DSP2

C'est le texte qui a fait apparaître la validation par smartphone au moment de payer, et celui qui permet à une application de gestion de lire les opérations d'un compte bancaire sans en connaître les identifiants. Deux changements très visibles pour l'utilisateur, issus d'une même directive européenne. La DSP2 a réécrit les règles du paiement en Europe autour de deux idées : rendre les opérations plus sûres, et ouvrir l'accès aux données bancaires à d'autres acteurs que la banque. Sept ans après son entrée en application, ses effets se mesurent, et sa suite se prépare.

Qu'est-ce que la DSP2 ?

La DSP2 est la deuxième directive européenne sur les services de paiement, adoptée en 2015 et applicable depuis 2018, qui encadre l'ensemble des services de paiement dans l'Union.

Elle remplace un premier texte de 2007 devenu inadapté à l'apparition des paiements en ligne, des agrégateurs de comptes et des acteurs non bancaires.

Elle poursuit trois objectifs : renforcer la sécurité des paiements électroniques, ouvrir le marché à de nouveaux prestataires, et harmoniser les droits des utilisateurs à l'échelle européenne.

Étant une directive et non un règlement, elle a été transposée dans le droit de chaque État membre, en France dans le code monétaire et financier. Ses modalités techniques figurent dans des normes complémentaires adoptées par la Commission européenne.

Le premier volet : la sécurité des paiements

C'est la partie la plus visible pour l'utilisateur, et celle qui a produit le plus d'effets mesurables.

La DSP2 impose l'authentification forte : pour accéder à un compte en ligne ou initier un paiement électronique, deux facteurs indépendants au moins sont exigés, choisis parmi ce que l'utilisateur sait, ce qu'il détient et ce qu'il est. C'est ce qui a fait disparaître la simple saisie du numéro de carte comme unique protection.

Le texte prévoit des exemptions, laissées à l'appréciation du prestataire : paiements de faible montant dans la limite d'un cumul, opérations récurrentes de montant identique, bénéficiaires inscrits sur une liste de confiance, ou analyse de risque en temps réel sous conditions strictes. Demander une exemption déplace la charge de la fraude vers celui qui la demande.

La directive renforce par ailleurs les droits de l'utilisateur en cas d'opération non autorisée : remboursement rapide par le prestataire, sauf fraude ou négligence grave du client, et charge de la preuve pesant sur l'établissement.

L'effet sur la fraude à distance a été net. Il s'est accompagné d'un déplacement vers les manipulations où la victime valide elle-même l'opération, que l'authentification forte ne peut par construction pas empêcher.

Le second volet : l'ouverture des comptes

C'est la partie la moins visible et la plus structurante pour les entreprises.

La DSP2 oblige les banques à permettre à des prestataires tiers agréés d'accéder aux comptes de leurs clients, avec le consentement explicite de ces derniers, par des interfaces dédiées et sécurisées.

Deux services sont ainsi créés. Le service d'information sur les comptes permet de consulter les opérations et les soldes : c'est ce qui rend possible l'agrégation de plusieurs comptes bancaires dans un outil unique. Le service d'initiation de paiement permet de déclencher un virement depuis une interface tierce, sans passer par le site de la banque.

Ces prestataires sont agréés et enregistrés, ce qui les distingue des services non régulés qui, avant la directive, récupéraient les données en demandant les identifiants bancaires du client. Cette pratique est désormais écartée au profit d'interfaces encadrées.

Pour une petite entreprise, c'est ce volet qui a permis l'apparition d'outils capables de réunir plusieurs comptes sur une vue unique, d'alimenter automatiquement une comptabilité, ou de déclencher un paiement depuis un logiciel de facturation.

Questions fréquentes

La DSP2 s'applique-t-elle aux comptes professionnels ?
Oui pour l'essentiel, avec une réserve : certaines dispositions protectrices peuvent être écartées contractuellement lorsque le client n'est pas un consommateur. La convention de compte doit être lue sur ce point.

Faut-il autoriser un agrégateur à accéder à ses comptes ?
C'est un choix, révocable à tout moment. La vérification utile est que le prestataire soit agréé et enregistré, ce que le registre des agents financiers permet de confirmer.

La DSP2 a-t-elle supprimé les fraudes ?
Elle a fortement réduit la fraude technique sur les paiements à distance. Elle ne protège pas contre les manipulations où le titulaire valide lui-même l'opération.

Qu'est-ce que la DSP3 ?
Une révision en cours de négociation au niveau européen, qui doit renforcer la lutte contre la fraude par manipulation, préciser les règles d'accès aux données et harmoniser davantage l'application entre États membres.

Ce que la DSP2 a changé pour une petite entreprise

Trois effets concrets, souvent attribués à autre chose qu'à la directive.

Le premier est l'arrivée de nouveaux acteurs. En créant le statut d'établissement de paiement et en ouvrant l'accès aux comptes, la directive a rendu possible une offre de comptes professionnels distincte de celle des réseaux bancaires traditionnels, avec des délais d'ouverture, des tarifs et des fonctions de gestion différents.

Le deuxième est la fin de la double saisie. L'agrégation permet à un outil comptable ou de trésorerie de lire les opérations directement, sans import manuel de relevés. Ce seul changement supprime une des tâches administratives les plus répétitives d'une TPE.

Le troisième est une exigence nouvelle sur l'organisation interne. L'authentification forte suppose que chaque personne dispose de ses propres moyens de validation. Une entreprise où tout passe par le téléphone du dirigeant se retrouve bloquée dès qu'il est absent, et le partage d'identifiants, en plus d'être risqué, supprime toute traçabilité.

C'est ce troisième point qui demande le plus d'adaptation, et celui que les entreprises traitent le plus tard : la directive a sécurisé les paiements, elle a en contrepartie rendu indispensable une répartition claire des accès.

DSP2 et Qileo

Sur un compte Qileo, l'authentification forte s'applique aux accès comme aux opérations sensibles, avec des droits attribués individuellement plutôt qu'un accès unique partagé : chaque membre de l'équipe dispose de ses propres moyens de validation, de ses cartes et de ses plafonds, ce qui évite qu'une absence bloque les paiements. Les comptes se lisent sur une vue unique, les opérations sont catégorisées au fil de l'eau et les justificatifs restent rattachés, dans la logique d'usage que l'ouverture des données a rendue possible. Les fonds déposés ne financent par ailleurs ni les énergies fossiles ni les industries controversées.