Introduction : le refus sans motif
Vous demandez un crédit auto de 9 000 euros. Vous êtes en CDI, vous n'avez jamais eu d'incident de paiement, votre épargne couvre trois mois de salaire. Trois jours plus tard, un courriel poli : « Après étude de votre dossier, nous ne sommes pas en mesure de donner une suite favorable à votre demande. » Aucun motif. Aucun interlocuteur. Aucune explication quand vous appelez, sinon la formule consacrée : « C'est le système. »
Ce système a un nom : le scoring. Une note, calculée par un algorithme, à partir de dizaines de variables tirées de votre historique bancaire, de vos données déclaratives, de fichiers publics et parfois de sources externes. Cette note ne vous est jamais communiquée spontanément. Elle décide pourtant de votre accès au crédit, du prix de votre assurance, de la limite de votre carte, du délai de traitement de votre virement, et dans certains cas de la clôture pure et simple de votre compte.
La bonne nouvelle : contrairement à d'autres pays, la France encadre strictement ces pratiques. Le RGPD, la loi Informatique et Libertés et le Code monétaire et financier vous donnent des droits concrets — encore faut-il savoir qu'ils existent et comment les activer. Ce guide fait l'inventaire de ce qui est enregistré sur vous, de ce qui est légal, et de ce que vous pouvez réellement faire.
Ce que votre banque sait vraiment de vous
Les données que vous fournissez
Le socle est déclaratif : identité, adresse, situation familiale, profession, revenus, patrimoine. Depuis les obligations de lutte contre le blanchiment (directives européennes LCB-FT, transposées aux articles L. 561-1 et suivants du Code monétaire et financier), les banques doivent aussi actualiser périodiquement la « connaissance client » — d'où ces campagnes de questionnaires qui vous demandent l'origine de vos fonds ou votre pays de résidence fiscale. Ces obligations sont réelles et opposables : refuser d'y répondre peut légalement conduire à la clôture du compte.
Les données que vous produisez sans y penser
C'est la couche la plus riche, et la plus invisible. Chaque opération sur votre compte laisse une empreinte exploitable :
- Le libellé des virements et prélèvements : nom du bénéficiaire, de l'employeur, de la mutuelle, du bailleur, de l'opérateur téléphonique. Un simple relevé permet de reconstituer votre lieu de travail, votre logement, votre pharmacie habituelle, vos abonnements, votre situation familiale.
- La géolocalisation des paiements par carte : commerçant, ville, horaire. Sur douze mois, cela dessine vos trajets, vos habitudes, vos vacances.
- Les régularités et les ruptures : un salaire qui cesse, un loyer qui augmente, un découvert récurrent en fin de mois. Les modèles de risque sont bien plus sensibles aux ruptures de rythme qu'aux montants absolus.
- Les comportements dans l'application : fréquence de connexion, consultation du solde plusieurs fois par jour, tentatives de virement annulées. Plusieurs établissements intègrent ces signaux dans leurs modèles de détection de fragilité financière.
Les fichiers officiels
Trois fichiers gérés par la Banque de France pèsent lourd et sont consultés systématiquement :
| Fichier | Ce qu'il contient | Durée d'inscription |
|---|---|---|
| FICP (Fichier des incidents de remboursement des crédits aux particuliers) | Impayés de crédit, dossiers de surendettement | 5 ans pour un incident, jusqu'à 7 ans pour un plan de surendettement |
| FCC (Fichier central des chèques) | Chèques sans provision, retrait de carte bancaire | 5 ans, levée possible dès régularisation |
| FNCI (Fichier national des chèques irréguliers) | Chèques volés, comptes clos | Variable |
Point capital, souvent ignoré : ces fichiers sont consultables gratuitement par vous-même. La Banque de France met à disposition une procédure d'accès en ligne et en agence, sur présentation d'une pièce d'identité. Avant toute demande de crédit importante, vérifier son inscription évite les mauvaises surprises — une inscription erronée après un litige réglé n'est pas rare.
Le scoring : comment ça marche réellement
Un modèle statistique, pas un jugement
Un score de crédit est le résultat d'un modèle entraîné sur des centaines de milliers de dossiers passés. Il estime une probabilité de défaut à partir de variables corrélées historiquement à ce défaut : ancienneté bancaire, stabilité des revenus, taux d'endettement, nombre de crédits en cours, historique d'incidents, parfois type de contrat de travail ou secteur d'activité.
L'algorithme ne « comprend » rien de votre situation. Il applique des corrélations. C'est précisément pour cela que le droit encadre son usage : une corrélation statistique valable à l'échelle d'une population peut être profondément injuste appliquée à un individu.
Ce qui est interdit en France
Contrairement à une croyance tenace, il n'existe pas en France de « score de crédit » universel à l'américaine, du type FICO, consultable par n'importe quel créancier. La création d'un fichier positif recensant l'ensemble des crédits en cours de chaque Français a été censurée par le Conseil constitutionnel en 2014 (décision relative à la loi Hamon), au motif d'une atteinte disproportionnée au droit au respect de la vie privée. Chaque établissement calcule donc son propre score, sur ses propres données.
Sont par ailleurs interdits comme variables de décision :
- l'origine ethnique réelle ou supposée, la religion, les opinions politiques, l'orientation sexuelle, la santé (données dites sensibles, article 9 du RGPD) ;
- le lieu de résidence utilisé comme critère discriminant — la pratique dite du redlining, sanctionnée au titre de la discrimination par le Défenseur des droits ;
- l'état de grossesse ou la situation familiale utilisés pour restreindre l'accès au crédit.
Le droit qui change tout : l'article 22 du RGPD
C'est l'outil le plus puissant et le plus sous-utilisé. L'article 22 du RGPD dispose que vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative.
Un refus de crédit entre exactement dans ce champ. Lorsque la décision reste automatisée (ce que la loi autorise dans le cadre d'un contrat), vous conservez trois droits explicites :
- Obtenir une intervention humaine de la part du responsable de traitement.
- Exprimer votre point de vue et apporter des éléments non pris en compte par le modèle.
- Contester la décision et obtenir une explication sur la logique sous-jacente.
La CNIL a rappelé à plusieurs reprises que l'explication doit être compréhensible : l'établissement n'est pas tenu de livrer le code de son modèle, mais il doit indiquer les catégories de données utilisées et le poids général des critères. « C'est l'algorithme » n'est pas une réponse recevable.
Les assurances : l'autre front
Le secteur assurantiel pratique un profilage encore plus fin, parce qu'il est structurellement fondé sur l'évaluation du risque individuel.
La segmentation tarifaire
Deux conducteurs au même profil déclaratif peuvent se voir proposer des tarifs séparés de 40 %, sur la base de variables comportementales : commune de stationnement, kilométrage annuel déclaré, ancienneté du permis, mode de paiement, canal de souscription. Certaines offres « pay how you drive » vont plus loin en installant un boîtier télématique ou une application qui mesure accélérations, freinages et horaires de conduite. La réduction promise est réelle ; la contrepartie l'est aussi : vous cédez un journal de bord permanent de vos déplacements.
Avant de souscrire ce type de contrat, il faut lire la clause de conservation des données et vérifier ce qu'il advient de l'historique en cas de résiliation. La CNIL a publié plusieurs recommandations sur ces dispositifs, insistant sur le caractère nécessairement facultatif et réversible du consentement.
Le droit à l'oubli en assurance emprunteur
Avancée majeure et méconnue : la loi Lemoine du 28 février 2022 a supprimé le questionnaire de santé pour les prêts immobiliers inférieurs à 200 000 euros par assuré, lorsque le remboursement s'achève avant les 60 ans de l'emprunteur. Elle a également ramené le délai du droit à l'oubli en cancérologie à cinq ans après la fin du protocole thérapeutique.
Concrètement : dans ces situations, l'assureur n'a pas le droit de vous interroger sur votre état de santé, ni de collecter la moindre donnée médicale. Toute question posée hors de ce cadre est illégale et peut être signalée à la CNIL ou à l'ACPR.
Sept mesures concrètes pour reprendre la main
1. Exercer son droit d'accès, sérieusement
Le droit d'accès (article 15 du RGPD) s'exerce par simple courrier ou formulaire auprès du délégué à la protection des données (DPO) de l'établissement, dont les coordonnées figurent obligatoirement dans la politique de confidentialité. Réponse due sous un mois.
Demandez explicitement, en une seule lettre :
- la copie de l'ensemble des données vous concernant ;
- l'existence d'un traitement automatisé de profilage et la logique sous-jacente ;
- les destinataires ou catégories de destinataires des données ;
- les durées de conservation appliquées.
Un envoi en recommandé avec accusé de réception donne une date certaine, utile en cas de saisine ultérieure de la CNIL. Un carnet de suivi de correspondance administrative, où vous consignez dates d'envoi, numéros de recommandé et échéances, transforme ces démarches éparses en dossier solide.
2. Vérifier ses fichiers Banque de France avant toute demande
Faites-le systématiquement avant un crédit immobilier, un changement de banque ou une demande de location avec caution. Une régularisation ancienne mal enregistrée se corrige en quelques semaines — mais pas en trois jours.
3. Cloisonner ses flux financiers
Le principe est le même que pour les identités numériques : ne pas tout concentrer au même endroit. Un compte principal pour les revenus et charges fixes, un compte secondaire dans un autre établissement pour les dépenses courantes et les achats en ligne, une carte à autorisation systématique ou prépayée pour les paiements ponctuels chez des marchands que vous ne connaissez pas. Aucun établissement ne dispose alors d'une vue complète.
Un portefeuille à blocage RFID limite par ailleurs la lecture opportuniste des cartes sans contact dans les transports bondés — un risque marginal, mais l'accessoire ne coûte presque rien.
4. Refuser les consentements marketing dès l'ouverture
Les formulaires d'entrée en relation contiennent presque toujours des cases relatives à l'utilisation des données à des fins de prospection, de partage avec les filiales ou les partenaires. Ces consentements sont distincts du contrat : les refuser ne peut légalement justifier un refus d'ouverture de compte. Ils sont révocables à tout moment, y compris des années plus tard.
5. Payer en espèces là où c'est pertinent
L'espèce reste le seul moyen de paiement non traçable et son acceptation demeure obligatoire en France pour les transactions du quotidien, dans la limite de 1 000 euros entre un professionnel et un particulier résident. Ce n'est pas une question de dissimulation, mais de proportionnalité : votre pharmacie, votre librairie ou votre don associatif n'ont pas à figurer dans une base marketing.
6. Documenter et archiver
Les litiges bancaires se gagnent sur les pièces. Conservez les courriers, captures d'écran, réponses. Un scanner de documents portable ou une simple application de numérisation permet d'archiver relevés et courriers dans un dossier chiffré, hors du cloud de l'établissement concerné. Un disque dur externe chiffré tient ce rôle très bien pour les archives que vous ne voulez pas voir passer par un service tiers.
7. Savoir escalader
L'ordre est le suivant :
- Le service client, par écrit.
- Le service réclamation de l'établissement, dont les coordonnées sont obligatoires dans les conditions générales.
- Le médiateur bancaire ou de l'assurance, gratuit, saisissable après deux mois sans réponse satisfaisante.
- La CNIL pour tout ce qui touche aux données personnelles, au profilage ou au refus d'exercice des droits.
- L'ACPR (Autorité de contrôle prudentiel et de résolution) pour les pratiques commerciales.
- La Banque de France pour le droit au compte : en cas de refus d'ouverture, elle peut désigner d'office un établissement tenu de vous fournir les services bancaires de base (article L. 312-1 du Code monétaire et financier).
Le cas particulier de la clôture de compte
La « désinclusion bancaire » — clôture unilatérale sans motif explicite — s'est développée avec le durcissement des obligations LCB-FT. Les banques ont le droit de résilier une convention de compte de dépôt, moyennant un préavis d'au moins deux mois pour un particulier. Elles ne sont pas tenues de motiver, sauf lorsque le compte a été ouvert dans le cadre du droit au compte.
Ce qui reste protégé :
- Le préavis doit être respecté et notifié par écrit.
- Les fonds vous appartiennent et doivent être restitués.
- Le droit au compte demeure : nul ne peut être privé d'un compte de dépôt et des services bancaires de base en France.
Si la clôture semble liée à un profil de risque automatisé, l'article 22 du RGPD redevient l'angle d'attaque : demandez par écrit si la décision résulte d'un traitement automatisé et exigez une intervention humaine.
Où placer le curseur
Il ne s'agit pas de vivre en dehors du système financier — c'est impossible, et ce serait par ailleurs le meilleur moyen d'attirer l'attention. Il s'agit de rétablir une proportionnalité :
Une banque a besoin de savoir si vous pouvez rembourser. Elle n'a pas besoin de savoir chez quel pharmacien vous allez, ni à quelle association vous donnez, ni à quelle heure vous consultez votre solde.
Les leviers pratiques tiennent en trois réflexes : cloisonner ce qui peut l'être, vérifier régulièrement les fichiers qui vous concernent, écrire systématiquement plutôt que téléphoner. Un ouvrage de vulgarisation sur le droit des données personnelles, gardé à portée, évite de repartir de zéro à chaque litige — le RGPD est plus lisible qu'il n'y paraît une fois qu'on en connaît la structure.
Et lorsqu'il faut poser une question sensible à un organisme, obtenir un renseignement sans ouvrir de dossier à son nom, ou transmettre une information sans que son numéro personnel devienne la clé d'entrée d'un fichier de plus, les canaux de contact dissociés de votre identité gardent toute leur utilité. Le principe est constant : donner l'information nécessaire, jamais l'information disponible.
À retenir
- Il n'existe pas de score de crédit national en France ; chaque établissement calcule le sien, sur ses propres données.
- Les fichiers FICP, FCC et FNCI de la Banque de France sont consultables gratuitement par les personnes concernées.
- L'article 22 du RGPD ouvre un droit à intervention humaine et à explication en cas de décision automatisée défavorable.
- La loi Lemoine de 2022 a supprimé le questionnaire de santé pour de nombreux prêts immobiliers.
- Le droit au compte garantit un accès minimal aux services bancaires, y compris après une clôture unilatérale.
- Cloisonner ses flux entre plusieurs établissements reste la mesure la plus efficace et la plus simple.
