Droit d’accès RGPD aux données bancaires : distinction entre copie gratuite et duplicata contractuel payant

L’article 15, paragraphe 3, du RGPD impose au responsable du traitement de fournir une copie des données personnelles faisant l’objet d’un traitement. Cette copie doit être fournie gratuitement, les frais raisonnables ne pouvant concerner qu’une copie supplémentaire et être fondés sur les coûts administratifs. Lorsque la demande est électronique, les informations sont fournies sous une forme électronique d’usage courant, sauf demande contraire.

La décision distingue l’exercice du droit d’accès aux données personnelles de l’obtention de duplicatas de documents bancaires relatifs au fonctionnement d’un compte. Lorsque la banque permet l’accès à l’ensemble des données personnelles, notamment par téléchargement dans un espace client, le paiement éventuellement demandé pour l’envoi de duplicatas relève des stipulations contractuelles et tarifaires. Il ne caractérise pas une atteinte au droit d’accès garanti par l’article 15 du RGPD.

La CNIL peut donc clôturer une plainte lorsqu’elle constate que l’établissement n’a pas fait obstacle à l’accès aux données et que la demande porte en réalité sur des documents contractuels ou des duplicatas. Un différend de nature contractuelle avec la banque ne relève pas de sa compétence au titre du droit d’accès prévu par le RGPD. L’absence d’erreur de droit justifie le rejet du recours contre la clôture, ainsi que celui des conclusions à fin d’injonction.

⬇️Télécharger la décision version officielle

Une cliente d’Oney Bank sollicitait des relevés détaillés, des mouvements de fonds, des soldes et des documents contractuels. La CNIL a estimé que son droit d’accès aux données personnelles n’avait pas été empêché et que sa demande portait principalement sur des duplicatas de documents. Le Conseil d’État a rejeté son recours contre la clôture de la plainte.

Une cliente de Oney Bank a demandé à son établissement bancaire les relevés détaillés de comptes liés à des crédits renouvelables, avec les mouvements de fonds et les soldes, ainsi que les documents contractuels applicables.

Estimant les réponses de la banque insuffisantes, elle a saisi la CNIL afin de faire respecter son droit d’accès aux données personnelles prévu par l’article 15 du RGPD. La banque lui avait proposé soit de télécharger l’ensemble des données personnelles dans son espace client, soit de recevoir des duplicatas contre paiement selon les tarifs communiqués.

La CNIL a clôturé la plainte, considérant que l’accès aux données personnelles n’avait pas été empêché et que la demande portait en réalité sur des duplicatas de documents relatifs au fonctionnement des comptes. La cliente a demandé l’annulation de cette décision et une injonction à la CNIL. Le Conseil d’État rejette le recours.

• Identifier les données personnelles faisant l’objet d’un traitement
• Vérifier que la banque permet l’accès à l’ensemble des données personnelles
• Distinguer la copie des données personnelles du duplicata documentaire
• Examiner les modalités d’accès proposées par voie électronique
• Qualifier la demande comme relevant éventuellement d’un différend contractuel
• Contrôler l’absence d’obstacle au droit d’accès prévu par l’article 15 du RGPD

• Proposition de la banque donnant accès à l’ensemble des données personnelles
• Possibilité de téléchargement depuis l’espace client
• Conditions tarifaires communiquées pour l’envoi de duplicatas
• Éléments recueillis par la CNIL sur les modalités d’accès

La banque peut satisfaire au droit d’accès en permettant le téléchargement des données personnelles, sans devoir fournir gratuitement des duplicatas documentaires lorsque la demande relève du contrat. La CNIL peut clore la plainte si aucun obstacle à l’accès n’est établi et si le différend est contractuel.

• Accès gratuit aux données personnelles via l’espace client
• Facturation possible des duplicatas selon les stipulations tarifaires
• Clôture de la plainte par la CNIL en l’absence d’atteinte au RGPD
• Rejet des demandes d’injonction fondées sur un différend contractuel

À faire

• Identifier précisément les données personnelles demandées
• Proposer un téléchargement électronique des données accessibles
• Distinguer les données des duplicatas de documents bancaires
• Communiquer les conditions tarifaires applicables
• Conserver les échanges et modalités d’accès proposées

À éviter

• Confondre copie de données et reproduction documentaire
• Faire obstacle à l’accès aux données personnelles traitées
• Facturer une première copie des données personnelles
• Présenter un différend tarifaire comme une violation automatique du RGPD
• Saisir la CNIL d’une demande exclusivement contractuelle

Le droit d’accès aux données personnelles bancaires

L’article 15, paragraphe 3, du RGPD impose au responsable du traitement de fournir une copie des données personnelles faisant l’objet d’un traitement. Lorsque la banque permet l’accès à l’ensemble de ces données, notamment par téléchargement dans un espace client, elle ne fait pas obstacle à l’exercice de ce droit.

La distinction entre données personnelles et duplicatas bancaires

La fourniture gratuite d’une copie des données personnelles ne se confond pas avec l’obtention de duplicatas des documents relatifs au fonctionnement d’un compte. La demande de duplicatas peut relever des stipulations contractuelles et tarifaires de la banque, même lorsque les documents contiennent des données personnelles.

La compétence de la CNIL en matière contractuelle

La CNIL peut clôturer une plainte lorsqu’elle constate que l’accès aux données personnelles a été garanti et que le différend porte en réalité sur l’obtention payante de documents bancaires. Elle n’a pas commis d’erreur de droit en se déclarant incompétente pour connaître de ce différend contractuel.

Article 15 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD), Loi n° 78-17 du 6 janvier 1978