Les coordonnées bancaires (IBAN, BIC, numéro de carte) sont des données personnelles au sens du RGPD, mais elles n’entrent pas dans la catégorie juridique des « données sensibles » définie par l’article 9 du règlement européen. Cette distinction, souvent mal comprise, a des conséquences directes sur le niveau de protection exigé des organismes qui les collectent et sur les recours disponibles en cas de fuite.
Article 9 du RGPD et coordonnées bancaires : une exclusion qui pose question
L’article 9 du RGPD réserve la qualification de « données sensibles » à des catégories précises : opinions politiques, convictions religieuses, appartenance syndicale, données biométriques, données de santé, orientation sexuelle. Les données bancaires et financières ne figurent pas dans cette liste.
A lire également : Comment faire pour débloquer les publicités ?
Cette exclusion repose sur un raisonnement historique. Le législateur européen a construit l’article 9 autour de données susceptibles de révéler des caractéristiques identitaires ou intimes, sources de discrimination directe. Un IBAN, pris isolément, ne révèle ni l’état de santé ni les convictions d’une personne.
Le problème est que cette grille d’analyse ignore la sensibilité fonctionnelle des données bancaires. Un IBAN volé, combiné à un nom et une adresse, permet d’établir un faux mandat de prélèvement SEPA, de souscrire un service à l’insu du titulaire ou de crédibiliser une usurpation d’identité. Les conséquences patrimoniales peuvent être lourdes, même si le mécanisme de fraude diffère d’une atteinte à la vie privée au sens classique.
A voir aussi : Quel est l'intérêt de l'algorithme ?
La sanction prononcée contre FREE et FREE Mobile, d’un montant cumulé de 42 millions d’euros, illustre cette tension. La CNIL a sanctionné des manquements à la sécurité des données et à leur archivage, alors même que les IBAN des abonnés concernés restaient accessibles sur le darkweb. L’autorité reconnaît de facto qu’une fuite d’IBAN constitue un risque grave, sans pour autant requalifier ces données en « données sensibles » au sens de l’article 9.
Risques réels d’une fuite d’IBAN : prélèvements frauduleux et usurpation
Contrairement à une idée répandue, la fuite d’un IBAN ne permet pas de vider un compte bancaire directement. L’IBAN ne donne accès ni à l’interface de connexion de la banque, ni à la possibilité d’émettre un virement sortant. Le risque se situe ailleurs.
La fraude à l’IBAN évolue vers le détournement de prélèvements. Selon le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement, la part des fraudes au prélèvement reposant sur l’usurpation d’un IBAN et la création d’un mandat au nom d’un tiers progresse fortement. Le scénario type fonctionne ainsi :
- Un fraudeur récupère l’IBAN d’une victime (via une fuite, un faux formulaire ou un document intercepté) et le combine avec des informations d’identité
- Il établit un mandat de prélèvement SEPA auprès d’un créancier, en se faisant passer pour le titulaire du compte
- Des prélèvements sont émis sur le compte de la victime, parfois pour de faibles montants initiaux afin de retarder la détection
Le droit prévoit deux régimes de contestation distincts. Un prélèvement autorisé par un mandat valide peut être contesté dans un délai de huit semaines. Un prélèvement non autorisé peut être signalé jusqu’à treize mois après le débit. La banque est tenue de rembourser, sauf si elle démontre une négligence grave du client.
Obligations de protection des banques et responsabilité des organismes collecteurs
Même si les coordonnées bancaires ne relèvent pas de l’article 9, la CNIL impose des obligations de sécurité renforcées aux organismes qui les traitent. Nous constatons que la position de l’autorité s’est durcie ces dernières années, avec des sanctions significatives pour des défauts de chiffrement, des durées de conservation excessives ou des accès insuffisamment restreints.
Ce que la CNIL attend concrètement
La CNIL considère les données bancaires comme des données à caractère hautement personnel, une catégorie intermédiaire qui, sans atteindre le statut de l’article 9, justifie des mesures de sécurité supérieures au traitement standard. Cette qualification entraîne des exigences précises :
- Chiffrement des données bancaires au repos et en transit, avec des algorithmes conformes aux recommandations de l’ANSSI
- Limitation stricte de l’accès aux personnels habilités, avec traçabilité des consultations
- Purge des données bancaires dès que la finalité du traitement est atteinte (fin de contrat, expiration de la transaction)
- Notification à la CNIL et aux personnes concernées en cas de violation présentant un risque élevé
Pour les banques elles-mêmes, le secret bancaire (article L. 511-33 du Code monétaire et financier) ajoute une couche de protection spécifique. Toute divulgation d’informations relatives aux comptes d’un client à un tiers non autorisé constitue une infraction, indépendamment du RGPD.
Transmission d’un RIB ou d’un IBAN : ce qui est risqué et ce qui ne l’est pas
Transmettre un RIB à un employeur, un notaire ou un organisme de prestations sociales reste une opération courante et à faible risque. Le RIB est conçu pour recevoir des virements entrants, pas pour autoriser des sorties de fonds.
Le risque augmente lorsque l’IBAN circule dans un contexte non maîtrisé : petites annonces, formulaires en ligne douteux, échanges par messagerie non chiffrée. Le danger ne vient pas de l’IBAN seul mais de son association avec d’autres données d’identité (nom, adresse, date de naissance, copie de pièce d’identité). C’est cette combinaison qui permet l’établissement d’un faux mandat.
Pour le numéro de carte bancaire, la situation est différente. Le triptyque numéro de carte, date d’expiration et cryptogramme visuel suffit à réaliser un achat en ligne. La directive DSP2 impose désormais une authentification forte pour la majorité des paiements à distance, mais des exemptions existent pour les transactions de faible montant ou les bénéficiaires de confiance.
La qualification juridique des coordonnées bancaires reste en décalage avec leur sensibilité pratique. Nous anticipons que la pression des fuites massives et l’évolution des techniques de fraude pousseront à une révision de la classification, comme le suggèrent plusieurs analyses juridiques récentes. En attendant, la protection effective repose davantage sur les obligations de sécurité imposées par la CNIL que sur le statut formel de l’article 9.
