Ce que votre banque sait de vos dépenses, et ce qu’elle a le droit d’en faire

Un samedi matin, en ouvrant son application bancaire, Claire découvre une catégorie qu’elle n’avait jamais vraiment regardée : « Restaurants et sorties ». Le montant du mois la surprend, moins parce qu’il est énorme que parce qu’il raconte quelque chose d’elle. Les déjeuners pris entre deux rendez-vous, le café acheté à la gare, ce dîner improvisé après une semaine compliquée : tout est là, rangé, additionné, presque interprété. Nous connaissons tous ce moment où un relevé bancaire semble en savoir un peu trop sur notre quotidien. Une banque ne voit pas vos pensées, ni le contenu de votre panier. Elle voit pourtant des traces précises, répétées, parfois très intimes. Et cette connaissance a des limites juridiques.

Votre relevé bancaire raconte bien plus qu’un simple solde

Chaque paiement par carte, prélèvement, virement ou retrait laisse une ligne dans les systèmes de la banque : date, montant, bénéficiaire, moyen de paiement, parfois localisation ou libellé détaillé. À partir de ces éléments, elle peut repérer vos habitudes : le loyer qui tombe le 3 du mois, l’abonnement à une salle de sport, les achats chez le pharmacien, les vacances réservées en ligne. Les données de transaction dessinent un portrait de consommation étonnamment fidèle, même sans entrer dans le détail de chaque produit acheté.

Un paiement de 48 euros dans une enseigne connue n’a pas le même sens qu’un achat dans une librairie, une clinique, un site de rencontres ou une association militante. La banque ne reçoit pas forcément la liste des articles placés dans un caddie, mais le nom du commerçant peut suffire à suggérer une situation familiale, une conviction, un problème de santé ou une période difficile. En 2023, la CNIL a d’ailleurs rappelé que les données bancaires, croisées avec d’autres informations, peuvent révéler des éléments très personnels. C’est discret. Et cela mérite d’être regardé de près.

La bonne nouvelle, c’est qu’une banque ne peut pas faire n’importe quoi avec ce qu’elle observe. Le RGPD impose une finalité claire : gérer le compte, sécuriser les opérations, lutter contre la fraude, respecter les règles contre le blanchiment ou proposer un service auquel le client a réellement consenti. Elle peut analyser certaines opérations pour détecter un paiement inhabituel ou empêcher une escroquerie. Elle ne peut pas transformer librement votre vie quotidienne en produit commercial. Un relevé bancaire n’est pas un carnet intime mis à disposition du marché.

Ce que votre banque peut utiliser, et ce qui demande votre accord

Commencez par ouvrir les réglages de confidentialité de votre espace client, puis relisez les préférences de prospection : e-mails, SMS, appels, notifications dans l’application. Une banque peut vous adresser des offres pour ses propres produits dans certaines conditions, notamment quand cela repose sur son intérêt légitime et que vous pouvez vous y opposer facilement. Pour des usages plus larges, comme le partage avec des partenaires ou certaines formes de ciblage, votre accord doit être demandé de façon claire. Ne cochez pas machinalement : quelques secondes suffisent à limiter les sollicitations.

L’erreur fréquente consiste à croire que refuser la publicité revient à bloquer le fonctionnement du compte. Ce n’est pas le cas. Vous pouvez vous opposer à la prospection commerciale tout en conservant vos services bancaires, votre carte et vos virements. Soyons honnêtes : personne ne fait vraiment cela tous les jours, surtout quand les écrans de consentement apparaissent entre deux notifications. Pourtant, vérifier une fois par an ses choix peut éviter cette impression étrange de recevoir une offre de crédit juste après une série de dépenses imprévues.

Vos droits ne s’arrêtent pas au bouton « se désabonner ». Vous pouvez demander à connaître les données détenues sur vous, comprendre leur usage, faire rectifier une erreur ou contester certains traitements. Une banque doit aussi expliquer, dans des termes compréhensibles, la logique générale d’une décision largement automatisée lorsqu’elle produit des effets significatifs, par exemple dans un dossier de crédit.

« La donnée personnelle n’est pas la propriété de l’entreprise qui la collecte : elle reste liée à la personne qu’elle décrit. »

• Demandez une copie de vos données personnelles auprès du délégué à la protection des données de votre banque.
• Opposez-vous à la prospection commerciale depuis votre application ou par écrit.
• Conservez une trace de vos demandes et des réponses reçues.
• Saisissez la CNIL si la réponse est absente, floue ou manifestement insuffisante.

Fraude, crédit, conservation : les zones où la banque garde la main

Il existe des situations où votre consentement n’est pas nécessaire. La banque doit surveiller des opérations inhabituelles pour prévenir la fraude et respecter ses obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme. Un virement atypique, une entrée d’argent inhabituelle ou des retraits répétés peuvent déclencher une vérification. Cela peut être agaçant, surtout quand un paiement est bloqué au mauvais moment, mais cette surveillance répond aussi à des obligations légales très strictes. La confidentialité bancaire n’efface pas ces contrôles.

La conservation des données obéit elle aussi à des règles précises. Les établissements doivent garder certains documents et éléments de preuve pendant plusieurs années, notamment pour répondre à un litige, à un contrôle fiscal ou à une obligation de vigilance. Cela ne signifie pas qu’ils peuvent conserver indéfiniment toutes vos informations pour vous vendre des produits. La durée dépend de la nature de la donnée et de l’objectif poursuivi. Si votre compte est clôturé, demandez quelles informations restent archivées, pendant combien de temps et pour quelle raison.

Le sujet devient plus sensible lorsqu’une analyse de compte intervient dans l’accès au crédit. Des revenus irréguliers, des incidents de paiement ou un découvert récurrent peuvent influencer l’évaluation du risque, ce qui relève de l’activité bancaire. Mais une décision ne devrait jamais ressembler à une boîte noire inaccessible. Vous avez le droit de demander des explications, de fournir un contexte et, dans certains cas, de solliciter une intervention humaine. Un algorithme n’a pas à avoir le dernier mot sans recours.