Article L521-10 of the French Monetary and Financial Code

I. – Payment service providers shall inform the Autorité de contrôle prudentiel et de résolution of any major operational incident without undue delay.

II. – Payment service providers shall inform the Banque de France without undue delay of any major security incident. The Banque de France shall assess the incident and, if necessary, take appropriate measures. If it considers it necessary, it shall inform the Autorité de contrôle prudentiel et de résolution pursuant to Article L. 631-1.

III. – Where the incident affects or is likely to affect the financial interests of its payment service users, the payment service provider shall inform its payment service users without undue delay of the incident and of any available measures they may take to mitigate the harmful effects of the incident.

IV. – Upon receipt of the notification referred to in I or II, the Autorité de contrôle prudentiel et de résolution or the Banque de France shall, without undue delay, communicate the material details of the incident to the European Banking Authority and the European Central Bank and, after assessing the relevance of the incident for other relevant national authorities, inform them accordingly.

V. – The procedures for the notifications provided for in I to III are specified by order of the Minister for the Economy and Finance.

Original in French 🇫🇷

Article L521-10

I. – Les prestataires de services de paiement informent sans retard injustifié l’Autorité de contrôle prudentiel et de résolution de tout incident opérationnel majeur.

II. – Les prestataires de services de paiement informent sans retard injustifié la Banque de France de tout incident de sécurité majeur. La Banque de France évalue l’incident et prend au besoin des mesures appropriées et si elle l’estime nécessaire, elle en informe l’Autorité de contrôle prudentiel et de résolution en application de l’article L. 631-1.

III. – Lorsque l’incident a ou est susceptible d’avoir des répercussions sur les intérêts financiers de ses utilisateurs de services de paiement, le prestataire de services de paiement informe sans retard injustifié ses utilisateurs de services de paiement de l’incident et de toutes les mesures disponibles qu’ils peuvent prendre pour atténuer les effets dommageables de l’incident.

IV. – Dès réception de la notification visée au I ou au II, l’Autorité de contrôle prudentiel et de résolution ou la Banque de France communique sans retard injustifié les détails importants de l’incident à l’Autorité bancaire européenne et à la Banque centrale européenne, et, après avoir évalué la pertinence de l’incident pour d’autres autorités nationales concernées, informe celles-ci en conséquence.

V. – Les modalités des notifications prévues aux I à III sont précisées par arrêté du ministre de l’économie et des finances.