L'open banking, c'est le droit de demander à ta banque de partager les données de ton compte avec une application que tu as choisie, ou de la laisser déclencher un paiement que tu as autorisé. Ce droit vient de la DSP2, la deuxième directive européenne sur les services de paiement (directive (UE) 2015/2366), transposée en France par l'ordonnance n° 2017-1252 du 9 août 2017 et contrôlée par l'ACPR. Concrètement : une application de budget lit tes soldes et tes opérations sans jamais voir ton code, et ta banque te fait reconfirmer cet accès au plus tous les 180 jours.
Ce n'est pas un produit inventé par les banques, ni une faveur qu'elles te font : c'est une obligation légale. Les données de ton compte t'appartiennent ; la loi se contente de le dire à voix haute. Un compte courant dans une banque, un Livret A dans une autre, des prélèvements qui tombent partout : l'open banking, c'est ce qui permet de tout voir au même endroit. État du droit décrit ici : octobre 2026.
En résumé : 6 faits sur l'open banking en France
- Il naît de la directive (UE) 2015/2366, dite DSP2, du 25 novembre 2015.
- En France, elle est transposée par l'ordonnance n° 2017-1252 du 9 août 2017, applicable depuis le 13 janvier 2018.
- Le superviseur, c'est l'ACPR, adossée à la Banque de France ; son registre public s'appelle REGAFI.
- Connecter un compte exige une authentification forte du client : deux facteurs, toujours chez ta banque.
- Le consentement est valable 180 jours au plus et tu peux le révoquer à tout moment.
- Pour les comptes de paiement, le screen scraping, donner son code d'accès à un tiers, a été remplacé par des interfaces dédiées.
L'essentiel
- L'open banking n'est pas une technologie bancaire : c'est un droit du client, écrit dans la DSP2
- Ta banque est obligée de partager les données si tu l'autorises, et seulement dans ce cas
- Une application de lecture voit les soldes et les opérations. Elle ne voit pas ton code et ne déplace pas d'argent.
- Le consentement dure 180 jours au plus par obligation légale, et reste révocable à tout moment
- La DSP3 a fait l'objet d'un accord politique, mais en octobre 2026 ce sont toujours les règles de la DSP2 qui s'appliquent
Qu'est-ce que l'open banking ? La définition simple
L'open banking est le mécanisme légal et technique qui oblige les banques à partager, avec ton accord explicite, les données de tes comptes avec des prestataires agréés ou enregistrés, et à accepter de leur part les ordres de paiement que tu as autorisés. Tout le reste en découle.
Avant 2018, pour voir les comptes de trois banques au même endroit, tu avais deux options : additionner à la main dans un tableur, ou confier tes identifiants à un service qui se connectait à ta place. La première était pénible. La seconde était une mauvaise idée. La DSP2 a créé une troisième voie : la banque expose les données par une interface dédiée, tu autorises sur la page officielle de la banque, et l'application n'approche jamais ton code d'accès.
Open banking et banque en ligne, ce n'est pas la même chose
Ton espace client, c'est l'endroit où tu gères ton compte, dans l'application de ta banque. L'open banking, c'est ce qui permet à une autre application, choisie par toi, de lire ce compte ou d'ordonner un virement depuis celui-ci. Consulter son compte en ligne, tu le fais depuis longtemps. L'open banking, dans sa forme actuelle, existe depuis l'entrée en application de la DSP2 et de sa transposition française, en 2018, avec des exigences techniques pleinement applicables depuis le 14 septembre 2019.
DSP2 : la définition en une phrase, et ce que dit la loi en France
DSP2 : la définition
La DSP2 (deuxième directive sur les services de paiement ; en anglais PSD2) est la directive (UE) 2015/2366 du 25 novembre 2015 qui oblige les banques à ouvrir, avec l'accord de leurs clients, l'accès aux comptes de paiement à des prestataires agréés ou enregistrés, et qui impose l'authentification forte pour les paiements électroniques.
Une directive ne s'applique pas toute seule : chaque État membre doit la transposer dans son droit national. En France, cette transposition a été faite par l'ordonnance n° 2017-1252 du 9 août 2017, dont les dispositions sur l'accès aux comptes s'appliquent depuis le 13 janvier 2018 et dont les règles vivent aujourd'hui dans le code monétaire et financier. La supervision (agrément, enregistrement et contrôle des prestataires de services de paiement) revient à l'ACPR, l'Autorité de contrôle prudentiel et de résolution, adossée à la Banque de France.
Chronologie : les dates qui comptent
- 25 novembre 2015 : l'Union européenne adopte la directive (UE) 2015/2366 (DSP2).
- 9 août 2017 : la France publie l'ordonnance n° 2017-1252, qui transpose la directive dans le code monétaire et financier.
- 13 janvier 2018 : les dispositions sur l'accès aux comptes s'appliquent. À partir de là, l'accès aux comptes par des prestataires agréés ou enregistrés a une base légale en France.
- 14 septembre 2019 : les normes techniques de réglementation (règlement délégué (UE) 2018/389) deviennent applicables, dont l'obligation d'authentification forte du client.
- 25 juillet 2023 : le règlement délégué (UE) 2022/2360 s'applique ; l'accès d'un agrégateur se reconfirme au plus tous les 180 jours.
Ce que la loi a changé pour toi, même si tu n'utilises aucune application
Le montant maximum qui reste à ta charge en cas d'opération de paiement non autorisée, une carte copiée par exemple, est passé de 150 € à 50 €, sauf fraude ou négligence grave de ta part. Et tout paiement électronique demande désormais deux facteurs d'authentification. Ça ne vient pas de ta banque : ça vient de la DSP2.
Et la DSP3 ?
La révision de la DSP2 comprend deux textes : une nouvelle directive, souvent appelée DSP3, et un règlement sur les services de paiement. Le Parlement européen et le Conseil ont trouvé un accord politique le 27 novembre 2025, selon la Commission européenne. Au 8 octobre 2026, la procédure n'est pas terminée : l'Observatoire législatif du Parlement européen indique que les deux textes attendent encore la position du Conseil en première lecture. Tant qu'ils ne sont pas adoptés, publiés puis entrés en application, ce sont les règles de la DSP2 décrites ici qui s'appliquent.
L'open banking en France, en chiffres de la loi
Sources : EUR-Lex, directive (UE) 2015/2366, Légifrance, ordonnance n° 2017-1252, EUR-Lex, règlement délégué (UE) 2022/2360
Open banking, c'est quoi concrètement pour un particulier ?
Réglementation mise à part, l'open banking règle trois choses très concrètes. Aucune n'est spectaculaire isolément ; ensemble, elles changent le rapport à l'argent.
1. Tous les comptes sur un seul écran
Le compte courant dans une banque, le Livret A dans une autre, l'assurance-vie chez un troisième établissement. Sans agrégation, savoir combien tu as en tout demande trois authentifications et une addition de tête : de quoi remettre le calcul à plus tard, encore et encore. Avec l'open banking, c'est une vue, mise à jour toute seule : c'est le métier d'un agrégateur de comptes. Pratique quand tu construis une épargne de précaution que tu ne veux surtout pas confondre avec le compte du quotidien.
2. Des dépenses classées toutes seules
Les opérations arrivent avec le libellé du commerçant et sont rangées par catégorie sans que tu fasses quoi que ce soit, de Carrefour à la SNCF, de TotalEnergies à EDF. C'est la différence entre savoir que tu as dépensé 1 840 € et savoir que 380 € sont partis au restaurant. C'est aussi ce qui permet de découvrir où passe vraiment ton argent sans passer tes soirées à additionner des tickets.
3. Zéro saisie à la main, et c'est ça qui décide de tout
Un budget familial tenu à la main meurt rarement d'un manque de méthode. Il s'essouffle le jour où noter chaque dépense ne rentre plus dans la journée. En supprimant la saisie manuelle, l'open banking retire l'obstacle qui fait abandonner, et c'est pour ça qu'un budget familial synchronisé avec la banque tient plus facilement dans la durée qu'un tableur rempli à la main. Ça vaut aussi pour les abonnements que plus personne n'utilise : tu ne les vois que quand quelqu'un les réunit au même endroit.
Ce que ça donne sur un relevé français
Un relevé français parle un langage bien à lui. Trois préfixes suffisent à le lire, et une application qui reçoit ces lignes par open banking les trie sans que tu aies à les décoder :
- VIR : un virement.
VIR SEPA JEAN DUPONTpour un remboursement entre particuliers,VIR SALAIREou le nom de l'employeur pour la paie,VIR INSTpour un virement instantané. - PRLV : un prélèvement SEPA, celui des factures et des abonnements. Il porte le nom du créancier, son ICS (identifiant créancier SEPA, du type
FR00ZZZ000000) et le RUM, la référence unique du mandat. Une ligne que tu ne reconnais pas ? Notre guide prélèvement inconnu : à quoi correspond-il ? t'aide à remonter jusqu'au créancier. - CB : un paiement par carte, suivi du nom du commerçant, de la ville et de la date.
Le virement reste un pilier des paiements français : d'après la Banque de France, il représente environ 22 % des paiements scripturaux. Pour les autres abréviations, notre guide pour lire son relevé de compte les décode une par une.
Qui fait quoi : la banque, l'agrégateur et l'initiateur de paiement
Le vocabulaire de la DSP2 tient en trois rôles. Les comprendre règle l'essentiel des doutes sur ce qu'une application peut faire, ou non, avec ton compte.
ASPSP : ta banque
L'ASPSP (le prestataire qui tient ton compte), c'est l'établissement où tu as ton compte courant : BNP Paribas, Crédit Agricole, Société Générale, La Banque Postale, Crédit Mutuel, BoursoBank, n'importe quel autre. La DSP2 l'oblige à mettre à disposition une interface dédiée par laquelle des prestataires agréés ou enregistrés peuvent accéder aux données, à condition que tu l'autorises. La banque ne peut pas exiger de contrat préalable avec ce prestataire.
AISP : celui qui lit les données
L'AISP (prestataire de services d'information sur les comptes) lit les soldes et les opérations, et rien d'autre. C'est le métier des agrégateurs de comptes, sur lesquels s'appuient les applications de budget. Accès en lecture, limité à ce que tu as autorisé, consentement à reconfirmer au plus tous les 180 jours. Ce prestataire doit figurer dans le registre d'un superviseur : REGAFI pour l'ACPR en France, le registre central de l'Autorité bancaire européenne au niveau de l'Union. Martia n'en est pas un elle-même : elle passe par Enable Banking, un prestataire enregistré et supervisé par l'autorité financière finlandaise (FIN-FSA).
PISP : celui qui initie les paiements
Le PISP (prestataire de services d'initiation de paiement) initie un ordre de paiement, à ta demande, depuis un compte que tu détiens dans une autre banque. Chaque opération exige ton consentement explicite et une authentification forte chez ta banque, et le prestataire ne détient jamais ton argent. C'est la mécanique derrière certains paiements en ligne qui débitent le compte directement, sans passer par le réseau des cartes.
Mythe et réalité
Mythe : « si je connecte mon compte à une appli, elle peut toucher à mon argent ».
Réalité : seul un prestataire autorisé pour l'initiation de paiement (PISP) peut ordonner un virement, et même lui a besoin de ton autorisation et de l'authentification forte à chaque opération. Pour lire tes comptes, une application de budget passe par un accès d'information sur les comptes : lecture seule. Avec ce seul accès, elle ne peut pas déplacer un centime, même si elle le voulait.
Est-ce sûr de connecter sa banque ? Les trois protections de l'open banking
Oui, tant que l'application passe par un prestataire agréé ou enregistré : tu t'identifies chez ta banque, l'application ne reçoit qu'un accès en lecture, et tu peux le couper à tout moment. Les écrans, un par un, sont dans notre guide connecter son compte bancaire à une application : est-ce sûr ?. Cette sécurité ne repose pas sur la réputation de l'application. Elle repose sur trois couches indépendantes : l'agrément ou l'enregistrement obligatoire, l'authentification forte du client et la limitation technique de l'accès.
Le registre REGAFI, en accès libre
Une société qui veut lire tes comptes doit être agréée ou enregistrée par un superviseur européen. En France, c'est l'ACPR qui l'inscrit au registre REGAFI, consultable par n'importe qui ; l'Autorité bancaire européenne tient le registre central à l'échelle de l'Union. Une application qui n'y figure pas, ni directement ni via le prestataire qu'elle utilise, n'a pas le droit de se connecter à ta banque.
L'authentification forte du client
La DSP2 exige que la banque confirme ton identité avec au moins deux éléments de catégories indépendantes :
- quelque chose que tu sais : un mot de passe, un code ;
- quelque chose que tu as : ton téléphone, l'application de ta banque, un lecteur de carte ;
- quelque chose que tu es : empreinte digitale, reconnaissance faciale.
C'est exactement la vérification que tu fais déjà pour valider un achat en ligne ou te connecter à ton espace client. À La Banque Postale, elle passe par Certicode Plus, une notification à valider dans l'application de la banque ; au Crédit Agricole, par SécuriPass, dans l'application Ma Banque. Les exigences techniques figurent dans le règlement délégué (UE) 2018/389 et s'appliquent depuis le 14 septembre 2019.
La fin du screen scraping
Avant la DSP2, agréger des comptes voulait dire confier les identifiants de ta banque à une société qui se connectait ensuite en se faisant passer pour toi. Ça s'appelait le screen scraping et aucune règle ne l'encadrait. Pour les comptes de paiement, la DSP2 a remplacé cette méthode par des interfaces dédiées et par un principe simple : ton code d'accès, c'est une affaire entre ta banque et toi. Si une application te demande aujourd'hui les identifiants de ton espace client pour agréger des comptes, désinstalle-la.
Open banking et screen scraping
| Aspect | Open banking (DSP2) | Screen scraping (ancienne méthode) |
|---|---|---|
| Code d'accès à la banque | Donné à la banque, jamais à l'appli | Donné à une société tierce |
| Étendue de l'accès | Lecture, limitée à ce que tu as autorisé | Tout ce que toi-même tu peux faire |
| Cadre légal | DSP2, contrôle de l'ACPR | Aucun |
| Comment couper l'accès | Tu révoques le consentement, effet immédiat | Tu changes ton code et tu croises les doigts |
Une note d'honnêteté : aucune technologie n'élimine le risque de mal choisir l'application. Ce que la DSP2 garantit, c'est que le prestataire est inscrit au registre et que l'accès est en lecture. Le reste, qui garde tes données, où, et ce qu'il en fait, reste ton choix, et la politique de confidentialité vaut le coup d'être lue avant d'appuyer sur « autoriser ». Si tu compares plusieurs options, va voir le comparatif des agrégateurs de comptes et la comparaison des applications de budget disponibles en France.
Ton code d'accès reste là où il a toujours été : chez ta banque
Parle à Martia de ton argent en français. Elle se connecte à ton compte par open banking, via Enable Banking : tu t'authentifies sur la page officielle de ta banque et Martia ne reçoit qu'un accès en lecture à tes opérations.
Le consentement : pourquoi au plus 180 jours, et comment le révoquer
Le consentement est la pièce centrale de l'open banking : sans lui, la banque ne partage rien. Et il est volontairement temporaire : les normes techniques européennes imposent que l'accès soit reconfirmé avec une authentification forte, au plus tous les 180 jours depuis le 25 juillet 2023 (règlement délégué (UE) 2022/2360) ; certaines banques le demandent plus tôt.
On prend facilement ce renouvellement pour un raté de l'application. C'est l'inverse : c'est le système qui empêche une autorisation donnée il y a trois ans, et oubliée depuis longtemps, de continuer à alimenter quelqu'un avec tes opérations bancaires. Une reconfirmation au plus tous les 180 jours, c'est le prix à payer pour qu'aucun accès ne soit éternel.
Concrètement, ta banque te fait valider avec sa méthode habituelle, en général Certicode Plus à La Banque Postale ou SécuriPass dans l'application Ma Banque au Crédit Agricole. Martia ne te prévient pas avant l'échéance : quand l'accès expire, ta banque apparaît avec un bouton « Reconnecter », tu refais la validation, et l'historique déjà récupéré reste en place.
Révoquer l'accès : deux chemins
- 1.Dans l'application, là où tu gères les comptes connectés. Déconnecter un compte doit être possible et immédiat.
- 2.Chez ta banque, dans l'espace client ou l'application, en général à la rubrique des autorisations accordées à des tiers. C'est le chemin à prendre si tu as déjà désinstallé l'application.
Révoquer coupe l'accès aux nouvelles opérations. Les données déjà collectées restent dans l'application jusqu'à ce que tu en demandes l'effacement, un droit que te donne le RGPD, dont la CNIL est le gendarme en France, et qu'une application sérieuse honore sans discussion.
La règle des 180 jours, en deux lignes
Le consentement de lecture vaut 180 jours au plus et se renouvelle avec la même authentification que celle qui l'a créé ; certaines banques le demandent plus tôt. Ce n'est pas une décision de l'application : c'est une exigence du règlement délégué (UE) 2018/389, modifié par le règlement délégué (UE) 2022/2360, qui met en œuvre la DSP2 dans toute l'Union européenne.
Quelles banques françaises sont concernées par la DSP2 ?
Toutes. Tout établissement qui tient des comptes de paiement accessibles en ligne en France est tenu par la DSP2 d'ouvrir un accès aux prestataires agréés ou enregistrés : ce n'est pas optionnel, ça ne dépend pas de sa stratégie commerciale et ça ne demande aucun contrat entre la banque et le prestataire. En pratique, ça couvre BNP Paribas, le Crédit Agricole, la Société Générale, La Banque Postale, le Crédit Mutuel, BoursoBank et les autres banques du marché français.
Soyons francs sur ce qu'on ne sait pas : l'obligation légale est la même pour tous, la qualité des interfaces ne l'est pas. Il y a de vraies différences de stabilité, de profondeur d'historique et de fréquence de reconnexion. On ne publie pas ici un tableau banque par banque, parce qu'on n'a pas de données comparatives vérifiées, et un tableau inventé serait pire que pas de tableau du tout. Surtout, l'obligation de la banque ne dit pas quelles banques une application donnée sait connecter : chaque application a sa propre liste.
Martia se connecte à plus de 2 500 banques en Europe et au Royaume-Uni. Côté France, sa liste comprend notamment La Banque Postale, LCL, Société Générale, BoursoBank, le Crédit Mutuel, le CIC, les caisses régionales du Crédit Agricole, les Caisses d'Épargne et les Banques Populaires ; toutes les banques n'y sont pas, alors vérifie la tienne avant de t'abonner. L'étape pratique est détaillée dans connecter son compte bancaire à une application.
Comment connecter son compte bancaire par open banking
La procédure a toujours la même forme, quelle que soit l'application, parce que la forme est fixée par la loi, pas par l'appli.
Tu choisis ta banque dans l'application
Par exemple La Banque Postale, LCL, Société Générale, Crédit Mutuel, BoursoBank ou ta caisse régionale du Crédit Agricole. Chaque application a sa propre liste.
Tu t'authentifies sur la page officielle de ta banque
Les identifiants vont à la banque, jamais à l'application. L'authentification forte réclame le second facteur habituel : une validation dans l'application de ta banque, le plus souvent.
Tu autorises le partage des données
La banque te demande si tu acceptes de partager soldes et opérations. À partir de là, la synchronisation est automatique, pendant 180 jours au plus, jusqu'à reconfirmation ou révocation.
Et c'est tout. Pas de formulaire, pas de justificatif à envoyer, pas de validation à attendre, parce que celui qui confirme ton identité, c'est ta banque, en direct. Le pas-à-pas détaillé est dans connecter son compte bancaire à une application.
Martia, l'IA à qui tu parles de ton argent
Tu poses la question en français, « combien j'ai dépensé au restaurant en juillet ? », « quels abonnements je paie encore ? », et la réponse sort de tes vraies opérations, synchronisées par open banking. Sans tableur, sans saisie à la main.
Questions fréquentes
C'est quoi l'open banking ?
L'open banking, c'est le droit, garanti par la loi européenne, de demander à ta banque de partager les données de ton compte courant avec une application que tu as choisie, ou d'autoriser cette application à déclencher un virement en ton nom. Il vient de la directive DSP2, la directive (UE) 2015/2366, transposée en droit français par l'ordonnance n° 2017-1252 du 9 août 2017 et contrôlée par l'ACPR, l'autorité adossée à la Banque de France. En pratique, il permet de réunir les comptes de plusieurs banques sur un seul écran, de voir les dépenses classées toutes seules, et de faire tout ça sans donner ton code d'accès à qui que ce soit : tu t'authentifies toujours sur la page officielle de ta banque.
C'est quoi la DSP2 ?
La DSP2, deuxième directive sur les services de paiement (en anglais PSD2), est la directive (UE) 2015/2366 du 25 novembre 2015. En une phrase : elle oblige les banques à ouvrir l'accès aux comptes de leurs clients, avec leur accord, à des prestataires agréés ou enregistrés, et elle impose l'authentification forte. Elle a remplacé la directive de 2007 et poursuit trois objectifs : renforcer la sécurité des paiements, ouvrir le marché à des acteurs qui ne sont pas des banques, et harmoniser la protection du consommateur dans l'Union européenne. Elle a aussi abaissé de 150 € à 50 € le montant qui reste à ta charge en cas d'opération non autorisée, sauf fraude ou négligence grave de ta part.
L'open banking, est-ce que c'est sûr ?
Oui, et la sécurité ne dépend pas de la bonne volonté de l'application : elle est écrite dans la loi. Il y a trois couches. Toute société qui accède à tes données bancaires doit être agréée ou enregistrée par un superviseur européen, en France l'ACPR, dont le registre REGAFI est public. La connexion exige une authentification forte du client, c'est-à-dire au moins deux facteurs indépendants validés par ta banque. Et l'accès d'une application de lecture est techniquement limité aux soldes et aux opérations : elle ne peut ni faire un virement, ni modifier tes plafonds, ni changer les coordonnées de ton compte. Martia, par exemple, se connecte via Enable Banking et n'a qu'un accès en lecture. Tu peux couper cet accès quand tu veux.
L'open banking est-il légal en France ?
C'est légal et encadré depuis 2018. La directive DSP2 a été transposée en droit français par l'ordonnance n° 2017-1252 du 9 août 2017, dont les dispositions sur l'accès aux comptes s'appliquent depuis le 13 janvier 2018 ; les règles figurent aujourd'hui dans le code monétaire et financier. Le contrôle revient à l'ACPR, l'Autorité de contrôle prudentiel et de résolution, adossée à la Banque de France : c'est elle qui agrée ou enregistre les prestataires et les inscrit au registre REGAFI. Au niveau européen, l'Autorité bancaire européenne tient le registre central des prestataires. Les banques françaises sont obligées par la loi de donner accès aux données de ton compte aux prestataires que tu as autorisés. Elles ne peuvent pas exiger de contrat préalable avec le prestataire, et doivent traiter ses demandes sans discrimination autre que pour des raisons objectives.
Qu'est-ce que l'initiation de paiement ?
C'est l'autre moitié de l'open banking. La DSP2 la définit comme un service qui initie un ordre de paiement, à ta demande, depuis un compte que tu détiens dans une autre banque. Concrètement, au moment de payer en ligne, tu choisis ta banque, tu t'authentifies chez elle, et le virement part directement de ton compte, sans passer par ta carte. Le prestataire qui fait ça a besoin de ton consentement explicite pour chaque paiement et ne détient jamais ton argent. Rien à voir avec l'accès en lecture d'une application de budget : avec ce seul accès, elle ne peut déclencher aucun paiement.
Qu'est-ce qu'une application de budget voit de mon compte bancaire ?
Un service d'information sur les comptes voit exactement ce que tu as autorisé : les soldes et l'historique des opérations des comptes que tu as connectés, avec la date, le montant, le libellé et la contrepartie de chaque ligne, ainsi que l'IBAN du compte connecté, celui qui figure sur ton RIB, au format FR00 0000 0000 0000 0000 0000 000. Il ne voit pas ton code d'accès, pas ton code de validation, pas le cryptogramme de ta carte. Il ne voit pas non plus les comptes que tu n'as pas connectés, et il ne peut pas déplacer d'argent : l'accès est en lecture seule et borné par le jeton que la banque délivre. Martia s'en sert pour répondre en français à tes questions d'argent, et rien d'autre.
Comment révoquer l'accès d'une application à mon compte bancaire ?
Tu peux retirer ton consentement à tout moment, par deux chemins indépendants. Le premier : dans l'application elle-même, à l'endroit où tu gères les comptes connectés ; se déconnecter doit toujours être possible. Le second : dans l'espace client ou l'application de ta banque, à la rubrique des autorisations ou des consentements accordés à des tiers ; c'est le chemin à prendre si tu as déjà désinstallé l'application. Dès que tu révoques, l'accès s'arrête et le prestataire ne peut plus récupérer de nouvelles opérations. Pense ensuite à demander l'effacement des données déjà collectées : c'est un droit que te donne le RGPD, dont la CNIL est le gendarme en France, et une application sérieuse y répond sans discuter.
Pourquoi le consentement dure-t-il au plus 180 jours ?
Parce que la loi européenne l'exige. Les normes techniques qui accompagnent la DSP2, le règlement délégué (UE) 2018/389 modifié par le règlement délégué (UE) 2022/2360, imposent que l'accès d'un prestataire aux données de ton compte soit reconfirmé avec une authentification forte chez ta banque : au plus tous les 180 jours depuis le 25 juillet 2023, et certaines banques le demandent plus tôt. Ce n'est pas une limite inventée par l'application, ni le signe que quelque chose a mal tourné. C'est un frein conçu pour que personne ne garde un accès permanent et oublié à tes comptes : tu repasses par la page officielle de ta banque et tu confirmes que cette connexion a toujours du sens pour toi.
Et la DSP3, qu'est-ce qui change ?
Pour l'instant, rien dans ton quotidien. La révision de la DSP2 comprend deux textes : une nouvelle directive, souvent appelée DSP3, et un règlement sur les services de paiement. Le Parlement européen et le Conseil ont trouvé un accord politique le 27 novembre 2025, selon la Commission européenne. Au 8 octobre 2026, la procédure n'est pas terminée : l'Observatoire législatif du Parlement européen indique que les deux textes attendent encore la position du Conseil en première lecture. Tant qu'ils ne sont pas adoptés, publiés puis entrés en application, ce sont les règles de la DSP2 décrites dans ce guide qui s'appliquent, y compris le consentement à reconfirmer au plus tous les 180 jours.
Sources et textes de référence
- Parlement européen et Conseil (2015). Directive (UE) 2015/2366 concernant les services de paiement dans le marché intérieur (DSP2), articles 4, 66 et 67. eur-lex.europa.eu
- Légifrance (2017). Ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive 2015/2366. legifrance.gouv.fr
- Commission européenne (2018). Règlement délégué (UE) 2018/389, normes techniques d'authentification forte du client. eur-lex.europa.eu
- Commission européenne (2022). Règlement délégué (UE) 2022/2360 modifiant le règlement délégué (UE) 2018/389, applicable depuis le 25 juillet 2023. eur-lex.europa.eu
- Commission européenne (2025). Payment services, accord politique du 27 novembre 2025 sur la révision de la DSP2. finance.ec.europa.eu
- Parlement européen (2026). Observatoire législatif, procédures 2023/0209(COD) et 2023/0210(COD), état au 8 octobre 2026. oeil.secure.europarl.europa.eu
- ACPR, Banque de France. REGAFI, registre des agents financiers. regafi.fr
- Autorité bancaire européenne (ABE). Registre central des prestataires de services de paiement. euclid.eba.europa.eu
- Banque de France. Le prélèvement SEPA. banque-france.fr
- CNIL. Le RGPD et vos droits sur vos données. cnil.fr
- Enable Banking (2026), prestataire de services d'information sur les comptes enregistré et supervisé par la FIN-FSA finlandaise. enablebanking.com