Critères et classement
Vérifier les exigences de sécurité des services de paiement suisses
Identifiez d'abord quelles données personnelles le service de paiement traite et quelles entités sont impliquées. Cela inclut le traitement des données et les entités responsables du service.
Ce que signifie concrètement « vérifier les exigences de sécurité » pour les services de paiement
Identifiez d'abord quelles données personnelles le service de paiement traite et quelles entités y sont impliquées. Cela inclut le traitement des données et les entités responsables du service.
Procédez en quatre étapes : clarifier la base légale et l'autorité de surveillance compétente, demander les mesures de protection, exiger des preuves de mise en œuvre et de contrôle, et consigner les résultats.
Une assurance générale telle que « normes de sécurité les plus élevées » ne prouve pas la mise en œuvre. Vérifiez les mesures concrètes, les tests et les contrôles à l'aide de documents.
Qui fait respecter les prescriptions en Suisse
La FINMA supervise les banques et les maisons de titres de manière prudentielle et axée sur les risques. Son cadre réglementaire comprend notamment la Loi sur la surveillance des marchés financiers (LSFM), la Loi sur les banques (LB), la Loi sur les établissements financiers (LEF) et leurs dispositions d'exécution respectives.
Toutes les activités ne sont pas soumises aux mêmes formes d'autorisation et de surveillance : la FINMA décrit un spectre allant d'une surveillance continue complète à un simple enregistrement sans surveillance continue. Dans certains cas, l'affiliation à une organisation d'autorégulation est requise.
Recherchez le nom du prestataire dans la base de données de la FINMA concernant les instituts, les personnes et les produits autorisés. Les catégories qui y figurent comprennent, entre autres, « Banques et maisons de titres » ainsi que « Personnes autorisées selon l'art. 1b LB (autorisation Fintech) ». Vérifiez quelle catégorie et quelle autorisation s'appliquent au prestataire concerné.
Demandez au prestataire de vous indiquer par écrit sur quelle base légale il opère et quelle autorité de surveillance est compétente pour son activité spécifique. En cas de violation de la sécurité des données présentant probablement un risque élevé, le PFPDT doit être informé.
Autorités de surveillance compétentes en Suisse pour les services de paiement
- PFPDTPréposé fédéral à la protection des données ; doit être informé en cas de violation de la sécurité des données présentant un risque élevé.
- FMA-LI (Liechtenstein)Non pertinente pour les prestataires suisses ; compétente uniquement pour les instituts liechtensteinois.
Mesures techniques et organisationnelles de la sécurité des données
La Loi sur la protection des données (LPD, RS 235.1) est en vigueur depuis le 1er septembre 2023. Pour la sécurité des données, la LPD et l'Ordonnance sur la protection des données (OPD, RS 235.11) constituent la base suisse pertinente.
Interrogez-vous sur l'évaluation du besoin de protection des données personnelles et sur la manière dont cela se reflète dans les mesures de protection. La description devrait correspondre au processus de traitement spécifique du service de paiement.
Vérifiez les mesures techniques et organisationnelles concrètes : restrictions d'accès, chiffrement, journalisation, responsabilités ainsi que la détection et la résolution des incidents.
Selon l'art. 24 LPD, le PFPDT doit être informé aussi rapidement que possible en cas de violation de la sécurité des données présentant probablement un risque élevé. La LPD ne prévoit aucun délai de 72 heures à cet effet ; examinez donc le processus interne de notification et d'escalade.
Mis en œuvre, testé, vérifié : la norme pour les preuves de sécurité
Pour chaque mesure, posez la question suivante : a-t-elle été mise en œuvre, testée et le résultat a-t-il été vérifié ? Notez quel document étaye la réponse et qui a effectué la vérification.
Exigez une description documentée du traitement et des mesures de protection. Des preuves appropriées incluent, par exemple, les documents relatifs aux droits d'accès et à la journalisation, les résultats d'audit et les résultats de tests concernant le chiffrement, les contrôles d'accès et les processus de réponse aux incidents.
La directive européenne sur les services de paiement DSP2 exige des prestataires de services de paiement qu'ils fournissent la preuve que les mesures de sécurité ont été mises en œuvre, testées et vérifiées. Il s'agit d'une norme de contrôle de l'UE, non de la base légale suisse ; pour les services suisses, la LPD et l'OPD sont le point de départ.
Règles SEPA et l'accès au marché des tiers prestataires de services de paiement
La circulaire de la FINMA 2023/1 « Risques opérationnels et résilience – Banques » traite, entre autres, de la gestion des risques opérationnels, des risques TIC et cyber, des risques liés aux données critiques ainsi que de la continuité des activités. Elle est entrée en vigueur le 1er janvier 2024.
La circulaire s'adresse aux banques. Clarifiez donc d'abord si le prestataire de services de paiement est une banque supervisée et si les prescriptions s'appliquent à son activité.
Pour une banque concernée, vous pouvez demander des évaluations des risques et des contrôles, la tolérance au risque approuvée et des preuves de révisions régulières. La direction doit identifier, évaluer, limiter et surveiller les risques opérationnels, ainsi que vérifier régulièrement l'efficacité de la gestion des risques.
Séparer clairement le Liechtenstein, l'EEE et la pratique suisse
Pour le prestataire et le service de paiement examiné, notez la base légale indiquée, l'autorité de surveillance compétente et une éventuelle inscription au registre de la FINMA. Notez également quelles mesures de protection ont été vérifiées et quelles preuves existent à cet égard.
Documentez les questions en suspens et convenez de qui y répondra et pour quand. Ainsi, il reste compréhensible quelles exigences ont été vérifiées et quelles preuves ont encore été demandées.
