L’open banking : vers un écosystème bancaire ouvert

Le contexte

L’open banking désigne l’ouverture des systèmes d’information (SI) des banques et le partage des données de leurs clients (identité, données de transaction à des tiers). Cette tendance désigne donc également le mouvement vers un système bancaire “ouvert” dans lequel de multiples acteurs (banques, établissements de paiement, éditeurs technologiques…) partagent des données et intègrent les services des uns et des autres dans leurs propres interfaces. Au coeur de l’open banking réside l’APIsation des systèmes d’information, c’est-à-dire l’évolution vers des APIs permettant d’intégrer et d’être intégré par des services tiers. 

L’open banking est poussé en Europe par la réglementation. La DSP2, seconde directive européenne sur les services de paiement, impose depuis septembre 2019 aux banques européennes de donner accès aux données de transaction de paiement aux acteurs tiers agréés : services d’information sur les comptes (AISP) et services d’initiation de paiement (PISP). Une première étape d’ouverture qui pousse les banques à réfléchir à une stratégie plus globale d’open banking.

• La mise en conformité avec la DSP2

Les détails techniques de mise en conformité avec la DSP2 ont fait l’objet d’interminables débats, même après la publication des RTS (standards techniques) par l’Autorité bancaire européenne en mars 2018. Les désaccords entre banques et TPPs (Third Party Providers) se sont notamment cristallisés autour du parcours d’authentification et de sa fluidité, ainsi que des informations devant être transmises aux acteurs tiers.

Le 14 septembre 2019, date à laquelle la DSP2 est entrée en vigueur, le marché n’était pas encore prêt (lire le bilan tiré par Romain Bignon, CEO de Powens, ex-Budget Insight, trois mois plus tard). Depuis, les APIs ont progressivement été publiées par les banques mais des problèmes de fluidité entâchent les parcours client des TPPs (lire notre interview de Romain Bignon et Bertrand Jeannet, de Powens : « Seuls 30 à 40 % des utilisateurs des TPP renouvellent l’authentification forte tous les 90 jours”). L’ACPR a accordé plusieurs délais de mise en conformité, jusqu’à l’été 2021. En 2022, les TPP ont obtenu une petite victoire avec une révision des standards techniques d’application par l’Autorité bancaire européenne : la fréquence de renouvellement de l’authentification forte passe de 90 à 180 jours et cette exemption devra être rendue obligatoire à la suite d’un traitement par un AISP (fournisseur de service d’information sur les comptes) et sous certaines conditions.

• Cap vers la DSP3 et le RSP

En juin 2023, la Commission européenne a présenté plusieurs textes visant à faire évoluer la réglementation du paiement, parmi lesquels un projet de règlement pour les services de paiement (RSP) et la troisième directive européenne sur les services de paiement (DSP3). Les textes visent notamment à lever certains des obstacles subsistant au développement de l’open banking. Le règlement en rappelle les grands principes et pose des obligations de performance pour les API des banques.

Le Conseil de l’Union européenne a publié le 13 juin 2025 un projet de compromis concernant les propositions de directive (DSP3) et de règlement (RSP) sur les services de paiement. Une publication qui ouvre une négociation avec le Parlement – qui avait adopté les propositions le 23 avril 2024 – afin de parvenir à un accord.

Proposé au même moment, le règlement Fida vise quant à lui à prolonger l’ouverture des données de paiement et à imposer l’ouverture de toutes les autres données financières (hormis les données d’assurance santé). Le texte ouvre la possibilité d’une facturation « raisonnable » par les banques pour l’accès aux données (tandis que si la DSP2 n’impose pas expressément la gratuité pour l’accès aux données des comptes de paiement, les banques européennes ne facturent en pratique aucun frais pour leurs API).