Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2016 - n°413 - 178

Tout d'abord, une première difficulté
vient de ce qu'elles ne sont, tout
simplement, pas définies.
La DSP2 édicte des obligations
de sécurité et de communication,
mais ne les détaille pas. L'autorité
bancaire européenne (ABE) est
chargée de préparer ce détail dans la
réglementation dite de second niveau.
Dans ce cadre, l'ABE admet platement
dans un premier document de travail
sur l'authentification forte et les
mesures de sécurité, que l'un des
principaux défis dans l'élaboration de
règles en la matière sera de « trouver
l'équilibre entre des exigences
concurrentes »2.
D'un côté, les teneurs de compte
devront assurer un haut niveau de
sécurité des comptes et supporteront
un risque de responsabilité en cas
de faille de sécurité, sans compter
leurs obligations de cybersécurité
en tant qu'opérateurs d'importance
vitale, le cas échéant. En outre, les
clients auront le droit de recourir à
de tels services de tiers ; les teneurs
de compte ne pourront refuser l'accès
aux comptes aux prestataires tiers que
pour des raisons de sécurité dûment
justifiées et sur notification à l'autorité
de régulation.
De l'autre, les prestataires tiers
devront assurer un niveau de sécurité
adéquat, sauf à encourir un risque
de voir leurs requêtes rejetées par les
teneurs de comptes.
Ce sujet donne lieu à une controverse
sur les règles qui doivent être mises en
place en pratique.
La FBF a relevé des insuffisances
notamment pour les transmissions
et le stockage de données ou encore
la traçabilité des transactions et
les responsabilités respectives des
acteurs (voir le communiqué de presse
de la Fédération bancaire française
(FBF) du 9 octobre 20153).
Dans ce contexte de controverse, il
ne serait pas incongru d'imaginer
un système de communication et de
traçabilité fondé sur la blockchain.

178

UNE MISE EN ŒUVRE
PROGRESSIVE
Publiée le 23 décembre 2015, la
directive doit être transposée par les
Etats membres pour le 13 janvier 2018.
Cependant,
plusieurs
autres
échéances doivent être prises en
compte.
En effet, des sujets nombreux
et stratégiques doivent donner
lieu à des textes d'application :
la sécurité des transactions, la
notification d'incidents de sécurité,
ou encore l'exercice d'activités
dans plusieurs pays, feront ainsi
l'objet de normes techniques de
réglementation ou d'exécution, ou
encore d'orientations de l'autorité
bancaire européenne (ABE).

le cadre existant, se contenter de
les inclure dans la réglementation
anti-blanchiment ?
Autant de sujets potentiels pour une
future directive fusionnant les régimes
de la monnaie électronique et des
services de paiement.

Lise BRETEAU
Avocat à la cour

Compte tenu du calendrier prévu
dans la DSP2, les délais d'adoption
de ces normes pourraient être
longs en « temps économique ».
Ainsi, l'ABE estime aujourd'hui que les
normes techniques de réglementation
relatives à l'authentification forte des
clients et aux mesures de sécurité
pourraient ne pas entrer en vigueur
avant fin 2018, voire 2019.
Par ailleurs, ce corps de règles devra
s'articuler avec les sujets étroitement
liés de la lutte contre le blanchiment
de capitaux et le financement du
terrorisme, la cybersécurité des
infrastructures critiques, les services
de confiance ou encore la vie privée,
matières aussi fortement évolutives
que les paiements et la monnaie
électronique.
Enfin, la DSP2 laisse des questions
non résolues, et donc susceptibles de
faire l'objet de solutions disparates
dans les Etats membres, telles
que : comment distinguer clairement
la
monnaie
électronique
d'un
compte de paiement, à l'heure où le
développement des offres mobiles et
du paiement instantané brouille la
notion de « prépayé » ?
Comment traiter les monnaies
virtuelles, telles que le Bitcoin : faut-il
inventer de nouvelles règles, adapter

EXPERTISES MAI 2016

Notes
(1)

Voir communiqué de presse European
AIS du 9 octobre 2015 : http://europeanais.org/2015/10/12/communique-depresse-dsp2/

(2)

(Discussion Paper EBA/DP/2015/03 du
8 décembre 2015)

(3)

h t t p : / / w w w. f b f . f r / f r / f i l e s / A 3 9 N V 5 /
Banques-francaises-et-enjeuxreglementaires-dec2015.pdf
http://wwweuropeanais.org/2015/10/12/communique-de-presse-dsp2/ http://www.fbf.fr/fr/files/A39NV5/Banques-francaises-et-enjeux-reglementaires-dec2015.pdf
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2016 - n°413
