle de l’Union, pour la lutte contre la contrefaçon de l’euro, le faux-monnayage et d’autres crimes graves concernant des moyens de paiement. Voir l’annexe de la décision 2009/371/JAI du Conseil (3).

Modification 16

Article 27, paragraphe 5, point a), (nouveau)

Pas de texte. «5. a) Les personnes physiques ou morales exerçant des activités visées au point 7 de l’annexe I ne devraient faire l’objet d’aucune dérogation.»

Explication Étant donné que les prestataires de services de paiement gestionnaires de compte doivent fournir un accès aux prestataires tiers, le fait d’autoriser ces derniers à bénéficier d’une dérogation aux exigences de surveillance prudentielle pourrait entraîner des risques inattendus. En outre, les services proposés par les prestataires tiers sont habituellement fournis par le biais d’internet et, par conséquent, ne se limitent pas à un seul État Membre. Pour ces motifs, les prestataires tiers ne devraient pas pouvoir bénéficier d’une dérogation.

Modification 17

Article 35, paragraphe 2

«2. S’agissant d’opérations de paiement nationales, les États membres ou leurs autorités compétentes peuvent réduire ou doubler les montants visés au paragraphe 1. Les États membres peuvent augmenter ces montants jusqu’à 500 EUR pour les instruments de paiement prépayés.» «2. S’agissant d’opérations de paiement nationales, les États membres ou leurs autorités compétentes peuvent réduire ou doubler les montants visés au paragraphe 1. Les États membres peuvent augmenter ces montants jusqu’à 500 EUR pour les instruments de paiement prépayés.»

Explication Pour les opérations de paiement nationales, c’est-à-dire celles qui ne sont pas transfrontalières, il ne semble pas nécessaire de permettre aux États membres ou à leurs autorités compétentes d’ajuster significativement les montants maximaux des paiements figurant à l’article 35, paragraphe 1, étant donné qu’est prévue une dérogation pour les instruments de paiement relatifs à des montants de faible valeur. De plus, en permettant un tel ajustement, on aboutirait à de très grandes divergences entre les systèmes nationaux de dérogation, ce qui n’est pas compatible avec l’objectif d’intégration et d’harmonisation du marché européen des paiements de détail.

Modification 18

Article 39

«d) s’il y a lieu, les frais perçus pour l’opération de paiement et, le cas échéant, la ventilation des montants de ces frais.» «d) s’il y a lieu, les frais perçus pour l’opération de paiement payables au prestataire de services de paiement tiers pour l’opération et, le cas échéant, la ventilation des montants de ces frais.»

Explication Cet ajout permet de préciser que pour les frais, les prestataires tiers pourront uniquement détailler leurs propres frais, et pas ceux prélevés par le prestataire de services de paiement gestionnaire du compte.

Modification 19

Article 40

«Lorsqu’un ordre de paiement est initié par le propre système du prestataire de services de paiement tiers, celui-ci, en cas de fraude ou de litige, met à la disposition du payeur et du prestataire de services de paiement gestionnaire du compte la référence des opérations et les informations relatives à l’autorisation.» «Lorsqu’un ordre de paiement est initié par le propre système du prestataire de services de paiement tiers, celui-ci, en cas de fraude ou de litige, met à la disposition du payeur et du prestataire de services de paiement gestionnaire du compte la référence des opérations et les informations relatives à l’autorisation la preuve que l’utilisateur a été authentifié conformément à l’article 58, paragraphe 2.»

Explication Comme les dispositifs de sécurité personnalisés ne devraient plus être partagés, le prestataire tiers, en cas de litige ou de fraude, doit prouver que a) le PSP a confirmé au prestataire tiers l’autorisation de l’opération ou que b) le client a été authentifié de façon incontestable à partir des dispositifs de sécurité personnalisés établis par le prestataire tiers.

Modification 20

Article 41

«Immédiatement après avoir reçu l’ordre de paiement, le prestataire de services de paiement du payeur fournit à celui-ci ou met à sa disposition, selon les modalités prévues à l’article 37, paragraphe 1, les données suivantes: […].» «Immédiatement après avoir reçu l’ordre de paiement, le prestataire de services de paiement gestionnaire du compte du payeur fournit à celui-ci au payeur ou met à sl a disposition de celui-ci, selon les modalités prévues à l’article 37, paragraphe 1, les données suivantes: […].»

Explication Cette modification permet de préciser que l’article vise uniquement les prestataires de services de paiement gestionnaires de compte, puisque les obligations des prestataires tiers sont déjà décrites à l’article 39. Cela concerne aussi bien les situations où interviennent des prestataires tiers que les services de paiement classiques.

Modification 21

Article 45, paragraphe 5, point g) (nouveau)

Pas de texte. «g) les informations, provenant du prestataire de services de paiement, concernant le droit de l’utilisateur de services de paiement au blocage de tout service d’initiation de paiement à partir de son compte ou à l’établissement de listes blanches ou noires de prestataires tiers.»

Explication Les utilisateurs de services de paiement ne pourront exercer leurs droits, définis dans le nouvel article 59 bis proposé, à un blocage des services d’initiation de paiement ou à l’établissement de listes blanches ou noires pour certains prestataires tiers, que s’ils sont informés en conséquence.

Modification 22

Article 54, paragraphe 1

«1. Lorsque l’utilisateur de services de paiement n’est pas un consommateur, cet utilisateur et le prestataire de services de paiement peuvent décider que l’article 55, paragraphe 1, l’article 57, paragraphe 3, ainsi que les articles 64, 66, 67, 68, 71 et 80 ne s’appliquent pas, en tout ou en partie. Ils peuvent également convenir d’un délai différent de celui prévu à l’article 63.» «1. Lorsque l’utilisateur de services de paiement n’est pas un consommateur, cet utilisateur et le prestataire de services de paiement peuvent décider que l’article 55, paragraphe 1, l’article 57, paragraphe 3, ainsi que les articles 59, 64, 66, 67, 68, 71 et 80 ne s’appliquent pas, en tout ou en partie. Ils peuvent également convenir d’un délai différent de celui prévu à l’article 63.»

Explication Voir l’explication de la modification 26.

Modification 23

Article 56, paragraphe 2

«2. S’agissant d’opérations de paiement nationales, les États membres ou leurs autorités compétentes peuvent réduire ou doubler les montants visés au paragraphe 1. Ils peuvent les augmenter jusqu’à 500 EUR pour les instruments de paiement prépayés.» «2. S’agissant d’opérations de paiement nationales, les États membres ou leurs autorités compétentes peuvent réduire ou doubler les montants visés au paragraphe 1. Ils peuvent les augmenter jusqu’à 500 EUR pour les instruments de paiement prépayés.»

Explication Pour les opérations de paiement nationales, c’est-à-dire celles qui ne sont pas transfrontalières, il ne semble pas nécessaire de permettre aux États membres ou à leurs autorités compétentes d’ajuster significativement les montants maximaux des paiements figurant à l’article 56, paragraphe 1, étant donné qu’est prévue une dérogation pour les instruments de paiement relatifs à des montants de faible valeur. De plus, en permettant un tel ajustement, on aboutirait à de très grandes divergences entre les systèmes nationaux de dérogation, ce qui n’est pas compatible avec l’objectif d’intégration et d’harmonisation du marché européen des paiements de détail.

Modification 24

Article 58

«1. Les États membres font en sorte qu’un payeur ait le droit de s’adresser à un prestataire de services de paiement tiers pour obtenir des services de paiement fondés sur un accès aux comptes de paiement au sens du point 7 de l’annexe I. 2. Lorsqu’un prestataire de services de paiement tiers a été autorisé par le payeur à fournir des services de paiement en application du paragraphe 1 du présent article, il est tenu aux obligations suivantes: a) veiller à ce que les dispositifs de sécurité personnalisés de l’utilisateur de services de paiement ne soient pas accessibles à d’autres parties; b) s’authentifier lui-même de manière non équivoque à l’égard du (des) prestataire(s) de services de paiement du titulaire du compte. c) ne stocker ni les données sensibles en matière de paiements ni les certificats de sécurité personnalisés de l’utilisateur de services de paiement. 3. Dans le cas où, pour un service d’initiation de paiement, le prestataire de services de paiement gestionnaire du compte a reçu l’ordre de paiement émanant du payeur par l’intermédiaire d’un prestataire de services de paiement tiers, il confirme immédiatement à ce dernier la réception de l’ordre de paiement et l’informe sur la disponibilité des fonds nécessaires à l’opération de paiement considérée. 4. Les prestataires de services de paiement gestionnaires de comptes traitent les ordres de paiement transmis par un prestataire de services de paiement tiers sans aucune discrimination, autre que fondée sur des raisons objectives, en termes de délai et de priorité par rapport aux ordres de paiement transmis directement par le payeur lui-même.» «1. Les États membres font en sorte qu’un payeur utilisateur de services de paiement ait le droit de s’adresser à un prestataire de services de paiement tiers pour obtenir des services de paiement fondés sur un accès aux comptes de paiement au sens du point 7 de l’annexe I. 2. Lorsqu’un prestataire de services de paiement tiers a été autorisé par le payeur l’utilisateur de services de paiement à fournir des services de paiement en application du paragraphe 1 du présent article, il est tenu aux obligations suivantes: a) veiller à ce que les dispositifs de sécurité personnalisés de l’utilisateur de services de paiement ne soient pas accessibles à d’autres parties l’authentification forte du client pour l’initiation des paiements ou l’accès aux informations sur le compte, en: i) redirigeant de façon sécurisée l’utilisateur de services de paiement vers son prestataire de services de paiement gestionnaire du compte pour cette authentification; ou en ii) établissant ses propres dispositifs de sécurité personnalisés pour cette authentification. Le prestataire de services de paiement tiers n’est pas autorisé à se procurer les dispositifs de sécurité personnalisés de l’utilisateur de services de paiement établis par le prestataire de services de paiement gestionnaire du compte; b) s’authentifier lui-même de manière non équivoque à l’égard du (des) prestataire(s) de services de paiement du titulaire du compte de l’utilisateur de services de paiement; c) ne pas stocker ni les données sensibles en matière de paiements ni les certificats de sécurité personnalisés de l’utilisateur de services de paiement obtenues lors de l’accès au compte de paiement des utilisateurs de services de paiement, hormis les informations destinées à l’identification d’un paiement initié par le prestataire de services de paiement tiers, telles que le numéro de référence, l’IBAN du payeur et du bénéficiaire, le montant de l’opération, d’autres informations de référence et les informations sur le système de règlement, et ne pas utiliser des données à d’autres fins que celles explicitement spécifiées par l’utilisateur de services de paiement. 3. Les États Membres garantissent que les prestataires de services de paiement gestionnaires de comptes fournissent des installations afin de recevoir les ordres de paiement provenant de prestataires de services de paiement tiers et d’accepter la redirection visée au paragraphe 2 du présent article. 4.3. Dans le cas où, pour un service d’initiation de paiement, l’ordre de paiement est transmis par l’intermédiaire d’un prestataire de services de paiement tiers, le prestataire de services de paiement gestionnaire du compte a reçu l’ordre de paiement émanant du payeur par l’intermédiaire d’un prestataire de services de paiement tiers, il confirme immédiatement à ce dernier au prestataire de services de paiement tiers la réception transmission de l’ordre de paiement et l’informe sur la disponibilité des fonds nécessaires à l’opération de paiement considérée. 5.4. Les prestataires de services de paiement gestionnaires de comptes traitent les ordres de paiement transmis par un prestataire de services de paiement tiers sans aucune discrimination, autre que fondée sur des raisons objectives, en termes de délai et de priorité par rapport aux ordres de paiement transmis directement par le payeur lui‐même. 6. Les États membres veillent à ce que les prestataires de services de paiement gestionnaires de comptes proposent, lorsqu’elle est disponible, une interface normalisée sécurisée pour les services de paiement tiers fondés sur un accès aux comptes de paiement. La norme européenne devrait se fonder sur une directive définie par l’ABE dans un délai de […] après l’entrée en vigueur de la présente directive, en collaboration étroite avec la BCE, et comporter, au moins, des spécifications techniques et fonctionnelles pour la transmission d’un ordre de paiement entre le prestataire de services de paiement gestionnaire du compte et le prestataire de services de paiement tiers conformément au paragraphe 2, point a) i), et pour l’authentification non équivoque du prestataire de services de paiement tiers tel qu’indiqué au paragraphe 2, point b).»

Un des principes de base de la sécurité informatique consiste à ne partager avec aucun tiers les certificats de sécurité utilisés pour authentifier l’utilisateur de services de paiement. Par conséquent, les prestataires tiers devraient garantir une authentification forte des clients, soit a) en redirigeant de façon sécurisée l’utilisateur de services de paiement vers son prestataire de services de paiement gestionnaire de compte; soit b) en établissant leurs propres dispositifs de sécurité personnalisés. Les deux options devraient faire partie de l’interface technique normalisée européenne permettant l’accès au compte de paiement. Cette interface normalisée sécurisée permettant aux prestataires de services tiers d’accéder aux informations sur les comptes de paiement devrait se fonder sur une norme européenne ouverte et permettre, dès la transposition de la proposition, à tout prestataire tiers d’accéder aux comptes de paiement de tout prestataire de services de paiement dans l’ensemble de l’Union. Il conviendrait que cette interface soit définie, peu de temps après l’adoption de la directive proposée, par l’ABE en collaboration étroite avec la BCE, et qu’elle comporte au moins des spécifications techniques et fonctionnelles, ainsi que les procédures y afférentes. De plus, il conviendrait que les prestataires de services tiers: a) protègent les dispositifs de sécurité personnalisés établis par l’utilisateur de services de paiement; b) s’authentifient de façon non équivoque à l’égard du (des) prestataire(s) de services de paiement gestionnaire(s) du compte de l’utilisateur de services de paiement; c) ne stockent pas des données obtenues lors de l’accès aux comptes de paiement des utilisateurs de services de paiement, hormis les informations nécessaires à l’identification d’un paiement initié par des prestataires tiers, telles que le numéro de référence, l’IBAN du payeur et du bénéficiaire, le montant de l’opération; et d) n’utilisent pas des données à d’autres fins que celles explicitement spécifiées par le payeur.

Modification 25

Article 59

«Article 59 Accès des émetteurs tiers d’instruments de paiement aux données des comptes de paiement et utilisation de ces données par ces émetteurs 1. Les États membres font en sorte qu’un payeur ait le droit de s’adresser à un émetteur tiers d’instruments de paiement pour obtenir des services de cartes de paiement. 2. Si le payeur a donné son consentement à ce qu’un émetteur tiers d’instruments de paiement qui lui a fourni un instrument de paiement obtienne des informations sur la disponibilité des fonds nécessaires à une opération de paiement donnée sur un compte de paiement donné détenu par le payeur, le prestataire de services de paiement gestionnaire de ce compte fournit ces informations à l’émetteur tiers d’instruments de paiement dès réception de l’ordre de paiement émanant du payeur. 3. Les prestataires de services de paiement gestionnaires de comptes traitent les ordres de paiement transmis par un émetteur tiers d’instruments de paiement sans aucune discrimination, autre que fondée sur des raisons objectives, en termes de délai et de priorité par rapport aux ordres de paiement transmis directement par le payeur lui‐même.» « Article 59 Accès des émetteurs tiers d’instruments de paiement aux données des comptes de paiement et utilisation de ces données par ces émetteurs 1. Les États membres font en sorte qu’un payeur ait le droit de s’adresser à un émetteur tiers d’instruments de paiement pour obtenir des services de cartes de paiement. 2. Si le payeur a donné son consentement à ce qu’un émetteur tiers d’instruments de paiement qui lui a fourni un instrument de paiement obtienne des informations sur la disponibilité des fonds nécessaires à une opération de paiement donnée sur un compte de paiement donné détenu par le payeur, le prestataire de services de paiement gestionnaire de ce compte fournit ces informations à l’émetteur tiers d’instruments de paiement dès réception de l’ordre de paiement émanant du payeur. 3. Les prestataires de services de paiement gestionnaires de comptes traitent les ordres de paiement transmis par un émetteur tiers d’instruments de paiement sans aucune discrimination, autre que fondée sur des raisons objectives, en termes de délai et de priorité par rapport aux ordres de paiement transmis directement par le payeur lui-même.»

Explication Les dispositions du présent article concernant l’accès aux et l’utilisation des données des comptes de paiement par des prestataires tiers émettant des instruments de paiement, par exemple des cartes de paiement, sont identiques, sur le fond, à celles de l’article 58 régissant l’accès aux et l’utilisation des données des comptes de paiement par les prestataires des services de paiement tiers. Par conséquent, l’article 59 pourrait être supprimé sans risque d’insécurité juridique pour les prestataires de services de paiement et pour les payeurs utilisant leurs services.

Modification 26

Article 59 (nouveau)

Pas de texte. «Article 59. Le payeur doit avoir le droit: i) d’ordonner à son prestataire de services de paiement gestionnaire de compte de bloquer tout service d’initiation de paiement à partir du compte de paiement du payeur; ii) de bloquer tout service d’initiation de paiement initié par un ou plusieurs prestataires de services de paiement tiers spécifiés; ou iii) de n’autoriser que des services d’initiation de paiement initiés par un ou plusieurs prestataires de services de paiement tiers spécifiés.»

Explication Conformément aux dispositions relatives à la protection des consommateurs et aux mesures de protection des utilisateurs de services de paiement figurant au considérant 13 et dans l’article 5, paragraphe 3, point d) iii), du règlement SEPA, et afin de garantir la cohérence juridique, il convient d’ajouter un nouvel article accordant aux utilisateurs de services de paiement le droit d’ordonner à leurs prestataires de services de paiement de dresser de façon spécifique des listes blanches ou noires de prestataires tiers. Cependant, cette disposition ne devrait pas s’appliquer à d’autres utilisateurs de paiement que les consommateurs (voir la modification 22). Comme les instructions doivent venir du payeur, cette disposition ne devrait pas prévoir un blocage généralisé par défaut ni l’introduction d’un blocage généralisé des prestataires tiers dans les conditions générales ou les contrats d’un prestataire de services de paiement.

Modification 27

Article 65, paragraphe 2

«2. Lorsqu’un prestataire de services de paiement tiers intervient, le prestataire de services de paiement gestionnaire du compte rembourse le montant de l’opération de paiement non autorisée et, le cas échéant, rétablit le compte de paiement débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. Une indemnisation financière du prestataire de services de paiement gestionnaire du compte par le prestataire de services de paiement tiers peut s’appliquer.» «2. Lorsqu’un prestataire de services de paiement tiers intervient, le prestataire de services de paiement gestionnaire du compte rembourse le montant de l’opération de paiement non autorisée et, le cas échéant, rétablit le compte de paiement débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. Une indemnisation financière du prestataire de services de paiement gestionnaire du compte par le prestataire de services de paiement tiers peut s’appliquer est prévue conformément à l’article 82.»

Explication En ce qui concerne la protection des consommateurs, il est naturel que le payeur se tourne vers le prestataire de services de paiement gestionnaire du compte en vue d’un remboursement, étant donné qu’il ne noue une relation avec le prestataire tiers que de façon ponctuelle, par exemple pour initier un paiement. Le prestataire de services de paiement gestionnaire du compte pourrait alors demander une indemnisation au prestataire tiers, sauf si ce dernier peut prouver qu’il n’était pas responsable de l’erreur. Pour le prestataire tiers, l’indemnisation devrait suivre les mêmes règles qu’en cas d’inexécution, de mauvaise exécution ou d’exécution tardive d’une opération de paiement conformément à l’article 80 ainsi qu’un droit de recours conformément à l’article 82. Une telle indemnisation est par exemple possible lorsque le prestataire tiers a créé ses propres dispositifs de sécurité, par exemple pour une carte de paiement.

Modification 28

Article 66, paragraphe 1

«1. Par dérogation à l’article 65, le payeur peut être tenu de supporter, jusqu’à concurrence de 50 EUR, les pertes liées à toute opération de paiement non autorisée consécutive à l’utilisation d’un instrument de paiement perdu ou volé ou au détournement d’un instrument de paiement. Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou du fait qu’il n’a pas satisfait, intentionnellement ou à la suite d’une négligence grave, à une ou plusieurs des obligations qui lui incombent en vertu de l’article 61. Dans ce cas, le montant maximal visé au paragraphe 1 du présent article ne s’applique pas. Pour les paiements effectués au moyen d’une technique de communication à distance, lorsque le prestataire de services de paiement n’exige pas une authentification forte du client, le payeur ne supporte d’éventuelles conséquences financières que s’il a agi frauduleusement. Lorsque le bénéficiaire ou son prestataire de services de paiement n’accepte pas une authentification forte du client, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur.» «1. Par dérogation à l’article 65, le payeur peut être tenu de supporter, jusqu’à concurrence de 50 EUR, les pertes liées à toute opération de paiement non autorisée consécutive à l’utilisation d’un instrument de paiement perdu ou volé ou au détournement d’un instrument de paiement. Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou du fait qu’il n’a pas satisfait, intentionnellement ou à la suite d’une négligence grave, à une ou plusieurs des obligations qui lui incombent en vertu de l’article 61. Dans ce cas, le montant maximal visé au paragraphe 1 du présent article ne s’applique pas. Pour les paiements effectués au moyen d’une technique de communication à distance, l Lorsque le prestataire de services de paiement n’exige pas une authentification forte du client, le payeur ne supporte d’éventuelles conséquences financières que s’il a agi frauduleusement. Lorsque le bénéficiaire ou son prestataire de services de paiement n’accepte pas une authentification forte du client, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur.»

Explication Il devrait être garanti aux consommateurs une protection similaire quel que soit le moyen utilisé pour initier le paiement.

Modification 29

Article 67, paragraphe 1

«1. Les États membres veillent à ce qu’un payeur ait droit au remboursement par son prestataire de services de paiement d’une opération de paiement autorisée initiée par ou via le bénéficiaire qui a déjà été exécutée, pour autant que les conditions suivantes soient remplies: […] En cas de prélèvement, le payeur jouit d’un droit à remboursement inconditionnel dans les délais fixés à l’article 68, sauf si le bénéficiaire a déjà rempli ses obligations contractuelles et que le payeur a déjà reçu les services ou consommé les marchandises concernées. Le bénéficiaire a la charge de prouver, à la demande du prestataire de services de paiement, que les conditions visées au troisième alinéa sont remplies.» «1. Les États membres veillent à ce qu’un payeur ait droit au remboursement par son prestataire de services de paiement d’une opération de paiement autorisée initiée par ou via le bénéficiaire qui a déjà été exécutée, pour autant que les conditions suivantes soient remplies: […] En cas de prélèvement, le payeur jouit d’un droit à remboursement inconditionnel dans les délais fixés à l’article 68, sauf si le bénéficiaire a déjà rempli ses obligations contractuelles et que le payeur a déjà reçu les services ou consommé les marchandises concernées. Toutefois, la Commission peut établir, au moyen d’actes délégués, une liste exhaustive des biens et services pouvant être fournis qui sont concernés par un prélèvement sans droit à remboursement. Le payeur et le bénéficiaire doivent donner séparément leur accord à un prélèvement sans droit à remboursement pour des biens et services figurant sur cette liste et mentionner clairement, dans le mandat, l’absence d’un droit à remboursement inconditionnel. Le bénéficiaire a la charge de prouver, à la demande du prestataire de services de paiement, que les conditions visées au troisième alinéa sont remplies.»

Explication Faire dépendre les droits au remboursement de l’achat sous-jacent soulève des questions concernant le respect de la vie privée, mais également concernant l’efficacité et les coûts. Selon toute probabilité, l’adoption de cette proposition signifierait qu’il ne serait plus accordé les droits au remboursement illimité prévus par le système actuel de prélèvement SEPA, si bien que les consommateurs bénéficieraient de conditions moins favorables. La BCE suggère d’instaurer, comme règle générale, un droit inconditionnel au remboursement, pour tous les prélèvements des consommateurs, pendant une période de huit semaines. Pour les biens ou services de la liste destinés à une consommation immédiate, les débiteurs et les créanciers pourraient expressément convenir, de façon séparée, de l’inapplication des droits au remboursement. La Commission pourrait dresser une telle liste au moyen d’un acte délégué.

Modification 30

Article 82, paragraphe 1

«1. Lorsque la responsabilité d’un prestataire de services de paiement au titre de l’article 80 est imputable à un autre prestataire de services de paiement ou à un intermédiaire, cet autre prestataire de services de paiement ou cet intermédiaire indemnise le premier prestataire de services de paiement pour toutes pertes subies ou toutes sommes payées au titre de l’article 80. Cette indemnisation s’applique au cas où l’un des prestataires de services de paiement ne recourt pas à l’authentification forte du client.» «1. Lorsque la responsabilité d’un prestataire de services de paiement au titre de l’article 65 et de l’article 80 est imputable à un autre prestataire de services de paiement ou à un intermédiaire, cet autre prestataire de services de paiement ou cet intermédiaire indemnise le premier prestataire de services de paiement pour toutes pertes subies ou toutes sommes payées au titre de l’article 65 et de l’article 80. Cette indemnisation s’applique au cas où l’un des prestataires de services de paiement ne recourt pas à l’authentification forte du client.»

Explication Il convient de couvrir aussi les opérations de paiement non autorisées, en vertu du droit de recours. À des fins de clarté, il serait souhaitable de définir le terme «intermédiaire» dans la directive proposée.

Modification 31

Article 85

«Article 85 Exigences de sécurité et notification des incidents 1. Les prestataires de services de paiement sont soumis à la directive [directive SRI] et notamment aux exigences de ses articles 14 et 15 concernant la gestion des risques et la notification des incidents. 2. L’autorité désignée en vertu de l’article 6, paragraphe 1, de la directive [directive SRI] informe dans les meilleurs délais l’autorité compétente de l’État membre d’origine et l’ABE des notifications d’incidents SRI reçues de prestataires de services de paiement. 3. Dès réception de la notification, l’ABE en informe, s’il y a lieu, les autorités compétentes des autres États membres. 4. Outre les dispositions de l’article 14, paragraphe 4, de la directive [directive SRI], lorsque l’incident de sécurité risque d’avoir un impact sur les intérêts financiers des utilisateurs des services de paiement fournis par le prestataire de services de paiement, celui-ci notifie l’incident dans les meilleurs délais aux utilisateurs de services de paiement et il les informe des mesures qu’ils peuvent prendre de leur côté pour atténuer les effets dommageables de l’incident.» «Article 85 Exigences de sécurité et notification des incidents 1. Les prestataires de services de paiement sont soumis à la directive [directive SRI] et notamment aux exigences de ses articles 14 et 15 concernant la gestion des risques et la notification des incidents. Les prestataires de services de paiement instaurent un cadre comportant des mesures d’atténuation et des mécanismes de contrôle appropriés pour gérer les risques opérationnels, y compris les risques de sécurité, liés aux services de paiement qu’ils fournissent. Conformément à ce cadre, les prestataires de services de paiement définissent et tiennent à jour des procédures efficaces de gestion des incidents, prévoyant notamment le classement des incidents majeurs. 2. L’autorité désignée en vertu de l’article 6, paragraphe 1, de la directive [directive SRI] informe dans les meilleurs délais l’autorité compétente de l’État membre d’origine et l’ABE des notifications d’incidents SRI reçues de prestataires de services de paiement. En cas d’incident opérationnel majeur, ce qui comprend les incidents de sécurité, les prestataires de services de paiement notifient l’incident dans les meilleurs délais à l’autorité compétente de l’État membre d’origine tel que défini dans la présente directive. 3. Dès réception de la notification, l’ABE en informe, s’il y a lieu, les l’autorités compétentes des autres États membres de l’État membre d’origine tel que défini dans la présente directive évalue l’importance de l’incident pour les autres autorités et, en fonction de cette évaluation, communique les détails pertinents de la notification de l’incident à l’ABE et à la Banque centrale européenne. 4. Dès réception de la notification, l’ABE en informe les autorités compétentes des autres États membres conformément à la présente directive. La BCE informe le SEBC des questions importantes concernant les systèmes et instruments de paiement. 5. 4. Outre les dispositions de l’article 14, paragraphe 4, de la directive [directive SRI], l Lorsque l’incident de sécurité risque d’avoir un impact sur les intérêts financiers des utilisateurs des services de paiement fournis par le prestataire de services de paiement, celui-ci notifie l’incident dans les meilleurs délais aux utilisateurs de services de paiement et il les informe des mesures qu’ils peuvent prendre de leur côté pour atténuer les effets dommageables de l’incident. 6. Avant le [insérer la date], l’ABE, en collaboration étroite avec la BCE, émet des orientations conformément à la procédure prévue à l’article [insérer le numéro] de la directive [insérer le numéro de la directive], pour les prestataires de services de paiement, concernant le classement des incidents majeurs visés au paragraphe 1, le contenu, le format et les procédures des notifications d’incidents visées au paragraphe 2, et, pour les autorités compétentes en vertu de la présente directive, concernant les critères visant à évaluer quelles notifications d’incidents sont pertinentes pour les autres autorités et quels détails des rapports d’incident doivent être communiqués aux autres autorités. 7. L’ABE, en étroite collaboration avec la BCE, réexamine les orientations visées au paragraphe 6 à intervalles réguliers, et au moins tous les deux ans. 8. Lorsque l’ABE émet et réexamine les orientations visées au paragraphe 6, elle peut prendre en compte l’acte d’exécution de la Commission, conformément à l’article 14, paragraphe 7, de la directive [directive SRI], ainsi que les normes ou spécifications élaborées et publiées par l’Agence européenne chargée de la sécurité des réseaux et de l’information pour des secteurs exerçant d’autres activités que la fourniture de services de paiement.»

Explication Les autorités de surveillance prudentielle et le SEBC sont compétents pour émettre des orientations concernant la gestion et les notifications des incidents pour les prestataires de services de paiement ainsi que des orientations concernant la communication des notifications entre les autorités concernées. Il convient d’éviter de placer les prestataires de services de paiement dans le champ d’application de la directive SRI, car cela pourrait interférer avec les missions des autorités de surveillance prudentielle et des banques centrales. Cependant, il pourrait être tenu compte des orientations élaborées par l’ENISA pour d’autres secteurs ainsi que des exigences qui doivent être définies dans l’acte d’exécution de la Commission conformément à l’article 14, paragraphe 7, de la proposition de directive SRI, afin de garantir un niveau de cohérence suffisant entre les textes législatifs des différents secteurs. L’obligation d'émettre des orientations concernant le classement et la notification des incidents est en rapport étroit avec les exigences prévues au présent article. Il est donc proposé d’intégrer cette obligation dans le présent article plutôt que dans l’article 86.

Modification 32

Article 86

«Article 86 Mise en œuvre et informations à fournir 1. Les États membres veillent à ce que les prestataires de services de paiement fournissent sur une base annuelle à l’autorité désignée en vertu de l’article 6, paragraphe 1, de la directive [directive SRI] des informations actualisées sur l’évaluation des risques opérationnels et de sécurité liés aux services de paiement qu’ils fournissent et sur le caractère adéquat des mesures d’atténuation et des mécanismes de contrôle mis en œuvre pour faire face à ces risques. L’autorité désignée en vertu de l’article 6, paragraphe 1, de la directive [directive SRI] transmet dans les meilleurs délais une copie de ces informations à l’autorité compétente de l’État membre d’origine. 2. Sans préjudice des articles 14 et 15 de la directive [directive SRI], l’ABE élabore, en étroite collaboration avec la BCE, des orientations concernant l’établissement, l’application et le suivi des mesures de sécurité, y compris, le cas échéant, des procédures de certification. L’ABE tient compte, notamment, des normes et/ou spécifications publiées par la Commission en vertu de l’article 16, paragraphe 2, de la directive [directive SRI]. 3. L’ABE, en étroite collaboration avec la BCE, réexamine ces orientations à intervalles réguliers, et au moins tous les deux ans. 4. Sans préjudice des articles 14 et 15 de la directive [directive SRI], l’ABE publie des orientations visant à faciliter la qualification des incidents majeurs par les prestataires de services de paiement et à préciser les circonstances dans lesquelles un établissement de paiement est tenu de notifier un incident de sécurité. Ces orientations sont publiées au plus tard le (insérer la date - deux ans à compter de la date d’entrée en vigueur de la présente directive).» «Article 86 Mise en œuvre et informations à fournir 1. Les États membres veillent à ce que les prestataires de services de paiement fournissent sur une base annuelle à l’autorité compétente en vertu de la présente directive désignée en vertu de l’article 6, paragraphe 1, de la directive [directive SRI] des informations actualisées sur l’évaluation des risques opérationnels et de sécurité liés aux services de paiement qu’ils fournissent et sur le caractère adéquat des mesures d’atténuation et des mécanismes de contrôle mis en œuvre pour faire face à ces risques. L’autorité désignée en vertu de l’article 6, paragraphe 1, de la directive [directive SRI] transmet dans les meilleurs délais une copie de ces informations à l’autorité compétente de l’État membre d’origine. 2. Sans préjudice des articles 14 et 15 de la directive [directive SRI], l’ L’ABE élabore, en étroite collaboration avec la BCE, des orientations concernant l’établissement, l’application et le suivi des mesures de sécurité, y compris, le cas échéant, des procédures de certification. L’ABE tient compte, notamment, des normes et/ou spécifications publiées par la Commission en vertu de l’article 16, paragraphe 2, de la directive [directive SRI]. 3. L’ABE, en étroite collaboration avec la BCE, réexamine ces orientations à intervalles réguliers, et au moins tous les deux ans. 4. L’ABE coordonne le partage d’informations, en ce qui concerne les risques opérationnels et de sécurité liés aux services de paiement, avec les autorités compétentes en vertu de la présente directive, la BCE, les autorités compétentes en vertu de la directive SRI et, s’il y a lieu, l’ENISA. Sans préjudice des articles 14 et 15 de la directive [directive SRI], l’ABE publie des orientations visant à faciliter la qualification des incidents majeurs par les prestataires de services de paiement et à préciser les circonstances dans lesquelles un établissement de paiement est tenu de notifier un incident de sécurité. Ces orientations sont publiées au plus tard le (insérer la date - deux ans à compter de la date d’entrée en vigueur de la présente directive). »

Explication Les obligations de déclaration concernant les risques opérationnels et de sécurité devraient être définies et évaluées par les autorités de surveillance prudentielle et les banques centrales. Les informations peuvent être partagées avec l’ENISA ou les autorités compétentes en vertu de la directive SRI et avec l’ABE en tant qu’autorité compétente pour la coordination.

Modification 33

Article 87

«1. Les États membres veillent à ce qu’un prestataire de services de paiement applique l’authentification forte du client lorsque le payeur initie une opération de paiement électronique, sauf dérogation spécifique fondée sur le risque lié au service de paiement fourni, prévue par les orientations de l’ABE. La même obligation s’applique à un prestataire de services de paiement tiers qui initie une opération de paiement au nom du payeur. Lorsqu’un prestataire de services de paiement tiers agit au nom de l’utilisateur de services de paiement, le prestataire de services de paiement gestionnaire du compte lui permet de se fonder sur les méthodes d’authentification de ce dernier. 2. Lorsqu’un prestataire de services de paiement fournit des services visés au point 7 de l’annexe I, il s’authentifie lui-même auprès du prestataire de services de paiement gestionnaire de compte du titulaire du compte.» «1. Les États membres veillent à ce qu’un prestataire de services de paiement applique l’authentification forte du client lorsque le payeur initie une opération de paiement électronique, sauf dérogation spécifique fondée sur le risque lié au service de paiement fourni, prévue par les orientations de l’ABE. La même obligation s’applique à un prestataire de services de paiement tiers qui initie une opération de paiement au nom du payeur. Lorsqu’un prestataire de services de paiement tiers agit au nom de l’utilisateur de services de paiement, le prestataire de services de paiement gestionnaire du compte lui permet de se fonder sur les méthodes d’authentification de ce dernier. 2. Lorsqu’un prestataire de services de paiement fournit des services visés au point 7 de l’annexe I, il s’authentifie lui-même auprès du prestataire de services de paiement gestionnaire de compte du titulaire du compte.»

Explication Voir l’explication de la modification 24.

Modification 34

Article 89, paragraphe 5 (nouveau)

Pas de texte. «5. L’ABE, en étroite collaboration avec la BCE, émet des orientations à l’intention des autorités compétentes, conformément à l’article 16 du règlement (UE) no 1093/2010, concernant les procédures de réclamation à suivre pour garantir le respect des dispositions pertinentes en vertu de la présente directive, comme cela est énoncé au paragraphe 1 ci-dessus. Ces orientations sont publiées au plus tard le [insérer la date – deux ans à compter de la date d’entrée en vigueur de la présente directive] et régulièrement actualisées en tant que de besoin.»