Le secret bancaire, consacré par l'article L.511-33 du Code monétaire et financier, impose à tous les membres de la direction, du conseil d'administration ou de surveillance, ainsi qu'à tous les employés d'un établissement de crédit, de ne pas divulguer les informations confidentielles des clients. Cette obligation est fondamentale pour préserver la confiance des clients dans le système financier.

Les obligations des institutions se répartissent entre celles issues du RGPD et celles spécifiques au secteur financier. Par exemple, le secret bancaire est une obligation sectorielle, tandis que la désignation d'un DPO relève du RGPD. Cette distinction est cruciale pour comprendre le cadre réglementaire applicable.

Le RGPD structure ses obligations autour d'articles spécifiques qui définissent les responsabilités des institutions. Par exemple, l'information transparente est détaillée dans les articles 12 à 14, tandis que la tenue du registre des traitements est imposée par l'article 30. Comprendre ces associations est crucial pour appliquer correctement les exigences du RGPD.

La DSP2 impose plusieurs obligations pour l'open banking : permettre l'accès aux données de compte par des prestataires tiers agréés (PSP), garantir la sécurité des données partagées et maintenir la confidentialité des informations. Ces obligations visent à favoriser l'innovation tout en protégeant les consommateurs.

L'article 32 du RGPD exige des mesures techniques et organisationnelles proportionnées aux risques. Cela inclut la pseudonymisation, le chiffrement, la résilience face aux incidents, la restauration des données et la mise en place de procédures de test. Ces mesures sont essentielles pour protéger les données contre les violations et doivent être adaptées au contexte spécifique de chaque institution.

Selon l'article 6 du RGPD, la base légale principale pour le traitement des données dans le secteur financier repose sur l'exécution contractuelle (comme les contrats de prêt ou de compte) et les obligations légales imposées par les régulateurs. Cela est crucial car les institutions doivent justifier chaque traitement de données, et ces deux bases sont les plus pertinentes dans le contexte financier.

La violation du secret bancaire est sanctionnée par l'article 226-13 du Code pénal. Pour les personnes physiques, cette violation peut entraîner jusqu'à un an d'emprisonnement et 15 000 euros d'amende. Pour les personnes morales, l'amende peut atteindre 75 000 euros. Cette sanction reflète l'importance accordée à la confidentialité des informations bancaires.

'Privacy by Design' signifie que la protection des données doit être intégrée dès la conception des systèmes et processes. Cela implique que les institutions doivent anticiper et minimiser les risques pour les droits et libertés des personnes concernées dès le début du développement de leurs produits ou services. Ce principe est essentiel pour une conformité durable au RGPD.

L'article 33 du RGPD stipule que la notification d'une violation de données à la CNIL doit être faite dans un délai de 72 heures après en avoir pris connaissance. Ce délai est crucial pour permettre une réponse rapide aux incidents de sécurité, tout en laissant suffisamment de temps pour évaluer l'incident.