Aller au contenu principal
Quelle Trésorerie

Connexion bancaire : ce qu’un agrégateur a le droit de lire

Pour qui : Vous dirigez une PME ou vous en tenez les finances. Un logiciel vous demande de connecter vos comptes et vous voulez savoir ce que vous ouvrez réellement.

Un agrégateur, ce prestataire qui collecte vos données bancaires pour votre logiciel, peut lire les comptes que vous lui désignez et leurs opérations, sur votre consentement explicite. À ce titre, il ne peut pas déplacer votre argent.

Le droit l’appelle prestataire de services d’information sur les comptes. Le cadre applicable au 5 novembre 2026 reste la DSP2, la directive européenne sur les services de paiement du 25 novembre 2015, et son règlement délégué 2018/389.

Acceptez donc la connexion en lecture si deux noms vous sont donnés, celui de l’agrégateur et celui de la société qui exploite vos données. Lisez les conditions de cette société avant de valider la connexion.

Notre avis

Connectez vos comptes pour une lecture si vous savez qui lit et pour quel usage. Le droit limite l’agrégateur aux comptes désignés et à leurs opérations ; relisez le contrat de l’éditeur pour la suite.

Pourquoi

  • La lecture repose sur votre consentement explicite et sur les comptes que vous désignez.
  • Le statut de lecture n’autorise pas à déplacer l’argent : l’ACPR, l’autorité française qui contrôle banques et prestataires de paiement, exige un autre statut pour initier un paiement.
  • Le risque qui reste se lit dans les conditions de l’éditeur, car c’est lui qui exploite vos données une fois lues.

Ce qui change le choix

L’outil propose aussi d’émettre des virements, ou ses conditions autorisent un usage commercial de vos données.

Sept règles, article par article

Ces règles encadrent l’agrégateur et la banque. Elles valent pour les comptes de paiement accessibles en ligne. La dispense d’authentification prend fin après 180 jours : il faut alors une revalidation, cette nouvelle authentification forte demandée à la banque. Notre page sur les 180 jours détaille cette échéance.

Ce qui encadre la lecture de vos comptes
SujetRègleTexte
ConsentementAucun service sans votre consentement expliciteDSP2, art. 67, 2, a
IdentifiantsAccessibles seulement à vous et à leur émetteurDSP2, art. 67, 2, b
ComptesSeulement les comptes désignés et leurs opérationsDSP2, art. 67, 2, d
Données sensiblesL’agrégateur ne demande pas de données de paiement sensibles, celles qui peuvent servir à une fraude, comme vos codesDSP2, art. 67, 2, e
UsagePas d’usage ni de stockage hors du service que vous avez demandéDSP2, art. 67, 2, f
Champ servi par la banqueLes mêmes informations que dans votre accès direct, hors données sensiblesRèglement 2018/389, art. 36, 1, a
HistoriqueSans nouvelle authentification forte, la dispense se limite au solde et aux opérations des 90 derniers joursRèglement 2018/389, art. 10 bis, 1

Le droit encadre l’agrégateur, le contrat encadre le logiciel

Le logiciel que vous achetez et l’agrégateur qu’il utilise peuvent être deux sociétés. Lisez donc ce que le logiciel prévoit pour vos données.

Les conditions de Bpifrance en ligne, version 42.3 du 5 novembre 2025, en donnent un exemple. Le service indique une connexion opérée par Bridge. Il prévoit aussi que le groupe Bpifrance accède aux données pour statuer sur vos demandes, personnaliser ses offres et améliorer ses services.

Notre lecture, qui reste une déduction : un tel usage n’a rien de caché, mais il change la décision si vous ne voulez pas qu’un financeur lise vos flux. Cherchez cette clause avant de connecter vos comptes.

Le cas où l’outil paie aussi

Émettre un virement relève de l’initiation de paiement, régie par l’article 66 de la DSP2. L’ACPR précise que le statut de simple lecture ne couvre pas ce service. Il faut un prestataire agréé ou un agent.

Des logiciels combinent les deux : Okimia, nouveau nom de Fygr, annonce des virements via EBICS TS, un échange de fichiers sous contrat avec votre banque, ici avec signature, en plus de ses connexions Powens et Bridge. Demandez alors deux réponses distinctes : qui peut lire, et qui peut signer.

Les limites de ce cadre

Un compte non accessible en ligne n’entre pas dans ce droit, comme le prévoit l’article 67, 1. Un compte qui n’est pas un compte de paiement n’y entre pas non plus : posez la question pour vos comptes à terme.

La banque peut refuser l’accès à un agrégateur pour des raisons motivées et documentées de fraude ou d’accès non autorisé, selon l’article 68, 5. Elle vous en informe.

La DSP3 et le règlement sur les services de paiement ne s’appliquent pas encore. Le Conseil a adopté sa position le 29 octobre 2026 et nous n’avons trouvé ni approbation du Parlement en seconde lecture ni publication au Journal officiel.

Limites de cette page

Le texte lu est la directive d’origine : les articles français de transposition n’ont pas été relus ligne à ligne. Nous n’avons pas tranché si un éditeur passant par un agrégateur tiers doit détenir lui-même un statut. Posez la question à l’éditeur et consultez le registre.

Prochaine action

Avant de connecter un compte, demandez par écrit le nom de l’agrégateur et le statut de l’éditeur. Relisez la clause d’usage des données. Si l’outil émet aussi des paiements, séparez les droits de lecture et de signature avant toute activation.

Preuves et sources

Lu le 5 novembre 2026 : directive (UE) 2015/2366 dite DSP2, règlement délégué 2018/389 consolidé, pages de l’ACPR sur le statut des prestataires, conditions générales de Bpifrance en ligne, position du Conseil sur le futur règlement.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. Selon l’article 67, 2 de la directive (UE) 2015/2366, le prestataire d’information sur les comptes agit sur consentement explicite, accède seulement aux comptes désignés et aux opérations associées, ne demande pas de données de paiement sensibles et n’utilise pas les données à d’autres fins que le service expressément demandé. Selon l’article 4, 32, les données de paiement sensibles sont celles, données de sécurité personnalisées comprises, qui peuvent servir à une fraude.

    Portée : Comptes de paiement accessibles en ligne, en vigueur au 5 novembre 2026

    Réserve : Texte d’origine lu ; transposition française non relue ligne à ligne.

  • Fait lu. L’article 36, 1, a du règlement délégué 2018/389 impose à la banque de fournir à l’agrégateur les mêmes informations que dans l’accès direct de l’utilisateur, hors données de paiement sensibles.

    Portée : Consolidation du 12 septembre 2023

    Réserve : Parité de champ, sans garantie sur la qualité des libellés.

  • Fait lu. Selon l’ACPR, un outil qui initie des paiements a besoin d’un statut de prestataire de services de paiement agréé ou d’agent, et le statut de prestataire d’information sur les comptes ne couvre pas ce service.

    Portée : France, page lue le 5 novembre 2026 pour le registre

    Réserve : Page non consultable le 5 novembre 2026 lors de la relecture ; lecture consignée au registre.

  • Fait lu. Les conditions de Bpifrance en ligne, version 42.3 du 5 novembre 2025, prévoient un accès du groupe Bpifrance aux données pour statuer sur les demandes, personnaliser ses offres et améliorer ses services, et le service indique une connexion opérée par Bridge.

    Portée : Bpifrance en ligne

    Réserve : Version lue à relire avant toute connexion.

  • Notre calcul ou déduction. Une clause d’usage des données par l’éditeur peut changer la décision de connecter ses comptes, même si l’agrégateur respecte l’article 67.

    Portée : Lecture éditoriale

    Réserve : Déduction, sans qualification juridique de la clause lue.

  • Déclaration de l’éditeur. Okimia annonce des virements via EBICS TS et nomme Powens et Bridge pour ses connexions bancaires.

    Portée : Okimia, pages lues le 5 novembre 2026

    Réserve : Disponibilité par plan à confirmer.

  • Fait lu. L’article 67, 1 de la DSP2 exclut un compte non accessible en ligne, et l’article 68, 5 permet à la banque de refuser l’accès à un agrégateur pour des raisons objectivement motivées et documentées de fraude ou d’accès non autorisé, en informant le payeur. Selon la définition de l’article 4, 16, le service porte sur des comptes de paiement.

    Portée : DSP2

    Réserve : Exception de sécurité à l’information du payeur.

  • Fait lu. Le Conseil a adopté sa position en première lecture sur le règlement services de paiement le 29 octobre 2026 ; au 5 novembre 2026, ni approbation du Parlement en seconde lecture ni publication au Journal officiel n’ont été trouvées, et la DSP2 reste applicable.

    Portée : État au 5 novembre 2026

    Réserve : Train législatif daté du 25 octobre 2026 ; à revérifier à la publication.

  • Notre avis. Acceptez une connexion en lecture si l’agrégateur et l’exploitant des données sont nommés et si les conditions d’usage vous conviennent.

    Portée : PME

    Réserve : Avis de la rédaction, sans conseil individuel.

    Daté du 5 novembre 2026.

  • Fait lu. Selon l’article 10 bis, 1 et 2 du règlement délégué 2018/389, la dispense d’authentification forte se limite au solde et aux opérations des 90 derniers jours, et prend fin au premier accès par cet agrégateur et quand plus de 180 jours se sont écoulés.

    Portée : Depuis le 25 juillet 2023

    Réserve : Exceptions aux paragraphes 3 et 4.