RGPD et conversion de relevés bancaires : ce que dit la CNIL sur la confidentialité des données

Un relevé bancaire n'est pas un document anodin : il contient des données à caractère personnel au sens du RGPD, et sa conversion vers Excel ou CSV, souvent via un outil tiers, soulève des questions de confidentialité que peu d'utilisateurs prennent le temps de vérifier.

Ce guide explique ce que le RGPD et la CNIL exigent en matière de conservation, les priorités de contrôle de la CNIL pour 2025-2026, et les critères concrets à vérifier avant de confier un relevé bancaire à un outil de conversion.

Un relevé bancaire est-il une donnée personnelle ?

Oui. Un relevé bancaire contient un nom, un IBAN, et un historique détaillé de transactions qui peut révéler des habitudes de vie, des abonnements ou des relations professionnelles. Ces éléments constituent des données à caractère personnel au sens du RGPD, soumises aux mêmes principes de minimisation, de sécurité et de conservation limitée que n'importe quel autre fichier client.

Combien de temps conserver un relevé bancaire selon la CNIL ?

Selon la CNIL, les documents bancaires tels que les relevés de compte doivent être conservés pendant 5 ans, généralement à compter de la clôture du compte ou de la fin de la relation contractuelle. Cette durée ne s'applique pas nécessairement aux fichiers temporaires générés lors d'une conversion PDF vers Excel, qui n'ont pas vocation à être archivés au même titre que le dossier bancaire officiel.

Le RGPD pose un principe général : les données personnelles ne peuvent pas être conservées indéfiniment. La durée de conservation doit être déterminée par le responsable de traitement en fonction de l'objectif ayant conduit à la collecte des données, et ne doit jamais être excessive au regard de cet objectif.

Pourquoi la conservation excessive est une priorité de contrôle

En 2025-2026, la CNIL a fait de la conservation excessive des données l'un de ses axes prioritaires de contrôle. Concrètement, cela signifie qu'une entreprise ou un outil qui conserve des fichiers bancaires sans justification claire, au-delà de la finalité initiale du traitement, s'expose à un risque de contrôle renforcé.

Pour un outil de conversion de relevé bancaire, la conséquence pratique est simple : le PDF source et le fichier converti ne devraient être conservés que le temps strictement nécessaire à la conversion elle-même, pas au-delà.

Ce qu'il faut vérifier avant d'utiliser un convertisseur en ligne

• Durée de rétention. Le PDF source est-il supprimé immédiatement après conversion, ou conservé sur un serveur ?
• Chiffrement en transit. Les fichiers sont-ils transmis via une connexion chiffrée (TLS) de bout en bout ?
• Usage pour l'entraînement d'IA. Les données sont-elles utilisées pour entraîner des modèles d'intelligence artificielle sans consentement explicite ?
• Localisation des serveurs. Les données transitent-elles ou sont-elles stockées en dehors de l'Union européenne, ce qui peut impliquer des garanties supplémentaires au titre du RGPD ?
• Politique de suppression. Existe-t-il une politique écrite et claire de suppression après traitement ?

Un outil transparent sur sa politique de sécurité précise ces points sans ambiguïté, plutôt que de se limiter à une mention générique de « conformité RGPD ».

Traitement local ou traitement cloud ?

Le principe de minimisation des données du RGPD favorise les approches qui limitent au strict nécessaire la circulation et la conservation des données personnelles. Un traitement qui garde le fichier en mémoire le temps de la conversion, puis le supprime immédiatement, réduit mécaniquement la surface de risque par rapport à un stockage prolongé sur un serveur distant.

Voir la politique de traitement des données pour le détail de l'approche appliquée aux fichiers bancaires convertis.

Questions fréquentes

Combien de temps faut-il conserver un relevé bancaire ?

Selon la CNIL, les documents bancaires tels que les relevés de compte doivent être conservés pendant 5 ans, généralement à partir de la clôture du compte ou de la fin de la relation contractuelle.

La conservation excessive de données est-elle risquée ?

Oui. La CNIL a fait de la conservation excessive des données personnelles l'un de ses axes prioritaires de contrôle pour 2025-2026. Toute durée de conservation doit être justifiée par la finalité du traitement.

Que vérifier avant d'utiliser un convertisseur en ligne ?

Vérifiez la durée de rétention des fichiers PDF sur le serveur, le chiffrement en transit (TLS), l'absence d'utilisation des données pour entraîner un modèle d'IA, et l'existence d'une politique de suppression claire après conversion.

Un relevé bancaire contient-il des données personnelles au sens du RGPD ?

Oui. Un relevé bancaire contient des données identifiantes (nom, IBAN, historique de transactions) qui constituent des données à caractère personnel au sens du RGPD, soumises aux mêmes obligations de minimisation et de sécurité que tout autre fichier client.

L'essentiel à retenir

• Un relevé bancaire est une donnée personnelle au sens du RGPD, pas un simple document administratif.
• La CNIL recommande une conservation de 5 ans pour les relevés officiels, mais fait de la conservation excessive une priorité de contrôle 2025-2026.
• Un outil de conversion sérieux précise sa durée de rétention, son chiffrement et sa politique d'usage des données sans ambiguïté.
• Le traitement local, avec suppression immédiate après conversion, limite mécaniquement le risque de conformité.

Pour les cabinets comptables qui traitent des données clients à grande échelle, voir notre guide convertisseur pour experts-comptables et conformité FEC.