DSP2 : Quand le régulateur européen fragilise les acteurs européens du paiement

 https://www.bsmart.fr/video/5915-smart-tech-partie-06-mai-2021

 
👩🏻‍🦰 C’est l’heure de notre chronique Mobile Business avec Jérôme Bouteiller d’EcranMobile.fr qui nous parle cette semaine de la DSP2, une directive européenne qui devrait révolutionner l’univers du paiement…
 
🧔🏻Bonjour Delphine. Effectivement près de 14 ans après l’adoption de la DSP1 en 2007, l’heure est à l’application de la DSP2, la seconde version de la directive européenne sur les services de paiement qui cherche à réglementer et harmoniser cette activité au sein de l’Union Européenne.
 
Adopté en 2015, ce second texte qui cherche à renforcer la sécurité des paiements devait entrer en vigueur en septembre 2019. Mais les commerçants n’étaient pas prêts et l’application complète de la DSP2 avait été en grande partie repoussée de 2 ans au 15 Mai 2021, dans une dizaine de jours.
 
Selon la banque de France, le taux de Fraude sur les paiements à distance baisse régulièrement - il est désormais de 0,16% - mais il représente encore les 2/3 de la fraude à la carte bancaire et les autorités européennes entendent généraliser l’authentification forte au delà du seuil des 30 euros, pour passer sous la barre des 0,1% de fraude.
 
👩🏻‍🦰 Une authentification « forte » ?
 
🧔🏻Dans l’univers du paiement, on distingue 3 notions : ce que l’utilisateur sait, par exemple un mot de passe, ce que l’utilisateur possède, par exemple une carte ou un smartphone, et ce que l’utilisateur est, avec une identification biométrique comme l’empreinte digitale ou la reconnaissance faciale.
 
Et avec la DSP2, les marchands vont devoir garantir qu’au moins 2 notions sur 3 soient respectées, pour que leur paiement respecte le principe de l’ authentification forte.
 
👩🏻‍🦰 La validation par SMS, une authentification forte ?
 
🧔🏻Avec la DSP1, les marchands bénéficient d’un système d’authentification par SMS, baptisé 3Dsecure, qui permettait de confirmer un paiement réalisé sur son ordinateur. 
 
En 2019, le SMS représentait d’ailleurs encore 86% des méthodes de validation 3D Secure. Et cette méthode permettait de faire chuter le taux de fraude de 0,21% à 0,07%.
 
L’authentification par SMS valide deux des trois exigences des RTS de la DSP2 : la possession (téléphone portable) et la connaissance (code transmis par SMS), mais le SMS étant reçu sur le téléphone, elles ne sont pas indépendantes l’une de l’autre, ce qui ne permettrait pas de revendiquer une « authentification forte ».
 
Alors qu’elle est largement majoritaire, la validation par SMS pourrait donc disparaitre dès 2022 principalement au profit de l’identification biométrique.
 
👩🏻‍🦰 Les acteurs européens sont ils prêts ?
 
🧔🏻Non. Selon une étude réalisée en Janvier 2021 par Natixis, 68% des e-commerçants ne géraient toujours pas le protocole 3DSecure. 26% utilisaient l’ancien protocole et seuls 6 % le nouveau protocole.
 
Même si ce chiffre devrait fortement progresser dans les prochains jours, beaucoup de commerçants ne seront pas conformes avec la DSP2 au 15 mai, et prennent le risque d’un rejet des paiements de leurs clients par leur banque, faute de sécurité suffisante.
 
Il faut en parallèle s’attendre à un engouement pour les solutions reposant sur un paiement biométrique, comme celles proposées par Apple ou Google, et qui sont déjà conformes à la DSP2.
 
👩🏻‍🦰 Un régulateur qui fait le jeu des GAFAs ?
 
🧔🏻Oui, De la même manière que le RGPD fragilise les acteurs européens de l’AdTech pour renforcer les géants américains ou chinois du secteur, cette DSP2 risque de fragiliser les fintechs et les banques européennes, qui sont en retard en matière de biométrie.
 
L’ironie de l’histoire, c’est que l’autorité française de la concurrence vient tout juste de publier un avis, pointant le retard des acteurs européens en matière de paiement, et le risque de monopole des GAFAs dans cet univers.
 
Pour résumer, les autorités européennes votent des textes qui interdisent d’utiliser des solutions européens qui fonctionnent très bien, au profit de solutions américaines qu’elles accusent ensuite d’être en position de monopole. 
 
C’est à se demander si il ne serait pas nécessaire de réguler… nos régulateurs.