Les banques en ligne et l’open banking sont liées par un point simple : toute banque qui tient des comptes de paiement doit permettre un accès encadré à des prestataires autorisés, qu’elle soit en ligne ou non. Cet article suit le parcours d’un client, de la connexion d’un service à ses comptes jusqu’au retrait de l’autorisation, et indique les contrôles à faire à chaque étape.
Comment un service se connecte-t-il à vos comptes ?
Le détail varie selon les banques et les services, mais le schéma réglementaire est constant :
- Vous choisissez un service (suivi de budget, vue multi-banques, paiement par virement) et vous indiquez la banque concernée.
- Vous vous authentifiez auprès de votre banque : l’authentification forte s’applique à l’accès, selon le règlement délégué (UE) 2018/389 cité par l’ACPR.
- Vous donnez votre consentement explicite au prestataire d’information sur les comptes, condition posée par la directive 2015/2366 (DSP2).
- Le service accède aux données par l’interface (API) que la banque met à disposition. Les données de paiement sensibles lui sont interdites.
Un service qui vous demanderait de saisir vos identifiants bancaires dans son propre formulaire, sans passer par l’authentification de votre banque, appelle la prudence. Les critères de choix d’une application sont détaillés dans l’article sur l’agrégation bancaire.
Pour quels usages recourir à un prestataire autorisé ?
| Besoin | Service concerné | Statut exigé | Point de contrôle |
|---|---|---|---|
| Voir ses comptes de plusieurs banques au même endroit | Information sur les comptes | PSIC enregistré, ou prestataire de paiement agréé | Statut sur Regafi ; périmètre des données demandées |
| Confier à un tiers une vue de ses comptes (budget, étude de dossier) | Information sur les comptes | Idem | Finalité, durée de conservation, partage éventuel |
| Payer par virement depuis son compte via un tiers | Initiation de paiement | Prestataire de paiement agréé (ou son agent) | Montant et bénéficiaire affichés avant votre validation |
Le partage de vos comptes avec un tiers se distingue du virement instantané, qui relève d’un autre mécanisme décrit dans l’article sur les banques en ligne et les paiements instantanés.
Comment vérifier qu’un prestataire est autorisé ?
L’ACPR : autorité de contrôle prudentiel et de résolution rappelle qu’exercer une activité de banque ou de paiement sans agrément est illégal. Sa démarche de vérification :
- Cherchez le prestataire sur le registre Regafi (établissements) et, pour les intermédiaires, sur celui de l’Orias.
- Comparez la dénomination exacte avec celle de l’application et du site : cela permet d’écarter une usurpation de nom.
- Si le prestataire est absent, ce n’est pas toujours rédhibitoire : un établissement agréé dans un autre État de l’Espace économique européen peut opérer en France par la libre prestation de services. Vérifiez alors le registre de son pays d’origine.
La vérification porte sur le statut, non sur la qualité du service. Un prestataire autorisé peut proposer une application peu fiable ou un modèle économique fondé sur vos données ; la politique de confidentialité reste à lire.
Les banques en ligne ont-elles un statut particulier ?
Non. La directive vise les établissements qui tiennent des comptes de paiement : la documentation de leur interface doit être mise gratuitement à disposition des prestataires, que ces établissements soient en ligne ou en agence. Pour comparer les établissements eux-mêmes, d’autres critères comptent. Un article de Libération de 2021, Libération : banques en ligne, des promesses à tenir, propose un regard de presse sur les engagements des banques en ligne, antérieur aux évolutions réglementaires décrites ici. Pour situer l’ampleur des usages numériques en France, la page statistique INSEE : usages numériques et services en ligne est à consulter pour les chiffres à jour. Les démarches générales d’ouverture d’un compte relèvent d’un autre sujet, traité dans le guide pour ouvrir un compte en banque en ligne.
Détenir plusieurs comptes rend l’agrégation plus utile ; le guide sur l’ouverture d’un deuxième compte bancaire expose les avantages et les limites de cette organisation.
Que faire en cas de problème ou pour retirer un accès ?
- Opération que vous n’avez pas autorisée : signalez-la à votre banque au plus tard 13 mois après le débit ; elle doit rembourser la somme et rétablir le compte, sans qu’une assurance spécifique soit nécessaire, selon la Banque de France. Le délai est ramené à 70 jours si l’établissement du bénéficiaire est hors Espace économique européen.
- Accès devenu inutile : retirez l’autorisation auprès du service, et vérifiez dans l’espace de votre banque si elle propose de lister les accès donnés. À défaut, écrivez au prestataire pour demander l’arrêt de l’accès et l’effacement des données (droits prévus par le RGPD).
- À venir : l’accord politique européen de novembre 2025 sur la DSP3 et le règlement sur les services de paiement prévoit un tableau de bord de suivi des autorisations. Il n’était pas encore définitivement adopté à la date de rédaction ; le cadre actuel est décrit dans l’article sur la définition et les droits liés à l’open banking.
À lire aussi
Questions fréquentes
Dois-je donner mes identifiants bancaires à une application d’agrégation ?
Le cadre de la DSP2 repose sur l’authentification forte auprès de la banque et sur un accès par interface dédiée. Un service qui réclame vos identifiants dans son propre formulaire mérite une vérification de statut avant tout usage.
Une application d’agrégation peut-elle déplacer mon argent ?
Non, pas au titre de l’information sur les comptes, qui est un service de lecture. Lancer un virement relève de l’initiation de paiement, réservée aux prestataires de paiement agréés, et suppose votre validation.
Un prestataire absent de Regafi est-il forcément illégal ?
Non. Un établissement agréé dans un autre État de l’Espace économique européen peut opérer en France. Il faut alors consulter le registre de son pays d’origine, et rester prudent si aucune trace n’est trouvée.
Combien de temps ai-je pour contester une opération non autorisée ?
Selon la Banque de France, 13 mois après le débit, auprès de votre banque, qui doit rembourser la somme débitée. Ce délai est de 70 jours lorsque l’établissement du bénéficiaire est hors Union européenne ou Espace économique européen.
L’open banking change-t-il quelque chose pour ma banque en ligne ?
Elle doit, comme toute banque tenant des comptes de paiement, fournir aux prestataires autorisés une interface d’accès documentée. Pour le client, rien n’est obligatoire : sans consentement de votre part, aucun accès n’a lieu.
Sources
- ACPR (Banque de France) — statuts des prestataires d’information sur les comptes et d’initiation de paiement, vérification via Regafi et Orias, interfaces d’accès et authentification forte
- EUR-Lex — directive (UE) 2015/2366 (DSP2) : consentement explicite et données de paiement sensibles
- Banque de France — contestation d’une opération non autorisée : 13 mois, remboursement, délai de 70 jours hors EEE
- Parlement européen et Conseil de l’UE — accord de novembre 2025 sur les services de paiement (tableau de bord des autorisations)
- CNIL : mots de passe, recommandations pour maîtriser sa sécurité — recommandations sur les mots de passe et l’authentification
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.