Sécurisation des paiements : que vont changer les règles de la DSP2 à partir de septembre ?

Auteur :

Matthieu Guinebault

Publié le
1 août 2019

A compter du 14 septembre 2019 entreront en vigueur les règles liées à l’authentification forte (ou RTS) imposées par la nouvelle directive européenne sur les services de paiement. Une adaptation complexe qui pourrait donner lieu à une période de transition prolongée.

Entrée en vigueur en janvier 2018, la DSP2 porte sur trois sujets majeurs. A commencer par l’obligation pour les banques de mettre les données de paiement de leurs clients à disposition des TPP (pour "third party provider") que sont les agrégateurs de comptes et applications de paiement. Pour le consommateur, la réforme promet des remboursements sans délai lors d’opérations contestées, l’interdiction de surfacturation et autres renforcements des droits.

Mais l’un des changements les plus visibles sera à l’évidence l’obligation de combiner deux éléments d’authentification indépendants lors des paiements en ligne. Le terme "indépendant" renvoie aux trois catégories qui ont été définies : les authentifications par la possession (d’un smartphone, d’une carte SIM, d’une clef physique…), par la connaissance (mot de passe, date de naissance, nom d’un animal de compagnie…), ou par biométrie (reconnaissance faciale, empreinte vocale ou digitale…).

Au-delà des différentes migrations techniques entrainées par la DSP2, auxquelles la fédération de la vente en ligne (Fevad) a consacré une fiche conseils, ces changements représentent un défi en termes de ventes pour les e-commerçants. Ces derniers se sont en effet efforcés de limiter les frictions dans les différentes étapes, allant de l’ajout au panier jusqu’à la finalisation du paiement. Le groupe Facebook évaluait récemment à 20 milliards d’euros les pertes dues, en France, à des abandons de panier. Reste donc à savoir quelles formes prendront la combinaison des vérifications de paiement chez les différents acteurs européens.