Circulation des informations couvertes par le secret bancaire

Le secret bancaire, pierre angulaire de la relation de confiance entre une banque et son client, est encadré par l’article L. 511-33 du Code monétaire et financier. Ce principe protège les informations confidentielles confiées à l’établissement. Cependant, la complexité croissante des opérations financières et la nécessité de lutter contre certaines dérives ont conduit le législateur à aménager des exceptions et à définir les conditions de circulation de ces informations sensibles. Comprendre ces mécanismes est essentiel tant pour les clients que pour les professionnels du secteur.

Le secret bancaire au sein des groupes financiers

L’organisation des banques en groupes de sociétés soulève des questions spécifiques quant à la circulation de l’information en interne. Le droit français et européen a dû s’adapter pour concilier le besoin de gestion consolidée des risques et le respect de la confidentialité due au client.

Échanges entre établissements d’un même groupe

Au sein d’un groupe bancaire, la nécessité d’une gestion globale, notamment pour la consolidation comptable (requise par le règlement UE n°575/2013) et l’évaluation des risques (Directive 2013/36/UE – CRD IV), implique des échanges d’informations entre les différentes entités (maison mère, filiales). Le Conseil d’État a validé ce partage interne lorsqu’il répond à des finalités légitimes de gestion, considérant que l’intérêt du groupe peut justifier une circulation contrôlée des données (CE, 20 juin 2018, n°408185). Ces échanges doivent cependant rester circonscrits aux informations strictement nécessaires à ces finalités de gestion et de contrôle prudentiel.

Notion de « secret partagé »

Le concept de « secret partagé » permet, sous conditions strictes, la communication d’informations confidentielles entre professionnels soumis à une même obligation de secret, sans nécessiter le consentement préalable du client. Cette notion, précisée par la jurisprudence (Cass. com., 28 avril 2004, n°02-15.054) et encadrée par les autorités de régulation (ACPR, CNIL), suppose que les professionnels impliqués concourent à une même finalité légitime et définie. L’article L. 511-33 du Code monétaire et financier détaille les cas où ce partage est autorisé. En dehors de ces cas spécifiques, le consentement du client reste la règle. La notion de secret bancaire en France repose sur cet équilibre délicat.

Cas légaux de communication sans consentement du client

L’article L. 511-33 du Code monétaire et financier énumère sept situations précises où les informations couvertes par le secret peuvent circuler sans l’accord explicite du client. Ces exceptions sont d’interprétation stricte.

Opérations de crédit

La nature même des opérations de crédit justifie certains partages d’informations :

• Évaluation des risques : Les banques peuvent échanger des informations sur la solvabilité d’un emprunteur pour évaluer le risque lié à un nouveau concours financier (Cass. com., 11 avril 2018, n°16-13.107).
• Syndication de prêts (pools bancaires) : Dans le cadre de crédits syndiqués, les informations nécessaires à la bonne marche du pool peuvent circuler entre les banques participantes, dans le respect des règles prudentielles (Arrêté du 3 novembre 2014 relatif au contrôle interne).
• Titrisation de créances : Le règlement UE 2017/2402 permet la transmission des données relatives aux créances titrisées, mais encadre strictement ces informations pour protéger la vie privée des débiteurs.

Prises de participation ou de contrôle

Lorsqu’une entité envisage de prendre une participation ou le contrôle d’un établissement de crédit, d’une entreprise d’investissement ou d’une société de financement, les informations nécessaires à l’évaluation de la cible peuvent être communiquées. Cela découle de l’obligation de diligence de l’acquéreur (article L. 511-12-1 CMF) et des exigences des autorités de régulation (BCE, ACPR) pour l’agrément de l’opération.

Cessions d’actifs ou de fonds de commerce

La cession d’actifs ou de fonds de commerce d’un établissement financier peut nécessiter la communication d’informations couvertes par le secret pour permettre à l’acquéreur d’évaluer ce qu’il achète.

Cessions ou transferts de créances ou de contrats

Similaire à la titrisation, la cession simple de créances ou le transfert de contrats (comme un portefeuille de prêts) autorise la communication des informations nécessaires à l’acquéreur pour apprécier la valeur et les risques des actifs transférés.

Contrats de prestations de services importants (Externalisation)

Lorsqu’une banque externalise une fonction opérationnelle importante (gestion informatique, recouvrement, etc.), elle peut transmettre les informations nécessaires au prestataire. Trois conditions strictes s’appliquent : une clause contractuelle de confidentialité robuste, la limitation aux données strictement indispensables, et une finalité clairement définie et légitime (Arrêté du 3 novembre 2014, art. 104 ; RGPD, art. 5.1.b). La responsabilité du banquier peut être engagée si ces conditions ne sont pas respectées. Consulter un avocat pour la protection des données bancaires peut être judicieux en cas de doute.

Lors de l’étude ou l’élaboration de contrats ou opérations intragroupe

Au sein d’un même groupe, les entités peuvent échanger des informations lors de la préparation de contrats ou d’opérations communes. Cette facilité vise à permettre une collaboration efficace tout en maintenant la confidentialité vis-à-vis de l’extérieur du groupe.

Communication aux agences de notation

Les banques peuvent communiquer des informations aux agences de notation pour les besoins spécifiques de la notation des produits financiers (article L. 511-33, I, al. 3 CMF). Cette communication est encadrée : usage exclusif pour la notation (Règlement UE n°462/2013), préférence pour les données agrégées si possible (Recommandation ESMA), et interdiction pour l’agence de retransmettre ces informations.

Conditions du consentement du client

En dehors des sept cas légaux prévus par l’article L. 511-33, la communication d’informations couvertes par le secret bancaire nécessite impérativement le consentement préalable, exprès et spécifique du client.

Un consentement libre, spécifique, éclairé et univoque

Le Règlement Général sur la Protection des Données (RGPD), applicable aux données personnelles détenues par les banques, a renforcé les exigences en matière de consentement (article 4, 11) et d’information (article 13). Pour être valable, le consentement doit être :

• Libre : Le client ne doit subir aucune contrainte.
• Spécifique : Donné pour une finalité déterminée. Un consentement général pour toute communication future n’est pas valable.
• Éclairé : Le client doit recevoir une information complète et compréhensible sur :
  • La nature précise des données qui seront communiquées.
  • L’identité exacte des destinataires ou les catégories de destinataires.
  • La finalité exacte de la communication.
  • La possibilité de retirer son consentement à tout moment.
• Univoque : Manifesté par une déclaration ou un acte positif clair (case à cocher non pré-cochée, signature dédiée). L’absence d’opposition ne vaut pas consentement.

La jurisprudence récente (Cass. com., 12 juin 2012, n°11-18.852 ; CA Paris, 21 mars 2019, n°17/01328) et les recommandations de la CNIL (Délib. n°2018-303) confirment cette interprétation stricte. Le non-respect de ces conditions rend la communication illicite et peut engager la responsabilité du banquier.

Problématiques des clauses générales dans les contrats d’adhésion

Les conditions générales des banques contiennent souvent des clauses autorisant largement la communication d’informations. Ces clauses posent problème au regard des exigences du consentement :

• Risque de clause abusive : Une clause trop générale, autorisant un partage indifférencié d’informations sans finalité précise, peut être jugée abusive au sens de l’article L. 212-1 du Code de la consommation (Recommandation CCA n°2019-01).
• Défaut d’information suffisante : L’information noyée dans des conditions générales volumineuses peut ne pas satisfaire à l’exigence d’un consentement éclairé (TGI Paris, 28 mai 2019, n°18/03996).
• Absence de caractère spécifique et univoque : Une clause générale acceptée globalement lors de l’ouverture du compte ne correspond pas à un consentement spécifique « au cas par cas » requis par l’article L. 511-33 pour les communications hors exceptions légales. La Cour de cassation invalide les consentements non spécifiquement recueillis (Cass. civ. 1ère, 3 juillet 2018, n°17-15.884).

Il est donc essentiel pour les clients d’être vigilants sur la portée des autorisations qu’ils signent et pour les banques de revoir leurs pratiques afin de recueillir des consentements conformes aux exigences légales et réglementaires actuelles, notamment en détaillant les cas de partage légal d’informations.

Pour une analyse spécifique de votre situation ou si vous suspectez une communication inappropriée de vos informations bancaires, notre cabinet peut vous assister.

Sources

• Code monétaire et financier, notamment article L. 511-33
• Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD)
• Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés Arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque
• Jurisprudence de la Cour de cassation et des Cours d’appel citée
• Délibérations et recommandations de la CNIL et de l’ACPR