Vous avez déjà connecté votre compte à une application de budget, réglé un achat par virement sans saisir le moindre IBAN, ou autorisé un organisme de crédit à consulter vos relevés ? Sans forcément le savoir, vous avez utilisé l’open banking. Derrière l’anglicisme se cache un principe simple : avec votre accord, un prestataire autorisé peut lire certaines données de votre compte ou y préparer un paiement. Voici comment cela fonctionne, quelles garanties vous protègent et ce que la réforme européenne en cours va changer.
Contenus
L’open banking, de quoi parle-t-on ?
L’open banking, ou « banque ouverte », désigne le partage des données de votre compte de paiement avec des entreprises tierces, à votre demande. Il est encadré par la deuxième directive européenne sur les services de paiement, la DSP2, appliquée en France depuis janvier 2018. Ses exigences techniques, notamment l’authentification forte et les interfaces sécurisées entre banques et prestataires, s’imposent depuis septembre 2019.
Concrètement, votre banque ne peut plus garder vos données pour elle seule : si vous le demandez, elle doit laisser un prestataire autorisé y accéder, par une interface dédiée appelée API. « Ouvert » ne veut pas dire public pour autant. Rien ne circule sans votre consentement, et uniquement vers des acteurs contrôlés.
Deux services que vous utilisez peut-être déjà
L’agrégation de comptes permet à une application de consulter vos soldes et l’historique de vos opérations, en lecture seule. C’est le principe d’un agrégateur de comptes bancaires, qui rassemble plusieurs banques dans une même interface et catégorise vos dépenses. Le même mécanisme sert à d’autres usages, comme les services permettant d’utiliser ses titres-restaurant sur sa carte bancaire personnelle en repérant les dépenses éligibles sur votre compte.
L’initiation de paiement permet à un tiers de préparer un virement depuis votre compte, que vous validez ensuite dans l’application de votre banque. On la croise sur certains sites marchands ou pour alimenter un compte d’investissement. L’avantage : pas d’IBAN à recopier ni de numéro de carte à saisir. Mais il s’agit bien d’un virement, souvent instantané, donc difficile à rattraper une fois parti : vérifiez bénéficiaire et montant avant de valider, et gardez en tête les contrôles que votre banque doit réaliser avant un virement instantané.
Un troisième usage se développe : le crédit. De plus en plus de prêteurs proposent de consulter directement vos comptes pour vérifier vos revenus et vos charges, plutôt que de réclamer des relevés. La tendance devrait s’accélérer avec la réforme du mini-crédit et du paiement en plusieurs fois, applicable au 20 novembre 2026, qui rend la vérification de solvabilité plus systématique. Ce n’est pas une obligation légale : si la démarche vous gêne, demandez si l’organisme accepte des justificatifs classiques.
Est-ce sûr ? Les garanties qui vous protègent
Les prestataires d’open banking exercent une activité réglementée. Pour proposer leurs services en France, ils doivent être agréés ou enregistrés auprès de l’Autorité de contrôle prudentiel et de résolution (ACPR), ou autorisés dans un autre pays de l’Union. Le registre REGAFI permet de le vérifier gratuitement avant de connecter vos comptes.
- Vous validez chaque accès avec l’authentification forte de votre banque ; pour un agrégateur, l’accès doit être reconfirmé au moins tous les 180 jours.
- Un service d’agrégation ne peut pas déplacer d’argent : il lit, il ne paie pas.
- Vous pouvez retirer votre accord à tout moment, en déconnectant votre banque dans l’application concernée.
- Si un paiement non autorisé passe par un prestataire tiers, c’est votre banque qui vous rembourse, à charge pour elle de se retourner ensuite contre lui.
Cette dernière protection vaut pour les opérations que vous n’avez pas autorisées. Si vous avez vous-même validé un virement au profit d’un escroc, la situation est différente, comme l’explique notre article sur les arnaques sur Leboncoin ou Vinted. Le principal risque vient d’ailleurs des imitations : faux sites qui copient l’écran d’un agrégateur ou d’un paiement pour récupérer vos codes. Un prestataire légitime ne vous demande jamais de lui transmettre, par téléphone ou par message, un code de validation reçu de votre banque.
Ce que la réforme européenne va changer
La DSP2 va être remplacée par deux textes : une directive, la DSP3, et un règlement directement applicable dans toute l’Union, le PSR. Leur contenu est arrêté depuis le printemps 2026 et le Conseil de l’Union européenne les a adoptés fin octobre ; restent le vote final du Parlement européen et la publication au Journal officiel. Les nouvelles règles s’appliqueront environ 21 mois plus tard, soit pas avant 2028. D’ici là, la DSP2 reste la référence.
Pour vous, deux changements se dessinent :
- un tableau de bord intégré à votre espace bancaire, pour voir quels prestataires accèdent à vos comptes, dans quel but et pour combien de temps, et retirer un accès directement ;
- des connexions plus fiables, la réforme dressant une liste de pratiques interdites aux banques lorsqu’elles freinent sans raison l’accès des prestataires autorisés.
L’open finance, qui devait étendre ce partage à l’épargne, à l’assurance ou au crédit immobilier, n’est en revanche pas pour demain : début novembre 2026, la Commission européenne a annoncé son intention de retirer le projet de règlement correspondant, faute d’accord entre le Parlement et les États membres.
Questions fréquentes
L’open banking est-il obligatoire ?
Non. Aucune donnée n’est partagée sans votre demande. Si vous n’utilisez aucun service tiers, rien ne change pour votre compte.
Une application de budget peut-elle faire des virements à ma place ?
Pas si elle se limite à l’agrégation : elle consulte vos comptes sans pouvoir les débiter. Seule l’initiation de paiement permet de préparer un virement, et chaque opération doit être validée par vous auprès de votre banque.
Comment couper l’accès d’une application à mon compte ?
Déconnectez votre banque dans les paramètres de l’application, puis supprimez votre compte si vous ne l’utilisez plus. Vous pouvez aussi demander l’effacement de vos données au titre du RGPD. À terme, le tableau de bord prévu par la réforme permettra de le faire depuis votre banque.
Ma banque peut-elle bloquer un prestataire que j’ai autorisé ?
Seulement pour des raisons objectives et justifiées, liées à un soupçon d’accès frauduleux ou non autorisé. Elle doit alors vous en informer, en principe avant le blocage ou au plus tard juste après.