Un IBAN est-il une donnée personnelle ? Classification DSGVO et pratique

À première vue, un IBAN ressemble à un numéro de compte purement technique. S'il est attribué à une personne physique, il peut toutefois identifier celle-ci directement ou indirectement. L'IBAN est alors une donnée personnelle au sens du DSGVO. Il n'en découle pas pour les entreprises une obligation de caviarder chaque IBAN en toutes circonstances — mais bien l'obligation de limiter le traitement, la transmission et la conservation à une finalité légitime.

Pourquoi un IBAN est-il une donnée personnelle ?

L'Art. 4 Nr. 1 DSGVO couvre toutes les informations se rapportant à une personne physique identifiée ou identifiable. La Cour de justice de l'Union européenne souligne régulièrement l'interprétation large de cette notion. Un IBAN personnel est un identifiant univoque d'un compte de paiement et peut être attribué à une personne via les données bancaires et contractuelles.

Pour un simple numéro de compte professionnel d'une personne morale, la classification peut être différente. Dès que l'IBAN est toutefois lié à un entrepreneur individuel, un indépendant, un salarié, un client ou un interlocuteur, un lien personnel existe régulièrement.

L'IBAN est-il une donnée particulièrement sensible ?

Un IBAN n'appartient pas automatiquement aux catégories particulières selon l'Art. 9 DSGVO. Il demeure néanmoins digne de protection. Associées à des noms, des finalités de paiement et des données de transaction, des données de compte peuvent donner une image détaillée de situations économiques ou privées.

Cela signifie : la mesure de protection s'oriente selon le contexte et le risque. Un IBAN sur une facture adressée au débiteur est lié à la finalité. Le même IBAN dans un rapport public, un fichier PDF librement accessible ou une communication de dossier peut être superflu.

Quand un IBAN devrait-il être caviardé ?

Le caviardage est indiqué lorsque le destinataire n'a pas besoin de la coordonnée bancaire complète pour sa finalité. Cas typiques : documents publics, copies d'accès contenant des données de tiers, dossiers judiciaires ou administratifs, dossiers de candidature, relevés bancaires comme simple justificatif de revenus et rapports internes à large cercle de destinataires.

Une aide à la décision pratique :

1. Le destinataire doit-il exécuter un paiement vers ce compte ?
2. Doit-il vérifier la titularité du compte ?
3. Les quatre derniers caractères ou un autre justificatif suffisent-ils ?
4. Le document devient-il public, durable, ou est-il diffusé à de nombreuses personnes ?
5. Contient-il en outre nom, adresse ou libellés sensibles ?

Moins la finalité nécessite l'IBAN complet et plus le cercle de destinataires est grand, plus l'Art. 5 Abs. 1 lit. c DSGVO plaide en faveur du caviardage ou de la troncature.

Entreprises : les IBAN dans le flux documentaire

Les entreprises ne devraient pas considérer les IBAN uniquement dans des bases de données structurées. Ils se trouvent souvent dans des factures, des contrats, des pièces jointes d'e-mail, des relevés bancaires et des formulaires numérisés. Un processus robuste comprend la reconnaissance, l'examen de la finalité, la validation humaine, le caviardage irréversible et la documentation.

Datenmaske reconnaît automatiquement les motifs d'IBAN dans les PDF. Les propositions doivent ensuite être vérifiées : sur une facture à payer, la coordonnée bancaire peut être nécessaire, dans une publication non. L'humain décide ; le logiciel réduit le travail de recherche.

Lisez aussi l'article pratique Caviarder des IBAN dans des PDF et testez le Free-Check sur un document concret.

Conclusion

Un IBAN attribué à une personne physique est une donnée personnelle. Il ne doit pas être retiré globalement de chaque document, mais protégé en fonction de la finalité. Là où la coordonnée bancaire complète n'est pas nécessaire au destinataire, la troncature ou le caviardage irréversible sont la solution économe en données.