Communication — 52023XX01019

a.

renforcer la protection des utilisateurs et leur confiance dans les paiements, notamment en améliorant l’application de l’authentification forte du client (SCA), en créant une base juridique pour l’échange d’informations sur la fraude, en étendant la vérification du numéro de compte bancaire international (IBAN) à tous les virements et en améliorant les droits et l’information des utilisateurs;

b.

améliorer la compétitivité des services bancaires ouverts en: i) exigeant des prestataires de services de paiement gestionnaires de comptes (les «PSPGC») qu’ils mettent en place une interface d’accès aux données dédiée et des «tableaux de bord des permissions» afin de permettre aux utilisateurs de gérer les permissions d’accès de banque ouverte qu’ils ont accordées; et ii) définissant des spécifications plus détaillées quant aux exigences minimales pour les interfaces de données bancaires ouvertes;

c.

améliorer l’application et la mise en œuvre du cadre juridique applicable aux services de paiement dans les États membres, notamment en remplaçant la DSP2 par un règlement directement applicable (la «proposition de RSP») qui précise certains aspects peu clairs de la DSP2, et en renforçant la coopération entre les autorités compétentes et les autres autorités; et

d.

améliorer l’accès (direct ou indirect) aux systèmes de paiement et aux comptes bancaires pour les prestataires de services de paiement non bancaires, y compris les prestataires de services d’initiation de paiement (PSIP) et les prestataires de services d’initiation de compte (PSIC).

a.

établirait des exigences en matière de transparence des conditions et des exigences en matière d’information pour les services de paiement (8);

b.

établirait des droits et des obligations en ce qui concerne la fourniture et l’utilisation de services de paiement, y compris des règles sur les interfaces d’accès aux données pour les services d’information sur les comptes et les services d’initiation de paiement (9) et sur la gestion de l’accès aux données par les utilisateurs de services de paiement (10); sur la protection des données (11); sur les mécanismes de signalement des fraudes et de suivi des transactions et le partage de données relatives à la fraude (12); sur la SCA (13); sur les procédures d’exécution, les autorités compétentes et les sanctions (14), et sur les pouvoirs d’intervention de l’Autorité bancaire européenne (ABE) (15).

(1)

établir une distinction claire entre le terme «permission» et la base juridique du traitement au titre du RGPD, en précisant, au considérant 62 de la proposition de RSP, que «la permission ne devrait pas être interprétée comme un “consentement”, un “consentement explicite” ou une “nécessité d’exécuter d’un contrat” au sens du règlement (UE) 2016/679»;

(2)

préciser, au moyen d’un considérant, que l’octroi d’une permission par l’utilisateur de services de paiement est sans préjudice, en particulier, des obligations incombant aux prestataires de services d’initiation de paiement et aux prestataires de services d’information sur les comptes en vertu de l’article 6 et de l’article 9 du règlement (UE) 2016/679;

(3)

réexaminer l’interdiction applicable aux PSPGC de vérifier la permission prévue à l’article 49, paragraphe 4, de la proposition de RSP ou introduire d’autres garanties appropriées dans le dispositif de la proposition de RSP visant à protéger les utilisateurs de services de paiement contre le risque de potentiel partage illicite de données à caractère personnel par les PSPGC que cette interdiction pourrait entraîner;

(4)

modifier l’article 46, paragraphe 2, point a), et l’article 47, paragraphe 2, point a), de la proposition de RSP afin d’indiquer que les prestataires de services d’initiation de paiement et les prestataires de services d’information sur les comptes n’ont pas accès aux données de sécurité personnalisées;

(5)

clarifier la définition de «données de paiement sensibles» au sens de l’article 3, paragraphe 38, de la proposition de RSP, en précisant notamment les types de données à caractère personnel couverts par cette définition;

(6)

préciser pour quel(s) type(s) spécifique(s) de service(s) de paiement désigné(s) les systèmes de paiement et le prestataire de services de paiement seraient habilités à traiter quelles catégories de catégories particulières de données à caractère personnel visées à l’article 80 de la proposition de RSP;

(7)

justifier (dans un considérant) les raisons pour lesquelles le traitement des catégories particulières de données à caractère personnel pour le(s) service(s) de paiement désigné(s) à l’article 80 de la proposition de RSP est nécessaire et proportionné et ne peut être évité par le recours à d’autres moyens techniques;

(8)

inclure une référence à l’enregistrement lors de l’ouverture de session (pour vérifier si un accès non autorisé a eu lieu) parmi les garanties de protection des données visées à l’article 80 de la proposition de RSP;

(9)

ajouter à l’article 43, paragraphe 2, point a), une référence au(x) service(s) de paiement désigné(s) pour le(s)quel(s) la permission est accordée par l’utilisateur de services de paiement;

(10)

ajouter à l’article 47, paragraphe 2, concernant les obligations des prestataires de services d’information sur les comptes, l’exigence prévue à l’article 46, paragraphe 2, point b), selon laquelle les prestataires de services de paiement ne peuvent demander à l’utilisateur de services de paiement que les données nécessaires pour fournir le service demandé;

(11)

exiger des prestataires de services de paiement et des prestataires de services d’information sur les comptes, en vertu de l’article 43, paragraphe 4, point b), qu’ils informent les prestataires de services de paiement gestionnaires de comptes du compte client auquel l’accès est demandé et de la base juridique prévue à l’article 6, paragraphe 1, du RGPD et (le cas échéant) de l’exception prévue à l’article 9, paragraphe 2, du RGPD sur laquelle ils s’appuieraient pour accéder aux données à caractère personnel de l’utilisateur de services de paiement;

(12)

préciser à l’article 43, point b), que le tableau de bord ne doit pas être conçu de manière à encourager ou à inciter indûment les utilisateurs de services de paiement à accorder ou à retirer des permissions;

(13)

déterminer clairement les catégories de données à caractère personnel que les prestataires de services de paiement seraient autorisés à traiter dans le cadre des mécanismes de suivi des transactions [notamment en fournissant une définition des «informations sur l’utilisateur de services de paiement» visées à l’article 83, paragraphe 2, point a)];

(14)

définir des durées de conservation appropriées pour les données à caractère personnel collectées en vertu de l’article 83;

(15)

inclure une définition de «l’accord d’échange d’informations» à l’article 3 de la proposition de RSP;

(16)

prévoir dans la proposition de RSP que tout traitement de données à caractère personnel aux fins du respect des obligations légales en matière de prévention de la fraude au titre de l’article 83 ne peut avoir lieu qu’à cette fin spécifique et ne peut conduire à la cessation de la relation du client avec le prestataire de services de paiement ni porter atteinte à l’intégration de l’utilisateur de services de paiement par un autre prestataire de services de paiement;

(17)

mentionner explicitement les autorités de contrôle chargées du suivi et de l’application de la législation sur la protection des données à l’article 93, paragraphe 3, de la proposition de RSP.