PCI-DSS : la conformité essentielle pour votre terminal de paiement
PCI-DSS (Payment Card Industry Data Security Standard) est la norme internationale qui régit la sécurité des données de carte bancaire. Tout commerçant qui accepte un paiement par carte y est soumis, même sans le savoir. Voici ce qui s'applique en Belgique.
Que protège PCI-DSS exactement ?
PCI-DSS impose 12 exigences réparties en 6 catégories :
1. Construire et maintenir un réseau sécurisé (firewall, mots de passe robustes). 2. Protéger les données titulaires (chiffrement, masquage du numéro de carte). 3. Maintenir un programme de gestion des vulnérabilités (antivirus, patches). 4. Contrôler les accès (droits utilisateurs, identifiants uniques). 5. Surveiller et tester les réseaux régulièrement (logs, tests d'intrusion). 6. Maintenir une politique de sécurité de l'information.
Pour un commerçant moyen, 99 % des obligations sont portées par votre fournisseur de TPE — à condition qu'il soit lui-même certifié.
Les 4 niveaux PCI-DSS selon votre volume
- Niveau 1 : >6 millions de transactions/an (grandes enseignes)
- Niveau 2 : 1 à 6 millions
- Niveau 3 : 20 000 à 1 million
- Niveau 4 : <20 000 transactions/an (la grande majorité des PME belges)
Les commerçants Niveau 4 (la majorité des PME) sont soumis à un questionnaire auto-déclaratif (SAQ) annuel, géré par leur acquéreur.
Comment être conforme PCI-DSS en pratique ?
Si votre TPE est livré par un fournisseur certifié comme Smart4invest, vous êtes automatiquement couvert sur 95 % des exigences. Les 5 % restants concernent :
- Ne jamais noter manuellement un numéro de carte (ni post-it, ni email, ni bloc).
- Ne jamais stocker les codes CVV au format numérique.
- Changer les mots de passe par défaut sur vos systèmes connectés.
- Réaliser le questionnaire SAQ annuel via le portail de votre acquéreur.
Que risquez-vous en cas de non-conformité ?
Les sanctions en Belgique :
- Amendes des acquéreurs : 5 000 à 100 000 € en cas de fuite avérée.
- Suspension du contrat de commerçant : impossibilité d'accepter de nouvelles cartes pendant des semaines.
- Recours civils : un client victime de fraude liée à votre laxisme peut se retourner contre vous.
- Atteinte à la réputation : une fuite de données chez un commerçant fait la une.
Smart4invest : conformité incluse, sans démarche
Tous les terminaux Smart Light, Smart Pro, Smart Tap, Smart PinPad sont certifiés PCI-DSS de série. La caisse Smart4invest l'est aussi. Le questionnaire SAQ annuel est pré-rempli par nos équipes : vous n'avez qu'à signer.
Vous gardez toute votre énergie pour votre commerce, pas pour la paperasse de sécurité.
Demandez votre audit conformité gratuit avec un conseiller Smart4invest.