Projet de loi relatif à la sécurité quotidienne

II. LA VOLONTÉ DU GOUVERNEMENT DE LÉGIFÉRER A MINIMA CONTREDITE PAR SA MAJORITÉ À L'ASSEMBLÉE NATIONALE

A. LES DISPOSITIONS «MINIMALISTES » PROPOSÉES PAR LE GOUVERNEMENT

1. Le contexte : les travaux du groupe de travail rattaché au Conseil national de la consommation

a) Les travaux du groupe de travail

Le 4 avril 2000, Madame Marylise Lebranchu, alors secrétaire d'Etat aux petites et moyennes entreprises, au commerce, à l'artisanat et à la consommation annonçait la création d'un groupe de travail rattaché au Conseil national de la consommation chargé de dresser un état des lieux de la sécurité des cartes bancaires.

Ce groupe de travail comprenait non seulement des représentants des associations de consommateurs, mais aussi tous les émetteurs de cartes ainsi que les opérateurs de téléphonie mobile et de vente à distance, les constructeurs de terminaux d'acceptation des cartes, des représentants de la direction centrale de la sécurité des systèmes d'information, des représentants du ministère de l'économie, des finances et de l'industrie, des représentants du ministre de l'intérieur et du ministère de la justice, les présidents du comité consultatif du conseil national du crédit et du titre, de la Banque de France et de la commission nationale de l'informatique et des libertés.

Le groupe de travail avait pour mission :

- de faire le point précis sur les différents types de fraude, par négligence des personnes ou violence sur les personnes, impliquant directement l'utilisation frauduleuse des cartes de paiement ou des facturettes qui mentionnent le numéro de la carte bancaire ou non ; il devait évaluer les conséquences et leur ampleur sur les consommateurs et l'ensemble des utilisateurs ;

- de formuler des recommandations simples et opérationnelles visant à limiter le risque de fraude ;

- d'exercer le suivi des mesures annoncées par le Groupement des cartes bancaires « CB », notamment en matière de facturettes, de remboursement des consommateurs, et de problèmes liés aux distributeurs automatiques de billets.

En février 2001, le groupe de travail a remis son rapport dans lequel il formulait des propositions concrètes autour des thèmes suivants :

- améliorer l'information des utilisateurs sur leurs droits et sur les mesures de sécurité ;

- prévenir la perte et le vol des cartes et préserver la sécurité des porteurs lors de l'utilisation du code confidentiel ;

- sécuriser davantage les différents types de transaction ;

- simplifier les règles de fonctionnement des cartes ;

- revoir le partage de la fraude entre émetteurs et consommateurs ;

- renforcer le cadre pénal et l'implication des pouvoirs publics dans la surveillance des moyens de paiement.

SYNTHÈSE DES RECOMMANDATIONS DU GROUPE DE TRAVAIL
DU CONSEIL NATIONAL DE LA CONSOMMATION

Les recommandations évoquées durant les travaux du groupe par les représentants des consommateurs et ceux des professionnels sont regroupées dans cette synthèse en fonction des acteurs auxquels elles s'adressent, et suivies d'une indication du délai de mise en oeuvre.

Elles ne sont donc pas toutes validées par le groupe, notamment pour ce qui concerne le montant de la franchise du contrat porteur et les clauses des contrats porteurs.

I - ETABLISSEMENTS DE CREDIT ET EMETTEURS DE CARTES

A - MIEUX INFORMER LES UTILISATEURS DES CARTES

A l'égard des porteurs :

- Lors de la signature d'un contrat porteur, remettre au porteur un document ad hoc résumant les principales consignes de sécurité liées à l'utilisation des cartes bancaires. Renouveler cette information une fois par an par tout moyen (mise en oeuvre rapide).

- Informer les porteurs de cartes sur le montant de leur plafond d'achats et de retraits lors de la souscription ou du renouvellement de la carte, ainsi que sur les différents plafonds existants (mise en oeuvre rapide) .

- Communiquer plus efficacement sur le numéro unique de mise en opposition en l'affichant de manière systématique sur les DAB et en rappelant l'existence des différents moyens de mise en opposition sur les relevés d'opérations tous les six mois (mise en oeuvre rapide) .

- Formaliser la contestation d'un débit à caractère frauduleux incluant le dépôt de plainte (mise en oeuvre rapide) .

- Informer les porteurs sur l'existence, le cas échéant, d'un service de détection des utilisations anormales des cartes (mise en oeuvre rapide) .

A l'égard des commerçants :

- Lors de la conclusion d'un contrat d'acceptation « vente à distance » et pour tous les commerçants ayant déjà conclu un tel contrat, informer de manière explicite les commerçants sur l'existence d'une clause de recréditation du porteur en cas de contestation de bonne foi de ce dernier (mise en oeuvre rapide) .

B - SÉCURISER LES RETRAITS DAB

- Achever la modernisation de tous les DAB afin de garantir pour tout retrait la lecture des puces des cartes (mise en oeuvre rapide) .

A moyen terme :

- Etablir un espace de confidentialité (par exemple une « ligne de courtoisie » devant les DAB).

- Créer, sur les nouvelles générations de DAB et sous réserve de faisabilité technique, un dispositif de mise en opposition directe des cartes.

- Engager une réflexion, entre les banques et les constructeurs, sur l'ergonomie et les lieux d'installation des nouvelles générations de DAB.

- Supprimer les fonctions paiement et retrait de la piste, sur les cartes bancaires nationales.

C - SÉCURISER LES ACHATS À DISTANCE

- Généraliser le numéro et la gestion des cryptogrammes visuels au verso des cartes bancaires et leur utilisation pour les demandes d'autorisation.

- Mettre en place au bénéfice des commerçants un système de données permettant d'authentifier le lien entre porteur et payeur.

- Favoriser la mise en place de fichiers d'incidents au niveau professionnel avec l'autorisation de la CNIL.

- Favoriser la gestion de listes de cartes émises au niveau français, européen, international.

- Accélérer le traitement des incidents par les banques (harmonisation rejets, butoirs...).

D - AMELIORER LES REGLES DE FONCTIONNEMENT

- Accepter la mise en opposition d'une carte perdue ou volée sans communication du numéro de carte (mise en oeuvre rapide) .

- Informer de manière systématique les porteurs sur la conduite à tenir en cas de capture de la carte par un DAB notamment en dehors des heures d'ouverture (mise en oeuvre rapide) .

- Transmettre aux titulaires de cartes un contrat actualisé et conforme à la dernière version adoptée par le Groupement des Cartes Bancaires (mise en oeuvre rapide) .

A moyen terme :

- Permettre au titulaire d'une carte de lire la puce de sa carte et disposer ainsi de la liste des opérations effectuées.

- Mettre en oeuvre un processus d'activation de la carte après réception par le titulaire et à l'initiative de ce dernier.

E - REVOIR LE PARTAGE DE LA RESPONSABILITE FINANCIERE ENTRE LES EMETTEURS DE CARTES ET LES UTILISATEURS

- Rembourser les frais subis par un porteur (montant des transactions, agios le cas échéant, frais de mise en opposition et de renouvellement de la carte) en cas de débits frauduleux liés à un dysfonctionnement du système (fraude liée à l'utilisation d'un numéro de carte ou d'une carte contrefaite).

- Rembourser dans un délai maximum d'un mois les débits frauduleux liés à une contrefaçon de carte ou à une utilisation frauduleuse d'un numéro de carte.

- Limiter, conformément à une recommandation de 1997 de la Commission Européenne, le montant de la franchise laissée à la charge des porteurs pour ce qui concerne la fraude antérieure à la déclaration de perte ou de vol.

- Mettre en conformité le contrat porteur avec les recommandations de la Commission des Clauses Abusives ^{5 ( * )} .

- Inscrire dans le contrat porteur le droit du titulaire de carte de se faire rembourser les débits contestés de bonne foi liés à des achats à distance n'impliquant ni signature, ni tabulation du code confidentiel, en rappelant les sanctions pénales liées aux fausses déclarations.

II - SECTEUR DU COMMERCE DE PROXIMITE ET DE LA GRANDE DISTRIBUTION

Pour les achats de proximité

- Garantir aux porteurs dans les commerces, la confidentialité de la tabulation de leur code confidentiel par un cache ou tout autre moyen sur le clavier des terminaux de paiement électronique, y compris pour les automates d'achat, et par un contact visuel permanent avec leur carte (mise en oeuvre urgente) .

- Supprimer les numéros de carte complets et l'identité du porteur sur les facturettes et les documents commerciaux à la fin de l'année 2001 au plus tard (favoriser une mesure normalisée), avec clause de rendez-vous au 1 ^er juillet 2001 ( mise en oeuvre urgente) .

III - SECTEUR DE LA VENTE A DISTANCE

- Informer les consommateurs sur les techniques de sécurisation de paiement mises en oeuvre par les sites marchands, notamment sur les conditions de circulation et de stockage des numéros de cartes de paiement (mise en oeuvre rapide) .

- Ne pas stocker dans des bases de données des informations relatives aux numéros de cartes et de cryptogrammes visuels (mise en oeuvre rapide) .

A moyen terme :

- Déployer des solutions techniques de paiement sécurisé en ligne visant à supprimer la circulation des numéros de cartes en ligne et leur stockage sur les sites marchands.

IV - OPERATEURS DE TELEPHONIE MOBILE

- Mise en oeuvre par tous les opérateurs de téléphonie mobile de mesures d'encadrement du rechargement à distance par cartes bancaires des cartes prépayées (un seul numéro de carte par carte prépayée, limitation du nombre et du montant des rechargements) (mise en oeuvre urgente) .

- Généraliser le numéro et la gestion des cryptogrammes visuels au verso des cartes bancaires et celle de la date de fin de validité et leur utilisation pour les demandes d'autorisation (mise en oeuvre rapide) .

V - POUVOIRS PUBLICS

- Aggraver les peines liées à l'intrusion dans les systèmes monétiques et à la diffusion d'informations, par tout média, d'informations sur la contrefaçon des cartes de paiement.

- Amender la législation pénale afin de mieux réprimer les agissements facilitant la fraude sur Internet.

- Examiner les conditions d'implication de la Banque de France dans la sécurité des moyens de paiement.

- Conférer à la Mission « Economie numérique » du MINEFI, en association avec le ministère de l'Intérieur et le ministère de la Justice, une mission de veille sur la sécurité des paiements en ligne et sur la cyber-criminalité.

- Réunir au second semestre le groupe CNC afin de faire le point sur l'état d'avancement des présentes recommandations.

Source : rapport au ministre de l'économie, des finances et de l'industrie et au secrétariat d'Etat aux petites et moyennes entreprises, au commerce, à l'artisanat et à la consommation sur la sécurité des cartes de paiement ; février 2001 ; pages 21 à 24.

b) Les engagements des banquiers et des commerçants

A la suite de la remise du rapport par le groupe de travail, deux chartes ont été signées relatives à la sécurité des cartes de paiement, l'une par les établissements de crédit, émetteurs de cartes de paiement et l'autre par les commerçants, représentés par le Conseil de commerce de France.

Le 22 février dernier, l'Association française des établissements de crédit et des entreprises d'investissement, la Fédération française de banque et le Groupement des cartes bancaires « CB » ont signé une charte dans laquelle ils s'engagent à prendre certaines mesures à court terme et à moyen terme destinées à améliorer la sécurité des cartes de paiement.

Les mesures à court terme (avant la fin du premier semestre 2001) visent à :

- mieux informer les porteurs de la carte sur les consignes de sécurité, le plafond maximum des achats et des retraits et communiquer plus efficacement sur le numéro unique de mise en opposition en l'affichant systématiquement sur les distributeurs automatiques de billets ;

- mieux informer les commerçants sur l'existence, dans les contrats d'acceptation « vente à distance », de la clause de recréditation du porteur en cas de contestation de bonne foi de ce dernier ;

- renforcer la sécurité technique des distributeurs automatiques de billets ;

- améliorer les règles de fonctionnement de la mise en opposition en acceptant la mise en opposition d'une carte perdue ou volée dès le premier appel, sans obligation de communiquer le numéro de la carte d'une part et en informant les porteurs de la nécessité de mettre en opposition une carte capturée dans un distributeur en dehors des heures d'ouverture des agences, d'autre part ;

- revoir le partage de la responsabilité financière entre les banques et les utilisateurs par quatre mesures : permettre aux porteurs de se faire rembourser les frais bancaires subis en cas de fraude liée à l'utilisation d'un numéro de carte ou d'une carte contrefaite ; permettre au porteur de se faire rembourser les débits contestés de bonne foi liés à des achats à distance n'impliquant ni la signature manuscrite, si la frappe du code confidentiel ; rembourser en moins d'un mois les débits frauduleux liés à une contrefaçon de carte ou à une utilisation frauduleuse d'un numéro de carte ; limiter le montant de la franchise laissée à la charge des porteurs pour ce qui concerne la fraude antérieure à la déclaration de perte ou de vol à 400 euros, si le porteur a fait opposition immédiatement (24 heures) ou s'il n'a pas commis une négligence.

A moyen terme, les établissements de crédit émetteurs de cartes s'engagent à :

- renforcer la sécurité technique des distributeurs en aménageant un espace de confidentialité, en engageant une réflexion sur l'ergonomie et les lieux d'installation des DAB, en définissant un calendrier de suppression des fonctions paiement de la piste magnétique et de retrait de cette dernière sur les cartes bancaires nationales ;

- renforcer la sécurité des paiements pour les achats à distance ou en ligne en proposant aux commerçants un système de vérification de l'identité du porteur, en généralisant la mention des cryptogrammes visuels au verso des cartes bancaires et leur utilisation pour les transactions à distance et en déployant des solutions techniques de paiement sécurisé en ligne visant à supprimer la circulation des numéros de cartes en ligne ;

- renforcer les règles de fonctionnement du paiement par cartes bancaires en poursuivant les travaux visant à permettre l'inscription dans la puce de toutes les opérations effectuées et leur lecture par le titulaire de la carte, en mettant en oeuvre un processus d'activation de la carte après réception par le titulaire et à l'initiative de ce dernier, enfin en élargissant le choix des tranches de plafonds d'achats et de retraits.

Le même jour, le Conseil de Commerce de France s'engageait également à recommander à ses adhérents la mise en oeuvre des mesures suivantes pour la fin de l'année 2001 :

- garantir aux porteurs de cartes la confidentialité de la tabulation de leur code confidentiel par les moyens de protection appropriés, notamment par un cache sur le clavier des terminaux de paiement électronique et par le maintien d'un contact visuel permanent de leur carte ;

- modifier la facturette du porteur afin de tronquer le numéro de la carte et de supprimer l'identité du porteur, le numéro d'autorisation ainsi que la date de fin de validité ;

- informer les consommateurs, sur les sites marchands, sur les techniques de sécurisation de paiement mises en oeuvre en ce qui concerne notamment les conditions de circulation et de stockage des numéros de cartes de paiement.

2. Trois priorités seulement retenues par le gouvernement

a) La volonté de ne pas s'immiscer dans les relations contractuelles entre les émetteurs de cartes et leurs titulaires

Le gouvernement a suivi attentivement les réflexions menées par le groupe de travail rattaché au Conseil national de la consommation et a assisté, par l'intermédiaire du ministre de l'économie, des finances et de l'industrie, M. Laurent Fabius, à la signature des deux chartes relatives à la sécurité des cartes de paiement respectivement par les représentants du monde bancaire et par les représentants du commerce.

Constatant que les travaux du groupe de travail avaient développé une véritable dynamique au sein des différentes parties prenantes pour lutter contre la fraude et que la plupart des recommandations dudit groupe de travail avaient été reprises par les deux chartes mentionnées précédemment, le gouvernement n'a pas souhaité intervenir dans les relations contractuelles entre les établissements émetteurs de cartes, d'une part, et les titulaires de la carte, d'autre part.

En revanche, il s'est attaché à exécuter les recommandations faites en sa direction par le groupe de travail rattaché au Conseil national de la consommation.

Cinq dispositions  concernaient les pouvoirs publics:

- aggraver les peines liées à l'intrusion dans les systèmes monétiques et à la diffusion d'informations, par tout média, d'informations sur la contrefaçon des cartes de paiement ;

- amender la législation pénale afin de mieux réprimer les agissements facilitant la fraude sur Internet ;

- examiner les conditions d'implication de la Banque de France dans la sécurité des moyens de paiement ;

- conférer à la Mission « Economie numérique » du MINEFI, en association avec le ministère de l'intérieur et le ministère de la justice, une mission de veille sur la sécurité des paiements en ligne et sur la cyber-criminalité ;

- réunir au second semestre le groupe de travail rattaché au Conseil national de la consommation afin de faire le point sur l'état d'avancement des présentes recommandations.

Parmi ces propositions, seules les trois premières nécessitaient un texte législatif pour pouvoir être appliquées. Elles ont donc été insérées dans le projet de loi relatif à la sécurité quotidienne.

b) Etendre aux cas de fraude les possibilités de faire opposition

Actuellement, il ne peut être fait opposition qu'en cas de perte ou de vol. Or, l'étude des cas de fraude révèle que ces dernières ne sont pas toujours rattachées aux notions de perte ou de vol. L'article 7 du présent projet de loi propose donc de prévoir explicitement que l'utilisation frauduleuse de la carte est un motif légitime d'opposition.

c) Consolider le rôle de la Banque de France

L'article L. 141-4 du code monétaire et financier prévoit que la Banque de France veille au bon fonctionnement et à la sécurité des systèmes de paiement. Toutefois, sa compétence en matière de moyens de paiement repose sur une interprétation de la Banque centrale européenne de ses missions. Elle n'est pas fondée sur un texte précis. Certes, la Banque de France participe au comité de direction du Groupement des cartes bancaires, mais son influence reste « morale » et elle ne dispose d'aucun moyen contraignant si elle estime qu'un moyen de paiement ne présente pas toutes les garanties suffisantes en matière de sécurité.

L'article 8 du présent projet de loi propose donc de renforcer les pouvoirs de la Banque de France en complétant l'article L. 141-4 précité et en lui permettant de s'opposer à la mise à disposition du public de tout moyen de paiement dont les fonctions de sécurité seraient insuffisantes.

d) Le renforcement de la législation pénale

Lors de sa conférence de presse le 22 février dernier, le gouvernement a constaté que les consommateurs se sont inquiétés légitimement, ces derniers mois, que leurs numéros de cartes bancaires, la date de validité de celle-ci ou et le nom du porteur puissent être diffusés sur Internet. Par ailleurs, il est apparu que des sites donnaient des informations permettant de réaliser des fraudes à la carte bancaire, certains sites proposant même des logiciels calculant des numéros de cartes factices mais cohérents.

Or, le droit pénal français ne réprime pas la mise à disposition d'informations et de matériels permettant la commission d'une infraction sur une carte de paiement. L'article 9 du présent projet de loi crée donc une nouvelle incrimination pénale complétant les dispositions actuelles, afin d'adapter les moyens légaux de la répression au développement des nouvelles formes de délinquance.

* ⁵ Il conviendrait que les contrats porteurs stipulent que les enregistrements des DAB constituent des preuves simples susceptibles d'être contestées par tous moyens (article 7.1) et que l'émetteur ne limite pas sa responsabilité, en cas de mauvais fonctionnement du système, au seul préjudice direct subi par le porteur (article 7.2)