L'open banking, c'est le droit de demander à ta banque de partager les données de ton compte courant avec une application que tu as choisie. Ce n'est pas un produit inventé par les banques, ni une faveur qu'elles te font : c'est une obligation légale créée par la directive européenne DSP2, transposée en droit français par l'ordonnance n° 2017-1252 du 9 août 2017 et contrôlée par l'ACPR. Les données de ton compte t'appartiennent. La loi se contente de le dire à voix haute.
Concrètement : un compte courant dans une banque, un Livret A dans une autre, des prélèvements qui tombent partout. L'open banking, c'est ce qui permet de tout voir au même endroit sans jamais donner ton code d'accès à qui que ce soit. État du droit décrit ici : août 2026.
En résumé — 6 faits sur l'open banking en France
- Il naît de la directive (UE) 2015/2366, dite DSP2, du 25 novembre 2015.
- En France, elle est transposée par l'ordonnance n° 2017-1252 du 9 août 2017, applicable depuis le 13 janvier 2018.
- Le superviseur, c'est l'ACPR, adossée à la Banque de France ; son registre public s'appelle REGAFI.
- Connecter un compte exige une authentification forte du client — deux facteurs, toujours chez ta banque.
- Le consentement est valable 90 jours et tu peux le révoquer à tout moment.
- Le screen scraping — donner son code d'accès à un tiers — a été remplacé par des interfaces dédiées.
L'essentiel
- L'open banking n'est pas une technologie bancaire : c'est un droit du client, écrit dans la loi européenne
- Ta banque est obligée de partager les données si tu l'autorises — et seulement dans ce cas
- Une application de lecture voit les soldes et les opérations. Elle ne voit pas ton code et ne déplace pas d'argent.
- Le consentement dure 90 jours par obligation légale, et reste révocable à tout moment
- Ce que tu y gagnes : plusieurs banques sur un écran, des dépenses classées toutes seules, zéro saisie à la main
C'est quoi l'open banking, au juste ?
L'open banking est le mécanisme légal et technique qui oblige les banques à partager, avec ton accord explicite, les données de tes comptes avec des prestataires agréés — et à accepter de leur part les ordres de paiement que tu as autorisés. Tout le reste en découle.
Avant 2018, pour voir les comptes de trois banques au même endroit, tu avais deux options : additionner à la main dans un tableur, ou confier tes identifiants à un service qui se connectait à ta place. La première était pénible. La seconde était une mauvaise idée. La DSP2 a créé une troisième voie : la banque expose les données par une interface dédiée, tu autorises sur la page officielle de la banque, et l'application n'approche jamais ton code d'accès.
Open banking et banque en ligne, ce n'est pas la même chose
Ton espace client, c'est l'endroit où tu gères ton compte, dans l'application de ta banque. L'open banking, c'est ce qui permet à une autre application — choisie par toi — de lire ce compte ou d'ordonner un virement depuis celui-ci. Consulter son compte en ligne, tu le fais depuis longtemps. L'open banking, dans sa forme actuelle, existe depuis l'entrée en application de la DSP2 et de sa transposition française, en 2018, avec des exigences techniques pleinement applicables depuis le 14 septembre 2019.
La DSP2 en France : ce que dit la loi
La DSP2 (deuxième directive sur les services de paiement ; en anglais PSD2) est la directive (UE) 2015/2366 du Parlement européen et du Conseil, du 25 novembre 2015. Une directive ne s'applique pas toute seule : chaque État membre doit la transposer dans son droit national.
En France, cette transposition a été faite par l'ordonnance n° 2017-1252 du 9 août 2017, dont les dispositions sur l'accès aux comptes s'appliquent depuis le 13 janvier 2018 et dont les règles vivent aujourd'hui dans le code monétaire et financier. La supervision — agrément, enregistrement et contrôle des prestataires de services de paiement — revient à l'ACPR, l'Autorité de contrôle prudentiel et de résolution, adossée à la Banque de France.
Chronologie — les quatre dates qui comptent
- 25 novembre 2015 — l'Union européenne adopte la directive (UE) 2015/2366 (DSP2).
- 9 août 2017 — la France publie l'ordonnance n° 2017-1252, qui transpose la directive dans le code monétaire et financier.
- 13 janvier 2018 — les dispositions sur l'accès aux comptes s'appliquent. À partir de là, l'accès aux comptes par des prestataires agréés a une base légale en France.
- 14 septembre 2019 — les normes techniques de réglementation (règlement délégué (UE) 2018/389) deviennent applicables, dont l'obligation d'authentification forte du client.
Ce que la loi a changé pour toi, même si tu n'utilises aucune application
Le montant maximum qui reste à ta charge en cas d'opération de paiement non autorisée — une carte copiée, par exemple — est passé de 150 € à 50 €, sauf fraude ou négligence grave de ta part. Et tout paiement électronique demande désormais deux facteurs d'authentification. Ça ne vient pas de ta banque : ça vient de la DSP2.
L'open banking en France, en chiffres de la loi
Sources : EUR-Lex — directive (UE) 2015/2366, Légifrance — ordonnance n° 2017-1252
Qui fait quoi : la banque, l'AISP et le PISP
Le vocabulaire de la DSP2 tient en trois rôles. Les comprendre règle l'essentiel des doutes sur ce qu'une application peut faire — ou non — avec ton compte.
ASPSP — ta banque
L'ASPSP (le prestataire qui tient ton compte), c'est l'établissement où tu as ton compte courant : BNP Paribas, Crédit Agricole, Société Générale, La Banque Postale, Crédit Mutuel, BoursoBank, n'importe quel autre. La DSP2 l'oblige à mettre à disposition une interface dédiée par laquelle des prestataires agréés peuvent accéder aux données — à condition que tu l'autorises. La banque ne peut ni refuser cet accès, ni le facturer au prestataire.
AISP — celui qui lit les données
L'AISP (prestataire de services d'information sur les comptes) lit les soldes et les opérations, et rien d'autre. C'est la catégorie des applications de budget et des agrégateurs de comptes. Accès en lecture, limité à ce que tu as autorisé, consentement à reconfirmer tous les 90 jours. Martia entre ici : elle se connecte aux banques via Enable Banking. Comme tout prestataire de cette catégorie, ce partenaire doit figurer dans le registre d'un superviseur — REGAFI pour l'ACPR en France, le registre central de l'Autorité bancaire européenne au niveau de l'Union. Ces deux registres sont publics : tu peux vérifier toi-même.
PISP — celui qui initie les paiements
Le PISP (prestataire de services d'initiation de paiement) peut ordonner un virement depuis ton compte — mais chaque opération exige ton autorisation et une authentification forte chez ta banque. C'est la mécanique derrière certains paiements en ligne qui débitent le compte directement, sans passer par le réseau des cartes.
Mythe et réalité
Mythe : « si je connecte mon compte à une appli, elle peut toucher à mon argent ».
Réalité : seul un prestataire agréé pour l'initiation de paiement (PISP) peut ordonner un virement — et même lui a besoin de ton autorisation et de l'authentification forte à chaque opération. Les applications de budget sont des AISP : accès en lecture. Techniquement, elles ne peuvent pas déplacer un centime, même si elles le voulaient.
L'open banking est-il sûr ? Trois couches de protection
La sécurité de l'open banking ne repose pas sur la réputation de l'application. Elle repose sur trois couches indépendantes : l'agrément obligatoire, l'authentification forte du client et la limitation technique de l'accès.
L'agrément : le registre REGAFI, en accès libre
Une société qui veut lire tes comptes doit être agréée par un superviseur européen. En France, c'est l'ACPR qui délivre l'agrément et inscrit le prestataire au registre REGAFI, consultable par n'importe qui ; l'Autorité bancaire européenne tient le registre central à l'échelle de l'Union. Une application qui n'y figure pas, ni directement ni via le prestataire agréé qu'elle utilise, n'a pas le droit de se connecter à ta banque.
L'authentification forte du client
La DSP2 exige que la banque confirme ton identité avec au moins deux éléments de catégories indépendantes :
- quelque chose que tu sais — un mot de passe, un code ;
- quelque chose que tu as — ton téléphone, l'application de ta banque, un lecteur de carte ;
- quelque chose que tu es — empreinte digitale, reconnaissance faciale.
C'est exactement la vérification que tu fais déjà pour valider un achat en ligne ou te connecter à ton espace client. Les exigences techniques figurent dans le règlement délégué (UE) 2018/389 et s'appliquent depuis le 14 septembre 2019.
La fin du screen scraping
Avant la DSP2, agréger des comptes voulait dire confier les identifiants de ta banque à une société qui se connectait ensuite en se faisant passer pour toi. Ça s'appelait le screen scraping et aucune règle ne l'encadrait. La DSP2 a remplacé cette méthode par des interfaces dédiées et par un principe simple : ton code d'accès, c'est une affaire entre ta banque et toi. Si une application te demande aujourd'hui les identifiants de ton espace client pour agréger des comptes, ferme-la.
Open banking et screen scraping
| Aspect | Open banking (DSP2) | Screen scraping (ancienne méthode) |
|---|---|---|
| Code d'accès à la banque | Donné à la banque, jamais à l'appli | Donné à une société tierce |
| Étendue de l'accès | Lecture, limitée à ce que tu as autorisé | Tout ce que toi-même tu peux faire |
| Cadre légal | DSP2, contrôle de l'ACPR | Aucun |
| Comment couper l'accès | Tu révoques le consentement, effet immédiat | Tu changes ton code et tu croises les doigts |
Une note d'honnêteté : aucune technologie n'élimine le risque de mal choisir l'application. Ce que la DSP2 garantit, c'est que le prestataire est agréé et que l'accès est en lecture. Le reste — qui garde tes données, où, et ce qu'il en fait — reste ton choix, et la politique de confidentialité vaut le coup d'être lue avant d'appuyer sur « autoriser ». Si tu compares plusieurs options, va voir la comparaison des applications de budget disponibles en France.
Ton code d'accès reste là où il a toujours été : chez ta banque
Parle à Martia de ton argent en français. Elle se connecte à ton compte par open banking, via Enable Banking : tu t'authentifies sur la page officielle de ta banque et Martia ne reçoit qu'un accès en lecture à tes opérations.
Le consentement : pourquoi 90 jours et comment le révoquer
Le consentement est la pièce centrale de l'open banking : sans lui, la banque ne partage rien. Et il est volontairement temporaire — les normes techniques européennes imposent que l'accès soit reconfirmé avec une authentification forte, en pratique tous les 90 jours.
Beaucoup de gens lisent ce renouvellement comme un raté de l'application. C'est l'inverse : c'est le système qui empêche une autorisation donnée il y a trois ans, et oubliée depuis longtemps, de continuer à alimenter quelqu'un avec tes opérations bancaires. Une reconfirmation tous les trois mois, c'est le prix à payer pour qu'aucun accès ne soit éternel.
Révoquer l'accès — deux chemins
- 1.Dans l'application — là où tu gères les comptes connectés. Déconnecter un compte doit être possible et immédiat.
- 2.Chez ta banque — dans l'espace client ou l'application, en général à la rubrique des autorisations accordées à des tiers. C'est le chemin à prendre si tu as déjà désinstallé l'application.
Révoquer coupe l'accès aux nouvelles opérations. Les données déjà collectées restent dans l'application jusqu'à ce que tu en demandes l'effacement — un droit que te donne le RGPD, dont la CNIL est le gendarme en France, et qu'une application sérieuse honore sans discussion.
La règle des 90 jours, en deux lignes
Le consentement de lecture vaut 90 jours et se renouvelle avec la même authentification que celle qui l'a créé. Ce n'est pas une décision de l'application : c'est une exigence du règlement délégué (UE) 2018/389, qui met en œuvre la DSP2 dans toute l'Union européenne.
Quelles banques françaises sont concernées ?
Toutes. Tout établissement qui tient des comptes de paiement accessibles en ligne en France est tenu par la DSP2 d'ouvrir un accès aux prestataires agréés — ce n'est pas optionnel, ça ne dépend pas de sa stratégie commerciale et ça ne peut pas être facturé au prestataire. En pratique, ça couvre BNP Paribas, le Crédit Agricole, la Société Générale, La Banque Postale, le Crédit Mutuel, BoursoBank et les autres banques du marché français.
Soyons francs sur ce qu'on ne sait pas : l'obligation légale est la même pour tous, la qualité des interfaces ne l'est pas. Il y a de vraies différences de stabilité, de profondeur d'historique et de fréquence de reconnexion. On ne publie pas ici un tableau banque par banque, parce qu'on n'a pas de données comparatives vérifiées — et un tableau inventé serait pire que pas de tableau du tout. La façon fiable de savoir si ta banque est bien prise en charge, c'est de la chercher dans la liste de l'application que tu veux utiliser.
Martia se connecte aux banques européennes, dont les grandes banques françaises, et réunit les comptes de plusieurs établissements dans une seule vue — l'étape pratique est détaillée dans connecter son compte bancaire à une application.
Le cas Wero : l'open banking côté paiement
La France a un exemple grand public de ce que donne le paiement de compte à compte : Wero. Lancé en France en octobre 2024, ce portefeuille porté par les banques européennes revendique environ 16 millions d'utilisateurs dans le pays (BNP Paribas, 2024-2025) et fait circuler l'argent d'un compte à l'autre, sans passer par le réseau des cartes.
Il a remplacé Paylib : depuis le début de 2025, les anciens comptes Paylib ne fonctionnent plus. Si tu lis encore « Paylib » dans un article ou sur un site marchand, c'est un vestige — le service a été arrêté, pas mis en pause.
Wero, ce n'est pas une application de budget
Wero déplace de l'argent ; une application de budget en lit l'historique. Ce sont les deux moitiés de la DSP2 : l'initiation de paiement d'un côté, l'information sur les comptes de l'autre. Une application de budget n'a pas l'agrément pour faire un virement, et c'est très bien comme ça.
Ce que l'open banking change concrètement pour toi
Réglementation mise à part, l'open banking règle trois choses très concrètes. Aucune n'est spectaculaire isolément ; ensemble, elles changent le rapport à l'argent.
1. Tous les comptes sur un seul écran
Le compte courant dans une banque, le Livret A dans une autre, l'assurance-vie chez un troisième établissement. Sans agrégation, savoir combien tu as en tout demande trois authentifications et une addition de tête — et c'est pour ça que la plupart des gens ne la font tout simplement pas. Avec l'open banking, c'est une vue, mise à jour toute seule. Pratique quand tu construis une épargne de précaution que tu ne veux surtout pas confondre avec le compte du quotidien.
2. Des dépenses classées toutes seules
Les opérations arrivent avec le libellé du commerçant et sont rangées par catégorie sans que tu fasses quoi que ce soit — de Carrefour à la SNCF, de TotalEnergies à EDF. C'est la différence entre savoir que tu as dépensé 1 840 € et savoir que 380 € sont partis au restaurant. C'est aussi ce qui permet de découvrir où passe vraiment ton argent sans passer tes soirées à additionner des tickets.
3. Zéro saisie à la main — et c'est ça qui décide de tout
La plupart des budgets familiaux ne meurent pas d'un manque de méthode. Ils meurent la troisième semaine, quand noter chaque dépense à la main ne rentre plus dans la journée. En supprimant la saisie manuelle, l'open banking retire l'obstacle qui fait abandonner — et c'est pour ça qu'un budget familial synchronisé avec la banque survit des mois là où un tableur survit des semaines. Ça vaut aussi pour les abonnements que plus personne n'utilise : tu ne les vois que quand quelqu'un les réunit au même endroit.
Ce que ça donne sur un relevé français
Un relevé français parle un langage bien à lui. Trois préfixes suffisent à le lire, et une application qui reçoit ces lignes par open banking les trie sans que tu aies à les décoder :
- VIR — un virement.
VIR SEPA JEAN DUPONTpour un remboursement entre particuliers,VIR SALAIREou le nom de l'employeur pour la paie,VIR INSTpour un virement instantané. - PRLV — un prélèvement SEPA, celui des factures et des abonnements. Il porte le nom du créancier, son ICS (identifiant créancier SEPA, du type
FR00ZZZ000000) et le RUM, la référence unique du mandat. La présence de l'ICS et du RUM est la signature d'un prélèvement. - CB — un paiement par carte, suivi du nom du commerçant, de la ville et de la date.
Le virement reste un pilier des paiements français : d'après la Banque de France, il représente environ 22 % des paiements scripturaux.
Comment connecter son compte bancaire par open banking
La procédure a toujours la même forme, quelle que soit l'application — parce que la forme est fixée par la loi, pas par l'appli.
Tu choisis ta banque dans l'application
La liste comprend les banques françaises couvertes par la DSP2 — BNP Paribas, Crédit Agricole, Société Générale, La Banque Postale, Crédit Mutuel, BoursoBank et les autres.
Tu t'authentifies sur la page officielle de ta banque
Les identifiants vont à la banque, jamais à l'application. L'authentification forte réclame le second facteur habituel — une validation dans l'application de ta banque, le plus souvent.
Tu autorises le partage des données
La banque te demande si tu acceptes de partager soldes et opérations. À partir de là, la synchronisation est automatique, pendant 90 jours, jusqu'à reconfirmation ou révocation.
Et c'est tout. Pas de formulaire, pas de justificatif à envoyer, pas de validation à attendre — parce que celui qui confirme ton identité, c'est ta banque, en direct. Le pas-à-pas détaillé est dans connecter son compte bancaire à une application.
Martia — l'IA à qui tu parles de ton argent
Tu poses la question en français — « combien j'ai dépensé au restaurant en juillet ? », « quels abonnements je paie encore ? » — et la réponse sort de tes vraies opérations, synchronisées par open banking. Sans tableur, sans saisie à la main.
Questions fréquentes
C'est quoi l'open banking ?
L'open banking, c'est le droit — garanti par la loi européenne — de demander à ta banque de partager les données de ton compte courant avec une application que tu as choisie, ou d'autoriser cette application à déclencher un virement en ton nom. Il vient de la directive DSP2, la directive (UE) 2015/2366, transposée en droit français par l'ordonnance n° 2017-1252 du 9 août 2017 et contrôlée par l'ACPR, l'autorité adossée à la Banque de France. En pratique, il permet de réunir les comptes de plusieurs banques sur un seul écran, de voir les dépenses classées toutes seules, et de faire tout ça sans donner ton code d'accès à qui que ce soit : tu t'authentifies toujours sur la page officielle de ta banque, avec les codes que tu utilises déjà tous les jours.
L'open banking, est-ce que c'est sûr ?
Oui, et la sécurité ne dépend pas de la bonne volonté de l'application : elle est écrite dans la loi. Il y a trois couches. Toute société qui accède à tes données bancaires doit être agréée par un superviseur européen — en France l'ACPR, dont le registre REGAFI est public. La connexion exige une authentification forte du client, c'est-à-dire au moins deux facteurs indépendants validés par ta banque. Et l'accès d'une application de lecture est techniquement limité aux soldes et aux opérations. Une application comme celle-là ne peut ni faire un virement, ni modifier tes plafonds, ni changer les coordonnées de ton compte. Martia, par exemple, se connecte via Enable Banking et n'a qu'un accès en lecture. Tu peux couper cet accès quand tu veux.
L'open banking est-il légal en France ?
C'est légal et encadré depuis 2018. La directive DSP2 a été transposée en droit français par l'ordonnance n° 2017-1252 du 9 août 2017, dont les dispositions sur l'accès aux comptes s'appliquent depuis le 13 janvier 2018 ; les règles figurent aujourd'hui dans le code monétaire et financier. Le contrôle revient à l'ACPR, l'Autorité de contrôle prudentiel et de résolution, adossée à la Banque de France : c'est elle qui agrée les prestataires et les inscrit au registre REGAFI. Au niveau européen, l'Autorité bancaire européenne tient le registre central des prestataires agréés. Les banques françaises sont obligées par la loi de donner accès aux données de ton compte aux prestataires agréés que tu as autorisés. Elles ne peuvent ni refuser, ni facturer cet accès.
C'est quoi la DSP2 ?
La DSP2 — deuxième directive sur les services de paiement, en anglais PSD2 — est la directive (UE) 2015/2366 du 25 novembre 2015. Elle a remplacé la directive de 2007 et poursuit trois objectifs : renforcer la sécurité des paiements grâce à l'authentification forte, ouvrir le marché à des acteurs qui ne sont pas des banques, et harmoniser la protection du consommateur dans l'Union européenne. Elle a aussi abaissé de 150 € à 50 € le montant maximum qui reste à ta charge en cas d'opération de paiement non autorisée, sauf fraude ou négligence grave de ta part. Les normes techniques qui la mettent en œuvre, le règlement délégué (UE) 2018/389, s'appliquent depuis le 14 septembre 2019.
Qu'est-ce qu'une application de budget voit de mon compte bancaire ?
Une application agréée pour l'information sur les comptes voit exactement ce que tu as autorisé : les soldes et l'historique des opérations des comptes que tu as connectés — date, montant, libellé et contrepartie de chaque ligne, ainsi que l'IBAN du compte connecté, celui qui figure sur ton RIB, au format FR00 0000 0000 0000 0000 0000 000. Elle ne voit pas ton code d'accès, pas ton code de validation, pas le cryptogramme de ta carte. Elle ne voit pas non plus les comptes que tu n'as pas connectés, et elle ne peut pas déplacer d'argent : l'accès est en lecture seule et borné par le jeton que la banque délivre. Martia fonctionne comme ça : elle lit tes opérations pour répondre en français à tes questions d'argent, et rien d'autre.
Comment révoquer l'accès d'une application à mon compte bancaire ?
Tu peux retirer ton consentement à tout moment, par deux chemins indépendants. Le premier : dans l'application elle-même, à l'endroit où tu gères les comptes connectés — se déconnecter doit toujours être possible. Le second : dans l'espace client ou l'application de ta banque, à la rubrique des autorisations ou des consentements accordés à des tiers ; c'est le chemin à prendre si tu as déjà désinstallé l'application. Dès que tu révoques, l'accès s'arrête et le prestataire ne peut plus récupérer de nouvelles opérations. Pense ensuite à demander l'effacement des données déjà collectées : c'est un droit que te donne le RGPD, dont la CNIL est le gendarme en France, et une application sérieuse y répond sans discuter.
Pourquoi le consentement ne dure-t-il que 90 jours ?
Parce que la loi européenne l'exige. Les normes techniques qui accompagnent la DSP2 — le règlement délégué (UE) 2018/389 — imposent que l'accès d'un prestataire aux données de ton compte soit reconfirmé régulièrement, avec une authentification forte chez ta banque : en pratique, tous les 90 jours. Ce n'est pas une limite inventée par l'application, ni le signe que quelque chose a mal tourné. C'est un frein conçu pour que personne ne garde un accès permanent et oublié à tes comptes. Tous les trois mois, tu repasses par la page officielle de ta banque et tu confirmes que cette connexion a toujours du sens pour toi. Une autorisation donnée il y a deux ans ne peut pas continuer à vivre sans que tu la revoies.
Wero et Paylib, quel rapport avec l'open banking ?
Ce sont les cousins côté paiement. Paylib, le portefeuille lancé par les banques françaises, a été remplacé par Wero : depuis le début de 2025, les anciens comptes Paylib ne fonctionnent plus. Wero a été lancé en France en octobre 2024 et revendique environ 16 millions d'utilisateurs dans le pays ; il fait circuler l'argent de compte à compte, sans passer par le réseau des cartes. C'est la même logique que l'initiation de paiement prévue par la DSP2 : une application déclenche un virement depuis ton compte, avec ton autorisation et l'authentification de ta banque. À ne pas confondre avec les applications de budget, qui elles ne font que lire tes opérations et ne déplacent jamais un centime.
Sources et textes de référence
- Parlement européen et Conseil (2015). Directive (UE) 2015/2366 concernant les services de paiement dans le marché intérieur (DSP2). eur-lex.europa.eu
- Légifrance (2017). Ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive 2015/2366. legifrance.gouv.fr
- Commission européenne (2018). Règlement délégué (UE) 2018/389 — normes techniques d'authentification forte du client. eur-lex.europa.eu
- ACPR — Banque de France. REGAFI, registre des agents financiers. regafi.fr
- Autorité bancaire européenne (ABE). Registre central des prestataires de services de paiement. euclid.eba.europa.eu
- Banque de France. Le prélèvement SEPA. banque-france.fr
- CNIL. Le RGPD et vos droits sur vos données. cnil.fr
- BNP Paribas (2024). Wero, la nouvelle solution européenne de paiement instantané. group.bnpparibas