Les obligations RGPD des banques en ligne sont les mêmes que celles de toute banque : le règlement européen ne distingue pas selon le canal. Ce qui change, c’est que tout passe par un écran : justificatifs envoyés en ligne, données de l’application, partage avec des prestataires techniques. Cet article se concentre sur trois questions : ce que la banque peut collecter et conserver, ce qu’elle doit faire en cas de fuite, et la manière d’exercer ses droits. Le cadre général est présenté dans notre article sur les banques et le RGPD.
Sur quelle base une banque en ligne peut-elle utiliser vos données ?
Le RGPD impose à tout organisme de rattacher chaque usage à une base légale. La CNIL rappelle que le contrat n’est une base valable que si le traitement est « objectivement nécessaire à l’exécution de ce contrat » : le simple fait de l’écrire dans les conditions générales ne suffit pas. Pour l’obligation légale, l’exigence doit être « impérative, suffisamment claire et précise ». Ce qui donne, pour une banque :
| Usage | Base le plus souvent invoquée | Ce qu’il faut retenir |
|---|---|---|
| Tenir le compte, émettre la carte, exécuter les virements | Exécution du contrat | Seules les données nécessaires à ces services sont en principe demandées |
| Vérifier l’identité à l’ouverture | Obligation légale (lutte contre le blanchiment) | La banque garde une copie des documents d’identité cinq ans à compter de la clôture du compte, selon la CNIL |
| Usages au-delà du service (démarchage, partage avec des tiers) | À examiner au cas par cas, dont le consentement | L’opposition à la prospection commerciale est possible sans justification |
Cette lecture est indicative : la base exacte de chaque traitement figure dans la politique de confidentialité de l’établissement, qui doit aussi indiquer les finalités, les destinataires et les durées de conservation. Pour savoir quels justificatifs sont réellement demandés à l’ouverture, voyez notre guide sur les documents d’ouverture de compte.
Combien de temps la banque peut-elle conserver vos données ?
La CNIL indique que la durée de conservation est fixée par le responsable du traitement en fonction de l’objectif de la collecte, et que lorsqu’un texte impose une durée, celui-ci prévaut. Elle distingue la base active, utilisée au quotidien, de l’archivage intermédiaire, où les données ne sont plus consultées que ponctuellement par des personnes habilitées, par exemple pour répondre à une obligation légale ou à un litige.
Conséquence pour un client : après la clôture d’un compte, une partie des données peut rester conservée en archive, notamment les pièces d’identité (cinq ans selon la CNIL). Une demande d’effacement ne peut pas écarter ce que la loi impose de garder. En revanche, ce qui ne repose sur aucune obligation doit pouvoir être supprimé ou ne plus être utilisé. Pour la clôture elle-même, voir notre guide clôturer un compte bancaire.
Que doit faire la banque en cas de fuite de données ?
Selon la CNIL, la notification d’une violation de données doit intervenir « dans les meilleurs délais » et au plus tard 72 heures après que le responsable du traitement en a pris connaissance. Lorsque la violation crée un risque élevé pour les personnes, celles-ci doivent aussi être informées. Le message doit au minimum décrire la nature de la violation, ses conséquences probables, le contact à joindre et les mesures prises pour y remédier. L’information individuelle n’est pas exigée notamment si les données étaient chiffrées de façon à être inintelligibles pour un tiers.
Après un message de ce type, la vigilance porte sur l’hameçonnage : les fraudeurs exploitent l’actualité d’une fuite. Un courriel ou un SMS qui demande des identifiants doit être vérifié par l’application ou le site officiel, jamais par le lien reçu. Les mesures de protection au quotidien sont détaillées dans l’article banques et cybersécurité.
Quels droits pouvez-vous exercer, et comment ?
| Droit | Ce qu’il permet | Limite à connaître |
|---|---|---|
| Accès | Obtenir une copie des données détenues, avec finalités, destinataires et durées | Gratuit ; copies supplémentaires pouvant donner lieu à des frais raisonnables |
| Rectification | Corriger une information inexacte | Voir la page de la CNIL sur les droits |
| Effacement | Demander la suppression de données | Ne s’applique pas à ce que la banque doit conserver par la loi |
| Opposition | S’opposer à un usage, sans motif pour la prospection ; avec un motif tenant à sa situation sinon | Refus possible si le traitement est nécessaire au contrat, imposé par la loi ou fondé sur des motifs légitimes impérieux |
| Portabilité | Récupérer ses données pour les réutiliser ailleurs | Conditions d’application détaillées sur le site de la CNIL |
| Intervention humaine | Demander un réexamen d’une décision automatisée | Voir ci-dessous |
- Écrire à la banque par un canal traçable (espace client sécurisé ou courrier), en nommant le droit exercé.
- Conserver la preuve de l’envoi : la CNIL recommande de garder une capture ou un accusé de réception.
- Attendre la réponse : un mois au plus, prorogeable jusqu’à trois mois si la demande est complexe ou nombreuse, d’après la CNIL.
- Sans réponse satisfaisante, déposer une plainte auprès de la CNIL, dont le formulaire en ligne comporte une rubrique « Banque et crédit ».
La banque ne peut demander une pièce d’identité que si elle a un doute raisonnable sur l’identité du demandeur, et pas n’importe quel document.
Que dit le RGPD des décisions automatisées et des transferts hors de l’Union ?
L’article 22 du RGPD donne le droit de ne pas faire l’objet d’une décision fondée uniquement sur un traitement automatisé, profilage compris, lorsqu’elle produit des effets juridiques ou affecte significativement la personne. Des exceptions existent (nécessité pour un contrat, autorisation par la loi, consentement explicite), mais dans les deux cas du contrat et du consentement, la banque doit prévoir une intervention humaine, la possibilité d’exprimer son point de vue et celle de contester. Cela peut concerner un refus de crédit ou d’ouverture de compte rendu par un système de notation ; voir notre guide sur le refus d’ouverture de compte.
Pour les transferts de données vers un pays hors de l’Union européenne, les articles 44 à 46 posent le principe : ils ne sont possibles qu’avec une décision d’adéquation de la Commission ou, à défaut, avec des garanties appropriées, comme les clauses contractuelles types. Une banque qui recourt à un prestataire installé hors de l’Union doit donc pouvoir justifier de l’un de ces mécanismes.
À lire aussi
Questions fréquentes
La CNIL peut-elle sanctionner une banque ?
Oui. Sa formation restreinte peut prononcer des sanctions contre un responsable de traitement ou un sous-traitant, dont des rappels à l’ordre, des injonctions et des limitations d’activité. Les montants maximaux d’amende sont fixés par le RGPD et ne sont pas détaillés ici.
Ma banque peut-elle refuser d’effacer mes données après la clôture du compte ?
Pour les données que la loi lui impose de conserver, comme la copie des documents d’identité pendant cinq ans après la clôture selon la CNIL, oui. Pour les autres, elle doit justifier la durée de conservation par la finalité du traitement.
Dois-je consentir à tout pour ouvrir un compte ?
Non. Les données nécessaires au contrat et aux obligations légales sont traitées sans consentement, et les autres usages, comme la prospection, doivent pouvoir être refusés.
La banque doit-elle me prévenir si mes données sont volées ?
Si la violation crée un risque élevé pour les personnes, oui, « au plus tôt », avec la nature de la violation, ses conséquences probables et les mesures prises. Elle doit en tout état de cause notifier la CNIL sous 72 heures.
La demande d’accès à mes données est-elle payante ?
Non, l’accès est gratuit selon la CNIL. Des frais raisonnables ne peuvent concerner que des copies supplémentaires.
Sources
- CNIL — droits des personnes, droit d’accès et délais, droit d’opposition, bases légales, durées de conservation, violations de données, dépôt de plainte
- CNIL — fiche sur la copie de la pièce d’identité par la banque et sa durée de conservation
- CNIL (texte du RGPD) — article 22 (décision automatisée) et articles 44 à 46 (transferts hors Union européenne)
- CNIL : mots de passe, recommandations pour maîtriser sa sécurité — recommandations sur les mots de passe et l’authentification
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.