Nous analysons si votre passerelle de paiement est un prestataire de services techniques exclu ou fournit un service de paiement soumis à agrément au titre de la DSP2 et du décret-loi royal 19/2018 : détention de fonds, qualification en établissement de paiement ou PISP, activité en tant qu’agent d’un établissement agréé, authentification forte (SCA) et lutte contre le blanchiment.
Consultation gratuite
Nous vous répondons en moins de 24 h
Six volets pour déterminer si votre passerelle a besoin d’une licence et, le cas échéant, laquelle : de l’analyse du périmètre réglementaire à l’agrément, à la sécurité et à la conformité.
Nous analysons si votre passerelle relève de l’exclusion applicable aux prestataires de services techniques (support technologique sans jamais détenir les fonds) ou si elle fournit un service de paiement soumis à agrément au titre de la DSP2 et du décret-loi royal 19/2018.
S’il y a service de paiement, nous définissons la voie à suivre : demander l’agrément d’établissement de paiement, s’enregistrer comme prestataire de services d’initiation de paiement (PISP) ou opérer comme agent d’un établissement déjà agréé pendant l’instruction de votre propre agrément.
Le point clé : si la passerelle vient à détenir les fonds du payeur ou à les agréger avant de les reverser au commerçant, elle franchit le périmètre réglementaire et a besoin d’un agrément et d’une protection des fonds.
Nous examinons l’authentification forte du client exigée par la DSP2, les exemptions applicables et la norme de sécurité des données de cartes (PCI DSS), ainsi que le cadre de résilience opérationnelle (DORA) lorsqu’il s’applique.
Si la passerelle fournit un service de paiement, elle est une entité assujettie : nous mettons en place l’évaluation des risques, le KYC, la surveillance des opérations, le représentant auprès du SEPBLAC et le reporting.
Nous structurons les contrats avec l’établissement acquéreur, les schémas de cartes et les prestataires techniques, ainsi que la répartition des responsabilités, pour que le modèle fonctionne en pratique.
Toutes les passerelles ne sont pas égales devant la réglementation : fournir un support technique est une chose, toucher les fonds ou initier des paiements en est une autre. La qualification réglementaire dépend de ce que fait exactement votre plateforme.
« La passerelle purement technique transmet des données et relie le commerçant à l’acquéreur sans jamais détenir les fonds. Elle est exclue de l’agrément, mais cette limite doit être documentée. »
« L’agrégateur ou facilitateur de paiements qui reçoit les fonds puis les reverse au commerçant fournit un service de paiement : il a besoin d’un agrément et de la protection des fonds des clients. »
« Si la passerelle initie des paiements depuis le compte du client (open banking), il s’agit d’un service d’initiation de paiement : il est réglementé même si elle ne détient jamais les fonds. »
« Lorsque le modèle exige de gérer des fonds et de fournir plusieurs services de paiement, la voie est la licence propre d’établissement de paiement, avec son capital, sa gouvernance et sa compliance. »
Penser qu’une passerelle n’a jamais besoin de licence est une erreur fréquente : dès qu’elle touche des fonds ou initie des paiements, elle entre dans le périmètre de la DSP2, et opérer sans agrément bloque l’activité et expose à des sanctions.
L’erreur la plus courante : considérer qu’une passerelle n’est « que de la technologie ». La limite tient à la détention des fonds à un moment ou à un autre ; si elle est franchie sans agrément, le problème apparaît quand l’activité est déjà lancée.
L’initiation de paiement est réglementée même sans toucher les fonds : confondre une passerelle technique avec un PISP conduit à opérer sans l’enregistrement requis auprès de la Banque d’Espagne.
La protection des fonds et la LCB-FT ne sont pas facultatives : si la passerelle fournit un service de paiement, elle doit protéger les fonds des clients et respecter les obligations de lutte contre le blanchiment dès le premier jour.
Fournir des services de paiement sans l’agrément préalable de la Banque d’Espagne peut entraîner l’arrêt de l’activité.
Le régime de sanctions du RDL 19/2018 vise quiconque fournit des services de paiement sans agrément, avec mise en cause de la responsabilité des administrateurs.
Les acquéreurs, les banques et les schémas de cartes exigent une qualification réglementaire claire avant d’intégrer une passerelle : sans elle, les intégrations sont bloquées.
Avant de lancer ou de passer à l’échelle, il convient de valider le périmètre réglementaire : si votre modèle touche des fonds, initie des paiements ou agrège, et quelle voie d’agrément ou d’agent vous convient.
Une passerelle de paiement (payment gateway) est la technologie qui relie un commerçant à l’écosystème de paiement (acquéreur, schémas de cartes, banques) pour autoriser et traiter les opérations. Dans sa version la plus simple, elle transmet et protège des données sans jamais détenir les fonds.
La question clé n’est pas technologique mais réglementaire : si, à un moment donné, elle détient les fonds ou initie le paiement, elle cesse d’être un simple support technique.
Cela dépend. S’il s’agit d’un prestataire de services techniques qui apporte un support sans jamais détenir les fonds, elle est exclue de l’agrément au titre de la DSP2 et du décret-loi royal 19/2018.
Si elle touche les fonds, les agrège ou initie des paiements, elle fournit un service de paiement et a besoin d’un agrément (établissement de paiement), d’un enregistrement (PISP) ou d’opérer comme agent d’un établissement agréé.
Lorsque sa fonction se limite au support technologique (traitement et stockage de données, authentification, réseaux, terminaux) et qu’il n’entre pas en possession des fonds à transférer. Cette exclusion est prévue par la DSP2 et par le RDL 19/2018.
Important : l’exclusion ne couvre pas l’initiation de paiement ni l’information sur les comptes, qui sont réglementées même si le prestataire ne détient pas les fonds.
Ils se distinguent selon qu’ils touchent ou non les fonds et selon leur agrément :
Un PISP (prestataire de services d’initiation de paiement) initie un ordre de paiement depuis le compte bancaire du client dans le cadre de l’open banking. Contrairement à une passerelle technique, il est réglementé (enregistrement auprès de la Banque d’Espagne requis) même s’il ne détient jamais les fonds.
De nombreuses passerelles modernes intègrent l’initiation de paiement, ce qui les place dans le périmètre réglementé.
L’authentification forte du client (SCA) est l’exigence de la DSP2 de vérifier l’utilisateur au moyen d’au moins deux facteurs indépendants (ce qu’il sait, ce qu’il possède ou ce qu’il est) pour les paiements électroniques. Elle est précisée par le règlement délégué (UE) 2018/389 et admet certaines exemptions.
La passerelle doit prendre en charge la SCA et gérer correctement les exemptions afin de ne pas accroître les frictions ni d’assumer la responsabilité en cas de fraude.
Si la passerelle fournit un service de paiement, elle est une entité assujettie au titre de la loi 10/2014 : elle doit mettre en place l’évaluation des risques, les mesures de vigilance (KYC), la surveillance des opérations, désigner un représentant auprès du SEPBLAC et déclarer les opérations suspectes.
Un prestataire purement technique qui ne fournit pas de services de paiement n’a pas, au titre de cette activité, la qualité d’entité assujettie.
Oui. Une alternative à l’obtention d’une licence propre consiste à opérer comme agent d’un établissement de paiement déjà agréé, en vous inscrivant au registre correspondant et sous la responsabilité de cet établissement.
C’est une voie courante pour lancer plus tôt ou valider le modèle, mais elle exige un contrat solide et des contrôles que l’établissement principal supervisera.
PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité des données du secteur des cartes que doivent respecter ceux qui stockent, traitent ou transmettent des données de cartes. Ce n’est pas une licence mais une exigence contractuelle des schémas de cartes, indispensable toutefois pour exploiter une passerelle en toute sécurité.
C’est le décret-loi royal 19/2018 du 23 novembre sur les services de paiement et d’autres mesures urgentes en matière financière, qui transpose en Espagne la DSP2 (directive (UE) 2015/2366). Il régit qui peut fournir des services de paiement, les établissements de paiement, l’initiation de paiement, l’information sur les comptes et les exclusions du champ d’application.
C’est une exclusion de la DSP2 pour les instruments qui ne servent qu’à acquérir des biens ou services auprès d’un réseau limité de prestataires ou d’une gamme très précise de produits (par exemple, les cartes cadeaux d’une enseigne). Au-delà de certains seuils, elle doit être notifiée à la Banque d’Espagne. Elle se distingue de l’exemption de l’agent commercial.
La DSP3 et le règlement sur les services de paiement (PSR) sont en phase finale d’adoption (accord politique fin 2025 et texte de compromis en 2026, avec une application pratique prévue vers 2027). Ils remplaceront la DSP2, réuniront établissements de paiement et de monnaie électronique en une seule catégorie, renforceront la SCA et la responsabilité en cas de fraude et étendront l’open banking. Il convient de concevoir le projet en tenant compte de cet horizon.
C’est la question qui détermine tout. Si l’argent transite par des comptes de la passerelle avant d’arriver au commerçant, ou si elle l’agrège et le reverse, elle détient alors les fonds et fournit un service de paiement. Si le flux va directement du payeur à l’acquéreur ou au commerçant et que la passerelle ne fait que transmettre des données, elle ne les détient pas.
L’autorité de supervision des services de paiement en Espagne est la Banque d’Espagne, qui accorde les agréments et tient le registre des établissements de paiement, des agents et des prestataires d’initiation de paiement et d’information sur les comptes. Un prestataire purement technique ne s’enregistre pas au titre de cette activité, mais il convient de documenter pourquoi il reste hors du périmètre.
La nécessité d’un agrément et le capital exigé dépendent de la détention ou non des fonds par la passerelle et du service de paiement fourni. Nous vous aidons à situer votre modèle avant de commencer.
Deux questions structurent la qualification : la passerelle détient-elle les fonds à un moment donné et quel service de paiement fournit-elle exactement.
Avant de vous engager sur des honoraires, nous arrêtons le périmètre réglementaire et la voie adaptée. Vous évitez ainsi de demander une licence dont vous n’avez pas besoin ou, pire, d’opérer sans celle qu’il vous faut.
| Modèle | Passerelle technique | Agrégateur / facilitateur | PISP | Établissement de paiement |
|---|---|---|---|---|
| Licence nécessaire ? | Non (exclue) | Oui | Enregistrement spécifique | Oui |
| Touche-t-elle les fonds ? | Non | Oui | Non | Oui, avec protection des fonds |
| Agrément | Aucune (documenter l’exclusion) | Établissement de paiement | Enregistrement PISP auprès de la BdE | Agrément d’établissement de paiement |
| Capital initial (indicatif) | Sans objet | 125 000 € | 50 000 € | 20 000 € à 125 000 € selon les services |
| Superviseur | Banque d’Espagne (périmètre) | Banque d’Espagne | Banque d’Espagne | Banque d’Espagne |
Chiffres indicatifs à titre de comparaison. Le capital exact et la qualification réglementaire dépendent des services de paiement précis fournis par la passerelle et de la détention ou non des fonds ; ils doivent être validés au cas par cas conformément au décret-loi royal 19/2018 et à la DSP2.
La qualification d’une passerelle n’est pas une étiquette : c’est le résultat de l’analyse du flux de fonds, des services fournis et de la sécurité. L’essentiel est de bien choisir la voie avant de construire le produit.
Avant tout, il faut cartographier si l’argent transite par la passerelle et quel service elle fournit. Cette décision détermine si elle a besoin d’une licence, d’un enregistrement ou si elle est exclue.
L’authentification forte, les exemptions et la conformité PCI DSS doivent être traitées tôt : elles influent sur les frictions, la fraude et la relation avec les acquéreurs et les schémas.
S’il y a service de paiement, la lutte contre le blanchiment et les contrats avec l’acquéreur et les prestataires doivent être conçus dès le début, et non comme un ajout.
Si vous souhaitez valider la qualification de votre passerelle ou préparer l’agrément, consultez nos services de réglementation fintech et la licence d’établissement de paiement.
Qualifier une passerelle, ce n’est pas lui coller une étiquette : c’est un ensemble de décisions cohérentes (flux de fonds, services de paiement, sécurité et compliance) qui déterminent si elle a besoin d’une licence. Voici un panneau pour comprendre comment cela se concrétise.
1) FluxL’objectif n’est pas d’étiqueter la passerelle au plus vite, mais de voir si l’argent transite par elle. Cette décision conditionne toute la qualification.
2) ServiceAcquisition, exécution, initiation ou information sur les comptes. Chaque service a son agrément ou son enregistrement et son capital.
3) SécuritéAuthentification forte, exemptions et PCI DSS. Lorsqu’ils sont négligés, la fraude, les frictions et le risque vis-à-vis des schémas augmentent.
4) ComplianceLCB-FT, protection des fonds le cas échéant, et contrats avec l’acquéreur et les prestataires. C’est ce qui fait de la qualification un modèle opérationnel et défendable.
Décision rapideVous ne détenez pas de fonds et n’initiez pas de paiements : prestataire de services techniques, exclu de l’agrément.
Vous initiez des paiements depuis le compte du client : enregistrement comme PISP auprès de la Banque d’Espagne.
Vous recevez et reversez des fonds : licence d’établissement de paiement ou agent d’un établissement agréé.
Analyse claire de la détention éventuelle des fonds par la passerelle à un moment du circuit.
Schéma du flux de fonds, architecture des comptes et description du circuit de règlement.
Identification des services fournis (acquisition, exécution, initiation, information).
Description fonctionnelle du service et rapprochement avec les services de paiement du RDL 19/2018.
Justification, le cas échéant, de l’exclusion du prestataire technique, du réseau limité ou de l’agent commercial.
Rapport de qualification réglementaire et, le cas échéant, notification à la Banque d’Espagne.
Authentification forte, gestion des exemptions et sécurité des données de cartes.
Politique de SCA, matrice des exemptions et certification ou questionnaire PCI DSS.
Cadre de lutte contre le blanchiment proportionné lorsqu’un service de paiement est fourni.
Manuel LCB-FT, évaluation des risques, dossiers KYC et désignation du représentant auprès du SEPBLAC.
Répartition claire des responsabilités avec l’acquéreur, les schémas et les prestataires techniques.
Contrats avec l’acquéreur, accords avec les prestataires, SLA et cadre de continuité.
Repérez-les avant le lancement pour éviter d’opérer hors du périmètre ou de demander une licence inutile.
Si vous définissez la qualification d’une passerelle de paiement, ces termes apparaissent dans l’analyse réglementaire, dans les contrats et dans la relation avec la Banque d’Espagne et les schémas de cartes.
Technologie qui relie le commerçant à l’acquéreur et aux schémas pour autoriser et traiter les paiements. Sa qualification dépend de la détention des fonds ou de l’initiation de paiements.
Prestataire de support technologique aux services de paiement qui ne détient jamais les fonds. Il est exclu de l’agrément, sauf pour l’initiation de paiement et l’information sur les comptes.
Établissement agréé par la Banque d’Espagne pour fournir des services de paiement et gérer les fonds des clients avec protection des fonds. Capital initial entre 20 000 € et 125 000 € selon les services.
Service qui initie un ordre de paiement depuis le compte bancaire du client. Il est réglementé (enregistrement requis) même s’il ne détient jamais les fonds. Capital initial de 50 000 €.
Facilitateur qui reçoit les fonds des opérations puis les reverse au commerçant. Comme il détient les fonds, il fournit un service de paiement et a besoin d’un agrément.
Vérification de l’utilisateur avec au moins deux facteurs indépendants pour les paiements électroniques, exigée par la DSP2 et précisée par le règlement délégué (UE) 2018/389, avec des exemptions limitativement énumérées.
Norme du secteur des cartes pour ceux qui stockent, traitent ou transmettent des données de cartes. Ce n’est pas une licence mais une exigence contractuelle des schémas.
Texte qui transpose la DSP2 en Espagne. Il régit les services de paiement, les établissements de paiement, l’initiation et l’information sur les comptes, ainsi que les exclusions du champ d’application.
Obligation de maintenir séparés et protégés les fonds des clients reçus pour exécuter des opérations de paiement. S’applique lorsque la passerelle vient à détenir les fonds.
Téléchargez notre guide avec le cadre complet : quand une passerelle est exclue, quand elle a besoin d’une licence, quel statut choisir et quelles exigences de sécurité et de compliance s’appliquent.
Expliquez-nous comment fonctionne votre passerelle et nous vous dirons si elle a besoin d’une licence et quelle est la voie la plus efficace pour votre projet.
La qualification d’une passerelle de paiement se décide à partir de la directive (UE) 2015/2366 (DSP2) et de sa transposition en Espagne, le décret-loi royal 19/2018 du 23 novembre sur les services de paiement. La supervision et l’agrément relèvent de la Banque d’Espagne, qui évalue si l’activité constitue un service de paiement et quel statut lui correspond.
Le RDL 19/2018 exclut de son champ les prestataires de services techniques qui apportent un support aux services de paiement (traitement et stockage de données, authentification, réseaux, terminaux) sans jamais entrer en possession des fonds à transférer. Une passerelle qui se limite à cette fonction reste hors du périmètre, mais l’exclusion ne s’étend pas à l’initiation de paiement ni à l’information sur les comptes.
Si la passerelle détient ou agrège les fonds, elle fournit un service de paiement et a besoin de l’agrément d’établissement de paiement (capital initial de 20 000 € à 125 000 € selon les services). Si elle initie des paiements depuis le compte du client, c’est un PISP (enregistrement spécifique), et si elle agrège des informations de comptes, un AISP. Il est aussi possible d’opérer comme agent d’un établissement de paiement déjà agréé.
Lorsqu’il y a service de paiement s’appliquent l’authentification forte du client du règlement délégué (UE) 2018/389, la protection des fonds des clients et les obligations de lutte contre le blanchiment de la loi 10/2014. S’y ajoute, sur le plan contractuel, la norme de sécurité des données de cartes (PCI DSS) exigée par les schémas.
La DSP3 et le règlement sur les services de paiement (PSR), en phase finale d’adoption, remplaceront la DSP2, réuniront les établissements de paiement et de monnaie électronique en une seule catégorie et renforceront l’authentification, la responsabilité en cas de fraude et l’open banking, avec une application pratique prévue vers 2027. Il convient de concevoir la passerelle en tenant compte de cet horizon.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .