Données bancaires RGPD : ce que vous pouvez conserver

En 2019, Cdiscount a demandé à la CNIL de modifier sa recommandation sur les cartes de paiement : son dispositif de « paiement flash » en un clic supposait d’enregistrer le numéro de carte par défaut. La CNIL a refusé, le Conseil d’État l’a suivie (CE, 10e-9e ch. réunies, 10 décembre 2020, n° 429571), et le Comité européen de la protection des données a généralisé cette position à l’Union en 2021. Six ans plus tard, la majorité des sites marchands français que j’audite conservent encore des numéros de carte sans base légale identifiable — et parfois le cryptogramme avec.

Ce que recouvre juridiquement la « donnée bancaire »

Une donnée bancaire est une donnée à caractère personnel au sens de l’article 4(1) du RGPD dès lors qu’elle se rapporte à une personne physique identifiée ou identifiable. Cela couvre le numéro de carte (le PAN, primary account number), la date d’expiration, le cryptogramme visuel, le nom du titulaire, l’IBAN, le BIC, l’historique des transactions.

Première correction utile, parce que l’erreur est fréquente jusque dans des registres de traitement rédigés par des cabinets : les données bancaires ne sont pas des données sensibles au sens de l’article 9(1). Elles ne figurent dans aucune des catégories particulières énumérées par ce texte. Cela ne les rend pas moins protégées : elles relèvent du régime général, mais leur criticité intrinsèque — un numéro de carte compromis se monétise en quelques heures — impose des mesures de sécurité renforcées au titre de l’article 32, et rend très probable le déclenchement d’une analyse d’impact lorsqu’elles sont traitées à grande échelle ou combinées à du profilage.

Deuxième point, celui qui commande tout le reste : le principe de minimisation de l’article 5(1)©. La CNIL, dans sa délibération n° 2018-303 du 6 septembre 2018 — toujours le texte de référence en 2026 —, énumère limitativement les données strictement nécessaires à un paiement à distance : le numéro de la carte, la date d’expiration et le cryptogramme visuel. Rien d’autre. L’identité du titulaire ne doit pas être collectée si elle n’est pas nécessaire à la transaction. Et un commerçant ne peut en aucun cas demander la photographie ou la photocopie de la carte, même partiellement masquée — une pratique que je vois encore dans certains services clients de la vente à distance, généralement au titre de la « lutte contre la fraude », et qui est indéfendable.

La règle par défaut : rien ne survit à la transaction

L’article 25 du RGPD impose la protection des données dès la conception et par défaut. Appliqué au paiement, cela produit une règle simple : par défaut, aucune donnée de carte n’est conservée au-delà de la transaction. Ce n’est pas une recommandation de confort, c’est le paramétrage juridiquement présumé de votre tunnel de paiement. Toute conservation supplémentaire est une exception qui doit être justifiée, documentée et fondée sur une base légale identifiée.

Le cryptogramme visuel fait l’objet d’une règle plus stricte encore, et elle est absolue : sa conservation est interdite après la réalisation de la première transaction. Aucune finalité ne la justifie — ni la lutte contre la fraude, ni la gestion des réclamations, ni le paiement récurrent, qui n’en a techniquement pas besoin. C’est le point de contrôle le plus rapide d’un audit : si votre base, vos logs applicatifs, vos exports de support ou vos enregistrements d’appels contiennent des cryptogrammes, vous êtes en manquement, sans discussion possible.

En pratique, trois lieux de fuite reviennent systématiquement. Les journaux applicatifs, où le formulaire de paiement sérialise l’intégralité de la requête avant transmission au prestataire. Les outils de support client, où un agent colle les coordonnées dictées par téléphone dans un ticket. Et les sauvegardes, qui perpétuent pendant des mois des données pourtant purgées de la base de production. Un audit de conformité qui ne descend pas jusqu’aux logs et aux sauvegardes ne prouve rien.

Les trois bases légales mobilisables, et leurs frontières

L’erreur structurante consiste à traiter « conserver les données de carte » comme un traitement unique. Ce sont plusieurs finalités distinctes, chacune avec sa propre base légale au titre de l’article 6(1) et sa propre durée.

L’exécution du contrat — Art. 6(1)(b)

Elle couvre le paiement lui-même : encaisser le prix du bien ou de la prestation. Elle couvre également l’échéancier — un paiement en plusieurs fois, un abonnement dont les prélèvements sont contractuellement prévus. Dans ces hypothèses, la conservation du numéro de carte est nécessaire à l’exécution du contrat jusqu’à la dernière échéance, et aucun consentement n’a à être recueilli.

Elle ne couvre pas, en revanche, la conservation destinée à faciliter des achats futurs. C’est le cœur de la décision Cdiscount : enregistrer une carte pour un éventuel achat ultérieur va au-delà de ce que le client a demandé en passant une commande ponctuelle. Le contrat exécuté est celui de la commande du jour, pas celui d’une relation commerciale hypothétique.

Le consentement — Art. 6(1)(a)

C’est la base légale de la conservation « carte enregistrée » (card on file). Elle a été retenue par la CNIL en 2018, validée par le Conseil d’État en 2020, puis consacrée à l’échelle européenne par les recommandations 02/2021 du CEPD du 19 mai 2021 sur la base juridique du stockage des données de carte aux seules fins de faciliter des transactions ultérieures. Le CEPD y écarte explicitement le contrat et l’intérêt légitime pour cette finalité.

L’intérêt légitime — Art. 6(1)(f)

Deux usages seulement, et tous deux étroits. Le premier est la lutte contre la fraude à la carte de paiement, admise de longue date, à condition que le dispositif soit proportionné et documenté. Le second est la situation particulière des abonnements de type « premium », sur laquelle je reviens plus bas — c’est la nuance française, et elle mérite d’être maniée avec précaution.

Notez ce qui n’est pas une base légale valable : l’obligation légale de l’article 6(1)©. Les obligations comptables et fiscales imposent de conserver la trace de la transaction — montant, date, moyen de paiement, référence — pas le numéro de carte. Justifier la conservation d’un PAN par le code de commerce est un raisonnement que je vois régulièrement dans les registres et qui ne résiste pas à un contrôle. Si le sujet des bases légales vous paraît flou, mon guide sur le choix d’une base légale RGPD reprend la méthode d’arbitrage complète.

Le consentement à l’enregistrement de la carte : ce qui vaut, ce qui ne vaut pas

Le consentement de l’article 4(11) doit être libre, spécifique, éclairé et univoque. Transposé au paiement, cela donne quatre exigences opérationnelles.

Une case à cocher distincte et non pré-cochée. Le CEPD comme la CNIL ont fait de ce mécanisme le standard. Une case pré-cochée, un opt-out, un « en poursuivant vous acceptez » ne constituent pas un acte positif univoque.

Pas de consentement par acceptation des CGV. La CNIL est explicite : l’acceptation des conditions générales de vente ou d’utilisation n’est pas une modalité suffisante de recueil du consentement. L’article 7(2) impose que la demande de consentement soit présentée sous une forme qui la distingue clairement des autres questions. Une clause noyée dans vos CGV ne vaut rien — sur ce que vos CGV doivent effectivement contenir en matière de données personnelles, le régime est distinct.

Un retrait aussi simple que le consentement. L’article 7(3) l’exige, et la CNIL recommande que la suppression de la carte enregistrée soit possible directement sur le site marchand, sans frais et à tout moment. Concrètement : un bouton « supprimer cette carte » dans l’espace client. Si l’enregistrement prend deux clics et la suppression un appel au service client, le consentement n’est pas valablement recueilli.

Aucune asymétrie visuelle. Un bouton « Enregistrer ma carte » en vert plein écran face à un lien gris « non merci » de huit pixels relève des pratiques que le DSA et la CNIL qualifient de dark patterns. L’appréciation du caractère libre du consentement intègre désormais l’ergonomie de l’interface, pas seulement la présence formelle d’une case.

Enfin, un point que beaucoup de directions produit découvrent tard : l’achat en « un clic » proposé indistinctement à tous les clients ne bénéficie d’aucun régime de faveur. Le Conseil d’État l’a jugé pour Cdiscount. Si vous voulez le proposer, il vous faut le consentement préalable du client à l’enregistrement de sa carte.

Recevez nos analyses conformité chaque semaine. RGPD, DSA, GPSR, AI Act, facturation électronique : une lecture par semaine pour comprendre ce qui change et ce qu’il faut faire. S’inscrire à la newsletter.

Le cas des abonnements « premium » : la nuance française

La CNIL admet qu’un commerçant puisse se fonder sur son intérêt légitime pour conserver par défaut les données bancaires des clients ayant souscrit un abonnement de type « premium », « à volonté » ou équivalent, donnant accès à des services annexes destinés à faciliter les achats : livraison accélérée, ventes privées, contenus additionnels. Le raisonnement tient à l’attente raisonnable : en souscrivant un tel abonnement, le client manifeste son intention de s’inscrire dans une relation commerciale régulière, et peut donc raisonnablement s’attendre à ce que sa carte soit mémorisée.

Cette tolérance est assortie de cinq conditions cumulatives :

1. Une information complète et distincte sur le support de collecte lui-même — un encadré visible au-dessus du formulaire, pas une mention en pied de page ;
2. Un droit d’opposition exerçable immédiatement, par une case à cocher présente sur ce même support, sans conséquence sur l’accès au service ;
3. La possibilité de supprimer facilement et à tout moment les données de carte depuis le site ;
4. Le respect durable du refus : un client ayant refusé ne peut se voir reproposer l’enregistrement qu’au moyen d’un consentement libre, éclairé et spécifique ;
5. Des mesures de sécurité appropriées.

Deux avertissements, en tant que praticien. D’abord, la CNIL exclut expressément l’assimilation à un simple programme de fidélité : un compte fidélité qui donne accès à des points et à des récompenses, sans prestation supplémentaire facilitant les achats, ne fait pas basculer dans ce régime — c’est une distinction que je détaille dans mon guide RGPD et carte de fidélité. La création d’un compte client donnant accès aux services de base ne suffit pas davantage.

Ensuite, cette position française coexiste avec des recommandations du CEPD qui, pour la finalité « faciliter les transactions ultérieures », ne retiennent que le consentement. Une entreprise qui opère uniquement en France peut s’appuyer sur la doctrine de la CNIL. Une entreprise transfrontalière soumise au guichet unique s’exposera à l’appréciation d’une autre autorité chef de file, potentiellement plus stricte. Dans les deux cas, si vous retenez l’intérêt légitime, formalisez le test de mise en balance par écrit et versez-le au dossier : c’est la seule pièce qui vous permettra de discuter en contrôle. Ma méthode d’analyse de l’intérêt légitime détaille la construction de ce test.

Combien de temps conserver : le tableau de référence

Les durées de conservation découlent de la finalité, jamais d’un usage sectoriel. Voici la grille issue de la recommandation de la CNIL, telle que je la reprends dans les registres que je construis.

Finalité	Base légale	Durée de conservation	Statut de la donnée
Paiement unique	Art. 6(1)(b)	Jusqu’au paiement complet et à la réception du bien ou à l’exécution de la prestation, augmenté du délai de rétractation	Base active
Abonnement, paiement échelonné	Art. 6(1)(b)	Jusqu’à la dernière échéance de paiement	Base active
Gestion des réclamations et contestations	Art. 6(1)(f)	13 mois à compter de la date de débit ; 15 mois pour les cartes à débit différé	Archivage intermédiaire, accès restreint, usage limité à la contestation
Faciliter les achats ultérieurs (card on file)	Art. 6(1)(a) — ou 6(1)(f) pour l’abonnement premium	Jusqu’au retrait du consentement ou à l’expiration de la validité de la carte	Base active
Cryptogramme visuel	Aucune	Suppression dès la première transaction	Interdit en conservation
Lutte contre la fraude	Art. 6(1)(f)	Durée nécessaire au dispositif, documentée dans le registre	Archivage intermédiaire

Trois précisions comptent davantage que le tableau lui-même.

Le délai de rétractation de quatorze jours qui prolonge la conservation dans le premier cas n’est pas un délai forfaitaire : il court dans les conditions du code de la consommation, et se trouve considérablement allongé si l’information précontractuelle est défaillante — jusqu’à douze mois supplémentaires. Un manquement au droit de la consommation devient alors, mécaniquement, une conservation prolongée à justifier au regard du RGPD. J’ai détaillé ce mécanisme dans mon guide sur le délai de rétractation de 14 jours.

L’archivage intermédiaire n’est pas un mot magique. Il suppose une séparation logique effective, une restriction des habilitations à un nombre limité de personnes, et une interdiction d’usage en dehors du cas de contestation. Une donnée qui reste dans la base de production, accessible à tout le service client, n’est pas archivée : elle est conservée. La méthode générale de fixation des durées s’applique ici sans dérogation.

La purge doit être automatisée. Une durée inscrite au registre et non implémentée en base est une déclaration inexacte, aggravante en contrôle. C’est le manquement le plus fréquent : le registre est propre, la base ne l’est pas. Sur l’exigence de suppression effective, y compris dans les sauvegardes, voyez l’effacement sécurisé des données.

Sécuriser : l’article 32 appliqué au paiement

L’article 32(1) impose des mesures adaptées au risque. Sur des données de carte, la CNIL énumère un socle qu’il est difficile de discuter :

• Substitution du numéro de carte par un identifiant non signifiant (tokenisation). Le marchand conserve un jeton inexploitable hors du contexte du prestataire ; le PAN ne transite plus par ses systèmes. C’est la mesure la plus efficace, et la seule qui réduise réellement le périmètre du risque plutôt que de le gérer.
• Masquage de tout ou partie du numéro à l’affichage comme au stockage.
• Chiffrement des données au repos et en transit — les modalités et le niveau attendu sont détaillés dans mon guide sur les obligations de chiffrement.
• Traçabilité permettant de détecter tout accès illégitime et de l’imputer à une personne identifiée.
• Pas de stockage sur le terminal du client : la CNIL recommande explicitement de ne pas conserver de données de carte sur le smartphone ou l’ordinateur de l’utilisateur, ces équipements n’étant pas conçus pour cela.

La collecte par téléphone appelle deux exigences supplémentaires : une traçabilité des accès aux numéros collectés, et l’offre d’une solution alternative sécurisée, sans coût supplémentaire, pour les clients qui ne souhaitent pas dicter leur carte. Un rappel de contexte : dans sa délibération n° SAN-2020-003 du 28 juillet 2020, la CNIL a sanctionné Spartoo à hauteur de 250 000 €, notamment pour l’enregistrement intégral et permanent des appels reçus par son service client. Dans une activité de vente à distance, un tel enregistrement est susceptible de capter les coordonnées bancaires dictées par les clients, et transforme alors une pratique de contrôle qualité en constitution d’une base de données de cartes que personne n’a recensée.

Deux cadres complètent le RGPD sans s’y substituer. PCI DSS est une norme contractuelle imposée par les réseaux de cartes, pas une obligation légale : la version 4.0.1 est en vigueur et l’ensemble de ses exigences dites future-dated est obligatoire depuis le 31 mars 2025. S’y conformer ne vaut pas conformité au RGPD, mais un manquement PCI DSS constitue un indice sérieux d’insuffisance au sens de l’article 32. L’authentification forte du payeur (SCA), issue de la DSP2 et du règlement délégué (UE) 2018/389, s’impose depuis 2019 ; la CNIL y voit une mesure de sécurité recommandée autant qu’une obligation prudentielle. Le paquet DSP3/RSP, sur lequel Parlement et Conseil ont trouvé un accord politique le 27 novembre 2025, en reprendra le principe avec une application attendue à l’horizon 2027 : rien qui justifie d’attendre pour agir.

Qui est responsable : vous, ou votre prestataire de paiement ?

La question détermine votre exposition, et la réponse est rarement binaire. Un prestataire de services de paiement comme Stripe, Adyen ou PayPal agit en général selon un double statut : sous-traitant au sens de l’article 28 lorsqu’il exécute le paiement pour votre compte et selon vos instructions, et responsable de traitement autonome pour ses propres finalités — lutte contre la fraude, obligations de lutte contre le blanchiment, exigences prudentielles. Vous devez donc à la fois disposer d’un accord de sous-traitance conforme et informer vos clients du traitement autonome opéré par le prestataire.

Le choix d’intégration technique a des conséquences juridiques directes. Un formulaire hébergé, des champs en iframe ou une redirection vers la page du prestataire font que les données de carte ne transitent jamais par vos serveurs : votre périmètre de responsabilité et votre surface d’exposition se réduisent d’autant. Un formulaire natif que vous relayez ensuite au prestataire vous replace au contraire au centre du risque. Sur les modalités concrètes de ce partage, voyez mon guide Stripe et RGPD ; les configurations par défaut des principales plateformes sont traitées dans mes analyses de Shopify, PrestaShop et WooCommerce.

Dans tous les cas, le traitement de paiement doit figurer dans votre registre des activités de traitement, avec sa finalité, sa base légale, ses durées et l’identification du sous-traitant — et vos mentions d’information doivent le refléter.

Violation de données bancaires : le réflexe des 72 heures

Une compromission de données de carte est une violation de données à caractère personnel. L’article 33 impose la notification à la CNIL dans les 72 heures, sauf si la violation n’est pas susceptible d’engendrer un risque. Sur des données bancaires, l’exonération est en pratique très difficile à soutenir : le risque de réutilisation frauduleuse est immédiat et documenté.

L’article 34 impose en outre la communication aux personnes concernées lorsque le risque est élevé — et la CNIL recommande explicitement d’informer le titulaire de toute compromission de ses données bancaires, afin qu’il puisse contester des paiements ou faire opposition. La procédure complète, avec les délais et les pièces à réunir, est détaillée dans mon guide sur la fuite de données personnelles.

Les six manquements les plus fréquents

Sur les audits e-commerce que je conduis, ce sont toujours les mêmes points qui tombent :

1. Le cryptogramme survit quelque part — logs applicatifs, tickets de support, enregistrements d’appels, sauvegardes.
2. Le consentement est adossé aux CGV, ou recueilli par case pré-cochée, ou impossible à retirer depuis l’espace client.
3. L’achat en un clic est activé par défaut pour tous les clients, sans souscription à un service distinct.
4. La durée de 13 mois est appliquée à tout, y compris à des cartes conservées en base active pour des achats ultérieurs.
5. Le registre est à jour, la base ne l’est pas : aucune purge automatisée n’implémente les durées déclarées.
6. Aucun accord de sous-traitance conforme avec le prestataire de paiement, ou un accord signé sans lecture des annexes de sécurité.

Ce qu’il faut retenir

• Par défaut, aucune donnée de carte ne survit à la transaction. Toute conservation est une exception qui exige une finalité, une base légale et une durée documentées (art. 5(1)© et 25 du RGPD).
• La conservation du cryptogramme visuel après la première transaction est interdite, sans exception ni finalité justificative.
• Enregistrer une carte pour faciliter des achats ultérieurs suppose le consentement — case distincte, non pré-cochée, retirable en un geste depuis le site. L’acceptation des CGV ne vaut pas consentement (CE, 10 déc. 2020, n° 429571 ; CEPD, recommandations 02/2021).
• L’intérêt légitime n’ouvre que deux portes : la lutte contre la fraude, et les abonnements « premium » donnant accès à des services facilitant les achats, sous cinq conditions cumulatives posées par la CNIL. Un programme de fidélité n’en fait pas partie.
• 13 mois pour les réclamations, 15 mois pour le débit différé, en archivage intermédiaire strict — pas en base active accessible au service client.
• La tokenisation reste la mesure la plus efficace : ce que vous ne stockez pas ne peut pas fuir, ni vous être reproché.

FAQ

Puis-je conserver le numéro de carte pour rembourser un client ?

Non, ce n’est pas nécessaire. Le remboursement s’effectue par contre-passation sur la transaction d’origine via votre prestataire de paiement, qui dispose de la référence : vous n’avez pas besoin de détenir le PAN pour cela. Si votre processus de remboursement exige de ressaisir un numéro de carte, c’est votre processus qu’il faut revoir, pas votre durée de conservation. Les modalités de traitement des remboursements relèvent par ailleurs de votre politique de remboursement et du droit de la consommation.

Le RIB d’un client suit-il les mêmes règles que la carte bancaire ?

Les principes sont identiques — minimisation, base légale, durée limitée, sécurité de l’article 32 — mais la recommandation n° 2018-303 vise spécifiquement la carte de paiement. Pour un IBAN utilisé en prélèvement SEPA, la conservation est justifiée par l’exécution du contrat pendant toute la durée du mandat, puis pendant la période de contestation applicable au prélèvement. La différence pratique tient à l’absence d’équivalent du cryptogramme : il n’existe pas de donnée à supprimer impérativement dès la première opération.

Mon prestataire de paiement est certifié PCI DSS : suis-je conforme au RGPD ?

Non. PCI DSS est un référentiel de sécurité contractuel imposé par les réseaux de cartes ; le RGPD est un texte réglementaire qui porte sur la licéité, la finalité, la durée et les droits des personnes. Une certification PCI DSS ne dit rien de votre base légale, de vos durées de conservation ni de votre information des clients. Elle constitue en revanche un élément de preuve utile au titre de l’article 32, et son absence chez un prestataire serait un signal d’alerte sérieux.

Combien de temps puis-je garder une carte enregistrée par un client inactif ?

Jusqu’au retrait de son consentement, ou jusqu’à l’expiration de la validité de la carte — la première de ces deux échéances. En pratique, la date d’expiration de la carte fournit une borne automatique commode : au-delà, la donnée n’a plus d’utilité et sa conservation devient sans finalité. Il est recommandé d’y ajouter une purge des comptes inactifs, cohérente avec la durée de conservation retenue pour l’ensemble du compte client, et de rappeler au client, avant suppression, qu’il peut réenregistrer une carte.

Que risque une PME qui conserve des numéros de carte sans consentement ?

Le manquement relève de l’article 83(5)(a) du RGPD : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Ces plafonds ne reflètent pas la pratique décisionnelle française pour une PME, où les montants prononcés se comptent le plus souvent en dizaines de milliers d’euros, souvent assortis d’une injonction sous astreinte. Le risque réel est cumulatif : la conservation illicite s’accompagne presque toujours d’un manquement à la durée de conservation, à l’information et à la sécurité, et c’est l’accumulation qui construit le quantum. À quoi s’ajoute le risque opérationnel d’une compromission, qui déclenche notification, communication aux clients et perte de confiance.

---

Thiébaut Devergranne est docteur en droit (Paris II) et consultant en protection des données depuis plus de vingt ans, dont six passées au sein des services du Premier ministre (SGDN/DCSSI). Il est le fondateur de donneespersonnelles.fr et de Legiscope.