Loi du 20 juillet 2018 portant : 1° transposition de la directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n° 1093/2010, et abrogeant la directive 2007/64/CE ; et 2° modification de la loi modifiée du 10 novembre 2009 relative aux services de paiement

Il est inséré un point 1bis libellé comme suit :« 1bis) « acquisition d’opérations de paiement » : un service de paiement fourni par un prestataire de services de paiement convenant par contrat avec un bénéficiaire d’accepter et de traiter des opérations de paiement, de telle sorte que les fonds soient transférés au bénéficiaire ; » ;

Le point 2 prend la teneur suivante :« authentification » : une procédure permettant au prestataire de services de paiement de vérifier l’identité d’un utilisateur de services de paiement ou la validité de l’utilisation d’un instrument de paiement spécifique, y compris l’utilisation des données de sécurité personnalisées de l’utilisateur ; » ;

Il est inséré un point 2bis libellé comme suit :« 2bis) « authentification forte du client » : une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance », c’est-à-dire quelque chose que seul l’utilisateur connaît, « possession » c’est-à-dire quelque chose que seul l’utilisateur possède, et « inhérence » c’est-à-dire quelque chose que l’utilisateur est, et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification ; » ;

Il est inséré un point 3bislibellé comme suit :« 3bis) « cobadgeage » : l’inclusion de deux ou de plusieurs marques de paiement ou applications de paiement de la même marque de paiement sur le même instrument de paiement ; » ;

Il est inséré un point 6bislibellé comme suit :« 6bis) « contenu numérique » : des biens ou des services produits et fournis sous forme numérique, dont l’utilisation ou la consommation est limitée à un dispositif technique et ne prévoyant en aucune façon l’utilisation ou la consommation de biens et de services physiques ; » ;

Il est inséré un point 11 libellé comme suit :« directive 2002/21/CE » : la directive 2002/21/CE du Parlement européen et du Conseil du 7 mars 2002 relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques ; » ;

Il est inséré un point 14quater libellé comme suit :« 14quater) « directive 2013/34/UE » : la directive 2013/34/UE du Parlement européen et du Conseil du 26 juin 2013 relative aux états financiers annuels, aux états financiers consolidés et aux rapports y afférents de certaines formes d’entreprises, modifiant la directive 2006/43/CE du Parlement européen et du Conseil et abrogeant les directives 78/660/CEE et 83/349/CEE du Conseil ; » ;

ll est inséré un point 14quinquieslibellé comme suit :« 14quinquies) « directive 2013/36/UE » : la directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE ; » ;

Il est inséré un point 14sexieslibellé comme suit :« 14sexies) « directive (UE) 2015/2366 » : la directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n°1093/2010, et abrogeant la directive 2007/64/CE ; » ;

Il est inséré un point 14septies libellé comme suit :« 14septies) « directive (UE) 2015/849 » : la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n^o 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission ; » ;

Il est inséré un point 14octieslibellé comme suit :« 14octies) « données de paiement sensibles » : des données, y compris les données de sécurité personnalisées, qui sont susceptibles d’être utilisées pour commettre une fraude. En ce qui concerne les activités des prestataires de services d’initiation de paiement et des prestataires de services d’information sur les comptes, le nom du titulaire du compte et le numéro de compte ne constituent pas des données de paiement sensibles ; » ;

Il est inséré un point 14nonieslibellé comme suit :« 14nonies) « données de sécurité personnalisées » : des données personnalisées fournies à un utilisateur de services de paiement par le prestataire de services de paiement à des fins d’authentification ; » ;

Au point 15bis, le point i) est remplacé par le libellé suivant :les établissements de crédit au sens de l’article 4, paragraphe (1), point 1, du règlement (UE) n° 575/2013, y compris leurs succursales au sens de l’article 4, paragraphe (1), point 17, dudit règlement, lorsque ces succursales sont situées dans l’Union européenne, qu’il s’agisse de succursales d’établissements de crédit ayant leur siège dans l’Union européenne ou, conformément à l’article 47 de la directive 2013/36/UE, hors de l’Union européenne ; » ;

Il est inséré un point 15terlibellé comme suit :« 15ter) « émission d’instruments de paiement » : un service de paiement fourni par un prestataire de services de paiement convenant par contrat de fournir au payeur un instrument de paiement en vue d’initier et de traiter les opérations de paiement du payeur ; » ;

Au point 18, les mots article 10 de la directive 2007/64/CE sont remplacés par les mots article 11 de la directive (UE) 2015/2366 ;

Au point 23, le mot et est remplacé par le mot ou avant les mots la monnaie électronique ;

Il est inséré un point 23bis libellé comme suit :« 23bis) « fonds propres » : les fonds au sens de l’article 4, paragraphe (1), point 118, du règlement (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d’investissement et modifiant le règlement (UE) n° 648/2012, désigné ci-après « règlement (UE) n° 575/2013 », les fonds propres de catégorie 1 étant constitués au moins à trois quart de fonds propres de base de catégorie 1 visés à l’article 50 dudit règlement et les fonds propres de catégorie 2 représentant au maximum un tiers des fonds propres de catégorie 1 ; » ;

Le point 24 prend la teneur suivante :« groupe » : un groupe d’entreprises qui sont liées entre elles par une relation au sens de l’article 22, paragraphe (1), (2) ou (7), de la directive 2013/34/UE ou d’établissements au sens des articles 4 à 7 du règlement délégué (UE) n° 241/2014 de la Commission du 7 janvier 2014 complétant le règlement (UE) n° 575/2013 du Parlement européen et du Conseil par des normes techniques de réglementation concernant les exigences de fonds propres applicables aux établissements, désigné ci-après « règlement délégué (UE) n° 241/2014 » qui sont liés entre eux par une relation au sens de l’article 10, paragraphe (1), ou de l’article 113, paragraphe (6) ou (7), du règlement (UE) n° 575/2013 ; » ;

Au point 26, les mots auquel l’utilisateur de services de paiement a recours sont remplacés par le mot utilisé ;

Il est inséré un point 28bis libellé comme suit :« 28bis) « marque de paiement » : tout nom, terme, signe, symbole matériel ou numérique, ou la combinaison de ces éléments, susceptible de désigner le schéma de cartes de paiement dans lequel des opérations de paiement liées à une carte sont effectuées ; » ;

Au point 30, les mots tout moyen sont remplacés par les mots toute méthode avant les mots qui peut être, et le mot utilisé est remplacé par le mot utilisée ;

Au point 31, les mots pour son compte ou par sont insérés entre les mots par le payeur ou et le bénéficiaire ;

Il est inséré un point 31bis libellé comme suit :« 31bis) « opération de paiement à distance » : une opération de paiement initiée par l’intermédiaire de l’internet ou au moyen d’un dispositif pouvant être utilisé pour la communication à distance ; » ;

Le point 34 prend la teneur suivante :« participation qualifiée » : le fait de détenir dans une entreprise une participation au sens de l’article 4, paragraphe (1), point 36, du règlement (UE) 575/2013 ; » ;

Le point 37 est modifié comme suit :Le point i) prend la teneur suivante :les établissements de crédit au sens de l’article 4, paragraphe (1), point 1, du règlement (UE) n° 575/2013, y compris leurs succursales au sens de l’article 4, paragraphe (1), point 17, dudit règlement, lorsque ces succursales sont situées dans l’Union européenne, qu’il s’agisse de succursales d’établissements de crédit ayant leur siège dans l’Union européenne ou, conformément à l’article 47 de la directive 2013/36/UE, hors de l’Union européenne ; » ; Au point ii), les mots , y compris, conformément à l’article 8 de ladite directive et à l’article 24-16 de la présente loi, une succursale d’un tel établissement, lorsque celle-ci est située dans l’Union européenne et son siège hors de l’Union européenne, dans la mesure où les services de paiement fournis par ladite succursale sont liés à l’émission de monnaie électronique sont ajoutés après les mots directive 2009/110/CE ; ;Au point iv), les mots au sens de la directive 2007/64/CE sont supprimés ;Il est inséré un point viii) libellé comme suit :les personnes physiques et morales visées à l’article 48-1bis ; » ;

Il est inséré un point 37bis libellé comme suit :« 37bis) « service de communications électroniques » : un service au sens de l’article 2, point 27, de la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques ; » ;

Il est inséré un point 37ter libellé comme suit :« 37ter) « prestataire de services de paiement gestionnaire du compte » : un prestataire de services de paiement qui fournit et gère un compte de paiement pour un payeur ; » ;

Il est inséré un point 37quater libellé comme suit : « 37quater) « prestataire de services d’initiation de paiement » : un prestataire de services de paiement exerçant des activités visées à l’annexe, point 7 ; » ;

Il est inséré un point 37quinquies libellé comme suit :« 37quinquies) « prestataire de services d’information sur les comptes » : un prestataire de services de paiement exerçant des activités visées à l’annexe, point 8 ; » ;

Il est inséré un point 37sexies libellé comme suit :« 37sexies) « réseau de communications électroniques » : un réseau au sens de l’article 2, point 24, de la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques ; » ;

Le point 38 prend la teneur suivante :« services de paiement » : une ou plusieurs des activités visées à l’annexe, exercées à titre professionnel ; » ;

Il est inséré un point 38bis libellé comme suit :« 38bis) « service d’information sur les comptes » : un service en ligne consistant à fournir des informations consolidées concernant un ou plusieurs comptes de paiement détenus par l’utilisateur de services de paiement soit auprès d’un autre prestataire de services de paiement, soit auprès de plus d’un prestataire de services de paiement ; » ;

Il est inséré un point 38ter libellé comme suit :« 38ter) « service d’initiation de paiement » : un service consistant à initier un ordre de paiement à la demande de l’utilisateur de services de paiement concernant un compte de paiement détenu auprès d’un autre prestataire de services de paiement ; » ;

Au point 46, le point final est remplacé par un point-virgule ;

Il est inséré un point 47 libellé comme suit :« virement » : un service de paiement fourni par le prestataire de services de paiement qui détient le compte de paiement du payeur et consistant à créditer, sur la base d’une instruction du payeur, le compte de paiement d’un bénéficiaire par une opération ou une série d’opérations de paiement réalisées à partir du compte de paiement du payeur. ».

Le paragraphe 1^er, alinéa 2 devient le nouveau paragraphe 1bis ;

Au nouveau paragraphe 1bis, les mots Cependant, à l’exception de l’article 99, les titres III et IV s’appliquent uniquement lorsque : sont remplacés par les mots Les titres III et IV s’appliquent aux opérations de paiement dans la devise d’un État membre lorsque : ;

À la suite du nouveau paragraphe 1bis, deux nouveaux paragraphes 1ter et 1quater sont insérés, libellés comme suit :« (1ter)Lorsqu’une opération de paiement est effectuée dans une devise qui n’est pas celle d’un État membre, le titre III, à l’exception de l’article 66, paragraphe (1), lettre b), de l’article 71, paragraphe (2), lettre e) et de l’article 75, lettre a), et le titre IV, à l’exception des articles 94 à 98, s’appliquent pour ce qui concerne les parties de l’opération de paiement qui sont effectuées au Luxembourg lorsque :à la fois le prestataire de services de paiement du payeur et celui du bénéficiaire sont situés au Luxembourg ;le prestataire de services de paiement du payeur est situé au Luxembourg et le prestataire de services de paiement du bénéficiaire est situé dans un autre État membre ;le prestataire de services de paiement du bénéficiaire est situé au Luxembourg et le prestataire de services de paiement du payeur est situé dans un autre État membre ;dans le cas des opérations de paiement dans lesquelles intervient un seul prestataire de services de paiement, ce dernier est situé au Luxembourg.(1quater)Lorsqu’un seul des prestataires de services de paiement est situé au Luxembourg et que l’autre est situé dans un pays tiers, le titre III, à l’exception de l’article 66, paragraphe (1), lettre b), de l’article 71, paragraphe (2), lettre e), de l’article 71, paragraphe (5), lettre f) et de l’article 75, lettre a), et le titre IV, à l’exception de l’article 79, paragraphes (2) et (4), des articles 89, 90 et 94, de l’article 96, paragraphe (1), et des articles 101 et 103 s’appliquent aux opérations de paiement dans toutes les devises pour ce qui concerne les parties de cette opération de paiement qui sont effectuées au Luxembourg. » ;

Au paragraphe 2, les mots dont les établissements de paiement et les établissements de monnaie électronique sont supprimés ;

Le paragraphe 3 est abrogé.

À la lettre b), les mots par contrat sont insérés entre les mots habilité et à négocier et le mot uniquement est ajouté à deux reprises après les mots pour le compte du payeur et après les mots ou du bénéficiaire ;

À la lettre f), le mot activités est remplacé par le mot opérations et les mots , c’est-à-dire aux opérations sont supprimés ;

À la lettre j), les mots «, à l’exception des services d’initiation de paiement et des services d’information sur les comptes » sont ajoutés après les mots « dispositifs utilisés aux fins des services de paiement » ;

La lettre k) prend la teneur suivante : aux services reposant sur des instruments de paiement spécifiques qui ne peuvent être utilisés que de manière limitée et qui satisfont à l’une des conditions suivantes :instruments ne permettant à leur détenteur d’acquérir des biens ou des services que dans les locaux de l’émetteur ou au sein d’un réseau limité de prestataires de services directement liés par un contrat commercial à un émetteur professionnel ;instruments ne pouvant être utilisés que pour acquérir un éventail très limité de biens ou de services ;instruments valables dans un seul État membre fournis à la demande d’une entreprise ou d’un organisme public et réglementés par une autorité publique nationale ou régionale, à des fins sociales ou fiscales spécifiques, et permettant d’acquérir des biens ou des services spécifiques auprès de fournisseurs ayant conclu un accord commercial avec l’émetteur ; » ;

La lettre l) prend la teneur suivante :aux opérations de paiement proposées par un fournisseur de réseaux ou de services de communications électroniques en plus de services de communications électroniques pour un abonné au réseau ou au service :effectuées pour l’achat de contenu numérique et de services vocaux, quel que soit le dispositif utilisé pour l’achat ou la consommation du contenu numérique et imputées sur la facture correspondante ; ouexécutées depuis ou au moyen d’un dispositif électronique et imputées sur la facture correspondante dans le cadre d’activités caritatives ou pour l’achat de billets ; à condition que la valeur de chaque opération de paiement isolée visée aux points i) et ii) ne dépasse pas 50 euros et que la valeur cumulée des opérations de paiement pour un même abonné ne dépasse pas 300 euros par mois ou lorsqu’un abonné préfinance son compte auprès du fournisseur de réseau ou de services de communications électroniques, la valeur cumulée des opérations de paiement ne dépasse pas 300 euros par mois ; » ;

À la lettre n), les mots et services connexes sont insérés entre les mots opérations de paiement et entre une entreprise mère et sa filiale ;

À la lettre o), le mot proposés est inséré entre les mots retrait d’espèces et au moyen de distributeurs automatiques , le mot offerts est supprimé et la phrase suivante est ajouté : Toutefois, l’utilisateur est informé de tous frais visés aux articles 61, 66, 67 et 68 avant de procéder au retrait, ainsi que lors de la réception des espèces à la fin de l’opération après le retrait..

Les actuels alinéas 1^er et 2 deviennent le nouveau paragraphe 1^er, alinéas 1^er et 2 ;

Au nouveau paragraphe 1^er, alinéa 1^er, lettre f), les mots règlement (CE) n° 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le payeur accompagnant les virements de fonds ; sont remplacés par les mots règlement (UE) 2015/847 du Parlement européen et du Conseil du 20 mai 2015 sur les informations accompagnant les transferts de fonds et abrogeant le règlement (CE) n^o 1781/2006 ; ;

Au nouveau paragraphe 1^er, alinéa 1^er, lettre g), les mots des inspections sur pièces et sur place au moins annuelles que le demandeur s’engage à effectuer à l’égard de ces agents et succursales, ainsi qu’ sont insérés entre les mots succursales et et une description des accords ;

Au nouveau paragraphe 1^er, alinéa 1^er, lettre l), le point final est remplacé par un point-virgule ;

À la suite du nouveau paragraphe 1^er, alinéa 1^er, lettre l), les lettres m) à q) sont insérées, libellées comme suit :une description de la procédure en place pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité, y compris un mécanisme de signalement des incidents qui tient compte des obligations de notification incombant à l’établissement de paiement en vertu de l’article 105-2 ;une description du processus en place pour enregistrer, surveiller et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accès ;une description des dispositions en matière de continuité des activités, y compris une désignation claire des activités essentielles, des plans d’urgence appropriés et une procédure prévoyant de soumettre ces plans à des tests et de réexaminer périodiquement leur adéquation et leur efficience ;une description des principes et des définitions appliqués pour la collecte de données statistiques relatives aux performances, aux opérations et à la fraude ;un document relatif à la politique de sécurité, comprenant une analyse détaillée des risques en ce qui concerne les services de paiement proposés et une description des mesures de maîtrise et d’atténuation prises pour protéger les utilisateurs de services de paiement de façon adéquate contre les risques décelés en matière de sécurité, y compris la fraude et l’utilisation illicite de données sensibles ou à caractère personnel. » ;

Au nouveau paragraphe 1^er, alinéa 2, les mots « Aux fins des points d), e) et g) » sont remplacés par les mots « Aux fins de l’alinéa 1^er, lettres d), e), g) et m) » ;

Au nouveau paragraphe 1^er, il est inséré un alinéa 3, libellé comme suit :« La description des mesures de maîtrise et d’atténuation des risques en matière de sécurité visée à l’alinéa 1^er, lettre q), indique comment ces mesures garantissent un niveau élevé de sécurité technique et de protection des données, y compris pour les systèmes logiciels et informatiques utilisés par le requérant ou par les entreprises vers lesquelles il externalise la totalité ou une partie de ses activités. Ces mesures incluent les mesures de sécurité prévues à l’article 105-1, paragraphe (1). » ;

À la suite du paragraphe 1^er, alinéa 3, sont insérés les nouveaux paragraphes 2 et 3, libellés comme suit :« (2)L’agrément pour la fourniture des services de paiement visés à l’annexe, point 7, est subordonné à la disposition au préalable d’une assurance de responsabilité civile professionnelle couvrant les territoires où lesdits services seront proposés ou d’une autre garantie comparable contre l’engagement de la responsabilité du requérant conformément aux articles 87, 101, 101-1 et 103.(3)Lorsqu’un établissement de paiement fournit en sus les services de paiement visés à l’annexe, point 8, son agrément est en outre subordonné à la condition qu’il dispose au préalable d’une assurance de responsabilité civile professionnelle couvrant les territoires où lesdits services seront proposés ou d’une autre garantie comparable contre l’engagement de la responsabilité du requérant vis-à-vis du prestataire de services de paiement gestionnaire du compte ou de l’utilisateur de services de paiement à la suite d’un accès non autorisé ou frauduleux aux données des comptes de paiement ou d’une utilisation non autorisée ou frauduleuse de ces données. ».

Au paragraphe 3, phrase introductive, les mots aux points 4, 5 ou 7 de l’annexe sont remplacés par les mots à l’annexe, points 4 ou 5, et à la lettre b) dudit paragraphe, les mots aux articles 23, paragraphe (1) et 24, paragraphe (1) sont remplacés par les mots à l’article 23, paragraphe (1) ;

Au paragraphe 5, les mots de la loi modifiée du 9 août 1993 réglementant le crédit à la consommation. sont remplacés par les mots des dispositions du livre 2, titre 2, chapitre 4 du Code de la consommation relatives aux contrats de crédit à la consommation..

Au paragraphe 1^er, la phrase suivante est ajoutée :« L’établissement de paiement doit exercer au moins une partie de son activité de prestation de services de paiement au Luxembourg. » ;

Au paragraphe 3, les mots visés à l’annexe, points 1 à 7, sont insérés entre les mots services de paiement et et que, parallèlement ;

Au paragraphe 4, alinéa 2, les mots , y compris les systèmes informatiques, sont insérés entre les mots fonctions opérationnelles importantes et ne doit pas se faire de manière à nuire et les mots et d’établir sont insérés entre les mots de contrôler et que cet établissement respecte ;

Au paragraphe 4, alinéa 3, les mots anomalie ou sont insérés entre les mots lorsqu’une et défaillance partielle ;

Au paragraphe 4, il est ajouté un alinéa 5, libellé comme suit :« L’établissement de paiement communique sans retard injustifié à la CSSF tout changement concernant le recours à des entités vers lesquelles des activités sont externalisées. ».

Le paragraphe 4 prend la teneur suivante :« (4)Toute personne physique ou morale qui a pris la décision d’acquérir ou d’augmenter, directement ou indirectement, une participation qualifiée au sens de l’article 1^er, point 34, dans un établissement de paiement, avec pour conséquence que la proportion de parts de capital ou de droits de vote détenue atteindrait ou dépasserait les seuils de 20 pour cent, de 30 pour cent ou de 50 pour cent ou que cet établissement de paiement deviendrait sa filiale, informe à l’avance et par écrit la CSSF de son intention.Toute personne physique ou morale qui a pris la décision de céder, directement ou indirectement, une participation qualifiée ou de réduire sa participation qualifiée de sorte que la proportion de parts de capital ou de droits de vote détenue deviendrait inférieure aux seuils de 20 pour cent, de 30 pour cent ou de 50 pour cent ou que l’établissement de paiement cesserait d’être sa filiale, informe à l’avance et par écrit la CSSF de son intention.L’acquéreur potentiel d’une participation qualifiée fournit à la CSSF les informations précisant le montant de la participation envisagée. La CSSF publie une liste spécifiant les informations nécessaires pour procéder à l’évaluation de la notification et devant lui être communiquées au moment de la notification. » ;

Le paragraphe 5 prend la teneur suivante :« (5)Au cas où l’influence exercée par un acquéreur potentiel visé au paragraphe (4), alinéa 3, est susceptible de s’exercer au détriment d’une gestion saine et prudente de l’établissement de paiement, la CSSF exprime son opposition ou prend les mesures appropriées pour mettre fin à cette situation.Aux fins de l’alinéa 1^er, la CSSF peut :faire usage de son droit d’injonction visé à l’article 38 ;suspendre l’exercice des droits de vote attachés aux actions ou aux parts détenues par les actionnaires ou associés concernés ; ousanctionner, selon les modalités de l’article 46, paragraphe (1), les personnes responsables de l’administration ou de la gestion de l’établissement de paiement concerné, qui par leur comportement risquent de mettre en péril la gestion saine et prudente de l’établissement de paiement.Lorsqu’une participation est acquise en dépit de l’opposition de la CSSF, elle peut suspendre l’exercice des droits de vote correspondants ou demander la nullité ou l’annulation des votes émis.La CSSF peut prendre les mêmes mesures à l’égard de personnes physiques ou morales qui ne respectent pas l’obligation d’information préalable prévue au présent article.Toute décision prise par la CSSF en vertu du présent paragraphe peut être déférée dans le délai d’un mois, sous peine de forclusion, au tribunal administratif qui statue comme juge du fond. » ;

Le paragraphe 6 est abrogé.

Au paragraphe 1^er, alinéa 1^er, les mots exerce au titre de l’article 10, paragraphe (1), point c) des activités autres que la prestation de services de paiement sont remplacés par les mots fournit des services de paiement visés à l’annexe, points 1 à 6 et les mots les fonds sont remplacés par les mots l’ensemble des fonds ;

Le paragraphe 3 est abrogé ;

Au paragraphe 4, les mots obtenir au préalable l’accord de sont remplacés par les mots en informer au préalable .

Le paragraphe 2, alinéa 1^er est supprimé ;

Au paragraphe 4, le mot suivantes est remplacé par les mots prévues à l’article 7 du règlement (UE) n° 575/2013 et le double-point après le mot filiale à la fin de la phrase introductive est remplacé par un point final ;

Au paragraphe 4, les lettres a) à d) sont supprimées.

Au paragraphe 1^er, alinéa 1^er, phrase introductive, les mots , à l’exception de ceux qui proposent seulement les services visés à l’annexe, point 7 ou 8, ou les deux, sont insérés entre les mots établissements de paiement et doivent détenir à tout moment des fonds propres ;

Au paragraphe 2, la lettre b) est supprimée ;

Au paragraphe 5, les mots obtenir au préalable l’accord de sont remplacés par les mots en informer au préalable.

Au paragraphe 1^er, lettre b), les mots , ces informations devant être mises à jour sans tarder en cas de modifications importantes apportées aux renseignements fournis lors de la notification initiale sont ajoutés après les mots financement du terrorisme, et le mot et à la fin de la lettre b) est supprimé ;

Au paragraphe 1^er, lettre c), les mots , pour les agents autres que des prestataires de services de paiement, sont insérés entre les mots pour la prestation de services de paiement, et et la preuve de l’expérience, et le point final est remplacé par un point-virgule ;

À la suite du paragraphe 1^er, lettre c), sont insérées les lettres d) et e), libellées comme suit :les services de paiement de l’établissement de paiement pour lesquels l’agent est mandaté ;le cas échéant, le code ou numéro d’identification unique de l’agent. » ;

Le paragraphe 2 prend la teneur suivante :« (2)Dans un délai de deux mois à compter de la réception des informations visées au paragraphe (1), la CSSF fait savoir à l’établissement de paiement si l’agent a été inscrit dans le registre prévu à l’article 36. Dès l’inscription dans ledit registre, l’agent peut commencer à fournir des services de paiement. » ;

Au paragraphe 3, les mots peut prendre sont remplacés par le mot prend ;

Au paragraphe 4, les mots et informe l’établissement de paiement sans retard injustifié sont ajoutés après les mots prévu à l’article 36 ;

Au paragraphe 5, les mots ou en établissant une succursale sont insérés entre les mots recours à un agent et , il suit les procédures, et la dernière phrase est supprimée ;

Au paragraphe 6, les mots directive 2005/60/CE sont remplacés par les mots directive (UE) 2015/849 ;

Il est ajouté un paragraphe 8, libellé comme suit :« (8)L’établissement de paiement communique sans retard injustifié à la CSSF tout changement concernant le recours à des agents, y compris des agents supplémentaires, conformément à la procédure prévue aux paragraphes (2) à (4). ».

Au paragraphe 1^er, phrase introductive, le mot est est remplacé par les mots peut être ;

Au paragraphe 1^er, lettre a), les mots au cours des six derniers mois sont remplacés par les mots pendant une période supérieure à six mois ;

Au paragraphe 1^er, lettre c), les mots ou omet d’informer la CSSF de changements majeurs à ce sujet sont ajoutés après le mot octroi ;

Au paragraphe 1^er, lettre d), les mots ou la confiance en celui-ci sont insérés entre les mots auquel il participe et en poursuivant son activité ;

Au paragraphe 3, les mots , notamment dans les registres prévus à l’article 36 sont ajoutés après le mot public.

Au paragraphe 1^er, il est ajouté un nouvel alinéa 2, libellé comme suit :« Lorsque la CSSF reçoit les informations visées à l’article 28, paragraphe (2), de la directive (UE) 2015/2366 des autorités compétentes de l’État membre d’origine, elle évalue ces informations dans un délai d’un mois suivant la réception. La CSSF communique aux autorités compétentes de l’État membre d’origine les informations pertinentes en rapport avec la fourniture de services de paiement envisagée par l’établissement de paiement concerné au moyen de l’établissement d’une succursale, par le recours à un agent ou par voie de libre prestation de services. » ;

Au paragraphe 2, les mots «  directive 2005/60/CE sont remplacés par les mots directive (UE) 2015/849 , le mot en entre les mots elle et informe est supprimé et les mots de tout motif raisonnable de préoccupation sont ajoutés après l’État membre d’origine.

À l’alinéa 1^er, lettre f), les mots règlement (CE) n° 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le payeur accompagnant les virements de fonds ; sont remplacés par les mots règlement (UE) n° 2015/847, une description des mécanismes de contrôle interne que le requérant a mis en place pour se conformer à ces obligations ; ;

À alinéa 1^er, lettre g), les mots des inspections sur pièces et sur place au moins annuelles que le demandeur s’engage à effectuer à l’égard de ces intermédiaires, agents et succursales, ainsi qu’ sont insérés entre les mots succursales et et une description des accords ;

À l’alinéa 1^er, lettre l), le point final est remplacé par un point-virgule ;

À la suite de l’alinéa 1^er, lettre l), les lettres m) à q) sont insérées, libellées comme suit :une description de la procédure en place pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité, y compris un mécanisme de signalement des incidents qui tient compte des obligations de notification incombant à l’établissement de monnaie électronique en vertu de l’article 105-2 ;une description du processus en place pour enregistrer, surveiller et restreindre l’accès aux données de paiement sensibles et garder la trace de ces accès ;une description des dispositions en matière de continuité des activités, y compris une désignation claire des activités essentielles, des plans d’urgence appropriés et une procédure prévoyant de soumettre ces plans à des tests et de réexaminer périodiquement leur adéquation et leur efficience ;une description des principes et des définitions appliqués pour la collecte de données statistiques relatives aux performances, aux opérations et à la fraude ;un document relatif à la politique de sécurité, comprenant une analyse détaillée des risques en ce qui concerne l’émission de monnaie électronique et les services de paiement proposés le cas échéant et une description des mesures de maîtrise et d’atténuation prises pour protéger les détenteurs de monnaie électronique et les utilisateurs de services de paiement de façon adéquate contre les risques décelés en matière de sécurité, y compris la fraude et l’utilisation illicite de données sensibles ou à caractère personnel. » ;

À l’alinéa 2, les mots Aux fins des points d), e) et g) sont remplacés par les mots Aux fins de l’alinéa 1^er, lettres d), e), g) et m) ;

Il est ajouté un nouvel alinéa 3 libellé comme suit :« La description des mesures de maîtrise et d’atténuation des risques en matière de sécurité visée à l’alinéa 1^er, lettre q), indique comment ces mesures garantissent un niveau élevé de sécurité technique et de protection des données, y compris pour les systèmes logiciels et informatiques utilisés par le requérant ou par les entreprises vers lesquelles il externalise la totalité ou une partie de ses activités. Ces mesures incluent également les mesures de sécurité prévues à l’article 105-1, paragraphe (1).».

Au paragraphe 1^er, la phrase suivante est ajoutée :« L’établissement de monnaie électronique doit exercer au moins une partie de son activité d’émission de monnaie électronique au Luxembourg. » ;

Au paragraphe 3, les mots visés à l’annexe, points 1 à 7 sont insérés entre les mots services de paiement et ,la CSSF peut exiger ;

Au paragraphe 4, alinéa 2, les mots , y compris les systèmes informatiques, sont insérés entre les mots fonctions opérationnelles importantes et ne doit pas se faire de manière à nuire et les mots et d’établir sont insérés entre les mots de contrôler et que cet établissement respecte ;

Au paragraphe 4, alinéa 3, les mots anomalie ou sont insérés entre les mots lorsqu’une et défaillance partielle.

Au paragraphe 4, il est ajouté un alinéa 5, libellé comme suit :« L’établissement de monnaie électronique communique sans retard injustifié à la CSSF tout changement concernant le recours à des entités vers lesquelles des activités sont externalisées. ».

Au paragraphe 4, les mots pour lequel l’État membre d’origine est le Luxembourg sont insérés entre les mots établissement de monnaie électronique et , ou d’augmenter ;

Au paragraphe 8, alinéa 1^er, les mots d’une amende allant de 125 à 12 500 euros. sont remplacés par les mots selon les modalités de l’article 46, paragraphe (1). .

Au paragraphe 2, l’alinéa 1^er est supprimé ;

Au paragraphe 3, alinéa 1^er, les mots à l’exception de celles visées à l’annexe, point 7 ou 8, ou les deux, sont insérés entre les mots point a), et qui ne sont pas ;

Au paragraphe 5, les mots à l’exception de celles visées à l’annexe, point 7 ou 8, ou les deux, sont insérés entre les mots point a), et qui ne sont pas » ;

Au paragraphe 8, le mot suivantes est remplacé par les mots prévues à l’article 7 du règlement (UE) n° 575/2013 et le double-point à la fin de la phrase introductive est remplacé par un point final ;

Au paragraphe 8, les lettres a) à d) sont supprimées.

Au paragraphe 1^er, phrase introductive, le mot est est remplacé par les mots peut être ;

Au paragraphe 1^er, lettre a), les mots au cours des six derniers mois sont remplacés par les mots pendant une période supérieure à six mois ;

Au paragraphe 1^er, lettre c), les mots ou omet d’informer la CSSF de changements majeurs à ce sujet sont ajoutés après le mot octroi ;

Au paragraphe 1^er, lettre d), les mots ou la confiance en celui-ci sont insérés entre les mots auquel il participe et en poursuivant son activité ;

Au paragraphe 3, les mots , notamment dans les registres visés à l’article 36 sont ajoutés après le mot public.

Au paragraphe 1^er, 2^e tiret, les mots l’article 17 de la directive 200/64/CE sont remplacés par les mots l’article 19 de la directive (UE) 2015/2366 , et il est ajouté un nouvel alinéa 3, libellé comme suit :« Lorsque la CSSF reçoit les informations visées à l’article 28, paragraphe (2), de la directive (UE) 2015/2366 des autorités compétentes de l’État membre d’origine, elle évalue ces informations dans un délai d’un mois suivant la réception. La CSSF communique aux autorités compétentes de l’État membre d’origine les informations pertinentes en rapport avec la fourniture de services de paiement envisagée par l’établissement de paiement concerné au moyen de l’établissement d’une succursale ou par le recours à un agent, ou par voie de libre prestation de services. » ;

Au paragraphe 2, les mots directive 2005/60/CE sont remplacés par les mots directive (UE) 2015/849 , le mot en entre les mots elle et informe est supprimé et les mots de tout motif raisonnable de préoccupation sont ajoutés à la fin du paragraphe 2.

Au paragraphe 1^er, les mots l’ABE, sont insérés entre les mots avec et la Banque centrale européenne ;

Au paragraphe 2, lettre c), les mots directive 2007/64/CE, de la directive 95/64/CE ou de la directive 2005/60/CE sont remplacés par les mots directive (UE) 2015/2366 ou de la directive (UE) 2015/849 ;

Au paragraphe 2, lettre g), le point final est remplacé par un point-virgule et à la suite du paragraphe 2, lettre g), il est ajouté une lettre h), libellée comme suit : l’ABE, dans le cadre de son rôle consistant à contribuer au fonctionnement cohérent des mécanismes de surveillance, conformément à l’article (1), paragraphe (5), lettre a), du règlement (UE) n° 1093/2010 du Parlement européen et du Conseil du 24 novembre 2010 instituant une Autorité européenne de surveillance (Autorité bancaire européenne), modifiant la décision n° 716/2009/CE et abrogeant la décision 2009/78/CE de la Commission, dénommé ci-après « règlement (UE) n° 1093/2010 ». ».

Au paragraphe 4, les mots à l’article 21 de la directive 2007/64/CE sont remplacés par les mots à l’article 23 de la directive (UE) 2015/2366 ;

Il est inséré un nouveau paragraphe 6bis, libellé comme suit :« (6bis)La CSSF, en tant qu’autorité compétente de l’État membre d’accueil, peut exiger que les établissements de paiement et les établissements de monnaie électronique pour lesquels l’État membre d’origine est un État membre autre que le Luxembourg et qui ont des agents ou des succursales sur le territoire du Luxembourg, lui adressent un rapport périodique sur les activités exercées au Luxembourg.Ces rapports sont exigés à des fins d’information ou de statistiques et, dans la mesure où les agents ou les succursales exercent des activités de prestation de services de paiement en vertu du droit d’établissement, pour vérifier le respect des titres III et IV de la présente loi. Ces agents et succursales sont soumis aux exigences de secret professionnel visées à l’article 32. » ;

Au paragraphe 7, les phrases suivantes sont ajoutées :« À cet égard, la CSSF transmet, sur demande, toute information pertinente et, de sa propre initiative, toute information essentielle à l’exercice de la surveillance exercée par les autorités compétentes de l’État membre d’accueil à l’égard des agents ou des succursales. Il en est de même lorsqu’une infraction ou une infraction présumée se produisent dans le cadre de l’exercice de la liberté de prestation de services. » ;

Au paragraphe 8, les mots suivants sont ajoutés :« Il en est de même lorsqu’une infraction ou une infraction présumée se produisent dans le cadre de l’exercice de la liberté de prestation de services. » ;

Le paragraphe 9 prend la teneur suivante :« (9)Les établissements de paiement et de monnaie électronique qui exercent leurs activités au Luxembourg par l’intermédiaire d’agents et dont l’administration centrale est située dans un autre État membre, doivent désigner un point de contact central au Luxembourg. Le point de contact assure une bonne communication et une bonne information concernant la conformité avec les titres III et IV, sans préjudice des dispositions de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment de capitaux et le financement du terrorisme. Il fournit notamment à la CSSF et aux autorités compétentes des États membres d’origine, à leur demande, des documents et des informations afin de faciliter la surveillance. ».

À l’intitulé de l’article 36, les mots au Luxembourg sont insérés entre les mots L’enregistrement et et la protection du titre ;

Au paragraphe 1^er, alinéa 1^er, les mots au Luxembourg et à l’étranger sont remplacés par les mots si elles fournissent des services de paiement ou émettent de la monnaie électronique dans un État membre autre que le Luxembourg et les mots et succursales avant les mots au Luxembourg, qui bénéficient d’une dérogation sont supprimés ;

Au paragraphe 1^er, l’alinéa 1^er est complété par la phrase suivante : La CSSF tient en outre le registre public des personnes physiques et morales visées à l’article 48-1bis, y compris de leurs agents. ;

Au paragraphe 1^er, alinéa 2, les mots 48 ou 48-1 sont à deux reprises remplacés par les mots 48, 48-1 ou 48-1bis ;

Au paragraphe 1^er, alinéa 3, le mot publique est inséré entre les mots la consultation et , accessibles sur et les mots sans tarder sont ajoutés après les mots mis à jour ;

À la suite du paragraphe 2, sont insérés les nouveaux paragraphes 3 et 4, libellés comme suit :« (3)La CSSF inscrit dans les registres publics tout retrait d’agrément d’un établissement de paiement ou d’un établissement de monnaie électronique et tout retrait d’une personne physique ou morale bénéficiant d’une dérogation en vertu de l’article 48, 48-1 ou 48-1bis.La CSSF communique à l’ABE les raisons du retrait de tout agrément et de toute dérogation au titre des articles 48, 48-1 ou 48-1bis.(4)La CSSF notifie sans tarder à l’ABE les informations inscrites dans ses registres publics conformément au paragraphe (1). La CSSF est responsable de l’exactitude des informations visées à l’alinéa 1^er et de la mise à jour de celles-ci. ».

Au paragraphe 1^er, l’alinéa 1^er, la phrase introductive est libellée comme suit :« Le Ministre ayant dans ses attributions la CSSF peut exempter, après instruction par la CSSF portant sur les conditions exigées au présent paragraphe, des personnes physiques ou morales fournissant les services de paiement énumérés à l’annexe, points 1 à 6, sur base d’une demande écrite, de tout ou partie de la procédure et des conditions fixées à la section 1 du chapitre 1 et à l’article 27, à l’exception de l’article 31, paragraphes (2) et (4), et des articles 32, 33 et 36, lorsque les deux conditions suivantes sont respectées : » ;

Au paragraphe 1^er, alinéa 1^er, lettre a), les mots le montant total moyen, pour les douze mois précédents, des opérations de paiement exécutées sont remplacés par les mots la moyenne mensuelle de la valeur totale des opérations de paiement exécutées, au cours des douze mois précédents, et les mots sur un mois sont supprimés ;

Au paragraphe 4, les mots les articles 23 et 24 ne leur sont pas applicables sont remplacés par les mots l’article 23 ne leur est pas applicable ;

Au paragraphe 5, alinéa 2, le mot et est remplacé par le mot ou.

Au paragraphe 1^er, l’alinéa 1^er, la phrase introductive est libellée comme suit :« Le Ministre ayant dans ses attributions la CSSF peut exempter, après instruction par la CSSF portant sur les conditions exigées au présent paragraphe, des personnes morales, sur base d’une demande écrite, de tout ou partie de la procédure et des conditions fixées à la section 1 du chapitre 2 et à l’article 27, à l’exception de l’article 31, paragraphes (2) et (4), et des articles 32, 33 et 36, lorsque les deux conditions suivantes sont respectées : » ;

Au paragraphe 3, les mots les articles 24-17 et 24-18 ne s’appliquent pas sont remplacés par les mots l’article 24-17 ne s’applique pas ;

Au paragraphe 6, le mot et est remplacé par le mot ou.

Au paragraphe 2, lettre b), les mots composé d’entités liées par le capital lorsque l’une des entités liées jouit d’un contrôle effectif sur les autres entités liées sont supprimés et le point-virgule est remplacé par un point final ;

Au paragraphe 2, la lettre c) est supprimée ;

Au paragraphe 2, il est ajouté un alinéa 2, libellé comme suit :« Aux fins de la lettre a), lorsqu’un participant à un système désigné permet à un prestataire de services de paiement agréé ou enregistré qui n’est pas un participant au système de transmettre des ordres de transfert via ledit système, ce participant doit offrir la même possibilité, sur demande, de manière objective, proportionnée et non discriminatoire, aux autres prestataires de services de paiement agréés ou enregistrés, conformément au paragraphe (1). Le participant communique au prestataire de services de paiement demandeur les raisons de tout refus. ».

Au paragraphe 2, les mots de la loi modifiée du 9 août 1993 réglementant le crédit à la consommation. sont remplacés par les mots des dispositions du livre 2, titre 2, chapitre 4 du Code de la consommation relatives aux contrats de crédit à la consommation. ;

Au paragraphe 3, alinéa 1^er, les mots dispositions légales portant transposition de textes communautaires sont remplacés par dispositions du droit de l’Union européenne.

Au paragraphe 2, les mots un tiers demande sont remplacés par les mots une autre partie intervenant dans l’opération applique ;

Il est ajouté un paragraphe 3, libellé comme suit :« (3)Le payeur n’est tenu d’acquitter les frais visés au paragraphe (2) que s’il a eu connaissance de leur montant total avant l’initiation de l’opération de paiement. ».

Au paragraphe 1^er, lettre a), les mots l’initiation ou de sont insérés entre les mots aux fins de et l’exécution correcte ;

Il est inséré un paragraphe 1bis, libellé comme suit :« (1bis)Les prestataires de services d’initiation de paiement, avant d’initier un paiement, fournissent au payeur, ou mettent à sa disposition, sous une forme claire et compréhensible, les informations suivantes :le nom du prestataire de services d’initiation de paiement, l’adresse géographique de son administration centrale, le cas échéant, l’adresse géographique de son agent ou de sa succursale dans l’État membre dans lequel le service de paiement est proposé, et toutes les autres coordonnées, y compris l’adresse électronique, à prendre en compte pour la communication avec le prestataire de services d’initiation de paiement ;les coordonnées de la CSSF. ».

Au point 1, lettre b), les mots l’article 13 de la directive 2007/64/CE sont remplacés par les mots l’article 14 de la directive (UE) 2015/2366 ;

Au point 2, lettre b), les mots de l’initiation ou sont insérés entre les mots aux fins et de l’exécution correcte ;

Au point 2, lettre c), les mots à l’initiation d’un ordre de paiement ou sont insérés entre les mots le consentement et à l’exécution d’une opération de paiement ;

Au point 2, lettre e), le mot et est supprimé ;

Au point 2, il est ajouté une lettre g), libellée comme suit :dans le cas d’instruments de paiement liés à une carte cobadgés, les droits de l’utilisateur de services de paiement au titre de l’article 8 du règlement (UE) 2015/751 du Parlement européen et du Conseil du 29 avril 2015 relatif aux commissions d’interchange pour les opérations de paiement liées à une carte et pour les services de paiement auxquels s’applique le règlement (UE) n°260/2012 du Parlement européen et du Conseil du 14 mars 2012 établissant des exigences techniques et commerciales pour les virements et les prélèvements en euros et modifiant le règlement (CE) n° 924/2009 ; » ;

Au point 3, lettre a), les mots , y compris ceux liés aux modalités et à la fréquence selon lesquelles les informations prévues par la présente loi sont fournies ou mises à disposition, sont insérés entre les mots prestataire de services de paiement et et, le cas échéant ;

Au point 4, lettre a), les mots et aux logiciels sont insérés entre les mots à l’équipement et de l’utilisateur ;

Au point 5, lettre d), les mots , incorrectement initiées sont insérés entre les mots non autorisées et ceux de ou mal exécutées ;

Au point 5, lettre e), les mots l’initiation ou à sont insérés entre les mots liée à et l’exécution d’opérations de paiement et le mot et est supprimé ;

Au point 5, il est ajouté une lettre g), libellée comme suit :la procédure sécurisée applicable par le prestataire de services de paiement pour la notification à l’utilisateur de services de paiement en cas de soupçon de fraude ou de fraude avérée ou de menace pour la sécurité ; » ;

Au point 6, lettre a), les mots d’avoir sont remplacés par les mots que l’utilisateur des services de paiement n’ait et les mots celle-ci sont remplacés par les mots cette modification ;

Au point 6, lettre b), le mot contrat est remplacé par le mot contrat-cadre.

Au paragraphe 1^er, alinéa 1^er, la phrase suivante est ajoutée :« L’utilisateur de services de paiement peut accepter ou rejeter la modification avant la date proposée pour son entrée en vigueur. » ;

Au paragraphe 1^er, alinéa 2, la phrase suivante : Dans ce cas, le prestataire de services de paiement précise également que l’utilisateur de services de paiement a le droit de résilier le contrat-cadre, immédiatement et sans frais, avant la date d’entrée en vigueur proposée de la modification. est remplacée par la phrase suivante : Le prestataire de services de paiement informe également l’utilisateur de services de paiement que, au cas où ledit utilisateur rejette la modification, l’utilisateur de services de paiement a le droit de résilier le contrat-cadre sans frais et avec effet à tout moment jusqu’à la date à laquelle la modification aurait été appliquée. ;

Au paragraphe 2, les mots des taux d’intérêt ou de change sont insérés entre les mots et que les modifications et se fondent sur.

Au paragraphe 1^er, lettre c), les mots leur ventilation sont remplacés par les mots la ventilation des montants de ces frais ;

Le paragraphe 2 prend la teneur suivante :« (2)Un contrat-cadre prévoit une condition selon laquelle le payeur peut demander que les informations visées au paragraphe (1) soient fournies ou mises à disposition périodiquement, au moins une fois par mois, gratuitement et selon des modalités convenues qui permettent au payeur de stocker les informations et de les reproduire à l’identique. ».