Loi du 20 juillet 2018 portant :

1° transposition de la directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n° 1093/2010, et abrogeant la directive 2007/64/CE ; et

2° modification de la loi modifiée du 10 novembre 2009 relative aux services de paiement.

L’article 2 de la même loi est modifié comme suit :

L’article 3 de la même loi est modifié comme suit :

Il est inséré un nouvel article 3-1 dans la même loi, libellé comme suit :

	« Art. 3-1. - Obligation de notification pour certains prestataires de services. (1) Les prestataires de services exerçant l’une ou l’autre des activités visées à l’article 3, lettre k), points i) et ii), ou exerçant les deux activités, et où la valeur totale des opérations de paiement exécutées au cours des douze mois précédents dépasse le montant de 1 000 000 euros, adressent à la CSSF une notification contenant une description des services proposés, précisant au titre de quelle exclusion visée à l’article 3, lettre k), points i) et ii), l’activité est considérée être exercée. Sur la base de cette notification, la CSSF prend une décision dûment motivée, sur la base des critères visés à l’article 3, lettre k), lorsque l’activité n’est pas considérée comme un réseau limité au sens dudit article, et en informe le prestataire de services. (2) Les prestataires de services exerçant une activité visée à l’article 3, lettre l), adressent à la CSSF une notification et lui fournissent un avis d’audit annuel attestant que l’activité respecte les limites fixées à l’article 3, lettre l). (3) La CSSF informe l’Autorité bancaire européenne, ci-après désignée « ABE », des services qui ont fait l’objet d’une notification conformément aux paragraphes (1) et (2), en indiquant dans le cadre de quelle exclusion l’activité est exercée. (4) La description de l’activité notifiée conformément aux paragraphes (1) et (2) est mise à la disposition du public dans les registres prévus à l’article 36 par la CSSF. ».

L’article 8 de la même loi est modifié comme suit :

L’article 10 de la même loi est modifié comme suit :

L’article 11 de la même loi est modifié comme suit :

L’article 12 de la même loi est modifié comme suit :

L’article 14 de la même loi est modifié comme suit :

L’article 15, paragraphe 4 de la même loi prend la teneur suivante :

	« (4) Le capital initial visé aux paragraphes (1) à (3) est constitué d’un ou de plusieurs des éléments visés à l’article 26, paragraphe (1), lettres a) à e), du règlement (UE) n° 575/2013. ».

L’article 16 de la même loi est modifié comme suit :

L’article 17 de la même loi est modifié comme suit :

L’article 18 de la même loi est modifié comme suit :

L’article 20 de la même loi est modifié comme suit :

L’article 21 de la même loi est modifié comme suit :

L’article 23 de la même loi prend la teneur suivante :

	« Article 23. - L’établissement de succursales, le recours à des agents et la libre prestation de services dans un autre État membre. (1) Un établissement de paiement pour lequel l’État membre d’origine est le Luxembourg qui souhaite fournir des services de paiement pour la première fois sur le territoire d’un autre État membre, tant au moyen de l’établissement d’une succursale ou par le recours à un agent que par voie de libre prestation de services, communique à la CSSF les informations suivantes : a) son nom, son adresse et son numéro d’agrément ; b) le ou les États membres sur le territoire desquels il envisage d’exercer ses activités ; c) le ou les services de paiement qui seront fournis ; d) lorsque l’établissement de paiement entend avoir recours à un agent, les informations visées à l’article 18, paragraphe (1) ; e) lorsque l’établissement de paiement entend avoir recours à une succursale, les informations visées à l’article 8, paragraphe (1), lettres b) et e), en ce qui concerne l’activité de prestation de services de paiement dans l’État membre d’accueil, une description de la structure organisationnelle de la succursale et l’identité des personnes responsables de la direction de la succursale. L’établissement de paiement qui entend externaliser des fonctions opérationnelles de services de paiement vers d’autres entités dans l’État membre d’accueil informe au préalable la CSSF. (2) Dans un délai d’un mois suivant la réception des informations visées au paragraphe (1), la CSSF les envoie à l’autorité compétente de l’État membre d’accueil. (3) Dans un délai de trois mois suivants la réception des informations visées au paragraphe (1), la CSSF communique sa décision aux autorités compétentes de l’État membre d’accueil et à l’établissement de paiement. Si l’évaluation de la CSSF, notamment compte tenu des informations reçues des autorités compétentes de l’État membre d’accueil conformément à l’article 28, paragraphe (2), alinéa 2, de la directive (UE) 2015/2366, n’est pas favorable, elle refuse d’enregistrer l’agent ou la succursale ou révoque l’enregistrement s’il a déjà été fait. Lorsque la CSSF n’est pas d’accord avec l’évaluation des autorités compétentes de l’État membre d’accueil, elle communique à ces dernières les raisons de sa décision. (4) Dès l’inscription dans le registre visé à l’article 36, l’agent ou la succursale peut commencer à exercer ses activités dans l’État membre d’accueil concerné. L’établissement de paiement informe la CSSF de la date à laquelle il commence à exercer ses activités par l’intermédiaire de l’agent ou de la succursale dans l’État membre d’accueil concerné. La CSSF informe les autorités compétentes de l’État membre d’accueil en conséquence. (5) L’établissement de paiement informe sans retard injustifié la CSSF de tout changement significatif concernant les informations communiquées conformément au paragraphe (1), y compris des agents supplémentaires, des succursales ou des entités vers lesquelles des activités sont externalisées dans les États membres d’accueil où il exerce ses activités. La procédure prévue aux paragraphes (2) et (3) est applicable. ».

L’article 24 de la même loi prend la teneur suivante :

	« Article 24. - La motivation et la communication des mesures prises par la CSSF. Toute mesure prise par la CSSF en vertu de l’article 15, paragraphe (5), 16, paragraphe (5), 17, paragraphe (6), 23, 31, paragraphes (4) et (5), 34, 35-1, 38 ou 46 et qui comporte des sanctions ou des restrictions à la liberté d’établir des succursales, de recourir à des agents ou à la libre prestation de services est dûment motivée et communiquée à l’établissement de paiement concerné. ».

L’article 24-4 de la même loi est modifié comme suit :

À l’article 24-6, paragraphe 1^er, lettre b) de la même loi, les mots  « aux points 4, 5 ou 7 de l’annexe »  sont remplacés par ceux de  « à l’annexe, points 4 ou 5 » .

L’article 24-7 de la même loi est modifié comme suit :

L’article 24-8 de la même loi est modifié comme suit :

L’article 24-11, paragraphe 2, de la même loi prend la teneur suivante :

	« (2) Le capital initial visé au paragraphe (1) est constitué d’un ou de plusieurs des éléments visés à l’article 26, paragraphe (1), lettres a) à e), du règlement (UE) n° 575/2013. ».

L’article 24-12 de la même loi est modifié comme suit :

L’article 24-14 de la même loi est modifié comme suit :

L’article 24-15 de la même loi est modifié comme suit :

L’article 24-17 de la même loi prend la teneur suivante :

	« Article 24-17. - L’établissement de succursales, le recours à des agents et la libre prestation de services dans un autre État membre. (1) Un établissement de monnaie électronique pour lequel l’État membre d’origine est le Luxembourg qui souhaite exercer l’activité d’émission de monnaie électronique ou fournir des services de paiement pour la première fois sur le territoire d’un autre État membre, tant au moyen de l’établissement d’une succursale ou par le recours à un agent que par voie de libre prestation de services, communique à la CSSF les informations suivantes : a) son nom, son adresse et son numéro d’agrément ; b) le ou les États membres sur le territoire desquels il envisage d’exercer ses activités ; c) le type d’opérations envisagées, ainsi que le ou les services de paiement qui seront fournis, le cas échéant ; d) lorsque l’établissement de monnaie électronique entend avoir recours à un agent, les informations visées à l’article 18, paragraphe (1) ; e) lorsque l’établissement de monnaie électronique entend avoir recours à une succursale, les informations visées à l’article 24-4, alinéa 1er, lettres b) et e), en ce qui concerne l’activité d’émission de monnaie électronique ou de prestation de services de paiement dans l’État membre d’accueil, une description de la structure organisationnelle de la succursale et l’identité des personnes responsables de la direction de la succursale. L’établissement de monnaie électronique qui entend externaliser des fonctions opérationnelles de services de paiement vers d’autres entités dans l’État membre d’accueil informe au préalable la CSSF. (2) Dans un délai d’un mois suivant la réception des informations visées au paragraphe (1), la CSSF les envoie à l’autorité compétente de l’État membre d’accueil. (3) Dans un délai de trois mois suivants la réception des informations visées au paragraphe (1), la CSSF communique sa décision aux autorités compétentes de l’État membre d’accueil et à l’établissement de monnaie électronique. Si l’évaluation de la CSSF, notamment compte tenu des informations reçues des autorités compétentes de l’État membre d’accueil conformément à l’article 28, paragraphe (2), alinéa 2, de la directive (UE) 2015/2366, n’est pas favorable, elle refuse d’enregistrer l’agent ou la succursale ou révoque l’enregistrement s’il a déjà été fait. Lorsque la CSSF n’est pas d’accord avec l’évaluation des autorités compétentes de l’État membre d’accueil, elle communique à ces dernières les raisons de sa décision. (4) Dès l’inscription dans le registre visé à l’article 36, l’agent ou la succursale peut commencer à exercer ses activités dans l’État membre d’accueil concerné. L’établissement de monnaie électronique informe la CSSF de la date à laquelle il commence à exercer ses activités par l’intermédiaire de l’agent ou de la succursale dans l’État membre d’accueil concerné. La CSSF informe les autorités compétentes de l’État membre d’accueil en conséquence. (5) L’établissement de monnaie électronique informe sans retard injustifié la CSSF de tout changement significatif concernant les informations communiquées conformément au paragraphe (1), y compris des agents supplémentaires, des succursales ou des entités vers lesquelles des activités sont externalisées dans les États membres d’accueil où il exerce ses activités. La procédure prévue aux paragraphes (2) et (3) est applicable. ».

L’article 24-18 de la même loi prend la teneur suivante :

	« Article 24-18. - La motivation et la communication des mesures prises par la CSSF. Toute mesure prise par la CSSF en vertu de l’article 24-11, paragraphe (3), 24-12, paragraphe (9), 24-17, 31, paragraphes (4) et (5), 34, 35-1, 38 ou 46 et qui comporte des sanctions ou des restrictions à la liberté d’établir des succursales, de recourir à des agents ou à la libre prestation de services est dûment motivée et communiquée à l’établissement de monnaie électronique concerné. ».

À l’article 31, paragraphe 4, alinéa 2, 1^er tiret, de la même loi, les mots  « , en précisant l’objet de la demande, le cas échéant, et le délai au terme duquel les informations doivent être fournies »  sont ajoutés après les mots  « de ses fonctions » .

L’article 33 de la même loi est modifié comme suit :

Il est inséré un nouvel article 33-1 dans la même loi, libellé comme suit :

	« Article 33-1. - Règlement des différends entre la CSSF et les autorités compétentes d’un autre État membre. (1) Lorsque la CSSF estime que, sur une question donnée, la coopération transfrontalière avec les autorités compétentes d’un autre État membre visée à l’article 26, 28, 29, 30 ou 31 de la directive (UE) 2015/2366 n’est pas conforme aux conditions énoncées auxdits articles, elle peut saisir l’ABE et demander son assistance conformément à l’article 19 du règlement (UE) n° 1093/2010. (2) Lorsque l’ABE est saisi en vertu de l’article 27 de la directive (UE) 2015/2366, la CSSF reporte sa décision en attendant un règlement en vertu de l’article 19 du règlement (UE) n° 1093/2010. ».

L’article 34 de la même loi est modifié comme suit :

Il est inséré un nouvel article 35-1 dans la même, libellé comme suit :

	« Art. 35-1. - Les mesures conservatoires. « (1) Lorsque la CSSF en tant qu’autorité compétente de l’État membre d’accueil constate qu’un établissement de paiement ou un établissement de monnaie électronique ayant un ou plusieurs agents ou succursales au Luxembourg ne se conforme pas au titre II de la directive (UE) 2015/2366 et aux titres III et IV de la présente loi, elle en informe sans tarder l’autorité compétente de l’État membre d’origine. (2) La CSSF peut, dans des situations d’urgence lorsqu’une action immédiate est nécessaire pour remédier à une menace grave pesant sur les intérêts collectifs des utilisateurs de services de paiement ou des détenteurs de monnaie électronique au Luxembourg, prendre des mesures conservatoires, parallèlement à la coopération transfrontalière entre autorités compétentes et dans l’attente des mesures à prendre par les autorités compétentes de l’État membre d’origine conformément à l’article 29 de la directive (UE) 2015/2366. La CSSF informe, lorsque cela est compatible avec la situation d’urgence, les autorités compétentes de l’État membre d’origine et celles de tout autre État membre concerné, la Commission européenne et l’ABE des mesures conservatoires prises en vertu de l’alinéa 1er et de leur justification, préalablement et, en tout état de cause, sans retard injustifié. Toute mesure conservatoire prise en vertu de l’alinéa 1er est appropriée et proportionnée à sa finalité de protection contre une menace grave pesant sur les intérêts collectifs des utilisateurs de services de paiement ou des détenteurs de monnaie électronique au Luxembourg. Elle n’a pas pour effet de privilégier les utilisateurs de services de paiement ou les détenteurs de monnaie électronique au Luxembourg par rapport aux utilisateurs de services de paiement ou aux détenteurs de monnaie électronique de l’établissement de paiement ou de l’établissement de monnaie électronique d’autres États membres. Toute mesure conservatoire prise en vertu de l’alinéa 1er est temporaire et prend fin dès qu’il a été remédié aux menaces graves constatées, y compris avec l’assistance ou la coopération des autorités compétentes de l’État membre d’origine ou de l’ABE, conformément à l’article 27, paragraphe (1), de la directive (UE) 2015/2366 et à l’article 33-1 de la présente loi. (3) Lorsque la CSSF agit en tant qu’autorité compétente de l’État membre d’origine, après avoir évalué les informations reçues de l’autorité compétente de l’État membre d’accueil conformément à l’article 30, paragraphe (1), alinéa 2, de la directive (UE) 2015/2366, elle prend sans retard injustifié toutes les mesures appropriées pour faire en sorte que l’établissement de paiement ou l’établissement de monnaie électronique concerné mette fin à sa situation irrégulière. La CSSF communique ces mesures sans tarder à l’autorité compétente de l’État membre d’accueil et aux autorités compétentes de tout autre État membre concerné. ».

L’article 36 de la même loi est modifié comme suit :

L’article 48 de la même loi est modifié comme suit :

L’article 48-1 de la même loi est modifié comme suit :

Il est inséré un nouvel article 48-1bis dans la même loi, libellé comme suit :

	« Article 48-1bis. - Les dispositions spécifiques à certains prestataires de services d’information sur comptes. (1) Les personnes physiques ou morales qui fournissent uniquement les services de paiement visés à l’annexe, point 8, doivent être enregistrées au registre prévu à l’article 36. Elles adressent à la CSSF une demande d’enregistrement, accompagnée des informations visées à l’article 8, paragraphe (1), lettres a), b), e), g), i), k) à o) et q). (2) L’enregistrement est subordonné à la condition que les personnes visées au paragraphe (1) disposent au préalable d’une assurance de responsabilité civile professionnelle couvrant les territoires où les services seront proposés ou d’une autre garantie comparable contre l’engagement de la responsabilité du requérant vis-à-vis du prestataire de services de paiement gestionnaire du compte ou de l’utilisateur de services de paiement à la suite d’un accès non autorisé ou frauduleux aux données des comptes de paiement ou d’une utilisation non autorisée ou frauduleuse de ces données. (3) Les personnes visées à au paragraphe (1) sont soumises aux dispositions des articles 21 à 24, 31 à 35-1, 38, 46, 47, 60-1, 66, 71, 81-3, 83, et 105-1 à 105-3 aux fins desquelles elles sont traitées comme des établissements de paiement. ».

L’article 57 de la même loi est modifié comme suit :

Il est inséré un nouvel article 57-1, libellé comme suit :

	« Article 57-1. - L’accès des établissements de paiement aux comptes détenus auprès d’un établissement de crédit. Les établissements de crédit donnent aux établissements de paiement un accès objectif, non discriminatoire et proportionné à leurs services de comptes de paiement. L’accès visé à l’alinéa 1er doit être suffisamment étendu pour permettre aux établissements de paiement de fournir des services de paiement de manière efficace et sans entraves. Lorsqu’un établissement de crédit refuse l’accès visé au présent article, il communique les raisons d’un tel refus à la CSSF. ».

Il est inséré un nouveau paragraphe 2bis à l’article 58 de la même loi, libellé comme suit :

	« (2bis) La CSSF veille en outre au respect des dispositions des articles 60-1, 66, 71, 81-3, 83 et 105-1 à 105-3 par les prestataires de services de paiement visés à l’article 1er, point 37, lettre viii), ainsi que par les succursales luxembourgeoises de tels prestataires de services de paiement dont l’État membre d’origine est un État membre autre que le Luxembourg et par les agents établis au Luxembourg auxquels ces prestataires de services de paiement font recours. ».

L’article 59 de la même loi est modifié comme suit :

À l’article 60, paragraphe 3, de la même loi, les mots  « appropriés et s’orienter »  sont remplacés par les mots  « raisonnables et correspondre » .

À la suite de l’article 60 de la même loi, il est inséré un article 60-1, libellé comme suit :

	« Article 60-1. - La charge de la preuve s’agissant des exigences en matière d’information. Il incombe au prestataire de services de paiement de prouver qu’il a satisfait aux exigences en matière d’information fixées dans le présent titre. ».

À l’article 61, paragraphe 2, de la même loi, les mots  « au distributeur automatique de billets, »  sont insérés entre les mots  « est proposé »  et  « au point de vente » .

L’article 62 de la même loi est modifié comme suit :

À l’article 63, paragraphe 1^er, phrase introductive, de la même loi, le mot  « paiements »  est remplacé par le mot  « paiement »  et le mot  « applicable »  est inséré entre les mots  « contrat-cadre »  et  « , concernent exclusivement » .

À l’article 65, paragraphe 1^er, de la même loi, les mots  « en ce qui concerne ses propres services »  sont ajoutés après les mots  « conditions énoncées à l’article 66 » .

L’article 66 de la même loi est modifié comme suit :

À la suite de l’article 66 de la même loi, il est inséré un nouvel article 66-1, libellé comme suit :

	« Article 66-1. - Les informations destinées au payeur, au bénéficiaire et au prestataire de services de paiement gestionnaire du compte du payeur dans le cas d’un service d’initiation de paiement. (1) Outre les informations et conditions prévues à l’article 66, lorsqu’un ordre de paiement est initié par l’intermédiaire d’un prestataire de services d’initiation de paiement, le prestataire de services d’initiation de paiement fournit au payeur et, le cas échéant, au bénéficiaire, ou met à leur disposition, immédiatement après avoir initié l’ordre de paiement : a) une confirmation de la réussite de l’initiation de l’ordre de paiement auprès du prestataire de services de paiement gestionnaire du compte du payeur ; b) une référence permettant au payeur et au bénéficiaire d’identifier l’opération de paiement et, le cas échéant, permettant au bénéficiaire d’identifier le payeur, ainsi que toute information communiquée lors de l’opération de paiement ; c) le montant de l’opération de paiement ; d) s’il y a lieu, le montant des frais payables au prestataire de services d’initiation de paiement pour l’opération de paiement et, le cas échéant, la ventilation des montants de ces frais. (2) Le prestataire de services d’initiation de paiement met à la disposition du prestataire de services de paiement gestionnaire du compte du payeur la référence de l’opération de paiement. ».

À l’article 67, phrase introductive, de la même loi, les mots  « en ce qui concerne ses propres services »  sont ajoutés après les mots  « les informations suivantes » .

À l’article 68 de la même loi, les mots  « en ce qui concerne ses propres services »  sont ajoutés après les mots  « les informations suivantes »  et à la lettre a), les mots  « les références »  sont remplacés par les mots  « une référence » .

L’article 71 de la même loi est modifié comme suit :

L’article 73 de la même loi est modifié comme suit :

À l’article 74 de la même loi, le paragraphe 2 prend la teneur suivante :

	« (2) La résiliation du contrat-cadre n’entraîne aucun frais pour l’utilisateur de services de paiement, sauf si le contrat est en vigueur depuis moins de six mois. Tous frais de résiliation du contrat-cadre doivent être appropriés et correspondre aux coûts. ».

L’article 75 de la même loi prend la teneur suivante :

	« Article 75. - Les informations à fournir avant l’exécution d’opérations de paiement individuelles. Pour toute opération de paiement individuelle relevant d’un contrat-cadre et initiée par le payeur, le prestataire de services de paiement fournit, à la demande du payeur, pour cette opération de paiement spécifique, des informations explicites sur l’ensemble des points suivants : a) le délai d’exécution maximal ; b) les frais qui doivent être payés par le payeur ; c) le cas échéant, la ventilation des montants de ces frais. ».

L’article 76 de la même loi est modifié comme suit :

L’article 77 de la même loi est modifié comme suit :

L’article 78 de la même loi prend la teneur suivante :

	« Article 78. - Le champ d’application. (1) Lorsque l’utilisateur de services de paiement n’est pas un consommateur, cet utilisateur et le prestataire de services de paiement peuvent décider que l’article 79, paragraphe (1), l’article 81, paragraphe (3), ainsi que les articles 86, 88 à 90, 93 et 101 ne s’appliquent pas, en tout ou partie. L’utilisateur de services de paiement et le prestataire de services de paiement peuvent également convenir de délais différents de ceux prévus à l’article 85. (2) La présente loi est sans préjudice des dispositions du livre 2, titre 2, chapitre 4 du Code de la consommation relatives aux crédits à la consommation. ».

L’article 79 de la même loi est modifié comme suit :

L’article 80 de la même loi est modifié comme suit :

L’article 81 de la même loi est modifié comme suit :

À la suite de l’article 81 de la même loi sont insérés les nouveaux articles 81-1 à 81-3, libellés comme suit :

	« Article 81-1. - La confirmation de la disponibilité des fonds. (1) Un prestataire de services de paiement gestionnaire du compte, à la demande d’un prestataire de services de paiement qui émet des instruments de paiement liés à une carte, confirme immédiatement si le montant nécessaire à l’exécution d’une opération de paiement liée à une carte est disponible sur le compte de paiement du payeur, pour autant que toutes les conditions suivantes soient remplies : a) le compte de paiement du payeur est accessible en ligne au moment de la demande ; b) le payeur a donné son consentement au prestataire de services de paiement gestionnaire du compte pour qu’il réponde aux demandes d’un prestataire de services de paiement donné en vue de confirmer que le montant correspondant à une certaine opération de paiement liée à une carte est disponible sur le compte de paiement du payeur ; c) le consentement visé à la lettre b) a été donné avant la première demande de confirmation. (2) Le prestataire de services de paiement peut demander la confirmation visée au paragraphe (1) lorsque toutes les conditions suivantes sont remplies : a) le payeur a donné son consentement au prestataire de services de paiement pour qu’il demande la confirmation visée au paragraphe (1) ; b) le payeur a initié l’opération de paiement liée à une carte pour le montant en question au moyen d’un instrument de paiement lié à une carte émis par le prestataire de services de paiement ; c) le prestataire de services de paiement s’authentifie auprès du prestataire de services de paiement gestionnaire du compte avant chaque demande de confirmation et communique avec le prestataire de services de paiement gestionnaire du compte de manière sécurisée. (3) La confirmation visée au paragraphe (1) prend la forme d’un « oui » ou « non » et non pas d’un relevé de compte. Cette réponse n’est ni stockée ni utilisée à d’autres fins que l’exécution d’une opération de paiement liée à une carte. (4) La confirmation visée au paragraphe (1) ne permet pas au prestataire de services de paiement gestionnaire du compte de bloquer des fonds sur le compte de paiement du payeur. (5) Le payeur peut demander au prestataire de services de paiement gestionnaire du compte de lui communiquer l’identification du prestataire de services de paiement et la réponse qui a été faite. (6) Le présent article ne s’applique pas aux opérations de paiement initiées au moyen d’instruments de paiement liés à une carte sur lesquels est stockée de la monnaie électronique au sens de l’article 1er, point 29. Article 81-2. - Les règles relatives à l’accès au compte de paiement en cas de services d’initiation de paiement. (1) Un payeur a le droit de s’adresser à un prestataire de services d’initiation de paiement pour obtenir les services de paiement visés à l’annexe, point 7. Ce droit ne s’applique pas lorsque le compte de paiement n’est pas accessible en ligne. (2) Lorsque le payeur donne son consentement à l’exécution d’une opération de paiement conformément à l’article 81, le prestataire de services de paiement gestionnaire du compte exécute les actions prévues au paragraphe (4). (3) Le prestataire de services d’initiation de paiement : a) ne détient à aucun moment les fonds du payeur en liaison avec la fourniture du service d’initiation de paiement ; b) veille à ce que les données de sécurité personnalisées de l’utilisateur de services de paiement ne soient pas accessibles à d’autres parties que l’utilisateur et l’émetteur desdites données et veille à transmettre celles-ci au moyen de canaux sûrs et efficaces ; c) veille à ce que toute autre information relative à l’utilisateur de services de paiement, obtenue lors de la fourniture de services d’initiation de paiement, ne soit communiquée qu’au bénéficiaire et uniquement avec le consentement de l’utilisateur de services de paiement ; d) chaque fois qu’un paiement est initié, s’identifie auprès du prestataire de services de paiement gestionnaire du compte du payeur et communique avec le prestataire de services de paiement gestionnaire du compte, le payeur et le bénéficiaire de manière sécurisée ; e) ne stocke pas de données de paiement sensibles concernant l’utilisateur de services de paiement ; f) ne demande pas à l’utilisateur de services de paiement des données autres que celles nécessaires pour fournir le service d’initiation de paiement ; g) n’utilise, ne consulte ou ne stocke des données à des fins autres que la fourniture du service d’initiation de paiement expressément demandée par le payeur ; h) ne modifie pas le montant, le bénéficiaire ou toute autre caractéristique de l’opération. (4) Le prestataire de services de paiement gestionnaire du compte : a) communique de manière sécurisée avec les prestataires de services d’initiation de paiement ; b) immédiatement après avoir reçu l’ordre de paiement d’un prestataire de services d’initiation de paiement, fournit au prestataire de services d’initiation de paiement, ou met à sa disposition, toutes les informations sur l’initiation de l’opération de paiement et toutes les informations auxquelles il a lui-même accès concernant l’exécution de l’opération de paiement ; c) traite les ordres de paiement transmis grâce aux services d’un prestataire de services d’initiation de paiement sans aucune discrimination, autre que fondée sur des raisons objectives, en termes de délai, de priorité ou de frais par rapport aux ordres de paiement transmis directement par le payeur. (5) La fourniture de services d’initiation de paiement n’est pas subordonnée à l’existence de relations contractuelles entre les prestataires de services d’initiation de paiement et les prestataires de services de paiement gestionnaires de comptes à cet effet. Article 81-3. - Les règles relatives à l’accès aux données des comptes de paiement et à l’utilisation de ces données en cas de services d’information sur les comptes. (1) Un utilisateur de services de paiement a le droit de recourir à des services permettant l’accès aux données des comptes, visés à l’annexe, point 8. Ce droit ne s’applique pas lorsque le compte de paiement n’est pas accessible en ligne. (2) Le prestataire de services d’information sur les comptes : a) fournit des services uniquement sur la base du consentement de l’utilisateur de services de paiement ; b) veille à ce que les données de sécurité personnalisées de l’utilisateur de services de paiement ne soient pas accessibles à d’autres parties que l’utilisateur et l’émetteur desdites données et veille, lorsqu’il transmet celles-ci, à utiliser des canaux sûrs et efficaces ; c) pour chaque session de communication, il s’identifie auprès du ou des prestataires de services de paiement gestionnaires de comptes de l’utilisateur de services de paiement et communique avec le ou les prestataires de services de paiement gestionnaires de comptes et l’utilisateur de services de paiement de manière sécurisée ; d) accède uniquement aux informations provenant des comptes de paiement désignés et des opérations de paiement associées ; e) ne demande pas de données de paiement sensibles liées à des comptes de paiement ; f) n’utilise, ne consulte ou ne stocke des données à des fins autres que la fourniture du service d’information sur les comptes expressément demandée par l’utilisateur de services de paiement. (3) Pour ce qui concerne les comptes de paiement, le prestataire de services de paiement gestionnaire du compte : a) communique de manière sécurisée avec les prestataires de services d’information sur les comptes ; b) traite les demandes de données transmises grâce aux services d’un prestataire de services d’information sur les comptes sans aucune discrimination autre que fondée sur des raisons objectives. (4) La fourniture de services d’information sur les comptes n’est pas subordonnée à l’existence de relations contractuelles entre les prestataires de services d’information sur les comptes et les prestataires de services de paiement gestionnaires de comptes à cet effet. ».

L’article 82 de la même loi est modifié comme suit :

L’article 83 de la même loi est modifié comme suit :

L’article 84 de la même loi est modifié comme suit :

L’article 85 de la même loi prend la teneur suivante :

	« Article 85. - La notification et la correction des opérations de paiement non autorisées ou mal exécutées. (1) L’utilisateur de services de paiement n’obtient du prestataire de services de paiement la correction d’une opération de paiement non autorisée ou mal exécutée que si l’utilisateur de services de paiement en informe sans retard injustifié le prestataire de services de paiement au moment où il constate une telle opération donnant lieu à une réclamation, y compris au titre de l’article 101, et au plus tard dans un délai de treize mois suivant la date de débit. Les délais de notification fixés à l’alinéa 1er ne s’appliquent pas lorsque le prestataire de services de paiement n’a pas fourni ou mis à disposition les informations relatives à cette opération de paiement conformément au titre III. (2) Lorsqu’un prestataire de services d’initiation de paiement intervient, l’utilisateur de services de paiement obtient la correction par le prestataire de services de paiement gestionnaire du compte dans les conditions prévues au paragraphe (1), sans préjudice de l’article 87, paragraphe (1bis), et de l’article 101, paragraphe (1). ».

L’article 86 de la même loi est modifié comme suit :

L’article 87 de la même loi est modifié comme suit :

L’article 88 de la même loi est modifié comme suit :

Il est inséré un nouvel article 88-1 dans la même loi, libellé comme suit :

	« Article 88-1. - Opérations de paiement dont le montant n’est pas connu à l’avance. (1) Lorsqu’une opération de paiement est initiée par le bénéficiaire ou par l’intermédiaire du bénéficiaire dans le cadre d’une opération de paiement liée à une carte et que le montant exact n’est pas connu au moment où le payeur donne son consentement à l’exécution de l’opération de paiement, le prestataire de services de paiement du payeur peut bloquer des fonds sur le compte de paiement du payeur uniquement si celui-ci a donné son consentement quant au montant exact des fonds à bloquer. (2) Le prestataire de services de paiement du payeur débloque les fonds bloqués sur le compte de paiement du payeur au titre du paragraphe (1) sans retard injustifié après réception des informations sur le montant exact de l’opération de paiement et au plus tard immédiatement après réception de l’ordre de paiement. ».

L’article 89 de la même loi est modifié comme suit :

Au paragraphe 1^er de l’article 90 de la même loi, les mots  « présenter la demande du »  sont remplacés par ceux de  « demander le » .

L’article 91 de la même loi est modifié comme suit :

L’article 92 de la même loi est modifié comme suit :

L’article 93 de la même loi est modifié comme suit :

L’article 94 de la même loi est modifié comme suit :

L’article 95 de la même loi est modifié comme suit :

L’article 96 de la même loi est modifié comme suit :

À l’article 98 de la même loi, les mots  « le moment de »  sont supprimés.

L’article 99 de la même loi est modifié comme suit :

L’article 100 de la même loi est modifié comme suit :

L’article 101 de la même loi est modifié comme suit :

Il est inséré un nouvel article 101-1 dans la même loi, libellé comme suit :

	« Article 101-1. - La responsabilité en cas de services d’initiation de paiement pour l’inexécution, la mauvaise exécution ou l’exécution tardive d’opérations de paiement. (1) Lorsqu’un ordre de paiement est initié par le payeur par l’intermédiaire d’un prestataire de services d’initiation de paiement, le prestataire de services de paiement gestionnaire du compte, sans préjudice de l’article 85 et de l’article 100, paragraphes (2) et (3), rembourse au payeur le montant de l’opération de paiement inexécutée ou mal exécutée et, le cas échéant, rétablit le compte de paiement débité dans l’état où il se serait trouvé si l’opération de paiement mal exécutée n’avait pas eu lieu. C’est au prestataire de services d’initiation de paiement qu’incombe la charge de prouver que l’ordre de paiement a été reçu par le prestataire de services de paiement gestionnaire du compte du payeur conformément à l’article 91 et que, pour ce qui le concerne, l’opération de paiement a été authentifiée et dûment enregistrée et qu’elle n’a pas été affectée par une déficience technique ou autre en relation avec l’inexécution, la mauvaise exécution ou l’exécution tardive de l’opération. (2) Si le prestataire de services d’initiation de paiement est responsable de l’inexécution, de la mauvaise exécution ou de l’exécution tardive de l’opération de paiement, il indemnise immédiatement le prestataire de services de paiement gestionnaire du compte, à sa demande, pour les pertes subies ou les sommes payées en raison du remboursement du payeur. ».

À l’article 102 de la même loi, le mot  « son »  est remplacé par le mot  « le » .

À l’article 103, paragraphe 1^er, de la même loi, les mots  « de l’article »  sont à deux reprises remplacés par les mots  « des articles 87 et » , et une deuxième phrase est ajoutée, libellée comme suit :

	« Cette indemnisation s’applique au cas où l’un des prestataires de services de paiement ne recourt pas à l’authentification forte du client. ».

À l’article 104 de la même loi, les mots  « La responsabilité prévue par les chapitres 2 et 3 »  sont remplacés par les mots  « Aucune responsabilité au titre du chapitre 2 ou 3 »  et les mots  « ne s’applique pas aux »  sont remplacés par les mots  « n’est engagée en » .

L’intitulé du titre IV, chapitre 4, de la même loi prend la teneur suivante :

	« CHAPITRE 4 -AUTHENTIFICATION, NOTIFICATION DES INCIDENTS ET PROTECTION DES DONNÉES ».

L’article 105 de la même loi est modifié comme suit :

À la suite de l’article 105 de la même loi sont insérés les nouveaux articles 105-1, 105-2, 105-3 et 105-4, libellés comme suit :

	« Article 105-1. - La gestion des risques opérationnels et de sécurité. (1) Les prestataires de services de paiement établissent un cadre prévoyant des mesures d’atténuation et des mécanismes de contrôle appropriés en vue de gérer les risques opérationnels et de sécurité, liés aux services de paiement qu’ils fournissent. Ce cadre prévoit que les prestataires de services de paiement établissent et maintiennent des procédures efficaces de gestion des incidents, y compris pour la détection et la classification des incidents opérationnels et de sécurité majeurs. (2) Les prestataires de services de paiement fournissent à la CSSF, au moins chaque année, une évaluation à jour et exhaustive des risques opérationnels et de sécurité liés aux services de paiement qu’ils fournissent et des informations sur le caractère adéquat des mesures d’atténuation et des mécanismes de contrôle mis en œuvre pour faire face à ces risques. Article 105-2. - La notification des incidents. (1) En cas d’incident opérationnel ou de sécurité majeur, les prestataires de services de paiement informent sans retard injustifié la CSSF. Lorsque l’incident a ou est susceptible d’avoir des répercussions sur les intérêts financiers de ses utilisateurs de services de paiement, le prestataire de services de paiement informe sans retard injustifié ses utilisateurs de services de paiement de l’incident et de toutes les mesures disponibles qu’ils peuvent prendre pour atténuer les effets dommageables de l’incident. (2) Dès réception de la notification visée au paragraphe (1), la CSSF communique sans retard injustifié les détails importants de l’incident à l’ABE et à la BCE, et, après avoir évalué la pertinence de l’incident pour d’autres autorités concernées au Luxembourg, informe celles-ci en conséquence. La CSSF coopère avec l’ABE et la BCE pour évaluer la pertinence de l’incident pour d’autres autorités concernées au Luxembourg, le cas échéant, et de l’Union européenne. Celles-ci sont informées en conséquence. Sur la base de cette notification, la CSSF ou le cas échéant les autres autorités concernées prend toutes les mesures nécessaires afin de protéger la sécurité immédiate du système financier. (3) Les prestataires de services de paiement doivent fournir à la CSSF, au moins chaque année, des données statistiques relatives à la fraude liée aux différents moyens de paiement. La CSSF fournit ces données sous forme agrégée à l’ABE et à la BCE. Article 105-3. - L’authentification. (1) Les prestataires de services de paiement appliquent l’authentification forte du client lorsque le payeur : a) accède à son compte de paiement en ligne ; b) initie une opération de paiement électronique ; c) exécute une action, grâce à un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. (2) En ce qui concerne l’initiation des opérations de paiement électronique visée au paragraphe (1), lettre b), pour les opérations de paiement électronique à distance, les prestataires de services de paiement doivent appliquer l’authentification forte du client comprenant des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés. (3) En ce qui concerne le paragraphe (1), les prestataires de services de paiement doivent mettre en place des mesures de sécurité adéquates afin de protéger la confidentialité et l’intégrité des données de sécurité personnalisées des utilisateurs de services de paiement. (4) Les paragraphes (2) et (3) s’appliquent également lorsque les paiements sont initiés par l’intermédiaire d’un prestataire de services d’initiation de paiement. Les paragraphes (1) et (3) s’appliquent également lorsque l’information est demandée par l’intermédiaire d’un prestataire de services d’information sur les comptes. (5) Le prestataire de services de paiement gestionnaire du compte doit autoriser le prestataire de services d’initiation de paiement et le prestataire de services d’information sur les comptes à se fonder sur les procédures d’authentification prévues par le prestataire de services de paiement gestionnaire du compte à l’intention de l’utilisateur de services de paiement conformément aux paragraphes (1) et (3) et, lorsque le prestataire de services d’initiation de paiement intervient, conformément aux paragraphes (1), (2) et (3). Article 105-4. - L’obligation d’informer les consommateurs de leurs droits. (1) La CSSF et les prestataires de services de paiement disposant d’un site internet veillent à ce que la brochure visée à l’article 106, paragraphe (1) de la directive (UE) 2015/2366 soit aisément accessible sur leurs sites internet. (2) Les prestataires de services de paiement veillent à ce que la brochure soit également accessible sous une forme papier auprès de leurs succursales, de leurs agents et des entités vers lesquelles leurs activités sont externalisées. (3) Les prestataires de services de paiement ne facturent pas de frais à leurs clients pour la mise à disposition des informations visées au présent article et mettent les informations à disposition des personnes handicapées dans un format accessible. (4) Les prestataires de services de paiement informent les utilisateurs de services de paiement que la CSSF est compétente pour régler sur une base extrajudiciaire les litiges portant sur les droits et obligations institués par les titres III et IV, conformément à l’article 106. Les informations visées à l’alinéa 1er sont mentionnées de manière claire, complète et aisément accessible sur le site internet des prestataires de services de paiement disposant d’un site internet, auprès de la succursale, le cas échéant, et dans les conditions générales du contrat conclu ente le prestataire de services de paiement et l’utilisateur de services de paiement. Elles précisent comment de plus amples informations sur la CSSF en tant qu’instance de règlement extrajudiciaire concernée et sur les conditions d’un tel recours peuvent être obtenues. ».

L’article 106 de la même loi est modifié comme suit :

L’article 116 de la même loi prend la teneur suivante :

	« Article 116. - Dispositions transitoires. (1) Les établissements de paiement et les établissements de monnaie électronique de droit luxembourgeois qui ont commencé à exercer leurs activités avant le 13 janvier 2018 sont autorisés à poursuivre ces activités jusqu’au 13 juillet 2018 conformément aux exigences prévues par la présente loi telle que en vigueur avant le 13 janvier 2018 et par la directive 2007/64/CE, sans devoir solliciter un nouvel agrément conformément aux dispositions de l’article 8 ou 24-4 de la présente loi. Les établissements de paiement et les établissements de monnaie électronique visés à l’alinéa 1er présentent à la CSSF toutes les informations pertinentes afin de permettre à la CSSF d’évaluer jusqu’au 13 juillet 2018 si ces établissements de paiement ou ces établissements de monnaie électronique satisfont aux exigences définies au titre II. L’agrément des établissements de paiement et des établissements de monnaie électronique qui satisfont, après vérification par la CSSF, aux exigences fixées au titre II est maintenu et ils restent inscrits dans les registres visés à l’article 36. Lorsque les exigences visées à l’alinéa 2 ne sont pas remplies, la CSSF détermine les mesures à prendre par l’établissement de paiement ou l’établissement de monnaie électronique concerné pour assurer le respect desdites exigences ou elle propose au Ministre ayant dans ses attributions la CSSF le retrait de l’agrément. En cas de retrait d’agrément, il est interdit aux entités concernées de continuer à fournir des services de paiement ou d’émettre de la monnaie électronique, conformément aux articles 4 et 4-1. (2) Lorsque la CSSF a déjà la preuve que les établissements de paiement visés au paragraphe (1), alinéa 1er, respectent les exigences définies au titre II, chapitre 1, section 1, l’agrément de ces établissements de paiement est maintenu et ils restent inscrits dans les registres visés à l’article 36. La CSSF informe les établissements de paiement concernés en conséquence. (3) Les personnes physiques ou morales qui ont bénéficié d’une dérogation au titre de l’article 48 de la présente loi telle qu’en vigueur avant le 13 janvier 2018 et qui ont commencé à exercer l’activité de prestation de services de paiement avant le 13 janvier 2018 sont autorisées à poursuivre leurs activités au Luxembourg, conformément aux dispositions de la présente loi telle qu’en vigueur avant le 13 janvier 2018, jusqu’au 13 janvier 2019 sans devoir solliciter un agrément conformément à l’article 8 et sans devoir se conformer aux autres dispositions qui figurent ou qui sont visées au titre II. Conformément à l’article 4, si les personnes visées à l’alinéa 1er n’ont pas obtenu une nouvelle dérogation en vertu de l’article 48 ou un agrément de la part du Ministre ayant dans ses attributions la CSSF au titre de la présente loi, il leur sera interdit de continuer à fournir des services de paiement à partir du 13 janvier 2019. (4) Lorsque la CSSF a déjà la preuve que les personnes visées au paragraphe (3), alinéa 1er respectent les exigences définies à l’article 48, ces personnes continuent à bénéficier de leur dérogation et elles restent inscrites dans les registres visés à l’article 36. La CSSF informe les personnes physiques ou morales concernées en conséquence. (5) Par dérogation au paragraphe (1), les établissement de paiement qui ont obtenu l’agrément pour la fourniture des services de paiement visés à l’annexe, point 7, de la présente loi telle qu’en vigueur avant le 13 janvier 2018 maintiennent leur agrément pour la fourniture desdits services de paiement qui sont considérés comme des services de paiement visés à l’annexe, point 3, si la CSSF, au plus tard le 13 janvier 2020, a la preuve que ces établissements de paiement respectent les exigences définies aux articles 15, paragraphe (3) et 17. (6) Les personnes morales qui ont exercé au Luxembourg avant le 12 janvier 2016 des activités de prestataires de services d’initiation de paiement ou de prestataires de services d’information sur les comptes au sens de la présente loi doivent solliciter un agrément conformément à l’article 8 ou un enregistrement conformément à l’article 48-1bis, si elles souhaitent continuer à exercer lesdites activités. Elles sont cependant autorisées à poursuivre leurs activités au Luxembourg après le 13 janvier 2018 jusqu’au plus tard dix-huit mois après l’entrée en vigueur des normes techniques de réglementation visées à l’article 98 de la directive (UE) 2015/2366. Si les personnes concernées n’ont pas obtenu l’agrément ou l’enregistrement dans ce délai, il leur sera interdit, conformément à l’article 4, de continuer à fournir leurs activités. (7) Les mesures de sécurité visées aux articles 81-1, 81-2, 81-3 et 105-3 s’appliquent à partir de dix-huit mois après l’entrée en vigueur des normes techniques de réglementation visées à l’article 98 de la directive (UE) 2015/2366. (8) La période transitoire jusqu’à l’application des mesures de sécurité visées aux articles 81-1, 81-2, 81-3 et 105-3 ne peut servir de prétexte aux prestataires de services de paiement gestionnaires de comptes pour bloquer ou entraver l’utilisation de services d’initiation de paiement ou de services d’information sur les comptes pour les comptes dont ils sont gestionnaires.» .

L’annexe de la même loi est modifiée comme suit :