Open banking DSP3 : ce que la prochaine directive européenne va changer pour les Fintech

La directive sur les services de paiement 2 (DSP2) a structuré l'open banking européen depuis 2018. Elle a imposé aux banques d'ouvrir leurs APIs à des tiers autorisés, créant les fondements techniques qui permettent aujourd'hui à des applications comme Pennylane, Finom, Qonto ou des centaines d'autres services d'accéder aux données bancaires de leurs utilisateurs avec leur consentement.

Huit ans après son entrée en vigueur, DSP2 montre ses limites : des APIs bancaires de qualité inégale qui créent des instabilités, un cadre qui a vieilli face à l'émergence de nouveaux modèles (finance embarquée, crypto-actifs, BNPL), une fraude aux paiements qui a progressé malgré les mesures d'authentification renforcée, et une protection des consommateurs insuffisante face aux nouvelles menaces. DSP3 (qui vient avec un règlement complémentaire, le PSR - Payment Services Regulation) est le chantier législatif qui adresse ces lacunes.

L'état d'avancement de DSP3

DSP3 et le PSR ont été proposés par la Commission européenne en juin 2023. Le texte a été adopté par le Parlement européen en avril 2024 et est entré dans sa phase de finalisation au Conseil de l'UE. La publication au Journal Officiel de l'UE et l'entrée en vigueur formelle sont attendues pour 2025-2026, avec une transposition dans le droit national des États membres à partir de 2027.

Pour les Fintech françaises, cela signifie que DSP3 ne crée pas d'obligations immédiates en 2026 mais que la transition réglementaire est engagée et que les adaptations à prévoir doivent être anticipées dans les roadmaps produit et les architectures techniques.

Les changements majeurs de DSP3 pour les Fintech

Des APIs bancaires plus standardisées et plus fiables

DSP2 a imposé l'ouverture d'APIs mais a laissé aux banques une grande liberté dans leur implémentation, créant une hétérogénéité technique qui rend les connexions open banking instables avec certains établissements. Les tiers autorisés (TPP - Third Party Providers) comme les agrégateurs de comptes et les initiateurs de paiement passent un temps considérable à maintenir des connecteurs pour des dizaines de formats d'API différents.

DSP3 impose des standards techniques plus précis et contraignants pour les APIs bancaires, avec une interface "dédiée" obligatoire (les banques ne peuvent plus rediriger les TPP vers leur interface cliente web comme solution de repli), des SLA de disponibilité de l'API et des mécanismes de certification de conformité des APIs renforcés.

Pour les Fintech qui développent des services d'agrégation de comptes (Account Information Services) ou d'initiation de paiements (Payment Initiation Services), cette standardisation réduit le coût de maintenance des connecteurs et améliore la fiabilité de leurs services.

L'extension du périmètre de l'open banking

DSP2 couvrait principalement les comptes de paiement (comptes courants). DSP3 ouvre la discussion sur l'extension à d'autres types de données financières : comptes d'épargne, données de crédit, données d'assurance. Cette extension sera progressive et conditionnée à la mise en place de cadres réglementaires adaptés (finance ouverte ou "open finance"), mais elle ouvre des opportunités considérables pour les Fintech qui veulent proposer des services de vision financière globale.

La lutte renforcée contre la fraude

DSP2 a introduit l'authentification forte du client (SCA - Strong Customer Authentication) pour les paiements en ligne. DSP3 renforce ce dispositif avec des obligations de vérification de la correspondance entre l'IBAN bénéficiaire et le nom du bénéficiaire pour les virements (Verification of Payee ou VOP), similaire au service "Confirmation de Payee" déjà déployé au Royaume-Uni.

Pour les Fintech qui proposent des services de virement ou d'initiation de paiement, l'implémentation de la VOP est une obligation technique à anticiper. Elle requiert l'accès à des bases de données d'association IBAN-titulaire, soit via les banques, soit via des prestataires spécialisés.

La protection des consommateurs étendue

DSP3 renforce les droits des utilisateurs sur leurs données bancaires : droit à la portabilité des données financières (pouvoir récupérer ses données dans un format standard pour les transférer à un autre prestataire), droits de révocation du consentement simplifiés et transparence renforcée sur l'utilisation des données.

Pour les Fintech qui collectent et traitent des données bancaires via l'open banking, ces nouvelles exigences de transparence et de portabilité doivent être intégrées dans les interfaces utilisateur et les politiques de confidentialité.

Le cadre des nouvelles activités financières

DSP3 et ses règlements associés adressent également des activités financières qui ont émergé après DSP2 : le BNPL (Buy Now Pay Later) est intégré dans le périmètre réglementaire des services de crédit, les actifs numériques (crypto-actifs) coexistent avec MiCA comme cadre complémentaire, et la finance embarquée (Embedded Finance : l'intégration de services financiers dans des plateformes non financières) fait l'objet de premières dispositions spécifiques.

Ce que les Fintech françaises doivent faire maintenant

La transposition de DSP3 dans le droit français n'interviendra pas avant 2027, mais anticiper ses implications techniques et réglementaires dès 2026 est stratégiquement important.

Sur le plan technique : si votre service repose sur des connexions API bancaires open banking, documentez les instabilités actuelles par établissement bancaire et préparez votre roadmap de migration vers les nouveaux standards DSP3 quand ils seront publiés. Cette documentation est utile dès aujourd'hui pour vos discussions avec des partenaires bancaires et pour votre dossier ACPR si vous êtes en cours d'agrément.

Sur le plan produit : si vous développez un service d'agrégation ou d'initiation de paiements, la VOP (vérification du bénéficiaire) sera une obligation à intégrer dans votre product roadmap. Identifiez dès maintenant les fournisseurs de services VOP avec lesquels vous pourrez travailler.

Sur le plan juridique et compliance : faites réaliser par votre conseil en droit des services de paiement une analyse de l'impact de DSP3 sur votre modèle d'affaires spécifique, notamment si votre activité se situe aux frontières du nouveau périmètre réglementaire (BNPL, finance embarquée, services de données financières).

Excilio, l’expert-comptable des fintechs françaises

Excilio accompagne les Fintech françaises sur la structuration comptable et la conformité fiscale de leurs activités en open banking, en coordination avec leurs conseils juridiques spécialisés.