RGPD compte pro 2026 : données, conservation et droits

TL;DR

Le RGPD protège les données personnelles rattachées à un compte pro : identité du dirigeant, adresse, justificatifs, relevés et historique d’opérations. La banque, responsable de traitement, doit respecter la minimisation, la limitation des finalités et la sécurité, sous le contrôle de la CNIL. Les données d’identification sont conservées cinq ans après la clôture au titre de la lutte anti-blanchiment (article L561-12 du Code monétaire et financier), les pièces comptables jusqu’à dix ans. Le titulaire garde cinq droits actifs : accès, rectification, effacement (dans les limites légales), portabilité et opposition à la prospection. En cas de fuite, la banque doit alerter la CNIL sous 72 heures. À jour au juillet 2026.

RGPD et compte pro : ce que la loi protège vraiment

Le RGPD s’applique à votre compte professionnel dès qu’un traitement concerne une personne physique identifiée ou identifiable. C’est le cas de la quasi-totalité des données rattachées à un compte professionnel tenu par un entrepreneur individuel ou un dirigeant de société : nom, adresse, numéro de téléphone, pièce d’identité, justificatif de domicile, mais aussi l’ensemble des relevés et l’historique des opérations qui dessinent, en creux, une image détaillée de l’activité et des habitudes du titulaire.

Une confusion fréquente mérite d’être levée d’emblée. Beaucoup d’entrepreneurs pensent que le RGPD ne protège que les particuliers et qu’un compte à usage professionnel échappe à ses règles. C’est faux. Le Règlement général sur la protection des données, entré en application le 25 mai 2018, encadre le traitement des données personnelles quelle que soit leur finalité, dès lors qu’elles se rapportent à une personne physique. Or l’auto-entrepreneur, le gérant d’EURL et le président de SASU sont des personnes physiques. Leurs données restent donc couvertes, même quand elles servent une activité économique.

La distinction utile porte plutôt sur la nature de la donnée. Le SIREN d’une société, sa dénomination sociale ou son adresse de siège sont des informations publiques, consultables sur l’annuaire des entreprises, et ne relèvent pas de la même protection. En revanche, le nom du gérant, sa signature, sa pièce d’identité ou ses coordonnées personnelles restent des données à caractère personnel pleinement protégées. Sur un compte pro, les deux registres se mélangent en permanence, ce qui explique que le RGPD y trouve constamment à s’appliquer.

L’autorité qui veille au respect de ces règles en France est la CNIL, la Commission nationale de l’informatique et des libertés. Elle contrôle les responsables de traitement, instruit les plaintes et prononce des sanctions. Sa compétence s’ajoute à celle de l’ACPR, qui supervise pour sa part le volet prudentiel et anti-blanchiment des banques et des établissements de paiement.

Quelles données votre banque collecte et pourquoi

Votre banque ne collecte pas vos données par curiosité : chaque catégorie répond à une finalité précise et légalement encadrée. Comprendre cette logique aide à distinguer une demande légitime d’une collecte excessive que le principe de minimisation interdit.

La première finalité est réglementaire. Au titre de la connaissance du client et de la lutte contre le blanchiment, la banque doit recueillir votre identité, votre justificatif de domicile et les preuves de l’existence de votre entreprise. Cette collecte n’est pas négociable : elle découle d’une obligation légale, l’une des six bases juridiques que le RGPD reconnaît pour justifier un traitement. Le détail de ces vérifications figure dans notre article sur le KYC du compte pro et les obligations anti-blanchiment, qui décrit précisément les pièces exigées selon la forme juridique.

La deuxième finalité est l’exécution du contrat. Pour tenir votre compte, exécuter vos virements, éditer vos relevés et gérer votre carte, la banque traite nécessairement les données de fonctionnement : soldes, opérations, bénéficiaires enregistrés, plafonds. Ce traitement repose sur la base contractuelle et cesse d’être justifié lorsque la relation prend fin, sous réserve des durées de conservation légales.

La troisième finalité, plus sensible, est la prospection commerciale. Proposer un crédit, une assurance ou un service complémentaire relève d’un intérêt commercial, pas d’une obligation. Ce traitement doit donc respecter votre droit d’opposition : vous pouvez refuser de recevoir des sollicitations sans avoir à vous justifier. Le tableau ci-dessous récapitule ces finalités et leur base juridique.

Ce cadre a une conséquence pratique directe : une banque ne peut pas exiger une donnée sans finalité claire. Si un formulaire réclame une information sans rapport avec l’ouverture ou la tenue du compte, le principe de minimisation permet de la contester.

Durées de conservation : cinq ans, dix ans, selon la donnée

La règle de base est simple : votre banque ne peut conserver vos données que le temps nécessaire à la finalité poursuivie, mais plusieurs obligations légales fixent des durées précises qui priment sur votre souhait de suppression. Ces durées varient selon la nature de la donnée, ce qui explique qu’une même clôture de compte laisse subsister certaines informations bien après la fin de la relation.

Les documents d’identification collectés au titre de la lutte anti-blanchiment obéissent à une règle claire : ils sont conservés cinq ans à compter de la clôture du compte ou de la fin de la relation d’affaires. Cette durée découle de l’article L561-12 du Code monétaire et financier, qui impose aux établissements financiers de pouvoir reconstituer une piste d’audit en cas de contrôle ou d’enquête. La banque n’a pas le choix : supprimer ces pièces trop tôt l’exposerait à une sanction de l’ACPR.

Les pièces comptables et les justificatifs d’opérations relèvent d’un autre régime. Le Code de commerce impose de conserver les livres et documents comptables pendant dix ans. Un relevé, une facture ou un justificatif de virement peut donc rester archivé bien au-delà des cinq ans du volet anti-blanchiment. Les données de prospection commerciale, à l’inverse, suivent une durée plus courte, généralement plafonnée à trois ans après le dernier contact resté sans suite.

Passés ces délais, le principe RGPD de limitation de la conservation reprend ses droits : la banque doit supprimer les données ou les archiver de manière restreinte, comme le rappelle la CNIL sur les durées de conservation. Cette articulation entre obligation de conserver et obligation de supprimer est au cœur du sujet : elle explique pourquoi le droit à l’effacement d’un compte pro est temporairement bridé après une clôture. Notre guide sur la clôture d’un compte pro, sa procédure, ses frais et ses délais détaille ce que devient concrètement le dossier une fois le compte fermé.

Vos droits RGPD sur un compte professionnel

En tant que titulaire, vous disposez de droits opposables à votre banque, et la plupart restent actifs pendant toute la période de conservation de vos données. Les connaître transforme un rapport souvent perçu comme déséquilibré en une relation encadrée où l’établissement a des comptes à rendre.

Le droit d’accès est le plus utilisé. Il vous permet d’obtenir une copie des données que la banque détient sur vous, ainsi que des informations sur les finalités du traitement, les destinataires et la durée de conservation. La demande s’adresse au délégué à la protection des données, le DPO, dont les coordonnées figurent dans la politique de confidentialité de l’établissement. La CNIL rappelle sur sa fiche dédiée au droit d’accès que l’organisme doit répondre en principe dans un délai d’un mois.

Le droit de rectification vous permet de corriger une donnée inexacte : une adresse obsolète, une erreur sur votre état civil, un nom mal orthographié. Il est particulièrement utile pour les entrepreneurs qui déménagent ou changent de forme juridique. Le droit à l’effacement, lui, s’exerce dans les limites déjà évoquées : il cède devant les obligations légales de conservation, mais redevient pleinement opposable une fois ces délais expirés.

Deux autres droits méritent l’attention. Le droit à la portabilité vous autorise à récupérer certaines données dans un format structuré et réutilisable, utile lorsque vous changez d’établissement. Il complète, sur le terrain des données, la mobilité bancaire prévue par la loi. Le droit d’opposition, enfin, vise principalement la prospection commerciale : vous pouvez refuser toute sollicitation marketing sans justification. Si l’établissement ne répond pas ou refuse à tort d’exercer vos droits, vous pouvez saisir la CNIL d’une plainte. Les entrepreneurs installés hors de France, dont les données transitent parfois par plusieurs juridictions, trouveront des précisions complémentaires dans notre article sur le compte pro pour non-résident ou activité à l’étranger.

Sécurité, violations de données et sanctions

La banque a l’obligation de protéger vos données et de réagir vite en cas d’incident : c’est l’un des piliers du RGPD, assorti de sanctions dissuasives. La sécurité n’est pas une option confiée à la bonne volonté de l’établissement, mais une exigence juridique dont le manquement se paie.

En cas de violation de données, c’est-à-dire toute atteinte à la confidentialité, à l’intégrité ou à la disponibilité de vos données, qu’il s’agisse d’un piratage, d’une fuite ou d’une perte, la banque doit notifier l’incident à la CNIL dans un délai de 72 heures après en avoir pris connaissance, dès lors que la violation présente un risque pour les droits et libertés des personnes. Cette obligation de notification rapide, détaillée par la CNIL sur la notification des violations, vise à limiter les dommages et à permettre une réaction coordonnée. Lorsque le risque est élevé, la banque doit en outre informer directement les titulaires concernés, afin qu’ils puissent surveiller leurs opérations et sécuriser leurs accès.

Les manquements au RGPD s’exposent à des sanctions significatives. Le règlement prévoit des amendes administratives pouvant atteindre 20 millions d’euros ou 4 pour cent du chiffre d’affaires annuel mondial pour les manquements les plus graves, le montant le plus élevé étant retenu. Dans la pratique française, le registre public des sanctions de la CNIL recense de nombreuses amendes prononcées, y compris par procédure simplifiée, pour des manquements courants comme un défaut de base légale, une durée de conservation excessive ou un droit d’accès non respecté, avec des montants qui vont de quelques milliers à plusieurs centaines de milliers d’euros. Cette publicité des sanctions joue un rôle dissuasif que tout responsable de traitement intègre désormais dans sa gestion des données.

Pour le titulaire, quelques réflexes de sécurité restent déterminants. Vérifier régulièrement ses relevés, activer les notifications d’opération, ne jamais communiquer ses identifiants par téléphone ou par courriel, et signaler immédiatement toute opération inconnue. Ces précautions valent d’autant plus que l’origine et la traçabilité des flux sont scrutées par la banque, un point développé dans notre guide sur le dépôt d’espèces sur un compte pro.

Néobanques et banques traditionnelles : même socle RGPD

Sur le plan juridique, une néobanque protège vos données exactement comme une banque de réseau : le RGPD et la CNIL s’imposent à toutes de la même manière. Cette égalité de traitement est importante à souligner, car la nouveauté des néobanques nourrit parfois une défiance infondée sur la protection des données.

Qonto, Shine, Blank ou Propulse, agréées établissement de paiement ou adossées à un établissement de crédit, sont soumises au même socle réglementaire que BNP Paribas Pro, la Société Générale Pro ou le Crédit Agricole Pro. Elles relèvent de la supervision de l’ACPR pour le volet anti-blanchiment et du contrôle de la CNIL pour la protection des données. Aucune ne peut s’affranchir des principes de minimisation, de sécurité et de limitation de la conservation. Le choix entre les deux modèles se joue donc ailleurs, sur les tarifs et les services, comme l’analyse notre comparatif compte pro en ligne contre agence en 2026.

La différence réelle est technique. Les néobanques, nativement numériques, s’appuient sur des infrastructures cloud dont il est prudent de vérifier la localisation. Un hébergement au sein de l’Union européenne offre un cadre juridique plus protecteur, car les transferts de données hors UE sont strictement encadrés par le RGPD. La politique de confidentialité, document obligatoire et public, précise l’identité des sous-traitants, la localisation des serveurs et les durées de conservation. La lire avant d’ouvrir un compte est un réflexe simple qui révèle beaucoup sur le sérieux d’un établissement. En pratique, les grandes néobanques françaises documentent ces éléments de manière transparente, et leur conformité fait l’objet d’un contrôle régulier au même titre que celle des banques historiques.

Au fond, la protection de vos données ne dépend pas du logo de votre banque mais du respect d’un cadre commun, robuste et contrôlé. Le vrai levier reste entre vos mains : lire la politique de confidentialité, exercer vos droits quand c’est utile et rester vigilant sur la sécurité de vos accès. Pour replacer cette dimension dans l’ensemble du choix d’un compte adapté à votre profil, consultez le guide complet du compte pro 2026.

Pour aller plus loin

• Hub : Compte pro 2026 : guide complet Qonto, Shine, Blank, Propulse
• KYC compte pro 2026 : pièces, délais et obligations
• Clôturer un compte pro 2026 : procédure, frais et délais
• Dépôt d’espèces sur compte pro 2026
• Compte pro en ligne vs agence en 2026
• Compte pro non-résident et activité à l’étranger

Questions fréquentes

Le RGPD s’applique-t-il à mon compte pro en 2026 ?

Oui, pleinement. Le Règlement général sur la protection des données encadre tout traitement de données personnelles concernant une personne physique. Sur un compte pro, cela vise l’identité du dirigeant, son adresse, ses justificatifs, ses relevés et l’historique de ses opérations. Que le titulaire soit auto-entrepreneur, gérant d’EURL ou président de SAS, les données rattachées à des personnes physiques identifiées ou identifiables restent protégées par le RGPD et par la loi Informatique et Libertés, sous le contrôle de la CNIL. La banque ou la néobanque, en tant que responsable de traitement, doit respecter les principes de licéité, de minimisation, de limitation des finalités et de sécurité. Le fait que le compte serve une activité professionnelle ne retire rien à cette protection dès lors que des personnes physiques sont concernées.

Combien de temps ma banque conserve-t-elle mes données de compte pro ?

La durée de conservation dépend de la finalité. Les documents d’identification collectés au titre de la lutte anti-blanchiment (LCB-FT) sont conservés cinq ans après la clôture du compte ou la fin de la relation d’affaires, en application de l’article L561-12 du Code monétaire et financier. Les données comptables et les pièces justificatives des opérations relèvent quant à elles d’une conservation généralement fixée à dix ans par le Code de commerce. Les données de prospection commerciale suivent un régime distinct, souvent limité à trois ans après le dernier contact. Le principe RGPD de limitation impose ensuite la suppression ou l’archivage : la banque ne peut pas conserver indéfiniment vos données une fois les obligations légales éteintes.

Puis-je demander l’effacement de mes données après la clôture du compte ?

Pas immédiatement, et c’est normal. Le droit à l’effacement prévu par le RGPD n’est pas absolu : il cède devant une obligation légale de conservation. Tant que court le délai de cinq ans imposé par le dispositif LCB-FT pour les données d’identité, ou le délai de conservation comptable, la banque a le droit et même le devoir de garder ces éléments. Une fois ces délais expirés, le droit à l’effacement redevient pleinement opposable et vous pouvez demander la suppression des données qui ne sont plus nécessaires. En revanche, le droit d’accès et le droit de rectification restent actifs pendant toute la période de conservation, ce qui vous permet de corriger une erreur sur votre adresse ou votre état civil à tout moment.

Quels droits RGPD puis-je exercer sur mon compte professionnel ?

Cinq droits principaux vous restent ouverts. Le droit d’accès permet d’obtenir la copie des données que la banque détient sur vous et les informations sur leur traitement. Le droit de rectification permet de corriger une donnée inexacte ou incomplète. Le droit à l’effacement s’exerce dans les limites des obligations légales de conservation. Le droit à la portabilité permet de récupérer certaines données dans un format réutilisable pour les transmettre à un autre établissement. Le droit d’opposition s’applique surtout à la prospection commerciale, que vous pouvez refuser sans justification. La demande s’adresse au délégué à la protection des données (DPO) de l’établissement, qui doit répondre en principe sous un mois. À défaut de réponse satisfaisante, vous pouvez saisir la CNIL.

Que se passe-t-il en cas de fuite de mes données bancaires professionnelles ?

En cas de violation de données, la banque a l’obligation de notifier l’incident à la CNIL dans un délai de 72 heures après en avoir pris connaissance, dès lors que la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes. Si le risque est élevé, elle doit en outre informer directement les personnes concernées, donc les titulaires de comptes touchés, afin qu’ils puissent prendre des mesures de protection comme la surveillance de leurs opérations ou le changement de leurs identifiants. Le manquement à ces obligations expose l’établissement à des sanctions de la CNIL. Pour le titulaire, la vigilance reste de mise : surveiller ses relevés et signaler toute opération inconnue à sa banque sans délai.

Une néobanque protège-t-elle mes données aussi bien qu’une banque de réseau ?

Sur le plan juridique, oui : le RGPD et la supervision de la CNIL s’appliquent de la même façon à Qonto, Shine, Blank ou Propulse qu’à BNP Paribas Pro ou au Crédit Agricole. Les néobanques agréées établissement de paiement sont soumises au même socle réglementaire et à la surveillance de l’ACPR pour le volet anti-blanchiment. La différence porte davantage sur l’architecture technique : les néobanques, nativement numériques, hébergent leurs données chez des prestataires cloud dont il faut vérifier la localisation, idéalement au sein de l’Union européenne. La politique de confidentialité, obligatoire et publique, précise ces éléments. La lire avant d’ouvrir un compte est un réflexe utile, quel que soit le type d’établissement.

Méthodologie

Cadre juridique issu du Règlement général sur la protection des données (RGPD, applicable depuis le 25 mai 2018) et de la loi Informatique et Libertés, complété par l’article L561-12 du Code monétaire et financier pour la conservation des données au titre de la lutte anti-blanchiment (LCB-FT). Analyse appuyée sur les fiches pratiques de la CNIL relatives aux durées de conservation, au droit d’accès, à la notification des violations de données et au registre des sanctions prononcées, ainsi que sur les publications de l’ACPR concernant la supervision des établissements de paiement. Les pratiques de traitement et les politiques de confidentialité ont été observées sur les documents publics des principales banques traditionnelles (BNP Paribas Pro, Société Générale Pro, Crédit Agricole Pro) et néobanques (Qonto, Shine, Blank, Propulse) au deuxième et troisième trimestre 2026. Article informationnel, ne constitue pas un conseil juridique, fiscal ou bancaire personnalisé. À jour au juillet 2026.