Le sujet « banque et RGPD » est souvent traité du côté des obligations des établissements, détaillées dans notre article sur les obligations RGPD des banques en ligne. Celui-ci prend l’angle du client : quels droits exercer sur vos données personnelles, comment s’y prendre, dans quels délais et avec quelles limites propres au secteur bancaire.
Quels droits avez-vous sur vos données bancaires ?
La CNIL recense neuf droits. Ceux qui concernent le plus souvent une banque sont les suivants.
| Droit | Ce que vous pouvez demander | Limites à connaître |
|---|---|---|
| Accès | Une copie de vos données, les finalités du traitement, les catégories de données, les destinataires, la durée de conservation ou ses critères, l’origine des données, les éventuels transferts hors Union européenne et les décisions automatisées | Demandes infondées ou excessives, droits des tiers, secrets d’affaires |
| Rectification | Corriger une information inexacte | Concerne les informations inexactes |
| Opposition | Refuser une prospection commerciale (e-mails, SMS, appels, courriers) sans avoir à vous justifier ; pour d’autres usages, invoquer votre situation particulière | Refus possible si une obligation légale impose le traitement ou si un contrat vous lie à la banque. L’opposition arrête un usage précis, elle ne supprime pas le compte |
| Effacement | Suppression des données devenues inutiles, utilisées sans base légale, ou après retrait du consentement | Ne s’applique pas si une obligation légale impose de conserver, ni pour l’exercice de droits en justice |
| Limitation, portabilité | Geler temporairement un usage ; récupérer vos données pour les réutiliser ailleurs | Selon les cas prévus par le règlement |
| Intervention humaine | Contester une décision prise par un traitement automatisé et demander un réexamen | Voir la section sur le crédit ci-dessous |
Comment exercer un droit auprès de sa banque ?
- Identifier le droit visé : accès, rectification, opposition ou effacement. La CNIL propose des modèles de courrier pour chacun.
- Adresser la demande à la banque, par un canal qui laisse une trace (courrier ou message depuis l’espace client), en conservant une copie.
- Attendre la réponse : un mois au plus tard, prolongeable de deux mois si la demande est complexe, à condition que la banque vous en informe dans le délai initial.
- Ne fournir un justificatif d’identité que si la banque a un doute raisonnable sur votre identité, selon la CNIL ; une demande de pièces disproportionnées n’est pas justifiée.
- Relancer puis saisir la CNIL si la réponse manque ou reste incomplète (voir plus bas).
La réponse est gratuite ; des frais raisonnables ne sont admis que pour des copies supplémentaires. Pour le contexte technique (chiffrement, authentification, fuites), voir l’article sur la cybersécurité bancaire.
Que dit la CNIL sur l’analyse de votre solvabilité ?
En mai 2026, la CNIL a publié une recommandation sur l’évaluation de la solvabilité lors de l’octroi d’un crédit. Elle s’adresse aux prêteurs et aux intermédiaires en opérations bancaires ; c’est une recommandation, non un texte de loi, et elle exclut les traitements de lutte contre la fraude et le blanchiment. Elle précise notamment :
- Données utilisables : situation personnelle, revenus et charges du foyer, situation professionnelle, patrimoine, historique des transactions (les trois derniers mois, extensible jusqu’à 12), données sur les garants.
- Données exclues : les réseaux sociaux ne constituent pas une base utilisable, et les catégories particulières de données ne doivent pas être traitées.
- Conservation : pour un demandeur non client dont la demande est rejetée, la base active ne dépasse pas six mois à compter du dépôt, avant archivage selon les durées de prescription.
- Vos droits : accès (y compris au score obtenu), rectification, effacement, limitation et réexamen par un humain si la décision est automatisée, avec information sur la logique du traitement. En cas de refus fondé sur le FICP, la personne doit en être informée.
Pour préparer une demande de financement, voir le guide du crédit en banque en ligne. Un refus de crédit fondé sur une décision automatisée est l’un des cas où l’intervention humaine peut être demandée.
Et les données que la banque ne gère pas seule ?
Les comptes bancaires sont aussi recensés dans FICOBA, fichier national géré par l’administration fiscale, qui conserve les données dix ans après la clôture des comptes. L’accès à ce fichier passe par une procédure décrite par la CNIL, distincte de la demande faite à la banque. Concernant la reconnaissance biométrique sur smartphone, voir notre article sur la biométrie.
Que faire si la banque ne répond pas ou répond mal ?
La CNIL ne peut être saisie qu’après avoir exercé vos droits auprès de l’organisme : si aucune réponse n’arrive après un mois, ou si elle est incomplète ou erronée. La plainte doit être précise et accompagnée des pièces utiles (courriers, captures d’écran, copie de la demande). Le formulaire de la CNIL propose une catégorie « Banque et crédit ». En cas de manquement avéré, la CNIL peut prendre des mesures correctrices.
Elle ne peut pas vous obtenir de dommages et intérêts, ni constater un préjudice, ni traiter les litiges hors protection des données (consommation, pénal). Pour réclamer une réparation, une association de consommateurs ou un avocat sont d’autres voies, hors du champ de cet article. Pour vérifier un établissement avant d’ouvrir un compte, voir le guide Banque en ligne fiable.
À lire aussi
Questions fréquentes
Ma banque peut-elle refuser d’effacer mes données ?
Oui, dans certains cas. Le droit à l’effacement ne s’applique pas lorsqu’une obligation légale impose de conserver les données ou lorsqu’elles servent à constater, exercer ou défendre des droits en justice. Les données devenues inutiles ou utilisées en prospection peuvent en revanche être effacées sur demande.
Puis-je refuser les offres commerciales de ma banque ?
Oui. Le droit d’opposition à la prospection commerciale s’exerce sans avoir à vous justifier, pour les e-mails, SMS, appels et courriers publicitaires. L’organisme doit agir dans les meilleurs délais. Cette opposition ne ferme pas le compte et ne supprime pas les données nécessaires au contrat.
Dans quel délai la banque doit-elle répondre à ma demande d’accès ?
Au plus tard sous un mois. Ce délai peut être prolongé de deux mois si la demande est complexe, la banque devant alors vous en informer dans le premier mois. L’accès est gratuit.
Une banque peut-elle refuser un crédit uniquement à cause d’un algorithme ?
La CNIL recommande, lorsqu’un traitement automatisé aboutit à accepter ou refuser une demande sans intervention humaine significative, de garantir le droit à une intervention humaine, de pouvoir exprimer son point de vue et d’obtenir les principales variables qui expliquent la décision.
La CNIL peut-elle me faire obtenir une indemnisation ?
Non. La CNIL peut intervenir sur les manquements relevant de la protection des données et prendre des mesures correctrices, mais elle ne peut pas vous obtenir de dommages et intérêts ni constater un préjudice.
Sources
- CNIL — pages sur les droits (liste, accès, opposition, effacement), sur le délai de réponse et sur la plainte
- CNIL — recommandation de mai 2026 sur l’évaluation de la solvabilité dans l’octroi de crédit
- CNIL — question sur FICOBA (durée de conservation, accès)
- CNIL : mots de passe, recommandations pour maîtriser sa sécurité — recommandations sur les mots de passe et l’authentification
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.