Secret bancaire et RGPD : ce que le DPO d'une banque doit articuler

Le 14 septembre 2026, Revolut a confirmé avoir transmis des données de clients à un usurpateur qui se faisait passer pour une agence gouvernementale. Rien n'a été piraté : des salariés ont répondu à ce qu'ils prenaient pour une réquisition ordinaire. Pour le DPO d'une banque, d'un établissement de paiement ou d'une fintech, ce dossier pose une question très concrète : qui a le droit de lever le secret bancaire, sur quel texte, et comment le vérifier avant de répondre ?

Le secret bancaire relève du Code monétaire et financier, pas du RGPD. Mais les deux régimes se croisent à chaque demande de communication, à chaque externalisation et à chaque incident. Ce guide pose la définition, liste les exceptions article par article, montre où les deux régimes se recoupent et où ils divergent, puis propose une grille de traitement des demandes.

Le secret bancaire : définition et fondement

Le secret bancaire est un secret professionnel. Son texte de référence est l'article L511-33 du Code monétaire et financier, qui pose l'obligation, ses exceptions et les communications autorisées. Le texte ne définit pas l'information protégée : il vise les « informations couvertes par le secret professionnel », c'est-à-dire, en pratique, ce que l'établissement apprend de ses clients dans l'exercice de son activité.

Qui est tenu au secret

Le I de l'article L511-33 vise toute personne qui siège au conseil d'administration ou de surveillance, qui participe « à un titre quelconque » à la direction ou à la gestion, ou qui est employée par :

• un établissement de crédit ;
• une société de financement ;
• un organisme mentionné aux 5 et 8 de l'article L511-6.

Le même schéma est repris, presque mot pour mot, pour les établissements de paiement (article L522-19) et pour les établissements de monnaie électronique (article L526-35). Une fintech agréée comme établissement de paiement n'échappe donc pas au secret parce qu'elle n'est pas une banque au sens courant.

Point d'attention pour le DPO : le secret pèse sur des personnes physiques (dirigeants, salariés), alors que le RGPD pèse sur le responsable du traitement. Une divulgation fautive engage donc à la fois la personne qui a parlé, sur le terrain pénal, et l'établissement, sur le terrain RGPD.

Une obligation d'abord pénale

Le dernier alinéa de l'article L571-4 du Code monétaire et financier sanctionne la méconnaissance du secret par les personnes soumises au I de l'article L511-33 des peines de l'article 226-13 du Code pénal : un an d'emprisonnement et 15 000 euros d'amende. Les articles L572-7 (établissements de paiement) et L572-17 (monnaie électronique) font le même renvoi. Le secret bancaire n'est donc pas une simple clause de confidentialité : c'est une infraction quand il est violé.

Les exceptions au secret bancaire

L'article L511-33 organise quatre familles d'exceptions. Le DPO n'a pas à les maîtriser comme un juriste bancaire, mais il doit savoir les reconnaître, parce que chaque exception est aussi, côté RGPD, une communication de données à un tiers qu'il faut fonder et tracer.

Les autorités auxquelles le secret n'est pas opposable

« Outre les cas où la loi le prévoit », le secret ne peut être opposé ni :

• à l'Autorité de contrôle prudentiel et de résolution (ACPR) ;
• à la Banque de France ;
• à l'Institut d'émission des départements d'outre-mer et à l'Institut d'émission d'outre-mer ;
• à l'autorité judiciaire agissant dans le cadre d'une procédure pénale ;
• aux commissions d'enquête parlementaires créées en application de l'article 6 de l'ordonnance n° 58-1100 du 17 novembre 1958.

La liste est plus courte pour les établissements de paiement et de monnaie électronique : les articles L522-19 et L526-35 ne mentionnent pas les commissions d'enquête parlementaires. Et l'autorité judiciaire n'est visée que lorsqu'elle agit dans une procédure pénale : une demande venue d'une juridiction civile ou commerciale ne relève pas de cette exception et doit être qualifiée avant toute réponse.

Les cas où la loi prévoit la levée

La formule « outre les cas où la loi le prévoit » renvoie à des textes dispersés. Trois reviennent en permanence dans le quotidien d'un DPO bancaire :

• Tracfin. La déclaration de soupçon (article L561-15 du CMF) et le droit de communication de la cellule de renseignement financier (article L561-25) lèvent le secret. L'article L561-22 interdit toute poursuite fondée sur l'article 226-13 du Code pénal contre le déclarant de bonne foi. Le détail des obligations de vigilance est dans notre guide sur la lutte contre le blanchiment et le financement du terrorisme.
• L'administration fiscale. Son droit de communication est organisé par les articles L81 et suivants du Livre des procédures fiscales, qui lui permettent d'obtenir documents et renseignements pour l'établissement de l'assiette, le contrôle et le recouvrement de l'impôt.
• La CNIL. L'article 19, III, de la loi Informatique et Libertés dispose que le secret ne peut être opposé aux membres et agents de la CNIL, sauf trois secrets limitativement énumérés : la relation avocat-client, les sources journalistiques et le secret médical. Le secret bancaire n'en fait pas partie. C'est l'usage que la France a fait de l'article 90 du RGPD, qui permet aux États membres d'encadrer les pouvoirs des autorités de contrôle face aux obligations de secret.

Les communications autorisées pour certaines opérations

L'article L511-33 autorise aussi les établissements de crédit et les sociétés de financement à communiquer des informations couvertes aux agences de notation, pour la notation des produits financiers, et aux personnes avec lesquelles ils négocient, concluent ou exécutent sept catégories d'opérations, « dès lors que ces informations sont nécessaires à celles-ci » :

1. opérations de crédit ;
2. opérations sur instruments financiers, de garanties ou d'assurance couvrant un risque de crédit ;
3. prises de participation ou de contrôle ;
4. cessions d'actifs ou de fonds de commerce ;
5. cessions ou transferts de créances ou de contrats ;
6. contrats de prestations de services confiant à un tiers des « fonctions opérationnelles importantes » ;
7. étude ou élaboration de contrats ou d'opérations entre entités du même groupe.

Les destinataires restent tenus à la confidentialité, que l'opération aboutisse ou non. Le 6° est celui qui intéresse le plus le DPO : c'est la base de l'externalisation, donc de la sous-traitance au sens du RGPD. Le 7° couvre une partie des échanges intragroupe ; l'article L511-34 impose en outre la transmission, au sein des groupes financiers, des informations nécessaires à la surveillance consolidée et à la lutte contre le blanchiment, en précisant qu'il ne fait pas obstacle à la loi Informatique et Libertés.

L'accord exprès du client

Dernière exception : l'établissement peut communiquer des informations couvertes « au cas par cas et uniquement lorsque les personnes concernées leur ont expressément permis de le faire ». Deux mots comptent. « Au cas par cas » exclut une autorisation générale glissée dans des conditions générales. « Expressément » exclut l'accord déduit d'un silence. Le texte ajoute un cas particulier : la communication, avec l'accord de la victime, aux autorités mentionnées à l'article L119-2 du Code de l'action sociale et des familles, lorsque les informations concernent une maltraitance financière d'une personne majeure vulnérable.

Secret bancaire et RGPD : où les deux régimes se recoupent et où ils divergent

Les deux régimes ne se substituent pas l'un à l'autre. Le secret bancaire dit à qui l'établissement a le droit de parler. Le RGPD dit comment il traite les données des personnes physiques, y compris quand il en parle. Une communication peut être licite au regard du CMF et fautive au regard du RGPD, et inversement.

Là où ils disent la même chose

• Confidentialité. L'article 5.1.f du RGPD impose l'intégrité et la confidentialité, et l'article 32 des mesures techniques et organisationnelles appropriées. Le secret bancaire en est la version sectorielle, assortie d'une sanction pénale. Une procédure de traitement des demandes d'autorités sert les deux à la fois.
• Externalisation. Le 6° de l'article L511-33 autorise la communication au prestataire à qui l'on confie des fonctions opérationnelles importantes ; l'article 28 du RGPD exige un contrat de sous-traitance et des garanties suffisantes. Le même prestataire relève souvent aussi de DORA : la cartographie commune est détaillée dans notre guide DORA, NIS 2 et RGPD.
• Minimisation. Le CMF n'autorise la communication que des informations « nécessaires » à l'opération ; l'article 5.1.c du RGPD exige des données adéquates, pertinentes et limitées. Le même réflexe vaut des deux côtés : ne transmettre que le périmètre demandé.

Là où ils divergent

• Les personnes protégées. Le RGPD ne protège que les personnes physiques ; son considérant 14 exclut expressément les données des personnes morales. Le texte de l'article L511-33 ne fait pas cette distinction : le compte d'une PME est couvert par le secret, pas par le RGPD, sauf pour les données de ses dirigeants ou de ses salariés.
• La logique. Le secret est une interdiction assortie d'exceptions. Le RGPD exige une base légale pour chaque traitement. Lever le secret ne fournit pas à lui seul la base RGPD : répondre à une réquisition repose sur l'obligation légale (article 6.1.c), qui suppose que le texte invoqué existe et s'applique bien à la demande.
• L'accord du client. L'autorisation expresse qui lève le secret n'est pas automatiquement un consentement au sens de l'article 7 du RGPD. Selon le cas, la base de la communication sera l'exécution du contrat (6.1.b) ou le consentement : il faut le documenter dans le registre, pas le présumer.
• Les tiers hors UE. Une communication à l'étranger permise par le CMF reste un transfert au sens du chapitre V du RGPD. L'article 48 ajoute qu'une décision d'une juridiction ou d'une autorité d'un pays tiers n'est reconnue que si elle s'appuie sur un accord international, comme un traité d'entraide judiciaire.

Le droit d'accès face au secret

Le secret bancaire protège le client : il ne lui est pas opposable pour ses propres données. Une demande d'accès au titre de l'article 15 du RGPD se traite donc comme partout ailleurs, avec deux réserves propres au secteur.

La première tient aux tiers. L'article 15.4 rappelle que le droit d'obtenir une copie ne doit pas porter atteinte aux droits d'autrui. Un relevé qui fait apparaître un cotitulaire, un mandataire ou un bénéficiaire de virement appelle un tri avant envoi. La méthode générale est décrite dans notre guide sur l'exercice du droit d'accès.

La seconde tient à la lutte anti-blanchiment. L'article L561-18 du CMF interdit de révéler au client l'existence d'une déclaration de soupçon ou ses suites. Et pour les traitements mis en œuvre aux seules fins des articles L561-5 à L561-23, l'article L561-45 prévoit que le droit d'accès s'exerce auprès de la CNIL : c'est un accès indirect. La réponse au client doit donc être construite pour ne rien laisser deviner. La question de la frontière entre RGPD et directive Police-Justice pour les cellules de renseignement financier est par ailleurs devant la Cour de justice : voir les conclusions de l'avocate générale du 8 octobre 2026 dans l'affaire C-222/25.

Traiter une demande de communication : la grille du DPO

Le dossier Revolut montre le point de rupture. Selon l'entreprise, les demandes provenaient d'un domaine d'agence gouvernementale légitime et passaient les contrôles techniques d'authentification de ce domaine. L'authentification a fonctionné ; la vérification de la légitimité de la demande, elle, n'a pas eu lieu. Notre analyse du dossier Revolut détaille la chronologie. La grille ci-dessous sort cette décision du jugement individuel.

Les six questions avant de répondre

1. Qui demande ? Autorité administrative, juge pénal, juge civil, CRF, administration fiscale, client, prestataire, entité du groupe. Chaque qualité renvoie à une exception différente, ou à aucune.
2. Sur quel texte ? Exiger par écrit l'article qui fonde la demande et vérifier qu'il vise bien un établissement de votre catégorie. Une demande sans fondement textuel identifiable n'est pas une réquisition.
3. La demande est-elle authentique ? Vérifier par un canal indépendant de celui qui l'a émise : rappeler le service sur un numéro public, jamais sur les coordonnées figurant dans le message reçu.
4. Le périmètre est-il proportionné ? Ne transmettre que ce que le texte permet d'obtenir. Une demande qui réclame l'intégralité d'un dossier client mérite une question avant une réponse.
5. Le destinataire est-il hors UE ? Si oui, articles 44 et suivants du RGPD, et article 48 pour une décision d'autorité étrangère.
6. Peut-on informer le client ? Pas si la demande relève de Tracfin (articles L561-18 et L561-25 du CMF) ; dans les autres cas, la réponse dépend de la procédure en cours.

Ce que le DPO trace

Chaque communication doit laisser une trace qui permet de la reconstituer : date, demandeur, fondement invoqué, vérification effectuée, données transmises, personne qui a validé. Sans ce journal, une communication indue ne se découvre pas, et le délai de notification devient intenable.

Un détail de registre à connaître : l'article 4.9 du RGPD précise que les autorités publiques susceptibles de recevoir des données dans le cadre d'une mission d'enquête particulière ne sont pas considérées comme des destinataires. Elles n'ont donc pas à figurer comme telles dans le registre de l'article 30. Cela ne dispense pas de journaliser chaque réponse : c'est ce journal qui prouvera, le jour d'un contrôle, que la procédure a été suivie. La gestion de ces demandes et de leur trace est aussi ce que couvre un outil de gestion des demandes d'exercice de droits, côté RGPD.

Violation du secret bancaire : sanctions et notification

Une communication indue est rarement un seul manquement. Elle est souvent, en même temps, une infraction au secret professionnel et une violation de données personnelles.

Côté secret bancaire

La personne qui révèle l'information encourt les peines de l'article 226-13 du Code pénal, par le renvoi des articles L571-4, L572-7 ou L572-17 du CMF selon le statut de l'établissement : un an d'emprisonnement et 15 000 euros d'amende. La responsabilité civile de l'établissement envers le client peut aussi être recherchée.

Côté RGPD

L'article 4.12 du RGPD définit la violation de données comme une faille de sécurité entraînant notamment la divulgation non autorisée de données personnelles. Une réponse à une fausse réquisition en est une, même sans intrusion technique. Elle déclenche :

• la documentation interne de la violation (article 33.5) ;
• la notification à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque (article 33) ;
• la communication aux personnes concernées lorsque le risque est élevé (article 34), ce qui sera souvent le cas avec des pièces d'identité ou des historiques de transactions.

Les manquements aux articles 32 à 34 relèvent du plafond de l'article 83.4 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Un manquement aux principes de l'article 5 relève de l'article 83.5 : jusqu'à 20 millions d'euros ou 4 %. La conduite à tenir pas à pas est dans notre guide sur la réaction à une violation de données.

Un incident, deux circuits

Le piège est de traiter l'incident dans un seul circuit. La direction juridique regarde le secret bancaire, le DPO regarde l'article 33, et personne ne vérifie que les deux analyses portent sur le même périmètre de clients. La bonne pratique : une fiche d'incident unique, qui sépare clients personnes physiques (RGPD et secret) et clients personnes morales (secret seul). Le même raisonnement vaut pour les assureurs, qui cumulent secret professionnel et données de santé : voir notre guide RGPD et assurance.

Le secret bancaire reste l'affaire des équipes juridiques et conformité bancaire. La partie RGPD, elle, se pilote : registre des traitements à jour, demandes d'accès tracées, violations documentées et notifiées dans les délais. C'est ce que Leto outille au quotidien pour les DPO du secteur financier : voir comment en démo.

Questions fréquemment posées

Quel article définit le secret bancaire ?

L'article L511-33 du Code monétaire et financier. Il soumet au secret professionnel les dirigeants, administrateurs et salariés des établissements de crédit et des sociétés de financement. Les articles L522-19 et L526-35 font de même pour les établissements de paiement et de monnaie électronique.

Quelles sont les exceptions au secret bancaire ?

Le secret n'est pas opposable à l'ACPR, à la Banque de France, aux instituts d'émission d'outre-mer, au juge pénal et, pour les établissements de crédit et les sociétés de financement, aux commissions d'enquête parlementaires. La loi prévoit d'autres levées, notamment au profit de Tracfin, de l'administration fiscale et de la CNIL. Le CMF autorise aussi certaines communications liées à des opérations, et la communication au cas par cas avec l'accord exprès du client.

Quelle est la sanction de la violation du secret bancaire ?

Les peines de l'article 226-13 du Code pénal, auxquelles renvoie l'article L571-4 du CMF : un an d'emprisonnement et 15 000 euros d'amende. Si la divulgation porte sur des données personnelles, elle constitue aussi une violation de données au sens du RGPD, avec obligation de notification à la CNIL dans les 72 heures.

Le secret bancaire est-il opposable à la CNIL ?

Non. L'article 19, III, de la loi Informatique et Libertés ne réserve que trois secrets opposables aux agents de la CNIL : le secret avocat-client, le secret des sources journalistiques et le secret médical. Le secret bancaire n'en fait pas partie.

Une banque peut-elle refuser une demande d'accès RGPD au nom du secret bancaire ?

Pas pour les données du client lui-même : le secret le protège, il ne s'oppose pas à lui. En revanche, les données de tiers doivent être écartées de la copie (article 15.4 du RGPD), et les données traitées aux seules fins de la lutte anti-blanchiment relèvent d'un droit d'accès indirect auprès de la CNIL (article L561-45 du CMF).

Le RGPD protège-t-il les clients personnes morales d'une banque ?

Non. Le considérant 14 du RGPD exclut les données des personnes morales. Les informations sur une entreprise cliente restent couvertes par le secret bancaire, mais seules les données de ses dirigeants, salariés ou mandataires personnes physiques relèvent du RGPD.