Quand on connecte son compte bancaire à une application de budget, on a souvent en tête le solde et la liste des dernières opérations. En réalité, l’accès accordé va plus loin, et je pense qu’il vaut mieux le savoir avant de cocher la case de consentement que de le découvrir après. Voici, sans dramatiser, ce que ce type de service voit réellement et sur quel cadre juridique il s’appuie.
Le cadre légal derrière l’agrégation
Ces applications, appelées agrégateurs bancaires, ne piratent rien : elles s’appuient sur un cadre européen précis, la directive DSP2 sur les services de paiement, qui a ouvert la voie à ce qu’on appelle l’open banking. Ce texte oblige les banques à donner accès aux données de compte à des tiers, à condition que ces tiers soient dûment agréés et que le client ait donné son consentement explicite. En France, cet agrément est délivré et contrôlé par l’ACPR, l’Autorité de contrôle prudentiel et de résolution. Avant d’utiliser un service d’agrégation, il est raisonnable de vérifier qu’il figure bien parmi les acteurs agréés, une information généralement accessible sur le site de l’ACPR.
Ce que le consentement autorise concrètement
En acceptant de relier un compte, vous autorisez l’application à consulter régulièrement vos données de transaction : montants, dates, libellés des opérations, et parfois le solde en temps réel de plusieurs comptes si vous en avez relié plusieurs. C’est cette lecture détaillée qui permet à l’application de classer vos dépenses par catégorie et de construire des graphiques. L’accès porte sur la consultation, pas sur la capacité d’effectuer des opérations à votre place, sauf si vous avez explicitement activé une fonctionnalité d’initiation de paiement, qui relève d’un consentement distinct.
La sécurité technique du transfert
Les échanges entre votre banque et un agrégateur agréé passent par des canaux chiffrés, encadrés par les exigences techniques de la DSP2 elle-même, plutôt que par la transmission classique d’un identifiant et d’un mot de passe à un tiers, comme cela pouvait exister avant la mise en place de ce cadre. Cela ne signifie pas qu’aucun risque n’existe, mais que le chiffrement et l’agrément constituent des garde-fous vérifiables, à la différence d’un service qui demanderait vos identifiants bancaires en dehors de ce cadre réglementé.
La question de la revente de données agrégées
C’est le point le moins visible pour l’utilisateur : certains modèles économiques d’agrégateurs reposent en partie sur l’exploitation de données agrégées et anonymisées, c’est-à-dire des tendances statistiques construites à partir de nombreux comptes, et non la revente de vos données personnelles identifiables. La distinction entre donnée anonymisée et donnée personnelle est précisément ce que la réglementation encadre. Je ne prétends pas ici juger telle ou telle pratique commerciale : je vous invite simplement à lire les conditions d’utilisation et la politique de confidentialité du service avant de connecter un compte, ce sont elles qui détaillent l’usage exact fait des données.
Reprendre la main : un consentement révocable
Le consentement donné à un agrégateur n’est jamais définitif. Vous pouvez le retirer à tout moment, généralement de deux façons : directement depuis l’application concernée, dans les paramètres liés à la connexion bancaire, ou depuis l’espace en ligne de votre propre banque, qui liste en principe les tiers autorisés à accéder à vos comptes. Retirer l’accès coupe la synchronisation, sans affecter votre compte bancaire lui-même.
Mon conseil
Avant de relier un compte, vérifiez l’agrément ACPR du service, lisez ce que dit sa politique de confidentialité sur l’usage des données, et repérez dès le départ où se trouve le bouton de révocation. Pour toute question précise sur vos droits en matière de données personnelles, la CNIL reste l’interlocuteur de référence en France.
