Arrêté du 24 avril 2026 définissant les modalités techniques de fonctionnement du fichier mentionné à l'article L. 521-6-1 du code monétaire et financier

Article 1 JORFARTI000053969416

Le fichier mentionné à l'article L. 521-6-1 du code monétaire et financier est géré par la Banque de France.

Il centralise les informations permettant d'identifier les comptes de paiement et les comptes de dépôt que les prestataires de services de paiement définis à l'article L. 521-1 du code monétaire et financier établis en France, à l'exception des prestataires de services d'information sur les comptes et des établissements de paiement fournissant exclusivement un service d'initiation de paiement, estiment susceptibles d'être frauduleux en se fondant notamment sur les analyses réalisées dans le cadre de leurs dispositifs internes de lutte contre la fraude.

Les prestataires de services de paiement mentionnés à l'alinéa précédent procèdent aux inscriptions de ces informations et consultent le fichier dans les conditions prévues par le présent arrêté.

Article 2 JORFARTI000053969419

Les prestataires de services de paiement mentionnés à l'article 1er actualisent au moins une fois par jour ou, à défaut, avant toute nouvelle opération de paiement, les instances locales du fichier dont ils sont responsables. Dans le cadre de la consultation du fichier tenu par la Banque de France, les prestataires de services de paiement mentionnés à l'article 1er peuvent obtenir communication, pour chaque compte recensé, des éléments suivants :

- les informations visées à l'article 3 ; - la date à laquelle les informations seront radiées du fichier, en l'absence de suppression anticipée des données par les prestataires de services de paiement.

La communication des informations aux prestataires de services de paiement s'effectue par procédure de consultation sécurisée selon le moyen de raccordement convenu avec la Banque de France.

Article 3 JORFARTI000053969420

Pour chaque évènement dont le caractère frauduleux est suspecté par le prestataire de services de paiement visé à l'article 1er, ce dernier déclare les informations suivantes au sein du fichier :

- l'identifiant du compte que les prestataires de services de paiement estiment susceptible d'être frauduleux en se fondant notamment sur les analyses réalisées dans le cadre de leurs dispositifs internes de lutte contre la fraude, à savoir le numéro IBAN ou le numéro BBAN au sens de l'article 2 du règlement (UE) n° 260/2012 du Parlement européen et du Conseil du 14 mars 2012 ;

- le code BIC de l'établissement tenant le compte au sens de l'article 2 du règlement (UE) n° 260/2012 du Parlement européen et du Conseil du 14 mars 2012 ;

- la date de détection ;

- le canal d'origine de la transaction ayant fait l'objet d'une fraude ;

- la source de la fraude (éléments sur la méthode utilisée par le fraudeur) ;

- la catégorie de la fraude (type de fraude parmi les grandes catégories connues) ;

- le type d'opération (moyen de paiement ou action du client ayant fait l'objet d'une fraude) ;

- le cas échéant, l'existence d'une réclamation ou d'une plainte d'un utilisateur de services de paiement pour usurpation d'identité.

La déclaration du canal d'origine de la transaction ayant fait l'objet d'une fraude ainsi que de la source de la fraude est facultative.

Chaque évènement de fraude identifié fait l'objet d'une seule déclaration.

Le prestataire de service de paiement teneur d'un compte inscrit dans le fichier procède sans délai aux vérifications visant à évaluer son caractère frauduleux et partage dans les plus brefs délais le résultat au sein de chaque déclaration relative à un compte dont il est le teneur. Il précise sans délai au sein du fichier qu'il prend en charge ces vérifications afin d'assurer un suivi de la déclaration.

Le prestataire de services de paiement teneur de compte déclare sans délai toute usurpation d'identité telle que décrite à l'article 226-4-1 du code pénal qu'il détecte.

Les prestataires de services de paiement mentionnés à l'article 1er peuvent également indiquer, au sein du fichier, leur évaluation du caractère frauduleux des comptes déclarés par d'autres prestataires de services de paiement.

Article 4 JORFARTI000053969422

Les prestataires de services de paiement qui disposent de nouvelles informations ou d'informations contradictoires avec celles qu'ils ont initialement déclarées procèdent sans délai aux déclarations correctrices.

Lorsque les raisons de soupçonner la fraude disparaissent, le prestataire de services de paiement procède sans délai à une déclaration corrective visant à demander à la Banque de France la radiation de l'évènement de fraude.

La Banque de France procède sans délai à la radiation du signalement mentionné à l'alinéa précédent.

Article 5 JORFARTI000053969423

Conformément aux dispositions des articles 12 à 14 du règlement (UE) 2016/679, tout prestataire de services de paiement mentionné à l'article 1er informe les titulaires de compte que l'ensemble des prestataires de services de paiement doivent, en cas de suspicion de fraude, inscrire dans ce fichier les informations relatives à leurs comptes et aux évènements de fraude visées à l'article 3 et précise les modalités d'exercice des droits.

Conformément aux dispositions des articles 12 et 14 du règlement (UE) 2016/679, la Banque de France informe le public de manière concise, transparente, compréhensible et aisément accessible sur son site internet que l'ensemble des prestataires de services de paiement doivent, en cas de suspicion de fraude, inscrire dans ce fichier les informations relatives à leurs comptes et aux évènements de fraude visées à l'article 3 et précise les modalités d'exercice des droits.

Article 6 JORFARTI000053969424

Les informations visées à l'article 3 sont conservées dans le fichier pendant treize mois à compter de la date de la déclaration ou de la dernière déclaration correctrice, sans préjudice des obligations d'archivage s'imposant aux prestataires de services de paiement mentionnés à l'article 1er .

Les prestataires de services de paiement mentionnés à l'article 1er sont responsables de la suppression des informations visées à l'article 3 au niveau de leur instance locale.

Article 7 JORFARTI000053969425

Les prestataires de services de paiement peuvent mandater un prestataire technique agissant au nom et sous la responsabilité dudit prestataire de service de paiement et dans le respect des dispositions relatives au secret professionnel applicables à chaque prestataire de services de paiement mentionné à l'article 1er .

Article 8 JORFARTI000053969426

Les droits d'accès, de rectification et à la limitation prévus aux articles 15, 16 et 18 du règlement (UE) 2016/679 et aux articles 49, 50 et 53 de la loi du 6 janvier 1978 s'exercent auprès du prestataire de services de paiement teneur de compte.

La Banque de France et les prestataires de services de paiement mentionnés à l'article 1er sont responsables de traitement, chacun en ce qui les concerne.

Article 9 JORFARTI000053969430

Les infractions aux dispositions du présent arrêté sont passibles des sanctions prévues à l'article L. 612-39 du code monétaire et financier.

Article 10 JORFARTI000053969432

Le présent arrêté est applicable en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna, sous réserve des adaptations suivantes :

Après les mots : « la Banque de France » sont ajoutés les mots : « pour le compte de l'Institut d'émission d'outre-mer ».

A l'article 3, les références à l'article 2 du règlement (UE) n° 260/2012 du Parlement européen et du Conseil du 14 mars 2012 sont remplacées par les références aux dispositions applicables en métropole en vertu de l'article 2 du règlement précité.

Aux articles 5 et 8, les références aux articles 12 à 18 du règlement (UE) 2016/679 et aux articles 49 à 53 de la loi n° 78-17 du 6 janvier 1978 sont remplacées par les références à l'article 126 de la loi n° 78-17 du 6 janvier 1978 dans sa rédaction issue de l'ordonnance n° 2018-1125 du 12 décembre 2018.

Article 11 JORFARTI000053969436

Le présent arrêté sera publié au Journal officiel de la République française.