L’opinion de l’Autorité Bancaire Européenne sur les obstacles aux TPP

🇬🇧 The EBA’s statement on the obstacles of the Third Party Providers (TPP) — see below for the English version.

L’ABE a publié le 4 juin une “opinion”, dans laquelle elle dresse la liste des obstacles potentiels, non autorisés par le régulateur, à l’activité d’agrégation et d’initiation de paiement.

L’Opinion apporte des clarifications sur les sujets suivants :

• Méthodes d’authentification supportées via les API:
  Toutes les méthodes d’authentification proposées par les banques à leurs clients doivent être utilisables via Bridge y compris la biométrie
• L’utilisation de la redirection en paiement de proximité:
  Le parcours proposé par la banque doit être assez fluide pour permettre à Bridge d’offrir une solution efficace de paiement marchand
• Les authentifications fortes multiples doivent être limitées au maximum, et dûment justifiées par des raisons de sécurité
• Malheureusement, l’ABE confirme que seules les banques portent la responsabilité de la re-authentification forte tous les 90 jours. L’ABE conseille néanmoins à ces dernières d’accepter de déléguer cette authentification forte aux agrégateurs de compte. Bridge est favorable à cette délégation.
• La sélection du compte de paiement:
  Imposer à un client qui voudrait effectuer un paiement avec Bridge de rentrer manuellement un IBAN constitue un obstacle, car trop contraignant en termes de parcours clients
• Il appartient à Bridge, et non à la banque, de s’assurer du consentement des clients pour recourir à ses services.
  Néanmoins, les banques pourront proposer un “tableau des consentement” sur leur espace bancaire afin d’informer leurs clients sur les consentements donnés. Une banque ne pourra retirer ce consentement qu’après une enquête dûment effectuée auprès du client (par exemple pour des raisons de fraude) et justifiée auprès du régulateur. Pour sa part, Bridge reste à la disposition de sa clientèle pour qu’elle puisse souscrire et modifier ses services en toute tranquillité.

Bridge accueille favorablement ses précisions de l’ABE, même s’il regrette l’absence de possibilité pour les agrégateurs de paiements de renouveler l’authentification forte de ses clients sans accord de délégation par les banques.

Bridge espère que ces clarifications permettront une finalisation rapide des API DSP2 par les banques, afin de pouvoir bénéficier pleinement de leur potentiel.

No worries, here is the English version :

On the 4th of June, the EBA published a statement, in which they draw up the list of potential obstacles unauthorized by the regulator, to the aggregation and initiation of payments’ activity.

The statement provides clarifications on the following subjects:

• Authentication methods supported via the APIs:
  All authentication methods offered by banks to their clients have to be usable by Bridge, including biometrics.
• Use of the redirection for proximity payments:
  The customer journey offered by banks has to be seamless enough to allow Bridge to have an effective payment solution.
• Strong authentication should be kept to a minimum, and duly justified by security reasons.
• Unfortunately, the EBA confirms that banks are the only one to bear the responsibility of strong authentication’s renewal every 90 days. Still, the EBA advises banks to delegate this strong authentication to bank accounts aggregators. Bridge supports this delegation.
• Choice of the payment account: when a client wants to pay via Bridge, having to manually enter an IBAN is an obstacle as it is a painful step in the customer journey.
• It is up to Bridge, and not to the bank, to assert its clients’ consent in the use of their services.
  Nevertheless, banks will be able to offer a “consent chart” on their platforms to inform their clients about the given consents. Banks will be allowed to withdraw this consent only after a thorough client investigation (for fraud reasons for example) and a justification to the regulator. Bridge remains available to its users to subscribe and modify their services easily.

Bridge welcomes the EBA’s precisions, whilst regretting the fact that payment initiation services can’t renew the strong authentication of its clients without the banks’ consent.

Bridge hopes that these clarifications will make for a fast finalization of the PSD2 API by banks, to fully benefit from their potential.