3. Orientations

1.1. Les autorités compétentes devraient considérer un prestataire de services de paiement gestionnaire de comptes (ci-après le «PSPGC») comme ayant rempli les quatre conditions énoncées à l’article 33, paragraphe 6, des NTR lorsqu’il satisfait aux exigences définies dans les orientations 2 à 8, sous réserve du respect des exigences fixées dans la DSP2 et dans les NTR.

1.2. Les PSPGC devraient fournir aux autorités compétentes les informations nécessaires pour leur démontrer que les exigences définies dans les orientations 2 à 8 sont remplies.

2.1. Le PSPGC devrait définir des indicateurs clés de performance (ICP) et des objectifs de niveau de service, notamment pour la résolution de problèmes, l’assistance en dehors des heures de bureau, le suivi, les plans d’urgence et la maintenance de son interface dédiée, qui soient au moins aussi exigeants que ceux fixés pour la ou les interfaces mises à la disposition de ses propres utilisateurs de services de paiement pour accéder directement à leurs comptes de paiement en ligne.

2.2. Le PSPGC devrait au moins définir les ICP suivants relatifs à la disponibilité de l’interface dédiée:

• a. la durée quotidienne de bon fonctionnement de toutes les interfaces; et
• b. les temps d’arrêt quotidiens de toutes les interfaces.

2.3. Outre les ICP relatifs à la disponibilité, énoncés dans l’orientation 2.2, le PSPGC devrait au moins définir les ICP suivants relatifs à la performance de l’interface dédiée:

• a. le temps moyen par jour (en millisecondes) nécessaire au PSPGC pour fournir, par demande, au prestataire de services d’initiation de paiement (ci-après le «prestataire de SIP») toutes les informations demandées au titre de l’article 66, paragraphe 4, point b), de la DSP2 et de l’article 36, paragraphe 1, point b), des NTR;
• b. le temps moyen par jour (en millisecondes) nécessaire au PSPGC pour fournir, par demande, au prestataire de services d’information sur les comptes (ci-après le «prestataire de SIC») toutes les informations demandées au titre de l’article 36, paragraphe 1, point a), des NTR;
• c. le temps moyen par jour (en millisecondes) nécessaire au PSPGC pour fournir, par demande, au prestataire de services de paiement qui émet des instruments de paiement liés à une carte ou au prestataire de SIP la confirmation, sous la forme d’un «oui» ou «non», conformément à l’article 65, paragraphe 3, de la DSP2 et à l’article 36, paragraphe 1, point c), des NTR; SÉCURISÉES DE COMMUNICATION
• d. le taux quotidien de réponse d’erreur, calculé comme étant le nombre de messages de notification des erreurs concernant des erreurs imputables au PSPGC envoyés par jour par ce dernier aux prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte, conformément à l’article 36, paragraphe 2, des NTR, divisé par le nombre de demandes reçues le même jour par le PSPGC de la part des prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte.

2.4. Aux fins du calcul des indicateurs relatifs à la disponibilité de l’interface dédiée énoncés dans l’orientation 2.2, le PSPGC devrait:

• a. calculer le pourcentage de durée de bon fonctionnement comme suit: 100 % moins le pourcentage de temps d’arrêt;
• b. calculer le pourcentage de temps d’arrêt sur la base du nombre total de secondes durant lesquelles l’interface dédiée était en panne sur une période de 24 heures débutant et se terminant à minuit ;
• c. considérer l’interface comme étant «en panne» lorsque cinq demandes consécutives d’accès aux informations pour la prestation de services d’initiation de paiement, de services d’information sur les comptes ou pour la fourniture d’une confirmation de la disponibilité des fonds n’obtiennent pas de réponse dans les 30 secondes, que ces demandes proviennent d’un ou de plusieurs prestataires de SIP, de SIC ou de services de paiement qui émettent des instruments de paiement liés à une carte. En pareil cas, le PSPGC devrait calculer le temps d’arrêt à partir du moment où il a reçu la première demande dans la série des cinq demandes consécutives n’ayant pas obtenu de réponse dans les 30 secondes, à condition qu’aucune demande intervenue entre ces cinq demandes n’ait obtenu de réponse.

3.1 Au titre de l’article 32, paragraphe 4, des NTR, le PSPGC devrait communiquer à son autorité compétente un plan de publication trimestriel des statistiques quotidiennes portant sur la disponibilité et les performances de l’interface dédiée telles que définies aux orientations 2.2 et 2.3, et de chacune des interfaces mises à la disposition de ses propres utilisateurs de services de paiement pour accéder directement à leurs comptes de paiement en ligne, ainsi que les informations relatives aux modalités de mise à disposition de ces statistiques (lieu et date de leur première publication).

3.2 La publication susmentionnée dans l’orientation 3.1 ci-dessus devrait permettre aux prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte, ainsi qu’aux utilisateurs de services de paiement, de comparer quotidiennement la disponibilité et la performance de l’interface dédiée par rapport à celles de chacune des interfaces mises à la disposition des utilisateurs de services de paiement par leur PSPGC pour accéder directement à leurs comptes de paiement en ligne. SÉCURISÉES DE COMMUNICATION

4.1 Aux fins des tests de résistance prévus à l’article 32, paragraphe 2, des NTR, le PSPGC devrait avoir mis en place des processus permettant d’établir et d’évaluer comment l’interface dédiée fonctionne lorsqu’elle est soumise à un nombre extrêmement élevé de demandes de la part des prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte, en termes d’impact de ces pics sur la disponibilité et la performance de l’interface dédiée et sur les objectifs de niveau de service fixés.

4.2 Le PSPGC devrait soumettre l’interface dédiée à un test de résistance adéquat portant, entre autres, sur les éléments suivants:

• a. la capacité à supporter l’accès de plusieurs prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte;
• b. la capacité à gérer un nombre extrêmement élevé de demandes de la part des prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte sur un laps de temps limité sans défaillance;
• c. l’utilisation d’un nombre extrêmement élevé de sessions ouvertes simultanément pour des demandes d’initiation de paiement, d’information sur les comptes et de confirmation de la disponibilité des fonds; et
• d. les demandes portant sur d’importants volumes de données.

4.3 Le PSPGC devrait fournir à l’autorité compétente un résumé des résultats des tests de résistance, comprenant les hypothèses ayant servi de base au test de résistance pour chacun des éléments décrits aux points a) à d) de l’orientation 4.2 ci-dessus et la façon dont les difficultés identifiées ont été traitées.

5.1 Le PSPGC devrait fournir à l’autorité compétente les éléments suivants :

• a. un résumé de la ou des méthodes adoptées aux fins de la ou des procédures d’authentification des utilisateurs de services de paiement supportées par l’interface dédiée, à savoir la redirection, le découplage, l’intégration ou une combinaison de ces méthodes; et
• b. une explication des raisons pour lesquelles la ou les méthodes adoptées aux fins de la ou des procédures d’authentification mentionnées au point a) ne constituent pas des entraves, telles que définies à l’article 32, paragraphe 3, des NTR, et de la façon dont de telles méthodes permettent aux prestataires de SIP et de SIC de s’appuyer sur l’ensemble des procédures d’authentification proposées par le PSPGC à ses utilisateurs de services de paiement, ainsi que la preuve que l’interface dédiée n’entraîne pas de délai supplémentaire ou de difficulté inutiles dans le parcours des utilisateurs de services de paiement lorsqu’ils accèdent à leur compte par l’intermédiaire d’un prestataire de SIP, de SÉCURISÉES DE COMMUNICATION

SIC ou de services de paiement qui émet des instruments de paiement liés à une carte, ni tout autre attribut, notamment des étapes inutiles ou superflues ou l’utilisation d’un vocabulaire peu clair ou décourageant, susceptible de dissuader directement ou indirectement les utilisateurs de services de paiement de recourir aux services de prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte.

5.2 Dans le cadre de l’explication mentionnée au point b) de l’orientation 5.1, le PSPGC devrait fournir à l’autorité compétente les confirmations suivantes:

• a. l’interface dédiée n’empêche pas les prestataires de SIP ni les prestataires de SIC de s’appuyer sur la ou les procédures d’authentification proposées par le PSPGC à ses utilisateurs de services de paiement;
• b. aucun agrément ou enregistrement supplémentaire, autre que celui imposé aux articles 11, 14 et 15 de la DSP2, n’est requis pour des prestataires de SIP, de SIC ou de services de paiement qui émettent des instruments de paiement liés à une carte;
• c. le PSPGC n’effectue aucun contrôle supplémentaire du consentement, visé à l’article 32, paragraphe 3, des NTR, donné par l’utilisateur de services de paiement au prestataire de SIP ou de SIC l’autorisant à accéder aux informations relatives aux comptes de paiement détenus auprès du PSPGC ou à initier des paiements; et
• d. aucun contrôle du consentement donné par l’utilisateur de services de paiement au prestataire de services de paiement qui émet des instruments de paiement liés à une carte conformément à l’article 65, paragraphe 2, point a), de la DSP2 n’est effectué.

6.1 Afin de démontrer le respect des exigences visées à l’article 33, paragraphe 6, point b), des NTR relatives à la conception de l’interface dédiée, le PSPGC devrait fournir à l’autorité ce qui suit:

• a. des éléments démontrant que l’interface dédiée satisfait aux exigences juridiques relatives à l’accès et aux données prévues dans la DSP2 et dans les NTR, en ce compris:
• i. une description des spécifications techniques et fonctionnelles que le PSPGC a mises en œuvre; et
• ii. un résumé de la façon dont la mise en œuvre de ces spécifications répond aux exigences prévues dans la DSP2 et dans les NTR; et
• b. des informations permettant de déterminer si le PSPGC a collaboré avec les prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte et, dans l’affirmative, des informations sur les modalités de cette collaboration.

6.2 Aux fins des présentes orientations, on entend par «initiative de marché» un groupe d’acteurs qui ont mis au point des spécifications techniques et fonctionnelles pour des interfaces dédiées SÉCURISÉES DE COMMUNICATION

et qui, ce faisant, ont bénéficié de la contribution de prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte.

6.3 Lorsque le PSPGC met en œuvre un standard élaboré par une initiative de marché :

• a. les informations visées au point a) i) de l’orientation 6.1 peuvent consister en des éléments permettant de déterminer quel standard de l’initiative de marché le PSPGC met en œuvre, s’il a dévié, de quelque point de vue spécifique que ce soit, de ce standard et, dans l’affirmative, de quelle manière il en a dévié et comment il satisfait aux exigences énoncées dans la DSP2 et dans les NTR ;
• b. les informations visées au point a) ii) de l’orientation 6.1 peuvent inclure, s’ils sont disponibles, les résultats du test de conformité élaboré par l’initiative de marché attestant la conformité de l’interface avec le standard de l’initiative de marché correspondante.

6.4 Aux fins de l’exigence énoncée à l’article 33, paragraphe 6, point b), des NTR concernant le test de l’interface dédiée, le PSPGC devrait mettre à la disposition des prestataires agréés pour la fourniture de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte ou des prestataires de services de paiement qui ont demandé l’agrément nécessaire à leurs autorités compétentes les spécifications techniques de l’interface dédiée conformément à l’article 30, paragraphe 3, des NTR, incluant à minima, la publication d’un résumé des spécifications de l’interface dédiée sur son site internet, conformément à l’article 30, paragraphe 3, troisième alinéa, des NTR.

6.5 Le dispositif d’essai devrait permettre aux PSPGC, aux prestataires agréés pour la fourniture de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte ou aux prestataires de services de paiement qui ont demandé l’agrément nécessaire à leurs autorités compétentes de tester l’interface dédiée dans un environnement sécurisé et dédié à l’essai, avec des données factices relatives à l’utilisateur de services de paiement, et ce, concernant les points suivants :

• a. une connexion stable et sécurisée ;
• b. la capacité des PSPGC et des prestataires agréés de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte à échanger les certificats nécessaires, conformément à l’article 34 des NTR;
• c. la capacité à envoyer et à recevoir des messages de notification des erreurs, conformément à l’article 36, paragraphe 2, des NTR;
• d. la capacité des prestataires de SIP à envoyer et des PSPBG à recevoir des ordres d’initiation de paiement, ainsi que l’aptitude des PSPGC à fournir les informations requises au titre de l’article 66, paragraphe 4, point b), de la DSP2 et de l’article 36, paragraphe 1, point b), des NTR;
• e. la capacité des prestataires de SIC à envoyer et des PSPBG à recevoir des demandes d’accès à des données relatives à des comptes de paiement, ainsi que l’aptitude des PSPGC à fournir les informations requises au titre de l’article 36, paragraphe 1, point a), des NTR; SÉCURISÉES DE COMMUNICATION
• f. la capacité des prestataires de SIP et de services de paiement qui émettent des instruments de paiement liés à une carte, d’une part, à envoyer, et celle des PSPBG, d’autre part, à recevoir des demandes de la part des prestataires de SIP et de services de paiement qui émettent des instruments de paiement liés à une carte, ainsi que l’aptitude du PSPGC à envoyer une confirmation, sous la forme d’un «oui» ou «non», aux prestataires de SIP et de services de paiement qui émettent des instruments de paiement liés à une carte, conformément à l’article 36, paragraphe 1, point c), des NTR; et
• g. la capacité des prestataires de SIP et de SIC à s’appuyer sur l’ensemble des procédures d’authentification proposées par le PSPGC à ses utilisateurs de services de paiement.

6.6 Le PSPGC devrait fournir à l’autorité compétente un résumé des résultats du test visé à l’article 30, paragraphe 5, des NTR pour chacun des éléments à tester conformément aux points a) à g) de l’orientation 6.5 ci-dessus, y compris le nombre de prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte ayant utilisé le dispositif d’essai, les retours reçus par le PSPGC de la part de ces trois types de prestataires de services de paiement, les questions soulevées et une description de la façon dont ces dernières ont été traitées.

6.7 Afin de déterminer si le PSPGC satisfait aux exigences prévues à l’article 33, paragraphe 6, point b), des NTR, l’autorité compétente peut aussi prendre en considération tout problème en rapport avec l’orientation 6.5 ci-dessus qui lui est signalé par les prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte.

7.1 Afin de démontrer la conformité avec les exigences énoncées à l’article 33, paragraphe 6, point c), des NTR, le PSPGC devrait fournir à l’autorité compétente les éléments suivants:

• a. une description de l’utilisation de l’interface dédiée durant la période fixée à l’article 33, paragraphe 6, point c), comprenant, entre autres:

1. le nombre de prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte ayant utilisé l’interface en vue de proposer des services à des clients ; et

2. le nombre de demandes envoyées par ces prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte au PSPGC par l’intermédiaire de l’interface dédiée ayant obtenu une réponse de la part du PSPGC.

• b. des éléments attestant que le PSPGC a entrepris tous les efforts raisonnables pour veiller à ce que l’interface dédiée soit largement utilisée, y compris en communiquant sa disponibilité par les moyens appropriés, dont, le cas échéant, le site internet du PSPGC, les médias sociaux, les organismes commerciaux du secteur, l’organisation de conférences et la collaboration directe avec des acteurs connus du marché. SÉCURISÉES DE COMMUNICATION

7.2 Outre les éléments énoncés dans l’orientation 7.1, l’autorité compétente doit tenir compte des informations reçues dans le contexte des orientations 6 et 8 lorsqu’elle détermine si le PSPGC répond ou non aux exigences visées à l’article 33, paragraphe 6, point c), des NTR.

7.3 La période de trois mois mentionnée à l’article 33, paragraphe 6, point c), des NTR peut se dérouler parallèlement au test visé à l’article 30, paragraphe 5, des NTR .

8.1 Aux fins de l’article 32, paragraphe 1, et de l’article 33, paragraphe 6, point d), des NTR, le PSPGC devrait fournir à l’autorité compétente les éléments suivants :

• a. des informations sur les systèmes ou les procédures en place pour détecter, résoudre et clôturer des problèmes, en particulier ceux signalés par des prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte; et
• b. une explication des problèmes, en particulier ceux signalés par des prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte, qui n’ont pas été résolus conformément aux objectifs de niveau de service fixés dans l’orientation 2.1.

9.1 Lorsqu’elles consultent l’ABE, conformément à l’article 33, paragraphe 6, des NTR, les autorités compétentes devraient présenter à celle-ci le formulaire d’évaluation joint en annexe 1 pour chacune des demandes de dérogation qu’elles entendent octroyer. Les autorités compétentes ne devraient pas prendre de décision en matière de dérogation avant de recevoir les observations de l’ABE relatives à la demande ou avant un mois à compter de la date à laquelle l’autorité compétente a consulté l’ABE. Avant de prendre toute décision à propos de la demande, les autorités compétentes devraient prendre dûment en considération les observations de l’ABE.

9.2 Par dérogation à l’orientation 9.1, jusqu’au 31 décembre 2019, les autorités compétentes qui ont notifié à l’ABE qu’elles se conforment aux présentes orientations peuvent octroyer une dérogation à condition d’avoir consulté l’ABE en l’informant de leur intention d’octroyer la dérogation au moyen du formulaire d’évaluation joint en annexe 1. En pareil cas, les autorités compétentes peuvent soumettre le formulaire d’évaluation à l’égard d’un ou de plusieurs PSPGC.

9.3 Les autorités compétentes ayant refusé d’exempter un PSPGC de l’obligation de mettre en place le mécanisme d’urgence décrit à l’article 33, paragraphe 4, des NTR au motif que son interface dédiée ne remplit pas les conditions fixées à l’article 33, paragraphe 6, des NTR ni les exigences énoncées dans les orientations 2 à 8 devraient présenter à l’ABE le formulaire d’évaluation joint en annexe 1 dans les plus brefs délais. L’évaluation négative devrait être fournie pour toutes les demandes d’octroi de dérogation refusées, conformément à l’article 33, paragraphe 6, des NTR.

9.4 Lorsqu’un PSPGC fait partie d’un groupe possédant des filiales dans différents États membres qui utiliseront la même interface dédiée, chacune des autorités compétentes de ces États membres devrait : SÉCURISÉES DE COMMUNICATION

• a. informer les autres autorités compétentes concernées dans les plus brefs délais si elle entend refuser d’octroyer une dérogation; et
• b. à la demande des autres autorités compétentes et sans préjudice de toute obligation en matière de confidentialité, informer les autres autorités compétentes des raisons pour lesquelles elle entend refuser d’octroyer une dérogation et, le cas échéant, des problèmes signalés à l’autorité compétente par les prestataires de SIP, de SIC et de services de paiement qui émettent des instruments de paiement liés à une carte. SÉCURISÉES DE COMMUNICATION