Les fournisseurs de données tels que les banques et les coopératives de crédit pourraient bientôt être tenus de disposer d'interfaces de programmation d'application (API) structurées pour le partage des données des clients, tandis que les fintechs et les plateformes qui reçoivent ces données devront respecter leurs propres normes en matière de consentement et d'utilisation des données. Ensemble, ces exigences remodèlent la manière dont les données financières circulent aux États-Unis. Elles éloignent le secteur du scraping d'écran et l'orientent vers des connexions de données avec autorisation et auditables.

Ci-dessous, nous aborderons ce qu'implique l'article 1033. Nous examinerons également la manière dont la réglementation sur l'open banking répartit les obligations entre les fournisseurs de données et les tiers, et ce que les entreprises de part et d'autre de cette relation doivent faire pour être en conformité.

L’essentiel à retenir

• l'article 1033 donne aux clients le droit légal d'accéder à leurs données financières et de les partager avec des tiers par le biais de connexions structurées basées sur une API plutôt que par le scraping d'écran ;

• les banques, les coopératives de crédit, les fintechs et les agrégateurs de données ont chacun des obligations de conformité distinctes concernant l'accès aux données et le consentement en vertu de la règle finale ;

• les entreprises doivent auditer leurs méthodes actuelles de partage de données, le langage du consentement et les relations avec les fournisseurs bien avant leurs échéances de conformité applicables.

Qu'est-ce que l'article 1033 du CFPB ?

L'article 1033 est une disposition de la loi Dodd-Frank qui donne aux clients le droit légal d'accéder aux données de leur propre compte financier et de les partager avec les tiers de leur choix. Un tribunal fédéral a émis une injonction préliminaire qui a suspendu l'application de l'article 1033 en 2025, et la règle est en cours de révision.

Quels droits sur les données financières des consommateurs l'article 1033 établit-il ?

L'article 1033 donne aux clients le droit d'accéder à plusieurs catégories de leurs propres données financières et de diriger ces données vers un tiers sans passer par les propres interfaces de leurs banques. Voici quelques-unes de ces catégories :

• historique des transactions et soldes des comptes : les dépôts, retraits et paiements remontant à au moins 24 mois ;

• conditions générales : les taux d'intérêt, grilles tarifaires, limites de crédit, etc. ;

• informations d'identité du compte : les informations de base associées aux comptes, telles que les noms, les adresses e-mail et les numéros de téléphone ;

• paiement de facture et détails de l'initiation du paiement : les informations liées aux paiements à venir.

Les clients autorisent généralement ce partage de données par l'intermédiaire du tiers lui-même, et ils peuvent révoquer cette autorisation à tout moment. Les fournisseurs de données doivent faciliter la révocation.

Quelles sont les principales exigences pour les institutions financières et les tiers en vertu de l'article 1033 ?

La règle d'open banking appliquant l'article 1033 fixe des obligations différentes pour les fournisseurs de données et les tiers. Mais ils travaillent tous vers le même objectif : permettre aux données de transiter par des canaux contrôlés et auditables plutôt que par des solutions de contournement ad hoc.

Pour les fournisseurs de données, la règle exige les éléments suivants :

• interfaces dédiées : les fournisseurs de données doivent créer et maintenir deux interfaces distinctes, une pour les clients (par exemple, un portail bancaire) et une pour les développeurs tiers autorisés (par exemple, une API) ;

• aucuns frais : les fournisseurs de données ne peuvent pas facturer aux clients ou aux tiers l'accès aux données couvertes ;

• coordonnées : les fournisseurs de données doivent fournir certaines informations aux clients et aux tiers, notamment les coordonnées pour les questions relatives à l'accès aux données couvertes.

Pour les tiers autorisés, les obligations vont dans l'autre sens :

• consentement exprès : les tiers doivent obtenir le consentement explicite et spécifique des clients ;

• limites d'utilisation des données : les tiers ne peuvent utiliser les données qu'aux fins autorisées par le client ;

• limites de durée : l'autorisation expire après un an, après quoi elle doit être renouvelée.

Comment l'article 1033 modifie-t-il l'environnement de l'open banking ?

Les États-Unis s'appuient sur le scraping d'écran depuis plus d'une décennie : un client remet ses identifiants de connexion bancaire à une application tierce et cette application se connecte et extrait les données directement de la page du compte. Cela fonctionne, mais c'est fragile. Les refontes des sites bancaires le perturbent, les équipes de sécurité le signalent comme une activité de connexion suspecte, et les données qui en reviennent ne valent que ce qui se trouve être visible sur une page web ce jour-là.

L'article 1033 pousse plutôt l'ensemble du modèle vers un accès basé sur une API. Les fournisseurs de données doivent exposer des endpoints structurés qui renvoient les champs de données spécifiés par la règle afin que les tiers cessent de dépendre du partage d'identifiants et commencent à dépendre de connexions limitées et avec autorisation. La révocation d'une autorisation d'API constitue une coupure nette, ce qui n'est généralement pas le cas d'une session de connexion scrapée, puisque le tiers n'a jamais eu le mot de passe réel au départ.

Ce que le passage à l'accès basé sur une API signifie pour les agrégateurs de données

Les agrégateurs de données financières (c'est-à-dire les entreprises qui se situent entre les banques et les applications fintech utilisées par les clients) ressentent ce changement directement. Leurs entreprises ont été construites sur l'infrastructure de scraping sur les sites bancaires, et la règle les pousse plutôt vers des API standardisées, ce qui signifie moins de maintenance des scrapers.

Ce que cela signifie pour les plateformes fintech

Les plateformes fintech qui dépendent des agrégateurs pour la vérification des comptes, l'évaluation des risques liés aux prêts ou les fonctionnalités de budgétisation ressentiront ce changement même sans toucher elles-mêmes à la couche d'API, car la fiabilité et la qualité de ce qu'elles reçoivent changent en même temps. Les données qui arrivaient souvent de manière incohérente arriveront désormais par le biais d'une interface définie avec des champs définis. Une plateforme qui prend des décisions établies sur ces données en temps réel (par exemple, l'approbation d'un prêt, le signalement d'un compte à vérifier) a tout autant besoin de cette cohérence que de l'exigence juridique qui la sous-tend.

Que doivent faire les entreprises pour se préparer à l'article 1033 ?

Les entreprises des deux côtés de la relation de partage de données, qu'elles créent l'interface ou qu'elles consomment des données par son intermédiaire, ont un travail concret à accomplir avant les échéances applicables, qui sont actuellement indéterminées.

Voici quelques-unes des étapes qu'elles doivent suivre :

• cartographier les méthodes actuelles de partage de données : identifier chaque endroit où l'entreprise envoie ou reçoit actuellement des données financières de clients par le biais du scraping d'écran, du partage d'identifiants ou d'un accès informel à une API. Signaler lesquelles de ces relations relèvent du champ d'application de la règle ;

• vérifier le langage du consentement : les requêtes d'autorisation doivent indiquer leur objectif de manière suffisamment claire pour qu'un client comprenne exactement ce à quoi il consent. Cela signifie que le langage générique du type « nous avons besoin d'accéder à votre compte » ne tiendra pas ;

• auditer les pratiques de conservation des données : les exigences de minimisation des données signifient que les entreprises doivent apporter une vraie réponse à la question de savoir combien de temps elles conservent les données du client et pourquoi ;

• évaluer les relations avec les tiers et les fournisseurs : les entreprises doivent comprendre comment leurs partenaires traitent les données qu'ils reçoivent ;

• confirmer les dates de conformité applicables : les entreprises doivent vérifier leurs calendriers spécifiques par rapport aux directives actuelles du CFPB. Les délais sont échelonnés en fonction de la taille de l'institution et ont été modifiés dans le contexte de contestations judiciaires.

Quels outils peuvent prendre en charge la conformité à l'article 1033 ?

Les entreprises n'ont pas besoin de créer une infrastructure d'API ou une gestion des consentements de toutes pièces. Quelques catégories d'outils couvrent l'essentiel des exigences de la règle :

• outils d'accès aux données avec autorisation : ils se connectent directement aux institutions financières par le biais d'API plutôt que par le scraping d'écran. Cela renvoie des données de compte et de transaction structurées dans le cadre d'une connexion autorisée par le client ;

• systèmes de gestion du consentement et des autorisations : ils suivent ce à quoi un client a consenti, à quel moment et dans quel but. C'est important compte tenu des exigences de la règle en matière de divulgation en langage clair et de révocation facile ;

• outils de vérification d'identité : ils aident les fournisseurs de données à confirmer qu'une requête provient d'un tiers autorisé et non d'un usurpateur. Il s'agit d'un risque réel dès lors que l'accès au compte passe d'une relation en agence physique à un appel à l'API.

La bonne combinaison dépend du côté de la relation de données où se situe l'entreprise et de la proportion de son infrastructure existante qui fonctionne déjà par le biais d'API par rapport aux anciennes méthodes d'intégration. Une entreprise qui utilise déjà un prestataire de paiement pour la vérification de compte ou les transferts bancaires a probablement moins de choses à reconstruire que celle qui s'appuie encore sur des chargements manuels de documents ou des sessions de connexion scrapées.

Comment Stripe Financial Connections peut-il vous aider ?

Stripe Financial Connections est un ensemble d’API qui permet de se connecter de manière sécurisée aux comptes bancaires de vos clients et d’en récupérer les données financières, afin de créer des produits et services financiers innovants.

Financial Connections peut vous aider à :

• Simplifier l’onboarding : proposer un processus de vérification instantané et fluide des comptes bancaires, sans vérification manuelle de l’identité ni du compte.

• Accéder à des données financières détaillées : récupérer des informations complètes sur les comptes bancaires de vos clients, notamment les opérations sur solde, les transactions et les informations du compte.

• Automatiser les paiements récurrents : permettre à vos clients de lier leurs comptes bancaires en toute sécurité pour les paiements récurrents, et ainsi améliorer les taux de réussite des paiements.

• Renforcer la gestion des risques : analyser les données financières des clients afin de prendre des décisions plus éclairées en matière de crédit, de prêt et d’autres produits financiers.

• Se conformer à la réglementation : Financial Connections vous aide à répondre aux exigences KYC (Know Your Customer) et AML (Lutte contre le blanchiment d’argent).

• Innover en toute confiance : concevoir de nouveaux produits et services financiers reposant sur l’infrastructure sécurisée et fiable de Financial Connections.

En savoir plus sur Financial Connections ou démarrer dès aujourd’hui.