DSP2

La directive (UE) 2015/2366, applicable depuis 2018, impose deux choses aux banques : une authentification forte du client, et des interfaces sécurisées permettant à des prestataires agréés d'accéder aux données de compte quand le client le demande.

Elle crée deux métiers réglementés : le prestataire de services d'information sur les comptes, qui lit, et le prestataire de services d'initiation de paiement, qui déclenche un virement à votre demande. En France, les deux passent par l'ACPR, l'autorité adossée à la Banque de France, figurent dans un registre public, et ne peuvent accéder à un compte qu'avec le consentement explicite de son titulaire.

L'authentification forte est l'autre pilier : pour accéder au compte en ligne ou valider un paiement, deux éléments parmi trois catégories sont exigés, quelque chose que vous connaissez (un code), quelque chose que vous possédez (votre téléphone), quelque chose que vous êtes (empreinte, visage). C'est la notification de votre banque que vous validez sur votre téléphone quand vous payez en ligne.

Ce que les gens confondent : DSP2 et open banking. La DSP2 est le texte, l'open banking est l'usage qu'il rend possible. Autre confusion : penser que la directive oblige les banques à partager vos données. Elle les oblige à exposer une interface, et c'est vous seul qui décidez, compte par compte, de l'utiliser, avec un consentement révocable à tout moment.

Le texte est en cours de révision au niveau européen (projet de DSP3 et de règlement sur les services de paiement, présentés par la Commission en 2023). Jusqu'à l'entrée en application des nouveaux textes, c'est la DSP2, transposée dans le code monétaire et financier, qui encadre l'accès à vos comptes.

C'est ce cadre qui rend l'agrégation bancaire possible sans jamais confier vos identifiants à une application, et c'est dans ce cadre que Fintur lit vos comptes, en lecture seule, via un prestataire agréé.