Conformité EMV : Ce que vous devez savoir

Qu'est-ce que l'EMV ?

EMV® est une technologie développée et gérée par American Express, Discover, JCB, Mastercard, UnionPay et Visa. Il s'agit d'une norme mondiale pour les cartes de crédit utilisant des puces électroniques afin d'authentifier les transactions par carte à puce. Les puces EMV chiffrent les informations bancaires, ce qui les rend bien plus sécurisées que les anciennes cartes à bande magnétique. La technologie EMV a été créée principalement pour prévenir la fraude à la carte de crédit.

Lorsqu'une fraude par contrefaçon ou par perte et vol survient, les titulaires de carte peuvent perdre confiance en leur produit de paiement, en leur banque et en le commerçant chez lequel la fraude a eu lieu. Dans la plupart des cas, l'émetteur devra clôturer le compte et risque ainsi de perdre des clients. Un commerçant peut subir une perte de revenus liée à l'achat frauduleux et, potentiellement, perdre la fidélité future du titulaire de carte.

Les cartes EMV sont des cartes à puce (également appelées cartes à circuit intégré) car elles stockent leurs données sur des circuits intégrés. Par ailleurs, elles conservent la technologie MagStripe traditionnelle afin de garantir la rétrocompatibilité.

Bien que certaines parties concernées puissent hésiter à adopter la technologie de paiement EMV (Home Depot et Walmart ont intenté des poursuites contre des émetteurs de cartes), les experts en sécurité estiment que la migration des commerçants est une étape essentielle pour lutter contre la fraude qui se produit généralement aux terminaux de paiement en magasin.

Cela revêt une importance capitale face à la progression constante de la fraude à la carte de crédit. Depuis octobre 2015, si un client utilise une carte à puce frauduleuse et que le commerçant ne dispose pas d'un lecteur de carte EMV, ce commerçant pourrait être tenu responsable de la fraude. C'est ce que l'on appelle le « transfert de responsabilité ». Comme nous le verrons plus loin, cette date a été reportée à octobre 2020 pour les stations-service et les épiceries de proximité, en raison de leur situation particulière.

La migration EMV vers les cartes à puce a été et demeure une entreprise colossale. Premièrement, toutes les cartes à bande magnétique seules doivent être remplacées par des cartes dotées d'une puce. Aux États-Unis, les banques émettrices comptent environ 1,2 milliard de cartes de paiement actives. Deuxièmement, l'ensemble des terminaux de point de vente (PDV) et de paiement sont en cours de mise à niveau pour accepter les cartes à puce, un processus coûteux dont la facture totale est estimée entre 8 et 12 milliards de dollars.

Qu'est-ce que la conformité EMV ?

Comment savoir si vous êtes en conformité ? Auparavant, les émetteurs de cartes de crédit étaient responsables des fonds dérobés lors d'une transaction frauduleuse. Désormais, la responsabilité en cas de fraude ou de litige de paiement incombe à la partie la moins conforme au nouveau système EMV. En d'autres termes, elle se transfère aux entreprises qui n'ont pas pleinement intégré la technologie EMV. Ainsi, si vous effectuez un glissement de carte à puce alors que vous auriez dû procéder à une insertion, les émetteurs ne vous rembourseront pas. Et le simple fait d'accepter les cartes EMVne signifie pas pour autant que vous ne pouvez plus traiter les cartes à bande magnétique (la plupart des cartes à puce disposent également d'une bande magnétique au verso).

Si un client utilise une carte à bande magnétique sans puce et que la carte est glissée dans le terminal, le commerçant ne sera pas tenu responsable en cas de litige de paiement EMV. Il est toujours judicieux, sur le plan commercial, de vérifier la pièce d'identité du client au moment d'autoriser le paiement. Les clients de bonne foi ne devraient pas s'opposer à cette mesure de sécurité supplémentaire, qui les protège autant que le commerçant.

En revanche, si un client glisse une carte dotée d'une puce, le commerçant pourrait être tenu responsable d'un litige de paiement EMV. Il serait donc avisé de se doter d'un lecteur de cartes EMV : ainsi, lorsqu'un client insère sa carte au lieu de la glisser, le commerçant ne pourra pas être tenu responsable d'un tel litige.

Le transfert de responsabilité ne s'applique pas aux transactions « sans présentation de la carte » ni aux cas de fraude impliquant une carte perdue ou volée. Dans ces situations, les règles de responsabilité et de rétrofacturation en vigueur restent inchangées. Les commerçants qui réalisent l'intégralité de leurs ventes en ligne n'ont pas à se préoccuper du transfert de responsabilité.

La conformité EMV est-elle une obligation légale ?

En réalité, non. Il appartient à chaque entreprise de décider si elle souhaite ou non procéder à la mise à niveau. Cela dit, même si le transfert de responsabilité EMV n'a pas force de loi, il est dans votre intérêt de vous prémunir, ainsi que votre entreprise, contre toute responsabilité liée à un litige de paiement EMV.

L'adoption de la technologie EMV présente un autre avantage, au-delà de la protection contre le transfert de responsabilité. Les lecteurs de cartes compatibles EMV peuvent également prendre en charge la technologie de communication en champ proche (NFC). Celle-ci permet aux clients d'approcher leur carte de débit ou de crédit à quelques centimètres du lecteur pour effectuer leur transaction. Le paiement « Tap and Go » est la toute dernière fonctionnalité offerte aux clients, qui apprécieront que vous rendiez leur expérience d'achat plus simple et plus rapide.

Le secteur des carburants : un cas particulier de conformité EMV

Le secteur des carburants fait partie des industries qui accuseront un retard dans la mise en conformité avec la technologie EMV.

En 2013, dernière année mesurée par le désormais disparu MarketFacts du National Petroleum News, on recensait 152 995 sites de distribution de carburant au détail aux États-Unis. Les supérettes (convenience stores) représentent environ 80 % des ventes de carburant automobile aux États-Unis. Or, seule une infime fraction de ces commerces appartient aux grandes compagnies pétrolières. Cela signifie que la grande majorité des stations-service sont détenues par des propriétaires indépendants, selon les données de NACS, l'association professionnelle du secteur des supérettes et de la distribution de carburant.

Dans ce contexte, il n'est guère surprenant que les stations-service se trouvent à des stades très différents d'adoption de la technologie EMV. La situation est comparable à celle qu'a connue le commerce de détail au sens large, où les grands distributeurs ont adopté la technologie EMV en premier, contraignant ensuite les plus petits acteurs à se mettre à niveau pour rester compétitifs.

De nombreuses stations-service sont actuellement en phase de tests et d'obtention de certifications, tandis que d'autres préfèrent attendre pour regrouper plusieurs mises à niveau en une seule opération. La durée de vie d'une pompe à carburant étant d'environ 15 ans, il est naturel que les exploitants souhaitent intégrer un maximum de nouvelles technologies lors de chaque mise à niveau. Le coût estimé de la conversion des pompes à carburant américaines à la norme EMV s'élève à 7 milliards de dollars, sachant qu'un tiers des pompes existantes doit être remplacé.

Conscient des défis spécifiques auxquels fait face le secteur des carburants, Visa a fixé la date d'activation de la puce pour les distributeurs automatiques de carburant (DAC) deux ans après celle des points de vente classiques en magasin. Les stations-service et les supérettes auront besoin de davantage de temps pour passer à l'acceptation des cartes à puce, en raison de la complexité de l'infrastructure et de la technologie spécialisée que requièrent les pompes à carburant. Dans certains cas, par exemple, les anciennes pompes doivent être remplacées avant l'installation de lecteurs de puces, ce qui nécessite l'intervention de prestataires spécialisés et implique parfois même de percer du béton. Cinq ans se sont écoulés depuis que Visa a annoncé le principe du transfert de responsabilité, et des difficultés persistent pour s'approvisionner en matériel et logiciels EMV conformes à la réglementation en vigueur.

Visa collabore avec l'ensemble des acteurs de la chaîne de paiement. Il a été établi que les taux de fraude aux pompes à carburant sont relativement faibles, représentant seulement 1,3 % de la fraude totale aux paiements aux États-Unis. En conséquence, Visa a décidé de reporter la date d'activation de la conformité EMV pour les DAC aux États-Unis du 1er octobre 2017 au 1er octobre 2020. En revanche, le transfert de responsabilité EMV applicable aux distributeurs automatiques de billets (DAB) n'a pas été modifié et est entré en vigueur comme prévu le 1er octobre 2017.

Les États-Unis cherchent à rattraper leur retard sur le reste du monde, mais ils avancent rapidement dans la mise en œuvre de la technologie EMV, dont les avantages sont désormais bien établis.

ID TECH est un fournisseur de périphériques de paiement de premier plan, reconnu pour son expertise en matière de piste magnétique, de contact EMV et de sans-contact EMV. Fondée en 1985 en Californie, la société a inauguré son siège régional pour l'Asie à Taïwan en 2016. Pour en savoir plus sur ses produits dédiés aux transactions de paiement mobiles, rendez-vous sur Les solutions de paiement mobile d'ID TECH.