Réponse publiée le 6 octobre 2020

Les dispositions sécuritaires de la seconde directive sur les services de paiement (DPS2), complétées par des normes techniques règlementaires (RTS) introduites dans le cadre d'un règlement délégué – entrées en application le 14 septembre 2019 – renforcent substantiellement la sécurité des services et des données de paiement, au bénéfice de l'ensemble des acteurs (clients, commerçants, prestataires de services de paiement). En matière d'authentification forte des paiements (« strong customer authentication » - SCA) par carte sur internet, ces nouvelles exigences de sécurité nécessitent des évolutions structurelles sur deux volets : 1. Le remplacement de la solution d'authentification, considérée jusqu'alors comme forte et mise en œuvre par les principaux établissements français dans le cadre des paiements par carte sur internet, à savoir la saisie des données de la carte et d'un code temporaire reçu par SMS, dont l'Autorité Bancaire Européenne a jugé dans un avis de juin 2018 qu'il ne pouvait constituer une solution d'authentification forte (strong customer authentication – SCA en anglais) conforme à la nouvelle réglementation,  par des techniques d'authentification forte pour les paiements par carte sur internet. 2. L‘évolution du protocole informatique « 3-D Secure », qui régit les échanges relatifs à l'authentification des paiements par carte sur internet ente les e-commerçants, les prestataires d'acceptation technique, la banque acquéreur et la banque émetteur. La version préexistante de ce protocole (« v.1 ») ne permet pas d'assurer les règles de responsabilité de la DSP2 (le choix de ne pas recourir à l'authentification forte doit désormais être validé par l'émetteur) et la gestion des exemptions d'authentification forte (notamment bénéficiaire de confiance, paiement de moins de 30 euros, paiement récurrent ou transaction à faible niveau risque), contrairement à la nouvelle version « 3-D Secure v.2 » en cours de déploiement.    Afin de favoriser un déploiement rapide et coordonné sur ces deux volets, l'Observatoire de la sécurité des moyens de paiement (OSMP) a élaboré un plan de migration cohérent avec l'échéance du 31 décembre 2020 fixée par l'Autorité bancaire européenne. Ce plan fait l'objet d'un pilotage par un groupe de travail institué au sein de l'OSMP, auquel participent de nombreux acteurs de place (banques, prestataires techniques et commerçants), la Banque de France, l'ACPR et la DG Trésor. Cette enceinte, qui se réunit à un rythme mensuel, assure un suivi périodique à la fois qualitatif et quantitatif de la migration de manière à pouvoir évaluer au plus près les progrès réalisés et à identifier les points de blocage éventuels. Les travaux évoluent de manière satisfaisante et laissent augurer une mise en œuvre de ces nouvelles obligations d'authentification permettant de respecter le cadre européen. Dans ces conditions, il n'est pas prévu de mettre à la charge des établissements bancaires ni des commerçants une obligation spécifique supplémentaire sur les paiements en ligne.