La Communauté économique et monétaire de l’Afrique centrale poursuit la modernisation de ses moyens de paiement avec le déploiement d’un QR Code interopérable. Portée par la Banque des États de l’Afrique centrale et le Groupement interbancaire monétique de l’Afrique centrale, cette innovation doit permettre à un commerçant de recevoir, à partir d’un code unique, des paiements provenant de plusieurs banques, portefeuilles électroniques ou opérateurs de mobile money.
L’innovation paraît simple pour l’utilisateur : il scanne un code avec son téléphone, vérifie les informations affichées et confirme son paiement. Sur le plan juridique, elle est cependant beaucoup plus complexe. Chaque opération peut faire intervenir le commerçant, la banque du client, l’établissement du bénéficiaire, un opérateur de mobile money, un agrégateur technique et la plateforme régionale GIMACPAY.
Le principal enjeu n’est donc pas seulement de savoir si le paiement est rapide. Il est de déterminer qui répond d’une fraude, d’une erreur, d’un débit injustifié, d’une panne ou d’une utilisation illicite des données personnelles.
I. Un instrument d’intégration financière régionale
Le QR Code communautaire ne constitue ni une nouvelle monnaie ni une cryptomonnaie. Il est une interface permettant d’initier un paiement en francs CFA à partir d’un compte bancaire ou d’un portefeuille électronique existant.
Son intérêt principal réside dans l’interopérabilité. Jusqu’à présent, certains commerçants devaient utiliser plusieurs codes ou plusieurs solutions, selon la banque ou l’opérateur choisi par le client. Le QR Code communautaire doit permettre à ces différents systèmes de communiquer entre eux.
Cette interopérabilité répond à une véritable exigence juridique. Le règlement CEMAC du 21 décembre 2018 relatif aux services de paiement prévoit que les solutions techniques doivent être accessibles et interopérables dans des conditions objectives, non discriminatoires et proportionnées.
L’objectif est également économique et social. Un simple QR Code imprimé coûte moins cher qu’un terminal de paiement électronique. Il peut donc faciliter l’accès des petits commerçants, artisans, taxis, restaurants et acteurs du secteur informel aux paiements numériques.
Toutefois, l’inclusion financière ne doit pas se transformer en exclusion numérique. Les personnes dépourvues de smartphone, de connexion stable, de compte bancaire ou de maîtrise suffisante des outils numériques doivent conserver un accès effectif aux moyens de paiement essentiels.
II. La nécessité d’identifier clairement le prestataire responsable
L’interopérabilité multiplie les intervenants, mais elle ne doit pas diluer les responsabilités. En cas de paiement débité mais non reçu par le commerçant, de double débit ou de paiement dirigé vers un mauvais bénéficiaire, l’utilisateur doit pouvoir identifier immédiatement son interlocuteur. Il ne serait pas acceptable que chaque opérateur renvoie la responsabilité vers un autre membre de la chaîne technique.
Le règlement CEMAC impose au prestataire de mettre en place un dispositif permanent de réception et de traitement des réclamations. Ce dispositif doit être accessible par plusieurs canaux, comporter un délai de traitement et assurer la traçabilité des réclamations.
La responsabilité du prestataire ne disparaît pas davantage lorsqu’il recourt à un sous-traitant ou à un partenaire technique. Le règlement prévoit expressément que le prestataire demeure responsable de la conformité du dispositif technique externalisé.
Les contrats proposés aux utilisateurs devront donc préciser clairement :
- le prestataire responsable de l’exécution du paiement ;
- les modalités de contestation d’une opération ;
- les délais de traitement et de remboursement ;
- la répartition des responsabilités entre les différents opérateurs ;
- l’autorité de contrôle et la juridiction compétentes, notamment lorsque le paiement est effectué entre deux États de la CEMAC.
III. La lutte contre les fraudes au QR Code
Le QR Code ne supprime pas la fraude. Il peut même créer de nouveaux procédés frauduleux.
Un escroc peut, par exemple, coller son propre QR Code sur celui d’un commerçant. Le client croit régler son achat, alors que les fonds sont transférés vers un autre compte. De faux QR Codes peuvent également être diffusés par messagerie ou intégrés à des factures falsifiées.
La sécurité juridique du dispositif exige donc que l’application affiche, avant toute validation, l’identité ou la dénomination du bénéficiaire, le montant de l’opération et les éventuels frais. L’utilisateur doit pouvoir interrompre le paiement si les informations ne correspondent pas au commerçant concerné.
Le règlement CEMAC prévoit déjà que toute opération doit donner lieu à la communication immédiate de plusieurs informations, notamment le nom du prestataire, la nature de l’opération, son montant, ses frais, sa date, son heure, son numéro de référence ainsi que l’identité du payeur et du bénéficiaire.
La réglementation exige également que les plateformes garantissent l’intégrité des messages, la confidentialité des informations, l’authenticité et la non-répudiation des transactions. Les opérateurs doivent disposer d’un dispositif de continuité d’activité et d’une piste d’audit permettant de retracer l’opération depuis l’ordre de paiement jusqu’à son dénouement.
Ces garanties techniques sont essentielles, mais elles devront être complétées par une procédure de remboursement rapide des opérations non autorisées ou incorrectement exécutées.
IV. La protection des données personnelles
Chaque paiement numérique produit des données : identité du payeur, identité du bénéficiaire, montant, date, heure, compte utilisé et parfois localisation ou nature du commerce fréquenté.
La centralisation et l’interconnexion de ces informations présentent un intérêt pour la sécurité et la lutte contre la fraude. Elles créent également un risque de surveillance excessive, de profilage commercial ou de détournement des données.
Au Gabon, les traitements concernés doivent respecter la loi n° 025/2023 modifiant la législation relative à la protection des données à caractère personnel. Celle-ci encadre notamment la collecte, l’utilisation, la conservation et le transfert des données personnelles et confie leur contrôle à l’Autorité pour la protection des données personnelles et de la vie privée.
Les opérateurs devront notamment déterminer :
- quelles données sont strictement nécessaires au paiement ;
- pendant combien de temps elles sont conservées ;
- quels organismes peuvent y accéder ;
- dans quels pays les serveurs sont installés ;
- si les données sont transmises à des partenaires commerciaux ;
- comment l’utilisateur peut exercer ses droits d’accès, de rectification ou de contestation.
Le règlement CEMAC impose, pour sa part, la conservation pendant dix ans des documents relatifs à l’identification et à la traçabilité des opérations. Cette obligation devra être conciliée avec les principes nationaux de nécessité, de sécurité et de limitation des traitements.
Une gouvernance régionale des données apparaît donc indispensable. L’interopérabilité des paiements ne peut fonctionner durablement si les données circulent entre les États sans règles suffisamment harmonisées.
V. La lutte contre le blanchiment et le financement du terrorisme
La traçabilité des paiements numériques constitue un outil important de lutte contre le blanchiment de capitaux, le financement du terrorisme et les circuits financiers illicites.
Les prestataires doivent identifier le donneur d’ordre et le bénéficiaire, connaître leurs activités et, lorsque cela est nécessaire, vérifier l’origine des fonds. En cas de soupçon, ils sont tenus d’effectuer les déclarations prévues auprès des autorités compétentes.
Cette vigilance est légitime, mais elle doit rester proportionnée. Des procédures d’identification excessivement complexes pourraient empêcher l’accès au service des personnes qui ne disposent pas facilement de justificatifs administratifs ou d’une adresse formelle.
Le défi juridique consiste donc à concilier deux impératifs : assurer la traçabilité des flux sans neutraliser l’objectif d’inclusion financière.
VI. La protection des fonds des utilisateurs
La confiance dans le QR Code dépend également de la protection effective des sommes déposées auprès des établissements de paiement.
Le règlement CEMAC précise que les fonds reçus restent la propriété des clients. Ils ne peuvent pas être utilisés pour financer les dépenses de fonctionnement du prestataire et doivent être protégés contre les recours de ses autres créanciers. Ils doivent notamment être placés dans des comptes de cantonnement ouverts auprès d’établissements de crédit de la CEMAC.
Cette protection est essentielle en cas de défaillance d’un opérateur. Elle ne dispense toutefois pas les autorités de vérifier régulièrement la solvabilité et la liquidité des établissements concernés.
Sur ce point, le rapport annuel 2024 de la COBAC révèle que quatre des sept établissements de paiement agréés ne disposaient pas d’un niveau de fonds propres suffisant pour respecter l’ensemble des ratios prudentiels. Cette situation ne remet pas en cause le principe du QR Code, mais elle démontre que l’innovation doit être accompagnée d’un contrôle prudentiel rigoureux.
VII. Les risques de panne et de cyberattaque
Un système régional de paiement peut devenir une infrastructure critique. Une panne générale, une attaque informatique ou la compromission d’un prestataire technique pourrait affecter simultanément un grand nombre de commerçants et d’utilisateurs.
La COBAC identifie d’ailleurs la montée de la cybercriminalité parmi les risques opérationnels auxquels le système financier régional est exposé.
Les opérateurs devront donc mettre en place :
- des mécanismes d’authentification suffisamment robustes ;
- une surveillance permanente des transactions anormales ;
- des dispositifs de sauvegarde et de continuité d’activité ;
- une procédure d’information des utilisateurs en cas d’incident ;
- des audits réguliers et indépendants ;
- des solutions de paiement alternatives en cas d’indisponibilité prolongée.
Au Gabon, la loi n° 027/2023 relative à la cybersécurité et à la lutte contre la cybercriminalité peut également trouver à s’appliquer, notamment lorsque l’infrastructure ou les systèmes externalisés présentent un caractère sensible.
VIII. La formalisation de l’économie et le risque de surveillance
La généralisation des paiements numériques peut favoriser la formalisation de certaines activités économiques. Elle permet de produire une preuve des recettes, de faciliter la comptabilité des commerçants et de limiter les risques liés à la manipulation d’espèces.
Elle pourrait également renforcer la visibilité de l’administration fiscale sur les flux économiques.
Cette évolution ne signifie toutefois pas que toutes les données de paiement peuvent être librement utilisées à des fins fiscales, policières ou commerciales. Toute transmission doit reposer sur une base juridique identifiable, poursuivre une finalité déterminée et respecter les procédures ainsi que les garanties applicables.
Le paiement numérique ne doit pas devenir un instrument de surveillance généralisée des habitudes de consommation.
IX. Les conditions juridiques de la réussite du dispositif
La réussite du QR Code communautaire dépendra moins de son apparente simplicité que de la confiance qu’il inspirera. Plusieurs conditions paraissent indispensables :
- publier le règlement communautaire définitif ainsi que les normes techniques applicables ;
- informer clairement l’utilisateur de l’identité du bénéficiaire, du montant et des frais avant chaque validation ;
- désigner un interlocuteur unique pour les réclamations ;
- prévoir une procédure rapide de remboursement des paiements frauduleux ou mal exécutés ;
- harmoniser les règles relatives aux données personnelles et aux transferts transfrontaliers ;
- organiser la responsabilité respective des banques, opérateurs de mobile money, agrégateurs et plateformes ;
- contrôler régulièrement la solvabilité et la cybersécurité des prestataires ;
- maintenir des solutions accessibles aux personnes qui ne peuvent pas utiliser un smartphone.
Conclusion
Le QR Code communautaire peut constituer une avancée majeure pour l’intégration économique de l’Afrique centrale. Il peut réduire les coûts des paiements, faciliter les échanges entre les six États de la CEMAC et ouvrir les services financiers numériques à de nouveaux commerçants.
Mais une innovation financière ne se mesure pas uniquement au nombre de transactions qu’elle permet d’effectuer. Elle doit également garantir des droits effectifs aux utilisateurs.
Le véritable succès du QR Code communautaire dépendra donc de la capacité des institutions régionales et nationales à assurer la sécurité des paiements, la protection des données, la restitution des fonds et l’identification rapide du responsable en cas de difficulté.
Les avocats du RIAG aux côtés des usagers et des pouvoirs publics
Dans un dispositif aussi complexe que le QR Code communautaire, chaque partie prenante peut se retrouver confrontée à des difficultés techniques, contractuelles ou probatoires : débit contesté, double débit, paiement dirigé vers un mauvais bénéficiaire, fraude au QR Code, panne prolongée, litige entre opérateurs, atteinte aux données personnelles ou soupçon injustifié dans le cadre d’un dispositif de lutte contre le blanchiment.
Les avocats membres du Réseau international des avocats gabonais se tiennent à la disposition des usagers, commerçants, entreprises et pouvoirs publics pour les accompagner dans ces situations. Ils peuvent notamment :
- conseiller les particuliers et les commerçants confrontés à un paiement contesté ou frauduleux ;
- assister les entreprises et les fintechs dans la mise en conformité de leurs dispositifs contractuels et de leurs conditions générales ;
- accompagner les opérateurs et prestataires techniques dans le respect des règles régionales et nationales applicables (CEMAC, protection des données, cybersécurité) ;
- apporter aux pouvoirs publics et aux autorités de régulation une expertise juridique indépendante pour l’élaboration ou l’actualisation des textes et des bonnes pratiques ;
- représenter les intérêts de leurs clients devant les juridictions compétentes, au Gabon comme dans les autres États de la CEMAC, grâce à la dimension internationale du Réseau.
Toute personne ou institution concernée par une difficulté liée à un paiement par QR Code peut solliciter un avocat membre du RIAG pour un premier avis, une négociation amiable ou une action contentieuse.
Pour écrire à la section gabonaise du RIAG : formulaire de contact · contact@riag-avocats.org.
Laisser un commentaire