Banque & RGPD : maîtriser des traitements à fort enjeu

De quoi parle RGPD ?

Le RGPD impose une base légale, la minimisation, des durées de conservation limitées, la sécurité et la responsabilité. Dans la banque, plusieurs traitements reposent sur des obligations légales (KYC, LCB-FT) et d’autres sur l’exécution du contrat ou l’intérêt légitime.

Les décisions entièrement automatisées produisant des effets significatifs — comme un refus de crédit automatique — sont strictement encadrées : information spécifique et droit à une intervention humaine.

Le secteur « Banque » est-il concerné ?

Toutes les banques sont concernées comme responsables de traitement, à grande échelle. La sensibilité des finalités (crédit, fraude, LCB-FT) élève le niveau d’exigence, notamment sur le profilage et la sécurité.

Le secret bancaire s’ajoute au RGPD sans s’y substituer : les deux régimes coexistent.

Obligations détaillées

Sanctions & risques

Amendes jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial, auxquelles s’ajoutent les enjeux prudentiels et réputationnels propres au secteur. Le profilage et les décisions automatisées font l’objet d’une attention particulière des autorités.

Un manquement sur le scoring peut aussi révéler une non-conformité AI Act, les deux textes se cumulant.

Erreurs fréquentes dans le secteur

• 1Décisions automatisées non encadrées. Refuser un crédit de façon entièrement automatisée sans garanties.
• 2Bases légales floues. Ne pas documenter la base légale de chaque finalité.
• 3Conservation excessive. Conserver des données au-delà des durées justifiées.
• 4Cumul AI Act ignoré. Traiter le scoring sous le seul angle RGPD.

Cas pratique

Une banque met en place un refus de crédit automatique fondé sur un score. Le RGPD impose d’informer le demandeur de la logique du traitement et de lui offrir un droit à une intervention humaine. La banque ajoute une étape de réexamen humain sur demande et documente la base légale et la durée de conservation des données de scoring.

Feuille de route de mise en conformité

1. 1

   Cartographier. Recenser les traitements KYC, crédit, scoring, fraude et leurs bases légales.

2. 2

   Encadrer profilage et décisions. Documenter l’information et les garanties sur le profilage et les décisions automatisées.

3. 3

   Définir les durées. Fixer des durées de conservation par finalité.

4. 4

   Renforcer la sécurité. Aligner sécurité et traçabilité sur la sensibilité des données.

5. 5

   Outiller la notification. Mettre en place la procédure de notification des violations.

Questions fréquentes