La numérisation croissante des transactions financières et l’essor du commerce électronique ont transformé la manière dont nous effectuons nos paiements. Face à cette révolution, le législateur européen, suivi par le législateur national, a établi des mesures renforcées pour sécuriser les transactions en ligne, parmi lesquelles la double authentification ou « authentification forte ».

Cadre juridique de l’authentification forte

Directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 (DSP2)

La DSP2 s’est imposée comme un texte fondamental pour le secteur des paiements électroniques en Europe. Elle vise notamment à renforcer la sécurité des paiements en ligne. L’article 97 de la DSP2 introduit l’obligation pour les prestataires de services de paiement de mettre en place une authentification forte du client pour les opérations électroniques.

Règlement délégué (UE) 2018/389 de la Commission du 27 novembre 2017

Ce règlement vient compléter la DSP2 en établissant des normes techniques de réglementation relatives à l’authentification forte. Il précise les critères à respecter pour garantir la sécurité des paiements.

Transposition en droit français : Ordonnance n° 2017-1252 du 9 août 2017

L’ordonnance transpose les dispositions de la DSP2 dans le Code monétaire et financier (CMF). Les articles L.133-4, L. 133-19 et L. 133-44 du Code monétaire et financier encadrent désormais la mise en œuvre de l’authentification forte en France.

Principe de l’authentification forte

L’article L.133-4 du code monétaire et financier définit précisément la notion d’authentification forte. Celle-ci repose sur l’utilisation d’au moins deux éléments indépendants catégorisés comme suit :

• Connaissance : quelque chose que seul l’utilisateur sait (par exemple, un mot de passe).
• Possession : quelque chose que seul l’utilisateur possède (par exemple, un téléphone portable ou une carte bancaire).
• Inhérence : quelque chose que l’utilisateur est (par exemple, une empreinte digitale ou une reconnaissance faciale).

Seule la combinaison de ces éléments, indépendants les uns des autres (c’est-à-dire la compromission de l’un ne doit pas compromettre les autres), permet de valider l’opération de paiement.

Implications pour les prestataires de services de paiement

Obligation de mise en œuvre : Conformément à l’article L. 133-19 V du CMF, sauf agissement frauduleux du payeur, celui-ci ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans l’authentification forte.

Responsabilité en cas de non-conformité : Comme illustré par l’arrêt de la Cour de cassation du 30 août 2023 (voir supra), le non-respect de l’obligation d’authentification forte peut engager la responsabilité du prestataire de services de paiement.

Jurisprudence récente

Arrêt de la Cour de Cassation du 21 avril 2022 : Sur la question du consentement lors d’opérations de paiement, la Cour a jugé que, selon le contrat établi, une télécopie signée était également requise pour valider le consentement. Cette décision rappelle l’importance des mécanismes d’authentification préalablement définis contractuellement, même à l’ère numérique. En savoir plus : Consentement et authentification en cas de virement frauduleux.

Arrêt de la Cour de Cassation du 30 août 2023 : Sur la question des obligations des banques en matière d’authentification forte pour les opérations de paiement électronique. Selon les dispositions européennes et françaises. M. [X] a subi un paiement non autorisé après avoir partagé un code de sécurité. La Cour a rappelé que, sauf en cas de fraude du payeur, la banque est responsable si aucune authentification forte n’est exigée. Ainsi, malgré la négligence du client, la protection du client prévaut, si la banque n’assure pas cette sécurité. En savoir plus : Authentification forte en matière de paiement : Obligations et conséquences en l’absence de mise en œuvre.

Conclusion

L’authentification forte est une avancée significative pour la sécurité des paiements électroniques. En imposant aux prestataires de services de paiement des mesures rigoureuses, le législateur cherche à protéger les consommateurs des risques croissants liés à la fraude en ligne. Cependant, la mise en œuvre effective de ces mesures nécessite une vigilance constante de la part des prestataires et une adaptation aux évolutions technologiques.

Le cabinet Exprime Avocat, spécialisé en contentieux, vous assiste et vous accompagne en cas de litige bancaire lié à une ou plusieurs opérations de paiement.