Les fintech essuient un revers sur l’accès aux données des clients

Dans le ping-pong des régulateurs autour de la deuxième directive sur les services de paiement (DSP2), la Commission européenne a entendu les protestations des fintech, mais l’Autorité bancaire européenne (EBA) donne son point aux banques. Jeudi, elle a en effet publié un avis très critique sur les propositions d’amendements dévoilées le 24 mai par Bruxelles. Ces derniers adoucissent certains aspects des règlements d’application (RTS) de la DSP2 publiés fin février par l’EBA.

L’autorité souhaite interdire la technologie de «web ou screen scraping», permettant à des prestataires tiers (dont le statut a été défini par la DSP2, comme les agrégateurs de comptes) d’accéder aux données et aux comptes des déposants grâce au mot de passe de ces derniers, en passant par l’interface web dédiée aux clients. Elle oblige à la place les banques à construire des interfaces de programmation (API) dédiées aux tiers.

Début mai, 72 fintech européennes ont signé un manifeste reprochant à l’EBA de «dénaturer» les principes de la DSP2. De leur côté, les banques martèlent que le screen scraping ne peut pas respecter les obligations de conformité et menace la sécurité et la confidentialité des données clients. L’exécutif européen veut autoriser les prestataires tiers à utiliser le screen scraping lorsque les API dédiées ne remplissent pas les exigences prévues par l’EBA. Mais cette dernière est contre car «cela impacterait négativement les [difficiles et] fins compromis trouvés dans les RTS» entre les objectifs de la DSP2, «variés et parfois en concurrence» : sécurité, confort et protection des consommateurs, neutralité des modèles économiques et des technologies, encouragement de l’innovation et de la concurrence, etc.

Plus précisément, l’EBA juge que la concession accordée aux fintech par Bruxelles entraînerait «une hausse des coûts, une plus forte fragmentation compromettant le développement d’API standardisées, des désavantages compétitifs pour les nouveaux entrants, aucune amélioration de la fiabilité technique, une incompatibilité avec les exigences de sécurité de la DSP2, des restrictions de supervision, et un flou sur le consentement et la compréhension du consommateur». A la place, l’autorité se propose de superviser la performance des API et d’obliger les banques à rendre ces dernières disponibles pour des tests au moins trois mois avant la date d’application des RTS, le 13 janvier 2018. Le point final revient à la Commission.