A guide to PSD3 compliance: what businesses need to know

It might sound like the third instalment of a popular movie series. But, the 3rd Payment Services Directive (PSD3) is the latest EU regulation to modernise and streamline electronic payments by building on the foundation originally laid down by PSD2.

PSD3 is going to mandate some key changes in the European payments industry, particularly in open banking over the next three years. In this blog, we'll look at how they are going to impact your business operations.

What are the Payment Services Directive 3 (PSD3) and the Payment Services Regulation (PSR)?

The evolution of the 2nd Payments Directive, or PSD2, has resulted in two components: PSD3 and the PSR. Whilst actual enforcement of PSD3/PSR is not expected to take effect before 2027, there are steps that you should take now to prepare.

But firstly, what are PSD3 and the PSR?

PSD3

Introduced in June 2023, PSD3 is an EU directive that applies to banks and Payment Service Providers (PSPs), including electronic money institutions (EMIs), payment institutions (PIs), and payment initiation service providers (PISPs), operating within the EU and EEA. Additionally, non-bank PSPs will also be required to comply with the directive, as it aims to improve their access to payment systems and bank accounts.

The directive also includes third-party service providers under its scope, emphasizing their role in combating payment fraud and enhancing access to innovative financial services. This inclusion under PSD3 seeks to foster competition by allowing these non-bank entities equal access to payment systems.

It is aimed at improving consumer protection, boosting market competition, and strengthening payment security within the EU. This will be achieved by improving open banking accessibility and adoption, clarifying rules for PSPs, and increasing transparency in cross-border payments and financial data access.

PSR

In the context of PSD3, the PSR is separate but closely aligned payment services regulation that sets out the specific rules and standards for how PSPs must operate within the EU.

The PSR empowers them to share fraud-related information, improve competition between banks and non-banks, and facilitate more innovative financial services through open banking, ultimately enhancing consumer protection and user experience.

Its key objective is to enhance consumer protection regarding payments, data and security, combat fraud and promote open banking by further closing the gap between traditional banks and non-bank PSPs.

PSD3 vs PSR

PSD3 is a directive focused on licensing and supervision, meaning it must be enacted within each EU member state’s local law before it can be enforced.

In contrast, the PSR introduces the requirements for security, Strong Customer Authentication (SCA), and PSP responsibilities. It doesn’t need to be enacted within local law.

Additionally, PSD3 and PSR address open banking services differently, with PSD3 facilitating secure financial data sharing between banks and payment service providers, thereby increasing electronic payment options and addressing new types of fraud.

Whilst both PSD3/PSR apply in Europe, it is also important for informing future U.S. regulatory approaches.

What is PSD3 and why is it needed?

The Payment Services Directive 3 (PSD3) is a regulatory framework aimed at enhancing the security, efficiency, and innovation of payment services within the European Economic Area (EEA). PSD3 is needed to address the evolving needs of the payment industry, including the rise of new payment technologies and increased competition. It also ensures ongoing consumer protection and data security to help build confidence in new payment services.

The European Commission proposed PSD3 in June 2023 to update the existing Payment Services Directive (PSD2) and introduce a new Payment Services Regulation (PSR). PSD3 aims to create a more integrated, efficient, and secure payments ecosystem, promoting financial inclusion, competition, innovation, and stability.

What is the difference between PSD2 and PSD3?

PSD2 came into force on January 13, 2018, and set out requirements for PSPs. It was an update to the original Payment Services Directive (PSD), which was adopted in 2007.

It revolutionized the financial services industry facilitating innovation and increasing efficiency in payment processing. PSD2 directly addressed the explosive growth of fintechs, in answer to the monopoly of legacy banking institutions.

PSD2 mandated that banks must allow access to customer data via APIs (Application Programming Interfaces) when requested by Third Party Providers (TPPs) following the customer's consent.

PSD2 also introduced opening banking to the EU and established Strong Customer Authentication to beef up security measures for electronic payments.

However, with the rapid evolution of payments, particularly during the COVID-19 pandemic, areas for the improvement and expansion of PSD2 became apparent to achieve a level playing field for PSPs.

Welcome PSD3! The primary goal of PSD3 is to clear up any inconsistencies and remove boundaries to avoid silos. Whilst it follows the themes of the previous directives it goes much further to implement SCA rules, open banking integration and enhanced security measures.

Quels sont les principaux changements entre la DSP2 et la DSP3 ?

Alors, quels sont les changements les plus importants que tu peux attendre de la nouvelle directive ?

1. Une meilleure protection des consommateurs

Nombreux sont ceux qui pensent que l'adoption de l'open banking par les clients a été entravée en raison d'un manque de confiance et de protections insuffisantes pour les consommateurs. Les consommateurs exigent plus de contrôle et de transparence sur leurs données.

Selon une étude menée par American Express, 41 % des consommateurs britanniques utiliseraient les paiements par virement bancaire s'ils pensaient qu'ils étaient plus sûrs. Tu peux en savoir plus à ce sujet dans notre livre blanc, Atteindre le point de basculement. Comment réaliser le potentiel des paiements open banking.

Par conséquent, la DSP3 mettra encore plus l'accent sur la protection des droits des consommateurs et des informations personnelles, afin de contribuer à améliorer la confiance dans les paiements en ligne et, à son tour, d'encourager le taux d'adoption de l'open banking à prospérer.

2. Règles plus larges de l'ACS

L'évaluation de la DSP2 par la Commission européenne a confirmé que le SCA a permis de réduire efficacement la fraude. Par conséquent, la DSP3/PSR vise à renforcer et à affiner l'ACS de la manière suivante :

En clarifiant les définitions essentielles.

Définir d'autres exemptions pour les transactions à faible risque.

Maintenir l'équilibre entre la sécurité et l'adoption de solutions de paiement conviviales, innovantes et accessibles.

La DSP3 étend également les réglementations du SCA pour renforcer la sécurité des opérations de paiement et applique des exigences plus strictes sur l'accès aux données des comptes des systèmes de paiement, renforçant ainsi les mesures de protection. De même, l'introduction du PSR vise à améliorer directement la protection des consommateurs.

Cependant, si elles ne sont pas gérées avec prudence, ces mesures pourraient miner les taux de conversion. Les entreprises doivent travailler en étroite collaboration avec leur fournisseur de paiement pour s'assurer que l'authentification n'est effectuée que lorsque cela est nécessaire, tout en maximisant l'expérience globale de l'utilisateur.

L'application de l'ACS aux remboursements fait toujours l'objet d'un débat actif. Selon un point de vue, les remboursements effectués à l'initiative du commerçant représentent des opérations de paiement distinctes dans lesquelles le commerçant est le payeur, ce qui nécessite l'application de l'ACS.

Du point de vue du commerçant, cependant, cela peut simplement ajouter des frictions indésirables à un processus de paiement déjà lent, ce qui pourrait mettre en péril la satisfaction des clients.

3. Amélioration des API et des expériences

Les changements proposés montrent que la Commission européenne comprend les défis pratiques auxquels l'open banking est confronté, et comment les résoudre.  

La PSD3 s'attache à égaliser davantage les règles du jeu en améliorant les API et en définissant des exigences minimales en matière de fonctionnalités bancaires ouvertes. Cet aspect de la DSP3 est axé sur les consommateurs : il améliore l'expérience client et encourage l'adoption des virements bancaires et des paiements en temps réel.

En fin de compte, cela encourage les paiements en temps réel à devenir une alternative crédible aux systèmes de cartes.

Plus tôt en 2024, le Conseil européen a adopté un règlement qui rendra les paiements instantanés entièrement disponibles en euros pour les consommateurs et les entreprises de l'UE et des pays de l'EEE.

Le règlement sur les paiements instantanés permettra aux gens de transférer de l'argent en dix secondes à tout moment de la journée, y compris en dehors des heures de bureau. Les transferts se feront non seulement à l'intérieur d'un même pays, mais aussi vers un autre État membre de l'UE.  

4. Amélioration de l'inclusivité

Enfin, la DSP3 se veut plus inclusive, en envisageant des méthodes d'authentification pour les personnes âgées, celles vivant avec un handicap et les individus manquant de compétences numériques. La directive exige que les PSP créent un accès pour ces données démographiques, en garantissant des méthodes d'ACS universelles.  

À la base, cela signifie en grande partie fournir des méthodes d'authentification qui ne reposent pas uniquement sur les smartphones.  

Quel est le calendrier de mise en œuvre de la DSP3 ?

Selon les attentes, l'adoption formelle de cette nouvelle directive aura lieu au cours du premier semestre 2025.

Après cela, on prévoit une période de transition de 18 mois pour les États membres, ce qui suggère une mise en œuvre potentielle de la DSP3 en 2027 ou autour de 2027.  

Quel sera l'impact de la PSD3 sur les commerçants ?

Après un énorme pic des paiements électroniques et l'entrée sur le marché de nouveaux fournisseurs de services bancaires ouverts, la DSP2 a été considérée comme un ajout important aux services de paiement de l'UE. Aujourd'hui, la DSP3 vise à créer des conditions de concurrence équitables entre les fournisseurs existants et les nouveaux fournisseurs de paiements par carte, par Internet et par téléphone portable.

La DSP3 aborde également l'évolution des services bancaires, en insistant sur la nécessité de se conformer à des mesures de sécurité pour atténuer les risques de fraude associés aux fournisseurs tiers.

La DSP3 s'adresse aux consommateurs - elle vise à protéger leurs droits et leurs informations personnelles. Si les commerçants craignent de sacrifier l'expérience au profit de l'authentification, cela ne signifie pas nécessairement que les retombées se feront au détriment de la rentabilité des entreprises.

Quoi qu'il en soit, les exigences de mise en œuvre et l'impact de la DSP3 seront ressentis par les commerçants en ligne et les autres acteurs clés du secteur.

Réduction de la fraude, mais potentiellement plus de faux déclins.

Le PSR de l'UE introduit une série de mesures conçues pour prévenir ou réduire la fraude sur les paiements, y compris la vérification des détails du bénéficiaire pour les virements. Lorsque les détails pertinents ne correspondent pas, le PSP du payeur doit notifier cette divergence au payeur avant de finaliser le paiement.

Pendant ce temps, les entreprises devront partager plus de données avec les émetteurs, ce qui leur permettra de surveiller les caractéristiques environnementales et comportementales. Il pourrait s'agir de la localisation de l'utilisateur, de la durée de la transaction, des appareils utilisés, des habitudes de dépenses, de l'historique des transactions, des données de session et de l'IP de l'appareil. Par conséquent, elles peuvent augmenter les taux d'approbation en déterminant mieux les transactions à approuver et celles à refuser.

Bien que les commerçants devraient bénéficier de ces changements, nombre d'entre eux risquent également de subir davantage de faux refus s'ils ne sont pas gérés avec soin. Les commerçants classent souvent les faux refus comme un coût inhérent à la prévention de la fraude, qui reste généralement leur principale préoccupation. Cependant, l'application de quelques règles subtiles d'optimisation des paiements devrait aider à compenser l'impact.

Bien que la prévention de la fraude soit importante du point de vue des coûts et de la réputation, nos dernières recherches montrent que les commerçants la surévaluent peut-être par rapport aux dollars perdus à cause de faux déclins.

Pour maximiser la rentabilité, les commerçants pourraient prendre des décisions d'optimisation des paiements en fonction de la marge contributive (c'est-à-dire le revenu restant après avoir soustrait les coûts variables qui entrent dans la production d'un produit) des ventes supplémentaires qui sont susceptibles d'en résulter.

Tu trouveras plus d'informations sur l'optimisation des paiements dans notre livre blanc, Accélérer la croissance des revenus.

Paiements récurrents et abonnements plus transparents

Alors que la DSP3 prévoit en grande partie l'ajout d'un SCA plus rigoureux, il existe quelques exemptions qui peuvent bénéficier à certaines entreprises. Les transactions initiées par le commerçant (MIT), telles que les abonnements, sont désormais exclues de l'ACS. Seule la première transaction est soumise à l'ACS.

Parallèlement, les commandes postales et téléphoniques par carte (transactions MOTO) ne nécessitent plus d'authentification via SCA. Cette exemption profitera grandement aux commerçants de secteurs tels que l'industrie du voyage.

Promouvoir le choix et une tarification plus équitable

La DSP3 devrait inspirer l'innovation dans le secteur des paiements. Cela pourrait conduire au développement de nouveaux services de paiement et de modèles commerciaux, ce qui pourrait profiter aux commerçants en augmentant la concurrence et en offrant davantage d'options de paiement.

Plus de choix signifie que les commerçants peuvent s'attendre à une plus grande concurrence en ce qui concerne les frais et les modèles de tarification disponibles.

Un changement de responsabilité de l'ACS pour accroître la coopération

En fin de compte, les changements apportés au SCA contribueront à des expériences d'achat plus sûres et à des améliorations du partage des données pour un meilleur suivi des transactions.

Les nouvelles propositions suggèrent également que les systèmes, les prestataires de services techniques (tels que les fournisseurs de portefeuilles) et les passerelles de paiement seront responsables de la fraude s'ils n'appliquent pas l'ACS. Cette mesure vise à garantir une coopération accrue entre tous les acteurs impliqués dans l'application de l'ACS.

Les nouvelles règles du SCA sont susceptibles d'améliorer l'expérience des clients au point de paiement. Elles donnent plus de clarté aux institutions financières, aux réseaux de cartes et aux prestataires de paiement pour appliquer les exemptions du SCA aux transactions présentant un risque plus faible, ou aux transactions récurrentes.

Sanctions en cas de non-respect de la DSP3

Le non-respect de la DSP3 peut entraîner des sanctions importantes, notamment des amendes et un éventuel retrait de licence.

Les établissements et les prestataires de services qui ne se conforment pas aux exigences de la DSP3 risquent de subir des atteintes à leur réputation, une perte de confiance de la part de leurs clients et des pertes financières.

L'Autorité bancaire européenne (ABE) et les autorités nationales compétentes contrôleront le respect de la DSP3 et appliqueront des sanctions en cas de non-respect.

Les PSP doivent prendre la conformité à la DSP3 au sérieux, en investissant dans les ressources et l'expertise nécessaires pour s'assurer qu'ils répondent aux nouvelles exigences réglementaires.

Le non-respect de la DSP3 peut avoir de graves conséquences, c'est pourquoi il est essentiel que les PSP donnent la priorité à la conformité et à la gestion des risques.

Surmonter les inquiétudes des commerçants à propos de la DSP3

La principale préoccupation des commerçants autour de la DSP3 est qu'elle pourrait avoir un impact sur leurs relations avec les clients. Si les nouvelles mesures de sécurité sont trop compliquées, cela pourrait entraîner la frustration et le mécontentement des clients, ce qui se traduirait par une réduction des conversions et des revenus.

Les commerçants prennent également en compte le coût potentiel de la mise en œuvre des changements ; la conformité à la DSP2 a été coûteuse à déployer pour les commerçants en raison des lourdes exigences de l'ACS. Il n'est pas certain que les nouvelles mesures de sécurité prévues par la DSP3 soient plus rentables.

Les prestataires de services de paiement (PSP) jouent un rôle crucial dans ce contexte, car ils sont chargés de faire progresser la protection des consommateurs, d'améliorer la concurrence et de renforcer la sécurité des paiements électroniques.

Les nouvelles règles visent à actualiser les services financiers en fonction des dernières évolutions de l'ère numérique, à lutter contre la fraude et à garantir des conditions de concurrence équitables pour les PSP bancaires et non bancaires dans le paysage financier en constante évolution.

Cependant, il convient de noter à nouveau que la DSP3 vise largement à appliquer les réglementations de la DSP2 de manière plus uniforme dans les États membres, et qu'il s'agira donc d'un changement d'étape moins important que pour la DSP2.

Comment Nuvei peut t'aider

Il est important de noter que la DSP3 devrait renforcer les droits et la protection des consommateurs. Cela pourrait se traduire par des conditions générales plus claires, de meilleurs mécanismes de résolution des litiges et une plus grande transparence des services de paiement. Naturellement, il y aura un effet d'entraînement sur les commerçants et les prestataires de services de paiement, mais avec les bons partenariats et la préparation en place, l'impact sera minime.

Pour réussir à relever ces défis, il faut donc un partenariat ou une stratégie définie, des changements opérationnels, une évaluation des risques et une exécution méticuleuse.

En fin de compte, les commerçants veulent augmenter les conversions tout en minimisant le risque de fraude. Il sera essentiel de travailler en étroite collaboration avec leurs fournisseurs de services de paiement tout au long du déploiement.

La suite Nuvei Payments Optimization, par exemple, applique des fonctionnalités et des caractéristiques à chaque étape : avant la transaction, pendant l'acheminement de la transaction et après la transaction, afin d'obtenir les taux d'approbation les plus élevés possibles.  

Il est important de noter que la DSP3 devrait renforcer les droits et la protection des consommateurs et, en fin de compte, leur confiance dans les services financiers modernes. Cela pourrait impliquer des termes et conditions plus clairs, de meilleurs mécanismes de résolution des litiges et une plus grande transparence dans les services de paiement.

Naturellement, il y aura un effet d'entraînement sur les commerçants et les fournisseurs de services de paiement, mais avec les bons partenariats et la préparation en place, l'impact sera minime.

Chez Nuvei, nous nous engageons à guider nos commerçants à travers ces changements transformateurs. Nos experts sont à disposition pour discuter des mises à jour réglementaires et assurer une transition en douceur. Nous soutiendrons les commerçants lorsqu'ils navigueront dans les aspects clés de la DSP3 comme l'authentification forte du client (SCA), le partage des données et les transferts instantanés.

Étude de cas de Nuvei et de rank : optimisation pendant la DSP2.

Rank divertit le public britannique depuis 1937 et sert aujourd'hui plus de 2,7 millions de clients par an. Rank Interactive, son canal numérique, propose en ligne des jeux de bingo, de casino, de machines à sous, de poker et des paris sportifs.  

La mise en œuvre de la législation PDS2 a représenté un défi important pour les opérateurs et les clients du secteur iGaming en raison des nouvelles exigences en matière d'authentification.

Tout au long de la mise en œuvre de la PSD2, Nuvei a travaillé en étroite collaboration avec Rank pour optimiser les performances de paiement et qualifier de grands volumes de transactions à faible risque pour un flux sans friction. Dans le même temps, nous avons aidé Rank à gérer les dépôts à haut risque avec des étapes d'authentification, offrant une vue unique des données sur l'ensemble des marchés.

Les frictions liées aux paiements ont été atténuées tandis que l'expérience client, la valeur des dépôts et les revenus ont été protégés. Rank s'est réjoui de voir des taux d'approbation stables après la mise en œuvre de la PSD2.  

Rien qu'au cours des quatre dernières années, les volumes de transactions Rank ont connu une croissance moyenne de 17 % d'une année sur l'autre, malgré le changement réglementaire majeur posé par la DSP2. Lis l'étude de cas complète.

Que doivent faire les commerçants ensuite ?

Les commerçants doivent se tenir informés des évolutions de la DSP3 et des RPS pour se préparer aux exigences de conformité, aux processus de paiement et aux droits des consommateurs.  

En tant que prestataire de paiement à direction humaine, Nuvei dispose d'équipes dédiées et de véritables experts qui soutiennent ton passage à la DSP3. Nous nous engageons à naviguer dans le paysage réglementaire évolutif de la DSP3 et de la RSP, en garantissant la conformité et un service optimal pour nos partenaires et nos commerçants.

Nous collaborons activement avec les régulateurs et les systèmes de cartes pour la préparation à la DSP3. Si les commerçants ont des questions ou des préoccupations, nous avons des experts prêts à les aider. Les clients existants doivent contacter leurs gestionnaires de relations.