Accès aux comptes par un tiers : comment ça marche

Deux services, à ne pas confondre

Le droit européen a créé deux services distincts qui permettent à un tiers d'intervenir sur un compte de paiement, avec l'accord de son titulaire.

Le premier est le service d'information sur les comptes : le prestataire agrège et présente des informations relatives à un ou plusieurs comptes détenus ailleurs. Il ne peut que lire.

Le second est le service d'initiation de paiement : le prestataire déclenche un virement à la demande du payeur, depuis un compte détenu chez un autre établissement. Il ne détient à aucun moment les fonds.

Ces deux services correspondent à des agréments ou des enregistrements différents, avec des exigences propres. Un acteur peut détenir l'un, l'autre, ou les deux.

Le consentement, et ses limites

L'accès repose sur le consentement explicite du titulaire du compte, donné au prestataire tiers et confirmé auprès de son établissement teneur de compte au moyen d'une authentification forte.

Ce consentement a un périmètre : les comptes concernés, la nature des données consultées, et une durée. Il peut être retiré à tout moment, directement auprès du prestataire ou depuis l'espace client de l'établissement teneur.

Une autorisation d'accès a une durée de validité limitée, au terme de laquelle une nouvelle authentification est requise. C'est la raison pour laquelle un agrégateur demande périodiquement de reconnecter un compte.

L'établissement teneur ne peut pas refuser l'accès à un prestataire agréé au motif qu'il s'agit d'un concurrent, ni imposer une convention commerciale préalable pour ces services.

Ce que le prestataire voit réellement

Le service d'information sur les comptes donne accès aux données du compte de paiement : solde, opérations, libellés. Il ne donne pas accès aux moyens de paiement, ne permet pas de modifier des paramètres et ne permet pas d'ordonner un virement.

Le service d'initiation de paiement permet de déclencher une opération précise, avec un montant et un bénéficiaire définis, que le payeur authentifie. Il n'ouvre pas de droit à des opérations ultérieures.

Les données consultées relèvent du règlement général sur la protection des données. Le prestataire doit indiquer les finalités du traitement, les durées de conservation et les destinataires éventuels.

Un point mérite attention : la finalité annoncée. Agréger des comptes pour afficher un budget et exploiter les mêmes données pour proposer des offres commerciales sont deux finalités distinctes, qui doivent être présentées comme telles.

L'interface dédiée et le partage d'identifiants

Les établissements teneurs de comptes doivent mettre à disposition une interface technique permettant aux prestataires agréés d'accéder aux données dans un cadre sécurisé, sans que l'utilisateur ait à leur communiquer ses identifiants.

Cette interface a remplacé les pratiques antérieures, dans lesquelles un agrégateur se connectait à l'espace client avec les identifiants confiés par l'utilisateur. Cette technique n'a plus lieu d'être et présente des risques évidents.

La règle pratique qui en découle est simple : un prestataire légitime ne demande jamais les identifiants de connexion à votre banque. Il vous redirige vers l'authentification de votre établissement.

Toute demande contraire, quelle que soit la justification avancée, doit conduire à interrompre le parcours et à vérifier le statut du prestataire dans le registre public.

Ce qui relève de la responsabilité de qui

En cas d'opération non autorisée initiée par un prestataire d'initiation de paiement, le titulaire s'adresse à son établissement teneur, qui rembourse selon le régime applicable, puis se retourne le cas échéant contre le prestataire.

Cette architecture évite à l'utilisateur d'avoir à identifier lui-même le responsable technique d'un incident. Le point d'entrée reste l'établissement où le compte est tenu.

Les délais de signalement s'appliquent : une opération contestée doit être signalée sans tarder après en avoir eu connaissance, dans les limites prévues par les textes.

Où vérifier

Les prestataires d'information sur les comptes et d'initiation de paiement figurent dans les registres publics tenus par les autorités nationales et recensés au niveau européen.

La documentation technique des interfaces est publiée par les établissements et, en France, coordonnée par les travaux de place sur les standards d'échange.

Cet article explique un cadre. Il ne recommande aucun agrégateur, n'évalue aucune application et ne constitue pas un conseil sur la gestion de vos comptes.