Collecter des données bancaires : ce que le RGPD impose à l'entreprise

Sommaire

Quelles données bancaires une entreprise peut-elle collecter ?

Sur quelle base légale fonder la collecte ?

Finalités admises : paie, prélèvement, paiement à distance

Durées de conservation des IBAN et numéros de carte

Mesures de sécurité attendues par la CNIL

Prestataires de paiement : qui est responsable de quoi ?

Sanctions et responsabilité en cas de fuite de données

FAQ

Pour aller plus loin

Un service RH qui saisit l'IBAN d'un salarié, une comptabilité qui enregistre un fournisseur et un site marchand qui encaisse une carte traitent la même catégorie d'informations. Collecter des données bancaires est licite si l'entreprise respecte 3 exigences du RGPD (Règlement général sur la protection des données) : une finalité justifiée, une sécurité adaptée et une conservation limitée. Leur respect est contrôlé par la CNIL (Commission nationale de l'informatique et des libertés).

Quelles données bancaires une entreprise peut-elle collecter ?

Une entreprise peut collecter les données bancaires strictement nécessaires à l'opération réalisée, et aucune autre. Ce principe de minimisation des données impose de définir les champs indispensables avant de concevoir un formulaire.

Ces données ne relèvent pas des données sensibles au sens du RGPD, catégorie qui vise notamment la santé. Les autorités de protection les traitent toutefois comme des données à risque élevé, car leur détournement expose directement à une fraude financière.

Sur quelle base légale fonder la collecte ?

Toute collecte de données bancaires repose sur l'une des bases légales prévues par le RGPD, choisie avant le début du traitement :

• Exécution d'un contrat : paiement d'une commande, versement du salaire, règlement d'une facture fournisseur.
• Obligation légale : conservation des pièces comptables, contrôles de lutte contre le blanchiment pour les entreprises assujetties.
• Intérêt légitime : détection de la fraude, après une mise en balance avec les droits des personnes.
• Consentement : enregistrement d'une carte pour faciliter des achats ultérieurs.

Ce choix conditionne les droits des personnes : un consentement se retire à tout moment, et la carte enregistrée doit alors pouvoir être supprimée depuis l'espace client. La CNIL recommande un consentement explicite pour conserver une carte après la transaction. La base retenue est consignée dans le registre des traitements, présenté en cas de contrôle.

La base légale retenue fixe ensuite la durée de conservation, les droits des personnes et le contenu des contrats prestataires.
Échanger avec un avocat spécialisé en protection des données

Finalités admises : paie, prélèvement, paiement à distance

La finalité est l'objectif précis de la collecte et borne l'usage de la donnée. Un IBAN recueilli pour la paie ne peut donc pas servir à la prospection commerciale.

La fraude au changement de coordonnées bancaires consiste à usurper l'identité d'un fournisseur pour faire modifier son IBAN. Cette fraude justifie de conserver l'historique des modifications et la trace des contre-appels de vérification.

Durées de conservation des IBAN et numéros de carte

Les données bancaires sont conservées le temps nécessaire à leur finalité, selon un cycle en 3 phases :

1. Base active : usage courant, comme la paie mensuelle ou un abonnement.
2. Archivage intermédiaire : accès restreint, pour une obligation légale ou un contentieux.
3. Suppression : effacement ou anonymisation à l'issue de l'archivage.

Pour une carte, la conservation après paiement se limite à la gestion des contestations, dans le délai prévu par le code monétaire et financier. L'IBAN d'un salarié reste actif pendant la relation de travail, puis rejoint l'archive le temps des obligations liées à la paie. Techniquement, cela suppose des purges automatiques, une archive séparée et la journalisation des suppressions.

Les durées de conservation se fixent traitement par traitement et se justifient dans le registre.
Faire relire sa politique de conservation par un avocat

Mesures de sécurité attendues par la CNIL

Le RGPD impose une sécurité adaptée au risque, que la CNIL précise dans ses guides. Pour des données bancaires, le socle attendu comprend :

• Chiffrement des données au repos et en transit.
• Tokenisation (tokenization) : remplacement du numéro de carte par un jeton inutilisable hors du système du prestataire.
• Masquage partiel de l'IBAN et du numéro de carte dans les interfaces métiers.
• Contrôle des accès réservé à la paie, la comptabilité et la trésorerie, avec authentification forte des administrateurs.
• Journalisation des consultations et des modifications.

Pour les cartes, la norme PCI DSS (Payment Card Industry Data Security Standard), référentiel de l'industrie des cartes de paiement, est imposée contractuellement aux commerçants. Confier la saisie et le stockage à un prestataire certifié réduit le périmètre à sécuriser. Une analyse d'impact relative à la protection des données (AIPD) peut aussi être exigée lorsque le traitement présente un risque élevé, par exemple à grande échelle.

Prestataires de paiement : qui est responsable de quoi ?

L'entreprise reste responsable de traitement des données qu'elle collecte, même lorsqu'elle en confie la gestion à un prestataire. Ce dernier agit comme sous-traitant lorsqu'il traite les données sur instruction de l'entreprise, comme un éditeur de logiciel de paie en SaaS.

La qualification d'un prestataire de services de paiement dépend toutefois des opérations. D'une part, il agit pour le compte du commerçant lorsqu'il héberge les cartes enregistrées. D'autre part, il est responsable de ses propres traitements lorsqu'il exécute ses obligations de lutte contre la fraude ou le blanchiment.

Le contrat de sous-traitance contient les clauses imposées par le RGPD :

• instructions documentées et confidentialité des personnes autorisées ;
• mesures de sécurité décrites et vérifiables ;
• encadrement des sous-traitants ultérieurs ;
• assistance en cas de violation ou d'exercice des droits ;
• sort des données en fin de contrat et droit d'audit.

La répartition des rôles entre l'entreprise et ses prestataires se fixe au moment de la négociation du contrat.
Faire auditer ses contrats prestataires

Sanctions et responsabilité en cas de fuite de données

Une fuite de données bancaires engage la responsabilité de l'entreprise sur les plans administratif, civil et pénal. Le responsable de traitement doit notifier cette violation de données à la CNIL dans le délai fixé par le RGPD, et informer les personnes lorsque le risque est élevé.

Sur le plan administratif, la CNIL peut prononcer une mise en demeure et une amende plafonnée en montant et en pourcentage du chiffre d'affaires annuel mondial. Sur le plan civil, toute personne qui subit un dommage matériel ou moral peut en demander réparation, y compris au sous-traitant défaillant. Sur le plan pénal, le code pénal sanctionne le traitement de données sans les mesures de sécurité requises.

L'entreprise doit donc démontrer sa conformité, selon le principe d'accountability (responsabilité documentée) : registre, AIPD, contrats prestataires et journaux techniques en constituent la preuve.

FAQ

Une entreprise peut-elle demander le RIB d'un salarié ?

Oui, l'employeur peut demander le RIB d'un salarié pour lui verser son salaire par virement. La collecte repose sur le contrat de travail. L'IBAN sert uniquement à la paie et aux remboursements de frais, avec un accès réservé au service concerné.

Peut-on conserver le cryptogramme visuel d'une carte ?

Non, le cryptogramme visuel ne doit jamais être conservé après la transaction. Il sert uniquement à valider le paiement. Les paiements récurrents ou en un clic s'appuient sur un jeton fourni par le prestataire de paiement.

Faut-il le consentement du client pour enregistrer sa carte ?

Oui, la CNIL recommande un consentement explicite pour conserver une carte au-delà de la transaction. Le client doit pouvoir retirer ce consentement et supprimer sa carte simplement. Un abonnement, en revanche, repose sur le contrat.

Un IBAN transmis par e-mail est-il suffisamment protégé ?

Non, un e-mail non chiffré n'offre pas une protection adaptée à des données bancaires. Un portail sécurisé est préférable. Toute modification d'IBAN fournisseur doit en outre être confirmée par un contre-appel à un contact connu.

Qui notifie une fuite de données : l'entreprise ou son prestataire ?

L'entreprise, en tant que responsable de traitement, notifie la violation à la CNIL. Le sous-traitant doit l'alerter sans délai et l'assister dans cette démarche. Le contrat de sous-traitance précise ces modalités.

Pour aller plus loin

Délibération n° 2018-303 portant recommandation sur la carte de paiement - Légifrance

Le paiement à distance par carte bancaire - CNIL

Guide pratique : les durées de conservation - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin, qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire, de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.