Droit à l'oubli bancaire 2026 : RGPD et vos recours

On parle beaucoup du droit à l’oubli, rarement de ce qu’il recouvre réellement quand il s’agit de sa banque. Beaucoup imaginent qu’il suffit de fermer un compte pour que tout disparaisse, ou qu’une simple demande efface d’un coup son historique bancaire. La réalité de 2026 est plus nuancée. Votre banque détient un volume considérable d’informations sur vous, de votre identité à vos habitudes de dépense, et le cadre qui régit leur suppression résulte d’un équilibre entre deux logiques opposées. D’un côté, le Règlement général sur la protection des données vous reconnaît un véritable droit à l’effacement. De l’autre, la réglementation bancaire impose à l’établissement de conserver certaines données pendant des années, quoi que vous demandiez. Comprendre où passe cette frontière, c’est savoir exactement ce que vous pouvez exiger, ce que la banque peut légitimement refuser, et par quels recours faire valoir vos droits. Cet article fait le point, à jour au mois d’août 2026, sur le droit à l’oubli bancaire et sa mise en œuvre concrète.

Le droit à l’oubli bancaire, ce qu’il recouvre vraiment en 2026

Le droit à l’oubli bancaire n’existe pas comme une loi autonome : c’est l’application au secteur bancaire du droit à l’effacement garanti par le Règlement général sur la protection des données. Autrement dit, aucun texte ne porte ce nom précis. Ce que l’on désigne ainsi, c’est la faculté de demander à sa banque de supprimer les données personnelles qu’elle détient lorsque leur conservation n’a plus de justification. La CNIL rappelle que ce droit à l’effacement permet à toute personne d’obtenir la suppression de ses données dans un ensemble de situations, par exemple lorsque ces données ne sont plus nécessaires au regard de la finalité pour laquelle elles avaient été collectées.

Appliqué à une banque, ce principe se heurte immédiatement à une particularité du secteur. Un établissement bancaire n’est pas un commerçant ordinaire : il est soumis à des obligations réglementaires strictes qui l’obligent à conserver une partie de vos informations, indépendamment de votre volonté. Le droit à l’oubli bancaire s’analyse donc toujours comme un arbitrage, jamais comme un effacement automatique et intégral. Certaines données partent, d’autres restent, et la ligne de partage dépend de la finalité de chaque information et du texte qui encadre sa conservation.

Il faut aussi distinguer les catégories de données concernées. Les informations de prospection commerciale, celles qui servent à vous adresser des offres, relèvent d’une logique souple : dès que vous vous opposez à leur usage ou que la finalité disparaît, l’effacement devient la règle. Les données liées au fonctionnement de vos comptes, à vos crédits ou à vos opérations obéissent au contraire à des délais légaux incompressibles. Cette gradation explique qu’une même demande d’effacement puisse être acceptée pour une partie de votre dossier et refusée pour une autre, sans que la banque se contredise pour autant.

Ce que le RGPD vous permet d’exiger de votre banque

Le Règlement général sur la protection des données vous confère plusieurs droits que votre banque doit respecter, dont le droit à l’effacement n’est que l’un des volets. Avant même de demander une suppression, vous disposez d’un droit d’accès qui vous permet de savoir quelles données l’établissement détient sur vous, et d’un droit de rectification pour corriger une information inexacte. La CNIL détaille l’ensemble de ces droits issus du règlement, applicables à tout organisme traitant des données personnelles, banques comprises.

Le droit à l’effacement, souvent appelé droit à l’oubli, s’exerce dans des cas définis. Vous pouvez l’invoquer lorsque les données ne sont plus nécessaires au regard des finalités, lorsque vous retirez le consentement sur lequel reposait le traitement, lorsque vous vous opposez à un traitement sans motif légitime impérieux de la part de la banque, ou encore lorsque les données ont fait l’objet d’un traitement illicite. Concrètement, une demande d’effacement bien fondée oblige la banque à réagir : elle doit soit procéder à la suppression, soit vous expliquer précisément pourquoi elle en est légalement empêchée.

Le règlement encadre aussi le délai de réponse. La banque doit répondre à votre demande dans les meilleurs délais, et en principe dans un délai d’un mois à compter de sa réception, quitte à le prolonger de deux mois supplémentaires si la demande est complexe, en vous en informant. Ce point est capital pour vos recours : c’est l’expiration de ce délai, ou une réponse insuffisante, qui ouvre la porte à une plainte. Le silence prolongé d’un établissement n’est pas neutre, il constitue en lui-même un manquement à vos droits. Si vous quittez votre banque, l’occasion est souvent bonne pour faire le point sur vos données : notre guide sur la clôture d’un compte bancaire précise les démarches associées à la fermeture.

Pourquoi votre banque conserve vos données cinq ans malgré tout

La principale limite au droit à l’oubli bancaire tient à une obligation légale de conservation : votre banque doit garder cinq ans après la fin de la relation d’affaires les données liées à votre connaissance client et à vos opérations. Cette durée n’est pas une pratique commerciale, c’est une exigence réglementaire. L’article L561-12 du Code monétaire et financier impose aux établissements assujettis de conserver pendant cinq ans, à compter de la clôture des comptes ou de la fin de la relation, les documents et informations relatifs à l’identité des clients ainsi qu’aux opérations effectuées.

L’objectif de cette conservation est la lutte contre le blanchiment de capitaux et le financement du terrorisme. Les banques ont l’obligation de pouvoir reconstituer, sur demande des autorités, l’historique des opérations et l’identité de leurs clients, y compris après la fin de la relation. C’est pourquoi une demande d’effacement portant sur ces données se heurtera systématiquement à un refus légitime tant que le délai de cinq ans n’est pas écoulé. Le Règlement général sur la protection des données prévoit d’ailleurs explicitement une exception au droit à l’effacement lorsque la conservation est nécessaire au respect d’une obligation légale.

D’autres durées coexistent avec ce socle de cinq ans, selon la nature des documents. Les pièces comptables, les justificatifs d’opérations ou les contrats peuvent relever de délais propres au droit commercial et fiscal, parfois plus longs. La CNIL rappelle la logique générale des durées de conservation : une donnée ne doit pas être gardée indéfiniment, mais uniquement pendant la durée nécessaire à la finalité poursuivie ou imposée par la loi, après quoi elle doit être supprimée ou archivée de façon restreinte. La clôture de votre compte ne fait donc pas table rase de votre dossier, elle fixe le point de départ des délais au terme desquels l’effacement devient exigible.

Droit à l’oubli bancaire et droit à l’oubli de l’assurance emprunteur, deux notions distinctes

Le droit à l’oubli bancaire, lié aux données personnelles, ne doit pas être confondu avec le droit à l’oubli de l’assurance emprunteur, qui est un dispositif médical. Cette confusion est fréquente parce que les deux expressions se ressemblent, mais elles ne recouvrent pas du tout la même réalité juridique et pratique.

Le droit à l’oubli de l’assurance emprunteur concerne l’accès au crédit des anciens malades. Il permet à une personne ayant été atteinte d’une pathologie lourde, en particulier un cancer, de ne plus la déclarer dans le questionnaire de santé lors de la souscription d’une assurance de prêt, dès lors qu’un certain délai s’est écoulé depuis la fin de son protocole thérapeutique et sans rechute. Ce mécanisme vise à éviter que d’anciens malades guéris ne soient pénalisés par des surprimes ou des exclusions de garantie. Il relève du droit des assurances et de la santé, et se manifeste au moment de contracter un prêt. Notre article sur l’assurance emprunteur et la loi Lemoine détaille ce cadre et les évolutions récentes qui ont renforcé ces droits.

Le droit à l’oubli bancaire, tel qu’abordé ici, relève au contraire de la protection des données personnelles. Il ne s’intéresse pas à votre santé mais aux informations que la banque détient sur votre identité, vos comptes et vos opérations. Il ne s’exerce pas au moment de contracter, mais à tout instant, et il se traduit par une demande d’effacement adressée à l’établissement. Les deux droits partagent une même intuition, celle de ne pas rester prisonnier de son passé, mais ils reposent sur des textes, des interlocuteurs et des démarches entièrement séparés. Confondre les deux conduit souvent à adresser la mauvaise demande au mauvais destinataire.

Effacement, fichiers Banque de France, comptes clos : ce qui part et ce qui reste

Toutes vos données bancaires ne suivent pas le même régime, et le droit à l’oubli produit des effets très inégaux selon qu’il s’agit d’un fichier réglementé, d’un compte clos ou d’informations commerciales. Faire la part des choses évite les demandes vouées à l’échec et cible les leviers réellement utiles.

Les fichiers d’incidents gérés par la Banque de France obéissent à leurs propres durées, indépendantes d’une demande d’effacement classique. Une inscription au fichier des incidents de remboursement des crédits aux particuliers, par exemple, se lève selon des règles précises liées à la régularisation, et non sur simple demande auprès de votre banque. Pour ces fichiers, le bon réflexe n’est pas le droit à l’effacement au titre du règlement, mais l’exercice du droit d’accès et la régularisation de l’incident, comme l’explique notre guide sur le FICP, le FCC et le droit d’accès à la Banque de France. Vouloir effacer une inscription par une demande RGPD adressée à la banque relève d’un malentendu, car ces registres répondent à un cadre légal spécifique.

Les données rattachées à un compte clôturé restent, elles, soumises au délai de conservation de cinq ans évoqué plus haut, puis deviennent effaçables. Les informations de prospection et de marketing, enfin, sont les plus simples à faire disparaître : une opposition à la prospection ou un retrait de consentement suffit en principe à en obtenir la suppression rapide. Une bonne hygiène des données passe aussi par la vigilance face aux risques de fuite et d’usurpation : notre article sur le phishing bancaire et les SMS frauduleux rappelle comment une donnée mal protégée peut se retourner contre vous, ce qui donne tout son sens à la maîtrise de vos informations.

Prospection, cookies et données de navigation : les effacements les plus simples

Toutes les données bancaires ne sont pas verrouillées par une obligation légale, et une part importante d’entre elles s’efface sur simple demande, sans que la banque puisse s’y opposer. Il s’agit des informations dont la finalité repose sur votre consentement ou sur l’intérêt commercial de l’établissement, et non sur une exigence réglementaire. Ce sont, en pratique, les effacements les plus rapides à obtenir et souvent les plus utiles au quotidien.

Les données de prospection en font partie. Lorsque votre banque utilise votre adresse électronique ou votre numéro de téléphone pour vous adresser des offres, des relances ou des sollicitations commerciales, vous pouvez vous y opposer à tout moment et demander leur suppression des fichiers marketing. La finalité commerciale ne prime jamais sur votre opposition, et l’établissement doit cesser ce traitement rapidement. C’est le levier le plus direct pour réduire la pression commerciale sans changer d’établissement.

Les données de navigation et les traceurs déposés sur les espaces en ligne de la banque relèvent d’une logique voisine. Votre consentement aux cookies non essentiels est révocable, et vous pouvez demander l’effacement des profils de navigation constitués à partir de vos visites. Là encore, l’obligation légale de conservation liée à la lutte contre le blanchiment ne s’applique pas à ces informations, qui n’ont pas de valeur probatoire réglementaire. En ciblant d’abord ces catégories, vous obtenez des résultats concrets et rapides, tout en réservant les demandes plus lourdes, portant sur le cœur de votre dossier bancaire, aux données réellement effaçables une fois les délais légaux écoulés.

Comment exercer votre droit à l’effacement, étape par étape

Exercer votre droit à l’oubli bancaire commence toujours par une demande écrite et datée adressée à votre banque, de préférence au délégué à la protection des données de l’établissement. La démarche n’a rien de solennel, mais sa forme conditionne l’efficacité de vos recours ultérieurs. Une demande verbale au guichet ne laisse aucune trace exploitable, alors qu’un écrit horodaté fait courir le délai de réponse et documente votre initiative.

Rédigez une demande précise. Indiquez votre identité, le compte ou les traitements concernés, et l’objet exact de votre requête, en visant le droit à l’effacement prévu par le Règlement général sur la protection des données. Si votre demande porte sur des données de prospection, dites-le clairement, car ce sont celles qui s’effacent le plus facilement. Si elle porte sur l’ensemble de votre dossier, attendez-vous à une réponse nuancée distinguant ce qui peut être supprimé et ce que la banque doit conserver au titre de ses obligations légales. Adressez la demande par un canal traçable, courrier recommandé ou messagerie sécurisée de l’espace client, et conservez une copie.

La banque doit ensuite vous répondre, en principe dans le délai d’un mois. Trois issues sont possibles. Elle accède à votre demande et procède à l’effacement des données concernées. Elle y accède partiellement, en supprimant ce qui peut l’être et en motivant la conservation du reste. Ou elle refuse, auquel cas elle doit indiquer le fondement juridique de ce refus, par exemple une obligation légale de conservation. Dans tous les cas, exigez une réponse motivée : une banque qui invoque une obligation légale doit être en mesure de préciser laquelle. Si vous envisagez par ailleurs de quitter l’établissement, le moment est propice pour coupler cette démarche avec un changement de banque, dont notre guide sur la mobilité bancaire décrit le déroulé complet.

Que faire en cas de refus : la saisine de la CNIL

Si votre banque ne répond pas dans le délai d’un mois, oppose un refus non motivé ou méconnaît vos droits, vous pouvez déposer une plainte auprès de la CNIL, gratuitement. Ce recours n’est ni marginal ni théorique. En 2024, la CNIL a reçu 17 772 plaintes, un niveau record en hausse par rapport à l’année précédente, signe que les particuliers se saisissent de plus en plus de leurs droits face aux organismes qui traitent leurs données, secteur bancaire inclus.

La plainte se dépose en ligne sur le site de la Commission ou par courrier. Son instruction repose sur les pièces que vous fournissez, d’où l’importance d’avoir conservé la trace de votre demande initiale et de la réponse, ou de l’absence de réponse, de la banque. La CNIL décrit les modalités pour agir et déposer une plainte lorsqu’un organisme ne respecte pas vos droits. La Commission peut interroger l’établissement, lui demander des explications et, le cas échéant, le mettre en demeure de se conformer à la réglementation, voire prononcer une sanction en cas de manquement caractérisé.

La saisine de la CNIL n’est cependant pas le seul recours à votre disposition, et il convient de bien orienter chaque litige. Un différend portant sur le respect de vos droits en matière de données personnelles relève de la Commission. Un litige portant sur la relation contractuelle avec votre banque, sur des frais ou sur le fonctionnement d’un compte relève plutôt de la médiation bancaire, dont notre guide sur la saisine du médiateur après un refus détaille les étapes et les délais. Bien identifier la nature de votre litige vous fait gagner un temps précieux et vous adresse au bon interlocuteur du premier coup. Dans tous les cas, le droit à l’oubli bancaire n’est effectif que si vous l’exercez avec méthode, par écrit, et en distinguant clairement ce que la loi vous permet d’effacer de ce qu’elle impose à votre banque de conserver.