Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet PERSPECTIVES EUROPEENNES DE SECURISATION DES SERVICES DE PAIEMENT EN LIGNE Cathie-Rosalie JOLY Avocat au barreau de Paris - Docteur en droit

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet PERSPECTIVES EUROPEENNES DE SECURISATION DES SERVICES DE PAIEMENT EN LIGNE 1.Présentation générale du SEPA 2.Création du statut d’Etablissement de paiement 3.Définition des droits et obligations des utilisateurs et des prestataires de services de paiement

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet Le SEPA (Single Euro Payment Area) Plan européen destiné à créer un véritable espace unique des paiements en euros.  Résulte d’un constat :  L’Euro fiduciaire existe depuis 2002 mais insuffisant pour créer un espace unique du paiement  Prestation de service de paiement : le règne de la cacophonie  Entrave au développement au sein de l’Union européenne  Discrimination entre opérateurs selon qu’ils sont ou non Filiales d’Etblt de crédit.  Invoquer les Ppes des traités fondateurs CE Liberté d’Etblt => de manière stable et continue dans un ou plusieurs Etats mbres Libre prestation de services => de manière temporaire sans devoir y être établi Cpdt la Législation Nationale l’emporte si les restrictions sont justifiées :  Par des raisons impérieuses d’intérêt général, par exemple, pour des raisons d’ordre public, de sécurité publique ou de santé publique,  Et si elles sont proportionnées Présentation générale du SEPA

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet Le SEPA (Single Euro Payment Area) Plan européen destiné à créer un véritable espace unique des paiements en euros  Mise en oeuvre du SEPA  Coordination entre Secteur privé/Public  l’industrie est représentée par l’European Payments Council EPC  les autorités européennes et nationales.  Texte emblématique du côté législatif et règlementaire : La Proposition de Directive concernant les services de paiement dans le marché intérieur  publiée en décembre 2005  l’adoption initialement annoncée pour début 2007 souffre de retard. Présentation générale du SEPA

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet 1.Présentation générale du SEPA 2.Création du statut d’établissement de paiement 3.Définition des droits et obligations des utilisateurs et des prestataires de services de paiement PERSPECTIVES EUROPEENNES DE SECURISATION DES SERVICES DE PAIEMENT EN LIGNE

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet Création du statut d’Etablissement de paiement Art. 1 er de la proposition de directive arrête les règles selon lesquelles les États membres distinguent 4 catégories de prestataires de services de paiement : 1)les établissements de crédit au sens de la directive 2000/12/CE; 2)les établissements de monnaie électronique au sens de la directive 2000/46/CE; 3)les offices de chèques postaux, tels que visés à l’article 2, point 3, deuxième tiret, de la directive 2000/12/CE, qui sont habilités en droit national ou communautaire à fournir des services de paiement; 4)les autres personnes physiques ou morales qui, conformément à l’article 6 de la présente directive, ont obtenu un agrément les autorisant à fournir des services de paiement dans toute la Communauté (ci-après «les établissements de paiement»)…

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet Agrément  Est subordonné à la soumission, aux autorités compétentes de l’État membre d’origine, d’une demande écrite accompagnée de divers documents…  Permet la prestation de Services de Paiement (≠ réception de fds) - interdiction d’utiliser les fonds reçus pour d’autres activités commerciales - obligation de maintenir les fonds reçus de leurs ≠ activités sur des Comptes séparés.  Permet la prestation de services opérationnels et auxiliaires liés au SP (tels que la garantie de l’exécution des transactions de paiement, des services de change, des services de garde et l’enregistrement et le traitement des données)  Permet l’accès à des systèmes de paiement et leur utilisation à des fins de virement, de compensation et règlement de fonds, y compris tout instrument et toute procédure liés à ces systèmes. Création du statut d’Etablissement de paiement

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet  Dispositions harmonisées donc les États membres ne pourront pas maintenir en vigueur ni introduire des dispositions différentes.  Les États membres ne peuvent restreindre l’activité des prestataires de services de paiement qui sont agréés dans un autre État membre, mais qui opèrent sur leur territoire en régime d’établissement, soit en régime de libre prestation de services. Mise en place d’un régime transitoire (Art. 80) Les États membres autorisent : Les personnes, y compris les établissements financiers au sens de la directive 2000/12/CE, qui ont commencé à exercer l’activité d’établissement de paiement telle que prévue dans la présente directive, conformément à la législation nationale en vigueur avant la date d’entrée en vigueur de la directive, à poursuivre cette activité dans l’État membre concerné pendant 18 mois au maximum. Création du statut d’Etablissement de paiement

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet PERSPECTIVES EUROPEENNES DE SECURISATION DES SERVICES DE PAIEMENT EN LIGNE 1.Présentation générale du SEPA 2.Création du statut d’établissement de paiement 3.Définition des droits et obligations des utilisateurs et des prestataires de services de paiements

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet TRANSPARENCE DES CONDITIONS REGISSANT LES S.P.  Obligation d’information pesant sur le PSP  Sur papier ou un autre support durable auquel l’Utilisateur a accès  Avant la conclusion du contrat : Description des obligations/responsabilités incombant aux parties, frais payables, taux de change, législation applicable … Exception: Si le contrat a été conclu, à la demande de l’Utilisateur via une technique de communication à distance ne le permettant pas => dès que cela sera « raisonnablement possible ».  Après l’exécution de l’ordre de paiement le PSP doit indiquer :  au Payeur 1 référence identifiant l’opérat° ainsi que son montant (frais/commis°)…  au Payé, dès qu’il a mis les fonds à sa disposition, les références du payeurs, les informations relatives au paiement transmises par le payeur aux fins d’identification de l’opération, le montant des fonds virés… Définition des droits et obligations des utilisateurs et des prestataires de S.P.

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet  Dispositions particulières applicables en cas de Contrat Cadre  Obligations du PSP en matière de communication des informations:  doit les garder à disposition de l’Utilisateur sous une forme aisément accessible  Le Contrat peut prévoir que les informations à communiquer après chaque transaction peuvent l’être à une fréquence déterminée (exe: relevé périodique)  Information sur la modification du Contrat de SP :  Ppe : Utilisateur informé 1 mois avant la modification => si son refus n’est pas intervenu avant l’entrée en vigueur = acceptation tacite de l’Utilisateur  Except°: Modifications de taux d’intérêt dues aux fluctuations du taux d’intérêt de référence retenu pour le calcul dans le Contrat Cadre => PSP doit le prévenir le plus rapidement possible, mais la modification est d’application immédiate. Définition des droits et obligations des utilisateurs et des prestataires de S.P.

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet  Information sur la résiliation du Contrat de SP :  Résiliation possible à tout moment sauf si le contrat prévoit expressément un délai de préavis qui ne peut excéder 1 mois  Si le Contrat est à durée indéterminée ou d’une durée au moins égale à 12 mois => pas de frais de résiliation  Les frais dus au titre de la prestation de service de paiement sont dus au prorata de la période échue  Dérogations accordées pour les Micro-paiement objets du contrat cadre :  Prestation de services de paiement d’un montant unitaire inférieur à 50 euros  Obligation d’information réduite Définition des droits et obligations des utilisateurs et des prestataires de S.P.

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet REGLEMENTATION DE LA PRESTATION DE SERVICES DE PAIEMENT  Autorisation des opérations de paiement  Consentement de l’utilisateur = autorisation expresse d’effectuer le paiement  Donné avant ou après l’exécution du paiement  Notifié directement du Payeur au PSP ou via le Payé  Procédure de notification choisie par accord entre le Payeur et le PSP  Surveillance des opérations de paiement = Obligation générale à la charge de l’Utilisateur. Doit informer le PSP dès qu’i constate une irrégularité  Surveillance des instruments de vérification des paiements  l’Utilisateur s’engage à les utiliser conformément aux indications communiquées par le PSP, préserver leur sécurité, informer le PSP en cas de perte/vol, anomalie…  le PSP doit s’assurer que les dispositifs de sécurité personnalisés ne sont pas accessibles par d’autres, veiller à la disponibilité des moyens de notification des incidents et de preuve de cette notification,… Définition des droits et obligations des utilisateurs et des prestataires de S.P.

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet Définition des droits et obligations des utilisateurs et des prestataires de S.P.  Irrévocabilité de l’ordre de paiement (harmonisation au niveau européen)  Le Payeur de bonne foi a Droit au remboursement des opérations exécutées Si  Autorisation accordée pour un montant inexact ou sans l’identité du Payé  Montant ne correspond pas à 1 montant autorisé par 1 payeur raisonnable  Droit d’exercice limité dans le temps et justifié par des éléments factuels  Preuve, contestation et archivage  PSP doit conserver 1 an au moins un enregistrement interne des opérations  Si le Payeur nie avoir autorisé une opération, le PSP doit prouver que l’opération a été authentifiée, enregistrée, comptabilisée et n’apas été affectée par une déficience Technique ou tout autre dysfonctionnement => inversion de la charge de la preuve  Malgré les preuves apportées par le PSP, le Payeur continue à nier => le Payeur doit apporter des éléments factuels permettant de présumer qu’il n’a pas autorisé l’opération, ni commis une négligence grave, ni agit frauduleusement  la Présomption établie par les éléments factuels du payeur peut être réfutée mais l’utilisation d’un instrument de vérification des paiements n’est pas une preuve suffisante.

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet Définition des droits et obligations des utilisateurs et des prestataires de S.P.  Responsabilité en cas de Perte  Pertes liées à une Opération de paiement non autorisée => PSP rembourse immédiatement le montant + éventuellement indemnisation financière  Pertes liées à l’utilisation d’un instrument de vérification des paiements perdu/volé  Avant notification par le Payé : plafond de 150 € (voire moins selon l’Etat membre) sauf fraude ou négligence grave de l’utilisateur  Après notification par le Payé : à la charge du PSP sauf agissement frauduleux  Si PSP ne fournit pas à tout moment des moyens de notifier la perte/vol ou le détournement, c’est le PSP qui est responsable (except° agissements frauduleux du Payeur)

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet  Exécution d’une opération de paiement  Acceptation et refus d’un ordre de paiement  Ordre initié par le Payeur ou par/via le Payé couvert par l’autorisation du payeur  Ne peut pas être postérieur au moment où le PSP commence à l’exécuter  Le moment de l’acceptation de l’ordre est déterminé par : - le moment où le PSP a reçu l’ordre - le moment où le PSP a achevé l’authentification de l’ordre - le moment où le PSP a explicitement ou implicitement accepté l’obligation d’exécuter le paiement  Ordre initié par voie électronique  PSP doit informer le Payeur qu’il accepte ou pas d’exécuter l’ordre  Acceptation du PSP notifiée dans un délai raisonnable et au plus tard 1 jour ouvré après l’acceptation de l’ordre  Refus du PSP (motivé) notifié dans les 3 jours qui suivent le moment où aurait due avoir lieu l’acceptation Définition des droits et obligations des utilisateurs et des prestataires de S.P.

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet Définition des droits et obligations des utilisateurs et des prestataires de S.P.  Montants et commissions  Le montant des commissions applicables sera prélevé directement sur le payeur et Le payé par leur PSP respectif (si pas d’opérations de change)  Opérations de change mais les deux PSP sont situés dans la Communauté Européenne => le Payé doit recevoir le montant total du paiement sauf si il a expressément autorisé son PSP a prélever sa commission directement  Opérations de change mais 1 des deux PSP est hors de la Communauté => Le PSP doit donner une estimation de bonne foi  Délai d’exécution, disponibilité des fonds et date de valeur  Les 2 PSP sont situés dans la Communauté sauf micro-paiement, conversion  Délai d’exécution:  Paiement initié par le payeur : Montant porté au crédit du compte de paiement du Payé à J+3 (J= date d’acceptation) et à J+1 à compter du 1 er janvier 2010  Paiement initié par/via le payé : J+1 sauf dispositions contractuelles contraires  Cas particulier paiement national : délais plus courts possibles

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet Définition des droits et obligations des utilisateurs et des prestataires de S.P.  Mise à disposition des fonds : PSP doit mettre les fonds à la disposition du Payé dès que le compte de Paiement de ce dernier est crédité et ce, sans prélèvement de commission.  Problèmes d’exécution  Un ordre de paiement exécuté conformément à l’Identifiant unique fourni par le Payeur est réputé exécuté correctement s’agissant du Payé indiqué (l’identifiant supplante le nom) Mais :  le PSP doit, quant c’est possible, vérifier la compatibilité entre Nom/ID  Le PSP doit s’efforcer de bonne foi de récupérer les fonds si le Payeur s’est trompé en lui communiquant l’identifiant  PSP responsable de la non (ou mauvaise) exécution du paiement dès acceptation, y compris frais et intérêts éventuellement facturés au Payeur RQ: Si PSP du Payé hors Communauté le PSP du Payeur est responsable de l’exécution du paiement jusqu’à ce que les fonds parviennent au PSP du Payé.

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet Une adoption retardée mais attendue… Adoption prévue début 2007 retardée en raison de points de désaccord entre Etats membres Ex : Résolution européenne adoptée par le Sénat le 16 février 2007 (chargé par le gouvernement français de l’examen de la directive) invité le GVT français à demander des modifications, telles que Capital minimum entre €, exclure les personnes physiques du statut d’Etblt de SP. => Pb l’exigence d’un capital minimum rencontre l’hostilité de 9 Etats membres qui pourraient constituer une minorité de blocage empêchant l’adoption de la proposition de Directive. Certains Etats (la Pologne, le Royaume-Uni et les Pays-Bas) proposent, depuis quelques mois déjà, de scinder la proposition de la directive en deux textes : l’un destiné à assurer l’objectif minimum du SEPA, l’autre regroupant les dispositions relatives aux « établissements de paiement ». Même si le consensus est difficile, les Etats sont conscients de la nécessité de cette directive.

Séminaire ERID / ASPHALES : 16 mars 2007 Accès à l’information et responsabilité des acteurs de l’Internet & Q uestions R éponses Cathie-Rosalie JOLY - Avocat au barreau de Paris et Docteur en droit Cabinet ULYS (Paris-Bruxelles), PERSPECTIVES EUROPEENNES DE SECURISATION DES SERVICES DE PAIEMENT EN LIGNE