Agrégateur de comptes : comment la DSP2 a rendu ça possible

Le tableau de synthèse

Texte fondateur	Directive (UE) 2015/2366 du 25 novembre 2015, dite DSP2
Entrée en application	13 janvier 2018
Statut de l’agrégateur	Prestataire de services d’information sur les comptes, créé par la directive
Authentification forte	Imposée par le règlement délégué (UE) 2018/389, applicable depuis le 14 septembre 2019
Ce que la directive oblige les banques à faire	Ouvrir un accès à des prestataires agréés, sans contrat préalable avec elles
Contrôle en France	ACPR

Ce que la DSP2 a réellement changé

Avant 2018, un agrégateur récupérait les données d’un compte en se connectant à la place du client, avec ses identifiants. La pratique fonctionnait, et elle était juridiquement inconfortable pour tout le monde : le client communiquait ses codes à un tiers, la banque n’avait aucune obligation de coopérer, et rien n’encadrait le prestataire.

La directive (UE) 2015/2366, entrée en application le 13 janvier 2018, a fait trois choses à la fois.

Ce qu’elle a créé	Effet
Un statut agréé de prestataire de services d’information sur les comptes	L’agrégateur devient un acteur régulé, contrôlé en France par l’ACPR
Une obligation d’accès à la charge des banques	Elles doivent ouvrir un canal technique à ces prestataires, sans pouvoir exiger un contrat préalable
Une authentification forte, imposée par le règlement délégué (UE) 2018/389 depuis le 14 septembre 2019	Le client s’authentifie auprès de sa banque, et ne confie plus ses identifiants au prestataire

Le point souvent manqué est le deuxième. Ce n’est pas une tolérance des banques : c’est une obligation légale qui pèse sur elles. Un agrégateur agréé n’a pas à négocier son accès, et un établissement qui le refuse est en infraction.

Ce que ça change concrètement, pour quelqu’un dont le patrimoine est réparti entre quatre établissements.

	Avant le 13 janvier 2018	Aujourd’hui
Ce que vous confiez à l’agrégateur	Vos identifiants bancaires	Rien. Vous vous authentifiez auprès de votre banque
Ce que la banque doit faire	Rien. Elle peut bloquer l’accès	Ouvrir un canal technique à tout prestataire agréé
Qui contrôle le prestataire	Personne en particulier	L’ACPR, au titre de son agrément
Ce qu’un refus d’accès constitue	Une décision commerciale	Une infraction

Deux limites subsistent, et elles sont souvent mal comprises.

L’agrégation donne accès aux comptes de paiement, pas nécessairement à tout : un contrat d’assurance-vie ou un compte-titres ne relève pas du même cadre, et sa récupération dépend d’accords particuliers avec le producteur.

Et le consentement se renouvelle : l’accès n’est pas permanent, il se ré-autorise périodiquement auprès de la banque. C’est la cause la plus fréquente des agrégations qui « décrochent » sans raison apparente.

Ce que la DSP2 a changé

Avant, consolider ses comptes supposait de communiquer ses identifiants bancaires à un tiers, qui se connectait à ta place. C’était fragile juridiquement et risqué techniquement.

La deuxième directive sur les services de paiement, transposée en France et applicable depuis 2018, a créé deux statuts réglementés : le prestataire de services d’information sur les comptes, qui consulte, et le prestataire d’initiation de paiement, qui déclenche un virement à ta demande.

Elle impose aux banques de mettre à disposition une interface dédiée permettant ces accès, et elle impose une authentification forte du client : tu valides l’accès directement auprès de ta banque, avec ses propres moyens de sécurité.

Ce qu’un agrégateur voit, et ne voit pas

Il voit les comptes que tu as explicitement connectés, leurs soldes et l’historique des opérations mis à disposition par l’établissement.

Il ne voit pas les comptes que tu n’as pas connectés, et il n’accède pas à des informations hors du périmètre autorisé.

Il ne peut pas déplacer ton argent au titre de l’accès en consultation. L’initiation de paiement est un service distinct, soumis à un agrément distinct et à une validation explicite pour chaque opération.

Le consentement est limité dans le temps : la réglementation impose un renouvellement périodique de l’autorisation d’accès. C’est la raison pour laquelle les applications de suivi demandent régulièrement de reconnecter les comptes : ce n’est pas un défaut technique, c’est une obligation.

Le périmètre réel : ce que la DSP2 couvre, et ce qu’elle ne couvre pas

C’est le point le plus mal compris du sujet, et il explique la plupart des déceptions à l’usage.

La directive impose l’ouverture d’un accès aux comptes de paiement accessibles en ligne : comptes courants, et selon les cas certains comptes d’épargne. Elle ne couvre pas l’ensemble des avoirs financiers.

Restent donc hors du dispositif obligatoire :

• les contrats d’assurance-vie et les plans d’épargne retraite, qui ne sont pas des comptes de paiement ;
• les comptes-titres et PEA chez une partie des établissements ;
• l’épargne salariale, souvent tenue par des teneurs de compte spécialisés ;
• l’immobilier, par nature.

Les agrégateurs atteignent une partie de ces avoirs par d’autres voies : accords avec les établissements, connecteurs spécifiques, ou saisie manuelle par l’utilisateur. Ces voies fonctionnent, mais elles ne bénéficient pas de la même obligation légale de disponibilité : elles cassent plus souvent, et se rétablissent moins vite.

La conséquence pratique est nette : un tableau de bord patrimonial complet n’est jamais entièrement automatique. La part agrégée automatiquement couvre les flux et les liquidités, c’est-à-dire ce qui bouge ; la part patrimoniale la plus lourde, contrats et immobilier, demande au minimum une mise à jour périodique. Un service qui promet une vision exhaustive sans aucune saisie décrit une situation qui n’existe pas.

Ce que l’agrégation permet concrètement

Voir l’ensemble. Répartition réelle du patrimoine entre liquidités, épargne réglementée, placements financiers et immobilier. La plupart des gens la découvrent en la voyant.

Mesurer, pas estimer. Capacité d’épargne réelle des douze derniers mois, calculée sur des opérations, pas sur une déclaration.

Repérer l’inaction. Une épargne de précaution surdimensionnée, un contrat oublié, des frais récurrents jamais examinés.

Les limites techniques réelles

Elles existent et il vaut mieux les connaître.

La qualité des données varie d’un établissement à l’autre. Certaines banques exposent des libellés d’opération très pauvres.

Les mouvements internes faussent les totaux si rien ne les neutralise. Un virement de ton compte courant vers ton livret A n’est ni une dépense ni un revenu ; compté naïvement, il apparaît dans les deux.

Les mouvements de capital ne sont pas des revenus. La vente de titres sur un compte-titres génère un flux entrant qui n’est pas un revenu du patrimoine. Une consolidation qui ne distingue pas les deux affiche des chiffres sans rapport avec la réalité.

Ce dernier point n’est pas théorique : c’est l’erreur de classification la plus fréquente dans les outils de suivi, et elle peut produire des écarts d’un facteur considérable sur un indicateur de revenus patrimoniaux.

Ce que l’agrégation ne remplace pas

Voir n’est pas décider. La consolidation résout un problème d’information, pas un problème d’arbitrage.

Elle ne valorise pas ce qui n’a pas de cours. Un bien immobilier, des parts de société non cotée, une collection : la valeur affichée est celle que tu as saisie, à la date où tu l’as saisie.

Elle ignore les clauses. La clause bénéficiaire d’une assurance-vie, le régime matrimonial, un démembrement de propriété, une donation antérieure : autant d’éléments qui déterminent ce qui se passera réellement, et qu’aucun solde bancaire ne révèle.

Elle ne connaît pas ta situation fiscale. Plafond d’épargne retraite disponible, plus-values latentes, abattement déjà consommé lors d’une donation il y a huit ans : ces données conditionnent la plupart des décisions, et ne figurent sur aucun relevé.

Elle n’a pas d’objectif. Un tableau de bord montre une répartition. Il ne dit pas si elle est adaptée, faute de savoir ce que tu prépares et à quelle échéance.

L’agrégation est donc un point de départ d’excellente qualité, et c’est déjà beaucoup : la plupart des décisions patrimoniales se prennent sans même connaître les chiffres de départ. Elle ne constitue pas pour autant une analyse.

Les précautions à prendre

Vérifie que le prestataire est agréé : les registres publics des autorités de supervision permettent de le contrôler.

Vérifie où sont hébergées les données et si l’hébergement est situé dans l’Union européenne.

Vérifie la politique de conservation et la procédure de suppression de tes données.

Et méfie-toi de toute application qui te demande tes identifiants bancaires directement plutôt que de te renvoyer vers l’authentification de ta banque.