Les données bancaires regroupent toutes les informations qui permettent d’identifier un compte ou un moyen de paiement, puis d’en suivre l’usage : IBAN, numéro de carte, date d’expiration, cryptogramme, soldes et historique des opérations. Ce sont des données personnelles au sens du RGPD dès qu’elles se rattachent à une personne. En revanche, elles ne figurent pas dans la liste des données sensibles. Toutefois, leur usage frauduleux cause un préjudice direct, d’où des règles de conservation strictes.
Donnée bancaire : définition et règles de conservation
D’abord, le statut. La CNIL réserve la catégorie des données sensibles à l’origine raciale ou ethnique, aux opinions politiques, aux convictions religieuses ou philosophiques, à l’appartenance syndicale, aux données génétiques, biométriques, de santé et à la vie sexuelle. Par conséquent, une donnée bancaire n’en fait pas partie. Elle reste toutefois protégée par le RGPD, par le secret bancaire et par les règles du code monétaire et financier.
Combien de temps un commerçant garde vos données bancaires
Pour un paiement à distance, la CNIL limite les données nécessaires au numéro de carte, à la date d’expiration et au cryptogramme visuel. Par défaut, elles ne sont pas conservées au-delà de la transaction. En effet, la durée dépend de la finalité :
- Paiement unique : jusqu’au paiement complet et à la livraison, augmenté du délai de rétractation.
- Gestion des réclamations : 13 mois après la date de débit, ou 15 mois pour une carte à débit différé, en archive intermédiaire.
- Achats ultérieurs facilités : jusqu’au retrait de votre consentement ou à l’expiration de la carte.
- Cryptogramme : conservation interdite après la première transaction, dans tous les cas.
Ainsi, un site qui garde votre carte « pour la prochaine fois » doit recueillir votre accord par une case non pré-cochée. L’acceptation des conditions générales ne suffit pas. De plus, la CNIL recommande d’informer le titulaire de toute compromission de ses données bancaires, afin qu’il fasse opposition ou conteste les paiements frauduleux.
En pratique, une fuite de données bancaires se traite comme toute violation de données personnelles : notification à la CNIL sous 72 heures si un risque existe, et information des clients si ce risque est élevé. Pour l’organisation d’ensemble, notre guide de mise en conformité RGPD détaille la méthode.
Le secteur bancaire est l’un des plus encadrés en matière de protection des données personnelles. Les banques collectent et conservent des informations financières détaillées sur des millions de clients : comptes, transactions, crédits, épargne, investissements. Le RGPD s’ajoute aux réglementations sectorielles existantes (secret bancaire, LCB-FT, DSP2) pour former un cadre de conformité exigeant.
Les données personnelles traitées par les banques
Les établissements bancaires traitent un volume considérable de données personnelles. Ainsi, les données d’identité et de vérification KYC comprennent les pièces d’identité, les justificatifs de domicile et de revenus. De plus, les données financières englobent les soldes de comptes, les historiques de transactions, les crédits en cours, l’épargne et les investissements. Enfin, les données comportementales incluent les habitudes de dépense, les canaux utilisés et les interactions avec le service client.
Les banques en ligne et les applications mobiles collectent des données supplémentaires : données de géolocalisation, identifiants biométriques (empreinte digitale, reconnaissance faciale), données de connexion et habitudes d’utilisation. Chaque catégorie de données nécessite une base légale spécifique et des mesures de protection adaptées.
Secret bancaire et RGPD
Le secret bancaire, prévu par le code monétaire et financier, protège la confidentialité des informations détenues par les banques sur leurs clients. Ce secret professionnel converge avec les objectifs du RGPD mais ne s’y substitue pas. Les clients disposent de droits spécifiques au titre du RGPD qui s’ajoutent aux protections du secret bancaire.
Le droit d’accès prévu par le RGPD permet aux clients d’obtenir une copie de l’ensemble des données les concernant. Ce droit va au-delà du relève de compte et inclut les notes internes, les scores de crédit et les profils marketing. Les banques doivent être en mesure de répondre à ces demandes dans un délai d’un mois.
Scoring bancaire et décisions automatisées
Les banques utilisent des systèmes de scoring pour évaluer la solvabilité des demandeurs de crédit, détecter les fraudes et personnaliser les offres commerciales. Ces traitements automatisés sont soumis à l’article 22 du RGPD lorsqu’ils produisent des effets significatifs sur les personnes concernées.
Un refus de crédit fondé exclusivement sur un scoring automatisé doit pouvoir être contesté. Le client a le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. Les banques doivent documenter la logique de leurs algorithmes et garantir l’absence de discrimination.
Open banking et partage de données
La directive DSP2 a ouvert les données bancaires à des tiers autorisés (agregatateurs de comptes, initiateurs de paiement). Ce partage de données doit s’articuler avec le RGPD : le consentement du client est requis, l’accès est limité aux données nécessaires et la sécurité des API doit être garantie.
Les banques doivent informer leurs clients de manière claire sur les implications du partage de leurs données avec des tiers, les risques potentiels et les moyens de révoquer leur consentement. La concurrence entre les acteurs traditionnels et les fintechs se joue aussi sur le terrain de la confiance et de la protection des données.
Marketing bancaire et profilage
Les banques disposent d’une connaissance approfondie de leurs clients grâce aux données de transactions. L’exploitation de ces données à des fins de marketing (offres personnalisées, ciblage publicitaire) doit respecter le RGPD. Le profilage à des fins commerciales nécessite une information transparente et un droit d’opposition effectif.
La prospection commerciale par voie électronique est soumise au consentement préalable pour les non-clients et à l’intérêt légitime (avec opt-out) pour les clients existants, dans les limites des produits et services similaires. Les banques doivent segmenter leurs bases de données et respecter les préférences de communication de chaque client.
Conservation des données bancaires
Les durées de conservation dans le secteur bancaire sont encadrées par de nombreux textes : code monétaire et financier, code de commerce, code général des impôts, réglementation LCB-FT. Les données de comptes et de transactions sont généralement conservées pendant la durée de la relation bancaire plus cinq à dix ans selon leur nature. Les documents KYC sont conservés cinq ans après la fin de la relation.
Les enjeux à venir pour le secteur bancaire
Le secteur bancaire fait face à des enjeux croissants en matière de protection des données : intelligence artificielle pour le crédit scoring et la détection de fraude, biométrie pour l’authentification, blockchain pour les paiements, et exploitation des données comportementales. Chaque innovation doit être évaluée au regard du RGPD avant son déploiement. Les banques qui intègrent la protection des données dans leur stratégie d’innovation se positionnent comme des acteurs de confiance dans un marché en pleine transformation.
Sources
CNIL, recommandation issue de la délibération n° 2018-303 : Le paiement à distance par carte bancaire.
CNIL, définition : Donnée sensible.
