Open banking
PSD2 et accès aux comptes
« La PSD2 n’est pas qu’une norme sur les paiements : elle redéfinit l’accès au compte, l’interaction entre banques et tiers et les preuves que vous devez conserver pour démontrer votre conformité. »
Conformité PSD2 en Espagne et services de paiement
Nous vous aidons à mettre votre entreprise en conformité avec la PSD2 selon une approche pratique et défendable : analyse du cadre réglementaire applicable, demande d’agrément auprès du superviseur, revue de la SCA, open banking, relations avec les tiers, protection des fonds, externalisation (outsourcing) critique, contrôles internes et preuves pour opérer en toute sécurité juridique.
SCA
Authentification forte du client
« Nous vérifions si vos opérations de paiement respectent réellement l’authentification forte, les exemptions applicables et la traçabilité technique et documentaire qu’exige le superviseur. »
Licences
Établissements de paiement et de monnaie électronique
« Avant de lancer ou de développer votre activité, il faut valider le périmètre réglementaire : établissement de paiement, monnaie électronique, prestataire technologique ou tiers non réglementé. Une erreur à ce stade coûte des mois. »
Compliance
Conformité continue à la PSD2
« Un agrément ne suffit pas : la PSD2 exige des contrôles, une externalisation (outsourcing) bien gouvernée, la gestion des incidents, la sécurité, le reporting et des preuves prêtes pour un contrôle. »
Services juridiques et de compliance PSD2
Qualification réglementaire au regard de la PSD2
Nous analysons votre modèle économique pour déterminer s’il relève des services de paiement, de la monnaie électronique, de l’open banking ou d’une activité technologique non réservée. Vous évitez de construire votre projet sur une prémisse erronée.
Dossier auprès de la Banque d’Espagne
Nous préparons les dossiers d’agrément et d’enregistrement avec une approche pratique : structure, politiques, gouvernance, contrôles, preuves et réponses aux demandes d’informations.
Authentification forte et sécurité
Nous examinons l’application concrète de la SCA, des exemptions, des flux opérationnels, des incidents et de la traçabilité documentaire, afin de réduire le risque supervisoral et les frictions commerciales.
AISP, PISP et accès aux comptes
Nous concevons le cadre de conformité pour l’agrégation de comptes, l’initiation de paiements, l’accès sécurisé aux données, le consentement et la relation entre les acteurs.
Tiers critiques et contrats
Nous examinons l’externalisation (outsourcing), la sous-traitance, les SLA, la continuité, la sécurité, les responsabilités et les preuves contractuelles pour les prestataires technologiques et opérationnels.
Compliance continue PSD2
Nous mettons en place un suivi périodique, la gestion des incidents, le reporting interne, des tests de contrôles et une documentation prête pour un audit, des investisseurs ou le superviseur.
Pourquoi la PSD2 est-elle critique pour les fintech, les établissements de paiement et les projets d’open banking ?
La principale erreur avec la PSD2 est de confondre produit technologique et activité réglementée. Si votre modèle touche aux paiements, à l’accès aux comptes ou à l’exécution pour le compte de clients, le périmètre doit être analysé avant de commencer à opérer.
La SCA n’est pas un détail technique isolé : elle touche à la conversion, à l’expérience utilisateur, à la prévention de la fraude, aux incidents et à votre capacité à vous défendre face à des réclamations ou à des inspections.
L’open banking exige plus qu’une API : il faut de la gouvernance, de la sécurité, un contrôle des tiers, de la traçabilité et une cohérence documentaire entre processus, contrats et activité réelle.
Une demande d’agrément mal pensée ou un dossier incohérent auprès de la Banque d’Espagne entraîne des demandes d’informations, des reprises de travail et des retards qui bloquent le lancement ou le développement de l’activité.
Avec la PSD2, il ne suffit pas d’« avoir des politiques » : il faut démontrer la protection des fonds, des contrôles, des incidents gérés, une externalisation (outsourcing) supervisée et une conformité continue, preuves à l’appui.
Tout sur la PSD2 pour les entreprises et les fintech
Qu’est-ce que la PSD2 ?
La PSD2 est la deuxième directive sur les services de paiement de l’Union européenne. Elle encadre la prestation de services de paiement, renforce la sécurité des opérations électroniques et ouvre l’écosystème financier aux tiers grâce au modèle d’open banking.
Concrètement, la PSD2 concerne les banques, les fintech, les établissements de paiement, les établissements de monnaie électronique et tout modèle qui intervient dans l’initiation de paiements, l’accès aux comptes, l’authentification du client ou l’infrastructure opérationnelle liée au service.
Ce n’est pas seulement une norme technique : c’est un cadre d’agrément, de sécurité, de gouvernance et de conformité continue.
Quelles entreprises la PSD2 concerne-t-elle ?
La PSD2 concerne directement les établissements de paiement, les établissements de monnaie électronique, les banques, les prestataires de services d’initiation de paiement (PISP), les prestataires de services d’information sur les comptes (AISP) et les projets fintech qui structurent des services autour des paiements ou de l’accès aux comptes.
Elle peut aussi toucher indirectement les prestataires technologiques, les processeurs, les agrégateurs, les white labels et les partenaires opérationnels, dont le modèle contractuel et fonctionnel doit être analysé avec précision pour éviter d’entrer, sans l’avoir prévu, dans une activité réservée.
L’essentiel n’est pas le nom que vous donnez au produit, mais ce que fait réellement votre activité.
Que sont les AISP et les PISP au sens de la PSD2 ?
Un AISP fournit des services d’information sur les comptes : il agrège ou présente les informations financières d’un ou de plusieurs comptes de l’utilisateur. Un PISP initie des paiements pour le compte de l’utilisateur, depuis son compte bancaire vers un commerçant ou un bénéficiaire.
Ces deux modèles exigent d’analyser l’agrément, la sécurité, les contrats, le traitement des données, les contrôles opérationnels et la relation avec les établissements qui tiennent le compte. Une intégration technique ne suffit pas.
Si votre activité touche à l’accès aux comptes ou à l’initiation de paiement, l’analyse PSD2 doit être menée dès la conception du produit.
Qu’exige la PSD2 en matière de SCA ?
L’authentification forte du client (SCA) impose d’authentifier certaines opérations au moyen de deux éléments ou plus appartenant à des catégories différentes, avec des règles spécifiques de sécurité et de communication.
Au-delà de la couche technique, il faut examiner les exemptions, les flux de paiement, les incidents, les taux de fraude, l’expérience client et les preuves du fonctionnement réel. Une approche uniquement « produit » est généralement insuffisante.
La SCA ne se défend pas par un argumentaire commercial : elle se défend par une architecture, un processus et des registres.
Ai-je besoin d’un agrément de la Banque d’Espagne ?
Cela dépend du service que vous fournissez réellement. Si vous exécutez des paiements, émettez de la monnaie électronique, initiez des paiements ou accédez à des comptes en tant que tiers réglementé, un agrément ou un enregistrement spécifique peut être nécessaire.
L’erreur la plus coûteuse consiste à déposer un dossier sans avoir validé au préalable la qualification réglementaire ou, pire encore, à opérer en se croyant simple prestataire technologique alors que l’on exerce en réalité une activité réservée.
Avant d’investir dans le développement, les partenaires ou le marketing, il convient d’arrêter le périmètre réglementaire et la stratégie d’agrément.
Quel rôle joue l’externalisation (outsourcing) dans la PSD2 ?
Avec la PSD2, l’externalisation (outsourcing) n’élimine pas la responsabilité. Externaliser la technologie, l’assistance opérationnelle, l’onboarding, la lutte contre la fraude ou le support des paiements suppose de la gouvernance, des contrôles, des SLA, une supervision, de la continuité et une documentation contractuelle solide.
Le superviseur examine à la fois la chaîne opérationnelle et la capacité de l’établissement à contrôler ses tiers critiques. Les problèmes apparaissent lorsque le contrat ne reflète pas la réalité opérationnelle.
Mal externaliser ne réduit pas le coût de la conformité : cela le multiplie.
Combien coûte la mise en conformité d’une entreprise avec la PSD2 ?
Le coût dépend du type d’activité, de la maturité du projet, de l’existence ou non d’une activité déjà en cours et de la nature de la mission : diagnostic, agrément complet ou conformité continue.
L’important est de ne pas regarder que le coût juridique initial : une mauvaise qualification réglementaire, une SCA mal traitée ou un dossier incohérent coûtent bien plus cher que de faire le travail correctement dès le départ.
Avec la PSD2, l’économie apparente au départ se transforme souvent en retards, en demandes d’informations et en frictions au pire moment.
Autres pages liées à la PSD2
La PSD2 croise l’agrément réglementaire, la compliance bancaire, l’open banking, MiFID II, les contrats avec des tiers et la relation avec la Banque d’Espagne.
Réglementation financière
Vue d’ensemble du cadre applicable aux fintech, paiements, licences, supervision, reporting et contrôle interne.
Compliance bancaire
Contrôles, gouvernance, LCB-FT/KYC, PSD2 et protection du client, avec une approche orientée inspection.
Agrément auprès de la Banque d’Espagne
Préparation du dossier et des annexes, régularisations et réponses aux demandes d’informations réglementaires.
Agrément bancaire
Qualification réglementaire et différences entre activité bancaire complète, services de paiement et monnaie électronique.
Licence bancaire
Ce qu’exige un dossier solide et comment distinguer banque, paiements et e-money sans erreur de périmètre.
MiFID II
Autre grand volet de la conformité financière pour les modèles qui combinent paiements, investissement et règles de conduite.
Conseil MiFID II
Adéquation, incitations, registres et supervision de la CNMV pour les entités ayant une activité d’investissement.
Réseau juridique
Accompagnement pluridisciplinaire pour les projets où la PSD2, les contrats, la fiscalité et la défense réglementaire se croisent.
Checklist : votre entreprise est-elle réellement prête pour la PSD2 ?
Ne cochez que ce que vous pouvez soutenir avec de la documentation et une activité réelle. Plus il reste de points non cochés, plus le risque réglementaire, opérationnel et commercial est élevé.
0 indicateurs sur 10
Cochez les indicateurs que vous pouvez affirmer avec certitude.
Guide complet de la PSD2 pour les entreprises et les fintech
Tout ce que vous devez savoir sur la PSD2 : ce qu’elle réglemente, qui elle concerne, comment qualifier votre modèle, ce qu’elle exige en matière de SCA et d’open banking, comment préparer l’agrément et quelles erreurs éviter.
01
Qu’est-ce que la PSD2, exactement ?
La PSD2 est le cadre européen qui réglemente les services de paiement dans le marché intérieur et qui favorise la sécurité des paiements électroniques, l’ouverture de l’écosystème bancaire et l’arrivée de nouveaux opérateurs. Elle structure l’architecture juridique et opérationnelle des banques, des établissements de paiement, des établissements de monnaie électronique et de nombreux modèles fintech.
Son importance ne tient pas seulement à l’agrément initial. La PSD2 impose aussi des exigences de sécurité, de gouvernance, d’accès aux comptes, d’authentification, de contrôle des tiers et de capacité à démontrer la conformité de manière traçable. Ce n’est donc pas une norme « de produit » : c’est une norme d’entreprise, d’exploitation et de supervision.
02
Quels modèles économiques doivent vérifier leur situation au regard de la PSD2
Il n’y a pas que les établissements déjà agréés qui doivent examiner la PSD2. C’est aussi le cas des start-up de paiement, des wallets, des applications d’agrégation financière, des solutions d’embedded finance, des outils de checkout, des plateformes qui initient des virements et des modèles qui intègrent l’activité bancaire de tiers.
La bonne question n’est pas « sommes-nous une fintech ou un éditeur de logiciel ? », mais « que faisons-nous réellement dans la chaîne du paiement et de l’accès au compte ? ». Cette analyse détermine si vous avez besoin d’une licence, d’un enregistrement, d’une structure contractuelle différente ou d’une refonte opérationnelle.
03
Open banking : AISP, PISP et accès sécurisé aux comptes
L’un des grands changements de la PSD2 est l’ouverture de l’accès aux comptes de paiement à certains tiers. Cela a favorisé les modèles d’agrégation d’informations financières et d’initiation de paiements, mais a aussi relevé le niveau d’exigence en matière de consentement, de sécurité, d’authentification, de responsabilités et de traçabilité.
En pratique, beaucoup d’entreprises règlent l’intégration technique avant de traiter la qualification réglementaire. Cet ordre coûte généralement cher. L’accès aux comptes impose d’examiner les flux, les contrats, les rôles, les données traitées, les mesures de sécurité et la logique de contrôle continu.
04
SCA, fraude et expérience utilisateur
L’authentification forte du client est l’un des points les plus sensibles de la PSD2. Elle ne touche pas seulement à la cybersécurité, mais aussi à la conversion commerciale, au taux d’abandon, à la gestion de la fraude et à la défense face à des réclamations ou à des inspections.
Une SCA mal mise en œuvre crée à la fois des frictions et des risques. Il convient donc d’examiner non seulement l’exigence juridique, mais aussi sa traduction opérationnelle : quand elle s’applique, quelles exemptions vous utilisez, comment les incidents sont documentés et quelles preuves vous pouvez apporter si votre modèle est remis en cause.
05
Agrément, contrôles internes et conformité continue
Lorsque le modèle exige un agrément ou un enregistrement, la qualité du dossier est décisive. Le superviseur n’apprécie pas seulement la théorie : il vérifie la cohérence entre l’activité, la structure, les fonctions, les politiques, l’externalisation (outsourcing), la sécurité, le reporting et les preuves de mise en œuvre.
Après l’agrément vient le plus important : la conformité récurrente. La PSD2 exige que l’établissement maintienne des contrôles, gère les incidents, supervise les tiers critiques et conserve une base documentaire capable de résister aux demandes d’informations, aux audits et aux inspections.
06
Erreurs fréquentes à éviter avec la PSD2
L’erreur la plus courante est de confondre fonctionnalité et qualification réglementaire : lancer une solution utile en supposant que, parce qu’elle comporte une couche technologique, il n’y a pas d’activité réservée. La deuxième erreur est de séparer juridique, produit et opérations, alors qu’avec la PSD2 tout est lié.
La gouvernance de l’externalisation (outsourcing) est elle aussi souvent défaillante : tiers critiques sans contrôle réel, contrats génériques, SLA peu clairs ou absence de continuité opérationnelle. Enfin, beaucoup d’entreprises documentent mal leur conformité : elles ont des processus, mais pas de preuves. En matière de supervision, ce que l’on ne peut pas démontrer pèse peu.
Contrats associés
Modèles et analyses contractuels qui peuvent aussi vous intéresser
Si vous étudiez cette question, ces pages vous aideront à approfondir l’analyse des baux, des contrats de fourniture et des contrats comportant des obligations réciproques.
Contrats
Contrat synallagmatique
Points juridiques clés, obligations réciproques et aspects essentiels pour interpréter correctement ce type de relation contractuelle.
Voir la page BauxContrat de location d’entrepôt industriel
Passez en revue les clauses les plus importantes pour encadrer l’usage, la durée, le loyer, les responsabilités et la résiliation du contrat.
Voir la page BauxContrat de bail de local commercial
Une ressource utile pour analyser les conditions d’exploitation, la durée, les travaux, les charges refacturables et la protection des parties.
Voir la page Droit commercialContrat de fourniture : modèle et points clés
Structure, clauses habituelles et points critiques pour documenter des relations d’approvisionnement durables en toute sécurité juridique.
Voir la pageRéserver un appel sur la conformité réglementaire
Sources officielles
Textes de référence, avec lien vers le texte officiel :
- Décret-loi royal 19/2018, du 23 novembre, sur les services de paiement et autres mesures urgentes en matière financièreBOE · texte consolidé
Textes et liens vérifiés en .