PSD2 et Open Banking en Belgique : ce qui change pour les particuliers

Depuis l'entrée en application de la directive européenne sur les services de paiement dite PSD2, le paysage bancaire belge s'est ouvert à de nouveaux acteurs. Applications d'agrégation de comptes, paiements déclenchés directement depuis un site marchand, codes reçus par smartphone à chaque connexion : ces évolutions découlent toutes du même cadre réglementaire. Voici ce que cela signifie concrètement pour un particulier en Belgique.

PSD2 et Open Banking : de quoi parle-t-on ?

La directive PSD2 en bref

La directive (UE) 2015/2366, adoptée le 25 novembre 2015, est communément appelée PSD2 (Payment Services Directive 2). Elle remplace la première directive sur les services de paiement de 2007 et s'applique depuis le 13 janvier 2018 dans l'ensemble de l'Espace économique européen.

Ses objectifs affichés sont au nombre de trois : renforcer la sécurité des paiements, stimuler la concurrence en ouvrant le marché à des prestataires non bancaires, et améliorer la protection des utilisateurs. Un règlement délégué complémentaire, le règlement (UE) 2018/389, précise les règles techniques d'authentification et de communication sécurisée ; ses dispositions sur l'authentification forte sont devenues applicables le 14 septembre 2019.

L'Open Banking expliqué simplement

L'Open Banking désigne le principe selon lequel un titulaire de compte peut autoriser un prestataire tiers à accéder à ses données bancaires ou à déclencher un paiement en son nom. La banque n'est plus le seul point d'entrée vers le compte : elle doit mettre à disposition des interfaces techniques (le plus souvent des API) permettant à ces tiers d'intervenir, à condition que le client y ait consenti.

Point essentiel : ce n'est pas la banque qui décide d'ouvrir l'accès, c'est le client. Sans consentement explicite, aucune donnée ne circule.

Le cadre belge : qui fait quoi ?

La transposition en droit belge

La Belgique a transposé la PSD2 principalement par la loi du 19 juillet 2018, qui a intégré les nouvelles règles dans le livre VII du Code de droit économique, consacré aux services de paiement et de crédit. Les droits décrits plus bas ne relèvent donc pas seulement du droit européen : ils sont directement invocables en droit belge.

Le rôle des autorités de contrôle

La Banque nationale de Belgique (BNB) agrée et supervise les établissements de paiement, y compris les nouveaux prestataires de services d'information sur les comptes et d'initiation de paiement. La FSMA intervient sur les règles de conduite et l'information des consommateurs. Le SPF Économie assure de son côté le contrôle du respect du Code de droit économique.

Concrètement, un prestataire actif en Belgique doit être agréé ou enregistré, soit auprès de la BNB, soit auprès d'une autorité équivalente d'un autre État membre s'il opère sous le régime du passeport européen. Les registres officiels sont publics et consultables en ligne, notamment via le registre de l'Autorité bancaire européenne (EBA).

Ce qui change concrètement pour les particuliers

L'agrégation de comptes (services AIS)

Un service d'information sur les comptes permet de visualiser dans une seule application les soldes et opérations de plusieurs banques. Un client disposant d'un compte courant dans une banque, d'un compte d'épargne dans une deuxième et d'un compte joint dans une troisième peut en obtenir une vue consolidée.

En Belgique, plusieurs grandes banques ont intégré cette fonctionnalité directement dans leur propre application mobile, en plus des applications indépendantes de gestion budgétaire. Les fonctionnalités varient sensiblement d'un acteur à l'autre : certains ne récupèrent que les soldes, d'autres l'historique détaillé avec catégorisation automatique des dépenses.

L'initiation de paiement (services PIS)

Un prestataire d'initiation de paiement déclenche un virement depuis le compte du client, avec son accord, sans passer par une carte. Sur un site de commerce en ligne, cela se traduit par une redirection vers l'environnement sécurisé de la banque, une validation, puis un retour sur le site marchand.

Pour le particulier, l'opération reste un virement classique : les fonds partent du compte, il n'y a ni crédit ni intermédiaire détenteur des fonds. Attention toutefois, un virement ordinaire ne bénéficie pas des mécanismes de contestation propres aux paiements par carte.

L'authentification forte du client (SCA)

C'est le changement le plus visible au quotidien. L'authentification forte impose la combinaison d'au moins deux éléments issus de catégories distinctes :

• la connaissance : un mot de passe, un code PIN ;


• la possession : un lecteur de carte, un smartphone enregistré, une carte bancaire ;


• l'inhérence : une empreinte digitale, une reconnaissance faciale.

En Belgique, cela passe typiquement par un lecteur de carte (digipass), l'application mobile de la banque ou une application d'identité numérique. Des exemptions existent, notamment pour les paiements de faible montant, les paiements sans contact répétés sous certains seuils ou les bénéficiaires que le client a lui-même inscrits dans une liste de confiance.

Une évolution intéressante : le règlement délégué (UE) 2022/2360 a porté de 90 à 180 jours l'intervalle maximal au-delà duquel une nouvelle authentification forte est requise pour la consultation de comptes via un agrégateur. Les reconnexions répétées sont donc moins fréquentes qu'aux débuts de l'Open Banking.

Une protection renforcée en cas d'opération non autorisée

La PSD2 a abaissé de 150 à 50 euros le montant de la franchise pouvant rester à charge du payeur en cas d'opération non autorisée résultant de la perte, du vol ou du détournement d'un instrument de paiement. Cette franchise ne s'applique pas dans plusieurs situations, par exemple lorsque la perte n'était pas détectable avant le paiement ou lorsque le prestataire n'a pas exigé d'authentification forte.

Le prestataire doit en principe rembourser le montant de l'opération non autorisée au plus tard à la fin du jour ouvrable suivant celui où il en a pris connaissance, et rétablir le compte dans l'état où il se serait trouvé. Cette règle ne s'applique pas s'il existe des motifs raisonnables de soupçonner une fraude du client ; en cas de fraude ou de négligence grave de sa part, la charge peut lui être laissée. L'appréciation de la négligence grave se fait au cas par cas et fait régulièrement l'objet de litiges.

En cas de perte ou de vol d'une carte, le réflexe reste le blocage immédiat via Card Stop, joignable au 078 170 170, puis la notification à la banque.

Plus de frais supplémentaires sur la plupart des paiements par carte

La PSD2 interdit au commerçant de facturer un supplément pour l'usage de cartes de paiement de consommateurs soumises au règlement sur les commissions d'interchange, ainsi que pour les virements et domiciliations en euros. En Belgique, la facturation de tels suppléments était déjà encadrée avant la directive.

Données personnelles et consentement

Un accord explicite et révocable

Un prestataire tiers ne peut accéder qu'aux comptes de paiement accessibles en ligne, et uniquement pour la finalité acceptée par le client. Le consentement peut être retiré à tout moment, soit auprès du prestataire, soit — selon les cas — depuis l'espace en ligne de la banque, qui affiche souvent la liste des accès actifs.

La banque ne peut pas exiger de contrat préalable entre elle et le prestataire tiers, ni facturer l'accès au client. Elle peut en revanche refuser l'accès à un prestataire pour des raisons documentées de sécurité ou d'accès non autorisé.

Articulation avec le RGPD

Le règlement général sur la protection des données s'applique en parallèle. Le prestataire doit indiquer quelles données sont traitées, pendant combien de temps et à quelles fins. Un point mérite l'attention : les données de compte révèlent beaucoup d'informations sensibles (revenus, santé, appartenance syndicale via les prélèvements). Il est utile de vérifier si le prestataire réutilise ces données à des fins commerciales, et de lire la politique de confidentialité avant d'accorder l'accès.

Comment vérifier qu'un prestataire est fiable

Quelques vérifications simples avant d'autoriser un accès :

• rechercher le nom de la société dans le registre de la BNB ou celui de l'EBA ;


• vérifier que la redirection s'effectue bien vers le domaine officiel de votre banque ;


• se méfier de toute demande de communication de vos codes d'accès complets : un prestataire agréé passe par l'interface de la banque, pas par vos identifiants transmis en clair ;


• contrôler la durée de l'autorisation accordée et la possibilité de la révoquer.

Le hameçonnage exploite d'ailleurs largement la notoriété de l'Open Banking : aucun message non sollicité ne devrait conduire à valider une opération dans votre application bancaire.

Limites et points de vigilance

L'Open Banking ne couvre pas tout. Les comptes d'épargne réglementés, les portefeuilles-titres ou les crédits ne relèvent pas nécessairement du périmètre PSD2, qui vise les comptes de paiement accessibles en ligne. La qualité des interfaces bancaires varie également : des interruptions de service ou des synchronisations incomplètes restent possibles.

Enfin, l'agrégation reste un outil de visualisation. Elle ne dispense pas de vérifier les extraits officiels fournis par la banque, qui font foi en cas de litige.

Et ensuite ? Virements instantanés, vérification du bénéficiaire, PSD3

Le règlement (UE) 2024/886 sur les virements instantanés impose progressivement aux prestataires de la zone euro de proposer les virements instantanés en euros, en réception puis en émission, avec un tarif ne dépassant pas celui d'un virement classique. Il introduit aussi un service de vérification de la concordance entre le nom du bénéficiaire et l'IBAN saisi, destiné à réduire les erreurs et certaines fraudes.

Par ailleurs, la Commission européenne a présenté le 28 juin 2023 un ensemble de propositions destinées à succéder à la PSD2 : une directive PSD3, un règlement sur les services de paiement et un cadre d'accès aux données financières (FIDA) élargissant l'Open Banking vers l'open finance. Ces textes suivent le processus législatif européen ; leur contenu final et leur calendrier d'application restent à confirmer auprès des sources officielles.

Que faire en cas de litige ?

La première étape consiste à adresser une réclamation écrite au service de plaintes de la banque ou du prestataire concerné. En l'absence de solution, le particulier peut saisir Ombudsfin, le service de médiation pour le consommateur de services financiers en Belgique, dont l'intervention est gratuite. Une plainte peut également être déposée auprès du SPF Économie. Les délais de contestation étant encadrés — la PSD2 prévoit notamment une notification sans tarder après la constatation d'une opération non autorisée, dans une limite de treize mois — il est préférable de réagir rapidement.

En résumé

Pour un particulier belge, la PSD2 se traduit par trois évolutions majeures : la possibilité de confier l'accès à ses comptes à des prestataires agréés, une authentification renforcée à chaque connexion et paiement en ligne, et un régime de responsabilité plus favorable en cas d'opération non autorisée. Ces droits s'exercent d'autant mieux qu'ils sont connus : vérifier l'agrément d'un prestataire, relire les autorisations actives et réagir vite en cas d'anomalie reste la meilleure approche.

Cet article a une vocée informative et ne constitue pas un conseil juridique ou financier personnalisé. Pour une situation particulière, il est recommandé de consulter votre banque ou un professionnel qualifié.