Règlement sur la résilience opérationnelle numérique du secteur financier (Règlement DORA)

Le Règlement sur la résilience opérationnelle numérique du secteur financier (Règlement DORA) fait partie de la stratégie en matière de finance numérique de la Commission qui a été publiée en septembre 2020. Le Règlement DORA vise à établir un cadre global de résilience opérationnelle numérique dans les secteurs européens de la banque, de l'assurance et de l'investisseur, en exigeant des entités financières relevant de son champ d'application qu'elles se conforment à des exigences en matière de sécurité numérique et de reporting afin d'atténuer leurs risques liés aux technologies de l'information et de la communication (TIC).

Les intermédiaires d'assurance qui sont des micro-entreprises et des PME, les intermédiaires de réassurance et les intermédiaires d'assurance à titre accessoire ne tombent pas dans le champ d'application du Règlement DORA. Les "entreprises d'investissement opt-out" qui relèvent de la MiFID II sont également exemptées du Règlement DORA (les entreprises d'investissement de petite taille et non interconnectées qui ne sont pas soumises à la disposition d'opt-out de la MiFID II bénéficient d'un régime DORA allégé).  Les grands intermédiaires d'assurance (qui ne sont pas définis comme des micro-entreprises ou des PME) entrent dans le champ d'application de DORA. Les règles DORA leur seront toutefois appliquées conformément au principe de proportionnalité, en tenant compte de la taille, de la nature, de l'échelle et de la complexité de leurs services, de leurs activités et de leurs opérations, ainsi que de leur profil de risque global.

Le Règlement sur les marchés des crypto-actifs (MiCA)

La proposition MiCA couvre les émetteurs de crypto-actifs non adossés et de « jetons de valeur stable » (« stablecoins »), ainsi que les plateformes de négociation et les portefeuilles où des crypto-actifs sont détenus. La proposition couvre les intermédiaires qui vendent avec conseil des produits d'assurance-vie en unités de compte dont les investissements sous-jacents sont des fonds de crypto-actifs.

Dans sa position sur la proposition MiCA, le PE avait modifié l'article relatif aux conseils sur les crypto-actifs de la proposition et avait introduit une interdiction de rémunération "payée ou fournie par un émetteur ou tout tiers ou une personne agissant pour le compte d'un tiers en relation avec la fourniture du service à leurs clients."

La stratégie de cybersécurité de l’UE est une initiative visant à renforcer la résilience face aux cybermenaces au sein de l’Union et à faire en sorte que les citoyens et les entreprises bénéficient de technologies numériques dignes de confiance. Afin de mettre en œuvre cette stratégie, les législateurs européens travaillent sur plusieurs propositions législatives. La loi sur la cyberrésilience vise à établir des règles communes de cybersécurité pour les produits numériques et les services associés qui sont mis sur le marché dans l'UE. La loi sur la cyberrésilience complétera la Directive relative à des mesures visant à assurer un niveau élevé de cybersécurité dans l'ensemble de l'Union (SRI2). La loi sur la cybersolidarité vise à renforcer les capacités de l’UE à détecter les menaces et les attaques en matière de cybersécurité, à s’y préparer et à y réagir.

Les données et la technologie sont de plus en plus à l'origine de changements dans le secteur de l'assurance, produisant de nouveaux modèles d'entreprise, de nouveaux produits d'assurance et de nouvelles façons pour les entreprises, et en particulier les intermédiaires d'assurance, de s'engager auprès de leurs clients.

Dans le prolongement de sa stratégie en matière de finance numérique de septembre 2020, dont l'objectif est, entre autres, de créer un espace européen de données financières pour promouvoir le partage des données et la finance ouverte, y compris l'assurance, la Commission européenne a lancé, en mai 2022, cinq consultations sur la finance ouverte et la révision de la Directive sur les services de paiement 2 (DSP2). Les résultats serviront probablement à alimenter les analyses d'impact accompagnant les propositions législatives révisant la DSP2 et mettant en place un cadre de finance ouverte, dont la publication est attendue fin juin 2023.

Le développement de l'utilisation des systèmes d'IA par un nombre croissant de secteurs a incité la Commission à proposer plusieurs textes législatifs visant à réglementer cette utilisation. Les intermédiaires financiers et d'assurance qui utilisent des systèmes d'IA pourraient être concernés par ce cadre. Le cadre en cours d'élaboration comprend actuellement la proposition de législation sur l'IA et la proposition de règles de l'UE sur la responsabilité civile en matière d'IA.

Pour rappel, en juin 2021, le groupe de travail d'EIOPA sur l'éthique numérique (dans lequel le BIPAR était représenté) a publié un rapport sur les "principes de gouvernance de l'intelligence artificielle" qui contient un certain nombre de principes non contraignants adressés à la fois aux entreprises d'assurance et aux intermédiaires lorsqu'ils utilisent des systèmes d'IA. Ces principes comprennent, entre autres, le principe de proportionnalité, les principes d'équité et de non-discrimination, le principe de transparence et le principe de surveillance humaine.

Le rôle des intermédiaires pour faciliter l’utilisation éthique de l’IA ou pour prévenir l'utilisation non éthique de l’IA est reconnu dans le rapport. Par exemple, le rapport indique que "les intermédiaires d’assurance peuvent jouer un rôle important dans la prévention de l’utilisation de données de mauvaise qualité car, dans le cadre de leurs activités de conseil, ils seraient en mesure de détecter cette mauvaise utilisation potentielle des données, dans tous les domaines de la chaîne de valeur où ils sont impliqués."

Comme proposée par la Commission en mai 2022, cette Directive vise à modifier les règles établies en 2002, à renforcer les droits des consommateurs et à favoriser la prestation transfrontalière de services financiers dans le marché unique. L'évaluation de la DMFSD par la Commission a indiqué que sa pertinence avait diminué compte tenu du volume de mesures spécifiques aux produits/secteurs qui contiennent des dispositions protectrices pour les consommateurs (par exemple la DDA, la Directive sur le crédit à la consommation, le Règlement PRIIPs ou le RGPD) et du rythme rapide de l'innovation technologique. Toutefois, la Commission a noté que la DMFSD restait pertinente dans les domaines où les produits financiers ne font pas encore l'objet d'une législation européenne spécifique ("dispositif de filet de sécurité").

L’actuelle DMFSD s'applique aux intermédiaires qui distribuent des produits d'assurance/ financiers dans le cadre d'un système organisé de vente/prestation de services à distance et exclusivement par le biais d'une ou plusieurs techniques de communication à distance. La Directive révisée s'applique toujours aux intermédiaires.

La Directive révisée abroge la DMFSD existante et inclut les aspects pertinents des droits des consommateurs concernant les contrats de services financiers conclus à distance dans le champ d'application de la Directive sur les droits des consommateurs applicable horizontalement - qui ne s'applique pas actuellement aux services financiers – et ce dans un chapitre dédié aux contrats à distance pour les services financiers aux consommateurs. Le nouveau chapitre comprend notamment des dispositions révisées sur les informations précontractuelles, le droit de rétractation et les explications adéquates.

D’après nos informations, la Directive révisée, telle qu'elle a été provisoirement adoptée, vise à ce que ses dispositions ne fassent pas double emploi avec celles d'autres textes communautaires s'appliquant déjà au secteur de l'assurance (distribution) (prévalence des règles sectorielles).  Il s'agit d'un principe important pour notre secteur. Cela signifie que les dispositions révisées ne s'appliqueront au secteur de l'assurance (distribution) que dans une mesure limitée, c'est-à-dire lorsque la DDA, la MiFID II, PEPP, Solvabilité II et d'autres textes européens existants s'appliquant à notre secteur ne contiennent pas de règles similaires aux dispositions révisées (par exemple, lors de la conclusion d'un contrat d'assurance à distance, un intermédiaire ne devra se conformer qu'aux exigences précontractuelles de la DDA et non à celles de la DMFSD révisée).

Les législateurs européens travaillent depuis décembre 2020 sur un ensemble de nouvelles règles européennes pour tous les services numériques, y compris les services de cloud, les messageries, les médias sociaux, les marchés en ligne et autres plateformes en ligne et app stores qui opèrent dans l'Union européenne : le Règlement sur les services numériques et le Règlement sur les marchés numériques. Ces nouvelles règles introduisent un cadre horizontal pour toutes les catégories de contenus, de produits, de services, y compris les services financiers, et d'activités fournies par exemple par des services intermédiaires en ligne.

Les deux Règlements ont pour but de s'assurer que "ce qui est illégal hors ligne est également illégal en ligne".  Par exemple, les sites web de comparaison qui fournissent leurs services en ligne aux entreprises et aux consommateurs établis dans l'UE devront se conformer aux obligations de diligence raisonnable imposées aux plateformes en ligne, quel que soit leur lieu d'établissement. D'autre part, les intermédiaires qui fournissent leurs services financiers en ligne en tant qu'utilisateurs d'une plateforme bénéficieront des droits qui leur sont accordés en tant que "destinataires" des services du site web. Les intermédiaires qui fournissent leurs services via une plateforme en ligne (que ce soit leur propre plateforme ou en tant qu'utilisateurs d'une plateforme) doivent également se conformer aux règles spécifiques au secteur et au droit de la concurrence.

Outre le Règlement général sur la protection des données (RGPD), les législateurs européens travaillent à la mise en œuvre de la stratégie européenne pour les données, qui vise à créer un marché unique pour les données afin de garantir que davantage de données soient disponibles pour être utilisées dans l'économie et la société, tout en permettant aux personnes et aux entreprises qui génèrent ces données d'en garder le contrôle.  La stratégie européenne pour les données se matérialise par deux textes législatifs : le Règlement sur la gouvernance européenne des données et la proposition de Règlement sur les règles harmonisées pour l’équité de l'accès aux données et de leur utilisation (Règlement sur les données).  Alors que le Règlement sur la gouvernance des données crée les processus et les structures pour faciliter les données, le Règlement sur les données clarifie qui peut créer de la valeur à partir des données et dans quelles conditions. Les deux Règlements s'appliqueront à tous les secteurs et pourraient avoir un impact sur les intermédiaires financiers et d'assurance dans la mesure où ils reçoivent et partagent des données.

En novembre 2021, la Commission européenne a adopté un ensemble de mesures établissant un point d'accès unique européen (ESAP).

L'ESAP vise à contribuer à la réalisation des objectifs de l'UMC en fournissant un accès, à l'échelle de l'UE, aux informations publiées par les entités financières, y compris par les intermédiaires d'assurance et financiers, qui sont pertinentes pour les marchés de capitaux, les services financiers et la finance durable, c'est-à-dire principalement des informations sur leurs activités économiques et leurs produits. L'ESAP s'adresse ici principalement aux utilisateurs tels que les investisseurs, les analystes financiers et les intermédiaires de marché, par exemple les gestionnaires d'actifs, les conseillers ou les agrégateurs de données.

Les informations qui seront accessibles au public sur l'ESAP seront collectées par des organismes de collecte désignés (principalement EIOPA pour notre secteur) et seront accessibles via une interface de programmation d'applications unique. En fournissant des données au format numérique (format extractible ou lisible par machine), l'ESAP a aussi pour objectif d’être une pierre angulaire de la stratégie de l'UE en matière de finance numérique qui permettrait une transition planifiée vers une finance basée sur les données.

Le paquet comprend une proposition de Règlement ESAP et deux autres propositions (une Directive Omnibus et un Règlement omnibus) qui modifieront un certain nombre de Directives et de Règlements de l'UE existants. Ces textes sont énumérés dans l'annexe de la proposition de Règlement ESAP. Pour notre secteur, les principaux textes européens d'intérêt sont les Directives européennes suivantes :  DDA, OPCVM, Solvabilité II, MiFID II, IFD (Directive sur les entreprises d’investissement) et IRP, et les Règlements européens suivants : PRIIPs, PEPP, IFR, Règlement SFDR et Taxonomie.