Strong Customer Authentication (SCA)
Foire aux questions
Si aucune authentification forte du client n’est utilisée, il faut s’attendre à un taux d’interruption nettement plus élevé dans le traitement des transactions par l’émetteur.
À compter du 14.09.2019, la SCA deviendra obligatoire pour tous les prestataires de services de paiement établis dans l’Espace économique européen.
La dérogation accordée par l’ABE est très complexe et ne peut être appliquée que par l’Acquirer. L’Acquirer décide si un commerçant peut ou non se prévaloir d’une circonstance exceptionnelle.
Une SCA doit-elle être effectuée dans ce cas-ci? Que se passe-t-il si des frais doivent être facturés avant l’arrivée? MIT ou SCA?
Une première transaction avec une carte qui n’a pas encore été enregistrée par le commerçant doit toujours être authentifiée par SCA. Un débit avant l’arrivée peut être effectué sans SCA uniquement si le commerçant a stocké la carte dans le système et qu’une SCA a été effectuée avec succès.
Or le client est déjà parti! Cette situation peut-elle être résolue au moyen d’une transaction «Card on File»?
Si la carte est déjà enregistrée chez le commerçant, aucune autre SCA n’est nécessaire. Si ce n’est pas le cas, la carte ne peut pas être débitée sans SCA.
Ne relèvent pas du champ d’application de la SCA, mais doivent être signalées séparément dans le protocole GICC.
Sont exemptées de SCA et nécessitent un signalement spécial, qui est traité différemment chez Visa et Mastercard.
Dans ce cas, une carte enregistrée avec un signalement MIT correct est utilisée, ce qui signifie qu’aucun nouveau contrôle SCA ne doit être effectué.
En règle générale, le commerçant est déjà tenu d’utiliser la procédure 3D à l’heure actuelle (à quelques exceptions près). Il n’est donc pas nécessaire d’adapter les contrats. Concardis enverra toutefois aux commerçants des informations spéciales indiquant que toute transaction non authentifiée par 3D ne sera plus autorisée à l’avenir.
Le numéro de la carte est saisi manuellement sur le terminal : il s’agit d’une transaction «key entry». Ces transactions sont considérées comme soumises à la SCA (selon la déclaration de l’émetteur). Si le titulaire de la carte est physiquement présent lors de la saisie, alors il respecte les exigences SCA en saisissant le code PIN. S’il n’est PAS présent, il ne peut pas saisir de code PIN, mais doit pourtant le faire conformément aux exigences SCA. C’est pour cette raison que ces transactions particulières sont souvent exécutées sous forme de transactions MOTO (non conforme, mais toléré).
Le transfert de responsabilité justifié par la SCA s’applique uniquement aux cartes provenant de l’EEE (Espace économique européen).
Ce sont les opérateurs de réseaux (Cardtech, par exemple) qui sont en charge de l’implémentation technique de la SCA dans l’exploitation du réseau. Le KNB n’utilise que les solutions de ces prestataires. C’est le KNB qui supporte le risque commercial (transfert de responsabilité).
Il n’existe pas de limite de temps d’un point de vue réglementaire. Mais il est tout à fait possible que les PSP / NSP (prestataires de services de paiement / fournisseurs de services réseaux) aient fixé des périodes de validité maximales.
Les transactions MOTO ne sont PAS soumises à la SCA.
En tant qu’acquéreur, Concardis ne propose aucune interface pour le processus d’authentification proprement dit (empreinte digitale / identification faciale). Ces interfaces sont UNIQUEMENT mises à disposition par les banques émettrices de cartes.
Non, il n’existe pas d’obligation pour les commerçants. Toutefois, il existe une recommandation s’adressant aux banques émettrices de cartes, qui sont tenues de mener des audits SCA exemplaires à partir d’octobre 2020.
Prestataire de services de paiement
La première procédure n’exclut pas l’autre. Un cycle de facturation récurrente peut être mis en place par le PSP à l’aide d’un MIT Framework. Il convient de s’adresser au PSP pour en connaître les détails.
Ci-joint, le lien vers Bafin.