L’open banking est souvent présenté comme une affaire de technique, alors qu’il touche d’abord à des droits : qui peut lire vos comptes, pour quoi faire, et comment retirer cet accès. Cet article pose la définition, le cadre juridique en vigueur, vos droits de client et l’état des textes à venir. L’usage concret avec des agrégateurs fait l’objet d’un article séparé, indiqué plus bas.
Qu’est-ce que l’open banking pour un client ?
Le principe : votre banque, qui tient votre compte, doit permettre à un prestataire que vous avez choisi d’y accéder de façon encadrée, sans que vous lui communiquiez vos identifiants bancaires. L’échange passe par une interface de programmation (API) mise à disposition par la banque. La réglementation européenne prévoit deux services distincts :
| Service | Définition (ACPR) | Statut du prestataire en France |
|---|---|---|
| Information sur les comptes (agrégation) | Fournir des informations consolidées sur un ou plusieurs comptes de paiement détenus auprès d’autres prestataires | Prestataire de service d’information sur les comptes (PSIC, enregistré auprès de l’ACPR), ou prestataire de paiement agréé |
| Initiation de paiement | Transmettre, à votre demande, un ordre de paiement concernant un compte tenu chez un autre prestataire | Prestataire de services de paiement agréé uniquement |
Un service d’agrégation lit des données ; il ne déplace pas d’argent. Ce second rôle appartient à l’initiation de paiement. Le fonctionnement détaillé des agrégateurs est traité dans l’article sur l’agrégation bancaire.
Quel cadre juridique s’applique aujourd’hui en France ?
Le socle est la directive (UE) 2015/2366, dite DSP2, adoptée le 25 novembre 2015 et transposée dans le code monétaire et financier. Trois règles concernent directement le client :
- Consentement explicite : le prestataire d’information sur les comptes doit obtenir votre accord explicite avant d’accéder aux informations.
- Pas d’accès aux données de paiement sensibles : la directive interdit au prestataire d’information sur les comptes de demander des données de paiement sensibles.
- Authentification forte : les règles techniques européennes (règlement délégué (UE) 2018/389) imposent l’authentification forte et fixent le cadre des interfaces d’accès, dont la documentation doit être mise gratuitement à disposition par les banques.
Pour vérifier qu’un prestataire est autorisé, l’ACPR renvoie vers le registre Regafi et, pour les intermédiaires, vers l’Orias. Exercer sans agrément ou enregistrement est illégal. La mise en pratique de cette vérification est détaillée dans l’article sur l’open banking au quotidien.
Quels sont vos droits de client ?
| Droit | Base | Ce que cela permet |
|---|---|---|
| Consentir, ou refuser | DSP2 | Aucun prestataire d’information sur les comptes ne peut accéder aux informations sans votre accord explicite |
| Accéder à vos données, les rectifier, vous opposer, demander leur effacement | RGPD | Interroger le prestataire sur les données qu’il détient et leur usage (droits listés par la CNIL) |
| Portabilité | RGPD, article 20 | Recevoir les données que vous avez fournies ou générées par votre activité, dans un format structuré ; les données déduites ou calculées en sont exclues. Réponse sous un mois maximum, prolongeable pour les demandes complexes, sans frais |
| Contester une opération non autorisée | Droit des paiements | Signaler l’opération à votre banque au plus tard 13 mois après le débit ; la banque doit alors rembourser la somme et rétablir le compte (Banque de France) |
Le RGPD et la DSP2 s’appliquent ensemble : la première règle l’usage des données personnelles, la seconde l’accès aux comptes. Le détail des droits sur vos données figure dans l’article consacré aux obligations RGPD des banques en ligne. L’angle « données » de l’open banking, par rapport aux données ouvertes publiques, est expliqué dans l’article sur les banques et l’open data.
Que prévoient la DSP3, le règlement sur les paiements et FIDA ?
Deux chantiers européens prolongent la DSP2. Aucune échéance d’application n’est confirmée par les sources officielles consultées.
| Texte | Contenu annoncé | Statut vérifié |
|---|---|---|
| DSP3 et règlement sur les services de paiement (RSP) | Tableau de bord pour suivre et gérer les autorisations d’accès données ; accès non discriminatoire des établissements de paiement aux comptes ; lutte contre la fraude par usurpation (vérification du nom du titulaire d’un IBAN, partage d’informations, responsabilité des prestataires) | Accord politique entre le Conseil et le Parlement européen en novembre 2025 ; adoption formelle encore nécessaire. Selon l’Observatoire législatif du Parlement européen, une séance plénière est indiquée au 14 décembre 2026, à titre indicatif |
| FIDA (accès aux données financières) | Partage de données au-delà des comptes de paiement, avec contrôle du client sur qui accède à ses données et pourquoi | Proposition de la Commission du 28 juin 2023 ; négociations toujours en cours entre le Conseil et le Parlement d’après des documents du Conseil d’avril 2026 ; pas de date d’application confirmée |
La DSP2 constitue donc le cadre applicable aujourd’hui. Ces évolutions concernent la lisibilité des autorisations et la sécurité des paiements, et pourraient étendre le partage à d’autres produits. Les textes définitifs, une fois publiés, prévaudront sur toute description anticipée. Pour juger la solidité d’un établissement avant de lui confier l’accès à vos comptes, le guide banque en ligne fiable donne les points à contrôler.
À lire aussi
Questions fréquentes
L’open banking est-il obligatoire pour les clients ?
Non. Il s’agit d’une faculté : les banques doivent ouvrir un accès encadré à vos comptes, mais aucun prestataire ne peut y accéder sans votre accord explicite. Vous pouvez continuer à n’utiliser que l’application de votre banque.
Un agrégateur de comptes peut-il effectuer un virement ?
Non, pas au titre de l’information sur les comptes, qui est un service de lecture. L’initiation de paiement est un service distinct, réservé aux prestataires de paiement agréés, et suppose votre validation.
Open banking et open data, est-ce la même chose ?
Non. L’open banking organise l’accès à vos données personnelles, avec votre consentement. L’open data désigne des données publiques mises librement à disposition, comme les statistiques que la Banque de France publie sur son portail Webstat.
Qui contrôle les prestataires d’open banking ?
L’ACPR agrée ou enregistre les prestataires de paiement et d’information sur les comptes. La CNIL veille au respect du RGPD pour les données personnelles. Le registre Regafi permet de consulter le statut d’un prestataire.
La DSP3 est-elle déjà en vigueur ?
Pas à la date de rédaction. Un accord politique est intervenu en novembre 2025, mais l’adoption formelle restait à finaliser selon les sources européennes consultées. Seule la publication au Journal officiel de l’Union européenne fixera les dates d’application.
Sources
- ACPR (Banque de France) — définition des services d’information sur les comptes et d’initiation de paiement, statuts (agrément, enregistrement), vérification via Regafi et Orias
- EUR-Lex — directive (UE) 2015/2366 (DSP2) : articles sur l’accès aux comptes et le consentement explicite
- Conseil de l’UE et Parlement européen — communiqués de novembre 2025 sur l’accord relatif aux services de paiement ; Observatoire législatif du Parlement pour l’état de la procédure
- Commission européenne — cadre d’accès aux données financières (FIDA), proposition du 28 juin 2023
- CNIL et Banque de France — droits RGPD, portabilité ; contestation d’une opération non autorisée dans un délai de 13 mois
- CNIL : mots de passe, recommandations pour maîtriser sa sécurité — recommandations sur les mots de passe et l’authentification
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.