Intervention de Philippe Dunoyer

Monsieur le président, madame la secrétaire d'État, madame la rapporteure, chers collègues, l'examen de ce projet de loi est un pas de plus vers le nécessaire renouvellement du cadre juridique européen face au développement de nouvelles technologies et pratiques dans le domaine des services de paiement en ligne.

La précédente directive, dite DSP 1, avait harmonisé les règles applicables aux services de paiement dans les États membres. L'objectif était d'assurer la coordination de dispositions nationales alors fragmentées, de garantir l'accès au marché de nouveaux prestataires de services de paiement, de fixer des exigences d'informations et de définir les droits et obligations des utilisateurs et prestataires de services de paiement.

La directive a instauré une nouveauté, l'agrément unique, pour tous les prestataires de services de paiement étrangers à l'activité de réception des dépôts ou d'émission de monnaie électronique. À cette fin, elle a créé une nouvelle catégorie juridique, les établissements de paiement, mettant ainsi fin au monopole des établissements bancaires en la matière.

Cependant, les innovations du secteur ont entamé la pérennité du corpus des normes européennes régissant celui-ci, et ont encouragé une nécessaire rénovation. En effet, l'apparition de nouveaux types de services de paiement et la croissance rapide des paiements électroniques et mobiles ont mis à l'épreuve les règles qui étaient alors en vigueur.

Le développement de certains acteurs du monde de la fintech pose plusieurs questions juridiques, auxquelles il nous faut répondre. Les activités des services d'initiation de paiement ou les services d'information sur les comptes nécessitent en effet un accès à certaines données des utilisateurs de services de paiement, ce qui implique l'existence de canaux d'identification sécurisés.

En vérité, à l'heure actuelle, la plupart des prestataires de services d'initiation de paiement dont l'activité consiste à initier un ordre de paiement à la demande de l'utilisateur des services, accèdent directement aux comptes bancaires en ligne de leurs clients en se faisant passer pour eux. Ils utilisent ainsi la méthode dite de l'accès direct non identifié ou web scraping non identifié.

Cette situation présente de nombreuses fragilités juridiques, en particulier s'agissant du régime de responsabilité et donc de la protection des consommateurs. Ce sont les données bancaires des consommateurs qui sont concernées dans ce domaine, ce qui pose un problème sensible et urgent de sécurisation à la fois sur le plan technique et sur le plan juridique. Car l'éventuelle interception de ces données par des tiers aurait un effet extrêmement préjudiciable pour les consommateurs.

Selon une étude de l'Observatoire de la sécurité des moyens de paiement, en 2016, en France, plus de 400 millions d'euros ont été dérobés à la suite de l'utilisation des données bancaires, ce qui représente plus d'1 million de transactions frauduleuses. La méthode du web scraping a donc élargi le champ d'action des personnes souhaitant intercepter les données des utilisateurs puisqu'elle ne les soumet à aucune demande d'identification.

Dans ce contexte pourtant préoccupant, aucune réglementation n'a été instaurée en faveur de la protection des consommateurs.

Il est donc nécessaire de mettre en place un cadre juridique destiné, d'une part, à protéger les consommateurs en sécurisant leurs données personnelles pour éviter toute utilisation frauduleuse et d'autre part, à limiter le champ d'action de ces nouveaux services tout en assurant et en renforçant les droits des consommateurs.

De nouvelles règles devront ainsi combler ces lacunes réglementaires tout en garantissant une plus grande clarté juridique et une application cohérente du cadre législatif dans l'ensemble de l'Union européenne.

La nouvelle directive DSP 2 s'inscrit dans la lignée de la DSP 1, qu'elle abroge. Elle adapte le cadre juridique européen de ces services aux évolutions du secteur et poursuit l'objectif général de réalisation du marché intérieur. Elle fixe également les règles régissant l'accès à l'activité de services de paiement, la supervision des prestataires de ces services, les modalités techniques applicables aux opérations de paiement, ainsi que les droits et obligations des parties à un service de paiement.

Elle a également pour but de favoriser l'utilisation de services de paiement électronique plus sûrs et plus équitables, notamment en établissant des règles entre tous les fournisseurs de services de paiement ainsi qu'en visant les fournisseurs tiers, comme PayPal, qui, contrairement aux banques, ne conservent pas de comptes de paiement. Ces fournisseurs seront dorénavant obligés de s'enregistrer et seront supervisés en tant qu'institution de paiement. Ils seront enfin soumis aux mêmes règles de sécurité que les autres fournisseurs de services de paiement.

La sécurité des paiements est également un élément central de cette proposition de révision. Cette dernière améliore la sécurité de l'ensemble des prestataires de services de paiement en généralisant l'authentification forte pour les transactions en ligne. Les consommateurs seront mieux protégés contre la fraude, les abus éventuels et les incidents de paiement.

Enfin, cette proposition renforce les droits des consommateurs en cas de virement ou de transmission de fonds hors d'Europe ou de paiement effectué dans la monnaie d'un pays non membre de l'Union européenne.

De plus, elle prévoit l'interdiction de la plus grande partie des surcharges liées aux paiements par carte, par exemple les coûts additionnels facturés par la plupart des opérateurs aériens lors de la vente de billets. Les commerçants pourront toujours faire acquitter des frais aux consommateurs, mais ces frais ne devront pas dépasser les coûts supportés par les commerçants pour l'utilisation de cartes de paiement.

Madame la secrétaire d'État, dans ce domaine comme dans d'autres, dont les frais bancaires, précédemment évoqués, je signale l'écart qui peut séparer les pratiques hexagonales des pratiques ultramarines, un problème auquel je suis très sensible comme député de Nouvelle-Calédonie. La loi relative à l'égalité réelle outre-mer avait souligné la nécessité de vérifier très attentivement que les tarifs ne dérivaient pas bien au-delà des limites légales.

En France seulement, on compte déjà huit start-up proposant un service de paiement, et il existe quelques leaders de ce secteur au niveau européen. Les utilisateurs sont de plus en plus nombreux et en demande de ces nouveaux services, en particulier les jeunes générations. Grâce à ces prestations, ils peuvent gérer plus directement et plus facilement leurs finances en ayant accès à davantage d'informations sans avoir besoin de recourir systématiquement à leur banque.

Le nouveau contexte normatif vise à accompagner ces évolutions et à encourager les nouvelles entreprises de la fintech à continuer d'innover toujours davantage.

Cependant, certains points qui me semblent essentiels ne sont pas abordés dans la directive.

Il est clair que, de manière générale, la protection des données n'est pas suffisante et que son cadre juridique, bien que nécessaire, est difficile à instaurer. Comme souvent, le délai de transposition de la directive est long, alors même que les milliers de personnes qui utilisent ces services de paiement sont exposées chaque jour à des risques de fraude. Je rappelle, après d'autres, que la directive a été adoptée par le Parlement européen le 25 novembre 2015. Plus de deux ans plus tard, les règles qu'elle définit sont-elles toujours en adéquation avec la réalité actuelle du terrain ?

Par ailleurs, au-delà des services de paiement, de nombreux autres domaines pourraient être mieux réglementés. Je pense notamment aux monnaies électroniques ou virtuelles, telles que le bitcoin. Elles ne sont pas évoquées par la directive : cela signifie-t-il que toutes ces formes de monnaie privée pourront continuer de prospérer dans l'indifférence générale ? Il est tout de même assez étonnant de transposer une directive qui vise – à juste titre – à sécuriser les transactions sans s'intéresser à la monnaie virtuelle.

Nous sommes conscients, madame la secrétaire d'État, de la nécessité d'éviter l'écueil d'une surtransposition qui se révèle finalement contre-productive. Mais il est nécessaire, pour la sécurité de nos concitoyens, de s'intéresser à chacun des domaines qui requièrent une réglementation. Or, avec cette directive, nous ne régulons qu'une petite partie du système. Voilà pourquoi notre groupe a déposé un amendement concernant les monnaies électroniques ou virtuelles.

En résumé, l'ordonnance instaure des exigences strictes en matière de sécurité, tend à accroître les droits des consommateurs et interdit de leur facturer des suppléments lorsqu'ils usent de ces droits, dans le cadre très spécifique du marché français des services de paiement.

Au-delà de la réserve que je viens de formuler, le groupe UDI, Agir et indépendants reconnaît que ce texte est nécessaire, et il le votera.