Loi du 27 février 2018 portant mise en œuvre du règlement (UE) 2015/751 du Parlement européen et du Conseil du 29 avril 2015 relatif aux commissions d'interchange pour les opérations de paiement liées à une carte, et portant modification : 1. de la loi modifiée du 5 avril 1993 relative au secteur financier ; 2. de la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier ; 3. de la loi modifiée du 5 août 2005 sur les contrats de garantie financière ; 4. de la loi modifiée du 11 janvier 2008 relative aux obligations de transparence des émetteurs ; 5. de la loi modifiée du 10 novembre 2009 relative aux services de paiement ; 6. de la loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif ; 7. de la loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs ; 8. de la loi modifiée du 7 décembre 2015 sur le secteur des assurances ; 9. de la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement ; et 10. de la loi du 23 décembre 2016 relative aux abus de marché

Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau,

Notre Conseil d’État entendu ;

De l’assentiment de la Chambre des Députés ;

Vu la décision de la Chambre des Députés du 6 février 2018 et celle du Conseil d’État du 20 février 2018 portant qu’il n’y a pas lieu à second vote ;

Avons ordonné et ordonnons :

Chapitre 1^er Commissions d’interchange

Art. 1^er.

(1)

La Commission de surveillance du secteur financier créée par la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier (ci-après, la « CSSF ») est l’autorité compétente au Luxembourg aux fins de l’application du règlement (UE) 2015/751 du Parlement européen et du Conseil du 29 avril 2015 relatif aux commissions d'interchange pour les opérations de paiement liées à une carte (ci-après, le « règlement (UE) 2015/751 »).

(2)

La CSSF est compétente pour régler sur une base extrajudiciaire les litiges qui opposent les bénéficiaires et les prestataires de services de paiement dans le cadre du règlement (UE) 2015/751 et du présent chapitre.

Art. 2.

Aux fins de l’application du règlement (UE) 2015/751 et du présent chapitre, la CSSF est investie de tous les pouvoirs d’enquête et d’exécution nécessaires à l’exercice de ses fonctions dans les limites définies par ledit règlement et par le présent chapitre.

Les pouvoirs de la CSSF incluent le droit :

Art. 3.

(1)

La CSSF peut sanctionner les personnes visées au règlement (UE) 2015/751, lorsque :

(2)

Peuvent être prononcés par la CSSF, classés par ordre de gravité :

Dans le prononcé de la sanction, la CSSF tient compte de la nature, de la durée et de la gravité de l’infraction, de la conduite et des antécédents de la personne à sanctionner, du préjudice causé aux tierces personnes et des avantages ou gains potentiels ou effectivement tirés de l’infraction.

(3)

Dans le cadre de l’exercice de ses pouvoirs prévus à l’article 2, la CSSF peut imposer une astreinte afin de veiller au respect des injonctions de la CSSF prononcées en vertu de l’article 2, alinéa 2, point 4. Le montant de l’astreinte par jour à raison du manquement constaté ne peut être supérieur à 1.250 euros, sans que le montant cumulé de l’astreinte imposée ne puisse dépasser 25.000 euros.

(4)

La décision de prononcer une sanction peut être déférée dans le délai d’un mois, sous peine de forclusion, au tribunal administratif qui statue comme juge du fond.

Art. 4.

En application de l’article 3, paragraphe 2, lettre a) du règlement (UE) 2015/751, la commission d’interchange par opération pour les opérations de paiement nationales par carte de débit ne peut pas dépasser 0,12 pour cent de la valeur de l'opération.

Chapitre 2 Modification de la loi modifiée du 5 avril 1993 relative au secteur financier

Art. 5.

À l’article 1^er, point 18quinquies) de la loi modifiée du 5 avril 1993 relative au secteur financier le mot « additionnels » est supprimé.

Art. 6.

À l’article 6, paragraphe 17, de la même loi les mots 59, paragraphes (1) et (2a) sont remplacés à deux reprises par les mots 59, paragraphes (1) et (2).

Art. 7.

À l’article 12-9, paragraphe 1^er, de la même loi, les mots à la partie IV sont remplacés par les mots à la partie II de la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement et les mots chapitres 1^er et 2 de la partie IV sont remplacés à deux reprises par les mots titres II et III de la partie II de la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement.

Art. 8.

L’article 12-11 de la même loi est modifié comme suit :

Art. 9.

À l’article 12-12, paragraphe 3, de la même loi, les mots sont applicables les articles 61, paragraphes (2) à (20) sont remplacés par les mots l’article 129, paragraphes (2) à (20) de la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement est applicable.

Art. 10.

L’article 19 de la même loi est modifié comme suit :

Art. 11.

À l’article 20, paragraphe 3bis, de la même loi, le mot souscrit est inséré entre les mots capital social et les mots et libéré.

Art. 12.

À l’article 23, paragraphe 6, de la même loi, les mots partie IV sont remplacés par les mots partie II de la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement .

Art. 13.

Il est inséré à la suite de l’article 36-1 de la même loi un nouvel article 36-2 libellé comme suit :

« Art. 36-2. Exigences organisationnelles en matière d’externalisation

L’externalisation ne doit pas compromettre le niveau et la qualité de service à l’égard des clients. Elle se fait sur base d’un contrat de service.

Le PSF autre qu’une entreprise d’investissement conserve l’entière responsabilité du respect de l’ensemble des obligations qui lui incombent en vertu de la réglementation prudentielle lorsqu’il a recours à l’externalisation de fonctions ou d’activités.

Une sous-traitance en cascade doit être acceptée au préalable par la personne, établie au Luxembourg et soumise à la surveillance prudentielle de la CSSF ou de la Banque centrale européenne, qui est à l’origine de la sous-traitance.

L’externalisation de fonctions opérationnelles importantes ne doit pas se faire de manière à nuire sensiblement à la qualité du contrôle interne du PSF autre qu’une entreprise d’investissement, ni de manière à empêcher la CSSF de contrôler que le PSF autre qu’une entreprise d’investissement respecte les obligations qui lui incombent en vertu de la présente loi. ».

Art. 14.

L’article 37-1 de la même loi est modifié comme suit :

« (5)

L’externalisation ne doit pas compromettre le niveau et la qualité de service à l’égard des clients. Elle se fait sur base d’un contrat de service.

Les établissements de crédit et les entreprises d’investissement conservent l’entière responsabilité du respect de l’ensemble des obligations qui leur incombent en vertu de la réglementation prudentielle lorsqu’ils ont recours à l’externalisation de fonctions ou d’activités.

Une sous-traitance en cascade doit être acceptée au préalable par la personne, établie au Luxembourg et soumise à la surveillance prudentielle de la CSSF ou de la Banque centrale européenne, qui est à l’origine de la sous-traitance.

Lorsqu’ils confient à des tiers l’exécution de fonctions opérationnelles essentielles pour fournir de manière continue et satisfaisante des services aux clients ou pour exercer de manière continue et satisfaisante des activités, les établissements de crédit et les entreprises d’investissement doivent prendre des mesures raisonnables pour éviter une augmentation excessive du risque opérationnel. L’externalisation de fonctions opérationnelles importantes ne doit pas se faire de manière à nuire sensiblement à la qualité du contrôle interne des établissements de crédit et des entreprises d’investissement, ni de manière à empêcher la CSSF de contrôler que les établissements de crédit et les entreprises d’investissement respectent les obligations qui leur incombent en vertu de la présente loi. » ;

« (5bis)

Tout établissement de crédit et toute entreprise d’investissement dispose de mécanismes de sécurité solides pour garantir la sécurité et l’authentification des moyens de transfert de l’information, réduire au minimum le risque de corruption des données et d’accès non autorisé et empêcher les fuites d’informations afin de maintenir en permanence la confidentialité des données. ».

Art. 15.

À l’article 38-2, paragraphe 3, de la même loi, les mots la maison mère sont remplacés à deux reprises par les mots l’entreprise mère.

Art. 16.

À l’article 38-6 de la même loi, la phrase Les établissements CRR appliquent la lettre g) de l’alinéa 1 aux rémunérations accordées pour les services fournis ou pour les performances de travail quelle que soit la date d’entrée en vigueur des contrats sur la base desquels elles sont dues. devient le second alinéa de l’article 38-6.

Art. 17.

L’article 41 de la même loi est modifié comme suit :

« (1)

Les personnes physiques et morales soumises à la surveillance prudentielle de la CSSF en vertu de la présente loi ou établies au Luxembourg et soumises à la surveillance de la Banque centrale européenne ou d’une autorité de contrôle étrangère pour l’exercice d’une activité visée par la présente loi, ainsi que les membres de l’organe de direction, les dirigeants, les employés et les autres personnes qui sont au service de ces personnes physiques et morales sont obligées de garder secrets les renseignements confiés à eux dans le cadre de leur activité professionnelle ou dans l’exercice de leur mandat. La révélation de tels renseignements est punie des peines prévues à l’article 458 du Code pénal.

L’alinéa 1^er s’applique également aux personnes physiques et morales qui ont été agréées en vertu de la présente loi et qui sont soumises à une procédure d’assainissement, de redressement, de gestion contrôlée, de concordat, de résolution, de liquidation ou de faillite ainsi qu’à toutes les personnes qui sont nommées, employées ou mandatées à un titre quelconque dans le cadre d’une telle procédure ainsi qu’aux personnes qui sont au service de ces personnes physiques et morales. » ;

« (2bis)

L’obligation au secret n’existe pas à l’égard des personnes établies au Luxembourg qui sont soumises à la surveillance prudentielle de la CSSF, de la Banque centrale européenne ou du Commissariat aux Assurances, et qui sont tenues à une obligation de secret pénalement sanctionnée, dans la mesure où les renseignements communiqués à ces personnes sont fournis dans le cadre d’un contrat de services.

Dans les cas ne relevant pas de l’alinéa 1^er, l’obligation au secret n’existe pas à l’égard des entités qui sont en charge de la prestation de services sous-traités ainsi qu’à l’égard des employés et autres personnes qui sont au service de ces entités, dans la mesure où le client a accepté, conformément à la loi ou selon les modalités d’information convenues entre parties, la sous-traitance des services sous-traités, le type de renseignements transmis dans le cadre de la sous-traitance et le pays d’établissement des entités prestataires des services sous-traités. Les personnes ayant ainsi accès aux renseignements visés au paragraphe (1) doivent être soumises par la loi à une obligation de secret professionnel ou être liées par un accord de confidentialité. » ;

« (3)

L'obligation au secret n'existe pas à l’égard des autorités nationales, européennes et étrangères chargées de la surveillance prudentielle du secteur financier ou de procédures de résolution si elles agissent dans le cadre de leurs compétences légales aux fins de cette surveillance ou d’opérations dans le cadre de procédures de résolution et si les renseignements communiqués sont couverts par le secret professionnel de l'autorité qui les reçoit. La transmission des renseignements nécessaires à une autorité étrangère en vue de la surveillance prudentielle doit se faire par l'intermédiaire de l’entreprise mère ou de l'actionnaire ou associé compris dans cette même surveillance. Cependant, la transmission des renseignements nécessaires à la Banque centrale européenne, au Conseil de résolution unique, à l’Autorité européenne des marchés financiers, à l'Autorité bancaire européenne ou à l’Autorité européenne des assurances et des pensions professionnelles en vue de la surveillance prudentielle ou de procédures de résolution peut se faire directement à l’institution ou à l’agence de l’Union européenne susmentionnée dans les cas où la législation applicable au Luxembourg habilite celle-ci à solliciter directement les renseignements visés auprès de la personne établie au Luxembourg.

(4)

L'obligation au secret n'existe pas à l’égard des actionnaires ou associés, dont la qualité est une condition de l'agrément de l'établissement en cause, dans la mesure où les renseignements communiqués à ces actionnaires ou associés sont strictement nécessaires à l’évaluation des risques consolidés ou au calcul de ratios prudentiels consolidés ou à la gestion saine et prudente de l'établissement.