Votre banque exige une application : que dit vraiment la loi ?

1. Ce qui s’est passé le 21 septembre

Le lundi 21 septembre 2026, des clients d’une banque en ligne française se sont connectés à leur compte comme tous les matins, et n’y sont pas entrés. Le message affiché leur expliquait qu’ils ne disposaient pas d’un moyen d’authentification valable. Jusque-là, un code reçu par message sur leur téléphone suffisait. Ce jour-là, il a cessé de suffire, et l’application mobile est devenue le seul chemin. Plus de consultation du solde, plus d’ajout de bénéficiaire, plus de virement, plus même de messagerie pour joindre un conseiller. Le cas a été rapporté par la presse le 22 septembre.

Ce n’est ni un incident isolé ni une décision prise à la légère. Depuis deux ans, les banques françaises resserrent leurs méthodes de validation, et plusieurs ont annoncé en 2026 que les opérations les plus sensibles ne pourraient plus être confirmées que depuis leur application. L’argument avancé n’est pas faux : le code envoyé par message est le maillon faible de l’authentification. Il s’intercepte, il se fait dicter par un faux conseiller, il circule sur un réseau que la banque ne maîtrise pas.

La question posée par cet article n’est donc pas de savoir s’il faut sécuriser. Il le faut. Elle est de savoir ce qu’il advient des personnes qui ne peuvent pas suivre, et si la loi autorise vraiment à les laisser dehors.

2. Ce que la réglementation exige, mot pour mot

La règle vient d’une directive européenne sur les services de paiement, la deuxième du nom, entrée en application pour ce volet en septembre 2019 et transposée dans le code monétaire et financier. Elle impose une authentification forte du client pour accéder à son compte en ligne et pour la plupart des paiements à distance. Un règlement délégué de 2018 en précise le contenu technique.

Voici la définition, et elle tient en une phrase. L’authentification forte repose sur au moins deux éléments pris dans deux catégories différentes parmi les trois suivantes :

• la connaissance : quelque chose que vous seul savez, un mot de passe, un code confidentiel, une réponse convenue ;
• la possession : quelque chose que vous seul détenez, un boîtier, une carte, une clé, un téléphone ;
• l’inhérence : quelque chose que vous seul êtes, une empreinte, un visage, une voix.

Lisez ces trois lignes autant de fois qu’il le faudra : le mot « smartphone » n’y figure pas. Pas davantage les mots « application », « Android » ou « iPhone ». Le téléphone n’est qu’un des objets possibles de la deuxième catégorie, au même titre qu’un boîtier générateur de codes ou qu’une clé de sécurité. Le législateur européen a décrit un niveau de sécurité à atteindre, pas un appareil à acheter.

3. Qui reste dehors, et ce n’est pas qui vous croyez

L’image qui vient d’abord est celle d’une personne très âgée, en zone rurale, qui n’a jamais eu de téléphone intelligent. Elle existe, et les chiffres la décrivent sans ambiguïté : selon l’Insee, en 2025, 49 % des personnes de 75 ans et plus n’utilisent pas internet, et 82 % de cette tranche d’âge manquent de compétences numériques. Plus largement, 34 % des 16-74 ans n’utilisent pas internet ou manquent de compétences de base dans au moins un domaine essentiel, contre 38 % en 2021.

Mais s’arrêter là serait une erreur d’analyse, et c’est celle que commettent la plupart des réponses institutionnelles. Les personnes bloquées par une application obligatoire sont bien plus nombreuses, et beaucoup sont parfaitement à l’aise avec le numérique :

• celles dont le téléphone est trop ancien pour faire tourner la dernière version de l’application, et qui n’ont pas les moyens d’en changer ;
• celles qui vivent ou travaillent dans une zone mal couverte, où la validation échoue faute de réseau au moment précis où elle est demandée ;
• les salariés et les dirigeants qui refusent, légitimement, d’installer une application professionnelle sur leur téléphone personnel ;
• les personnes qui ont fait le choix réfléchi de ne pas avoir de téléphone intelligent, et dont la liberté ne devrait pas se payer d’une exclusion bancaire ;
• les personnes en situation de handicap pour lesquelles l’interface de l’application n’est pas utilisable ;
• celles, enfin, qui viennent de perdre ou de se faire voler leur téléphone, et découvrent au pire moment que leur argent était derrière cet objet.

Cette dernière situation mérite qu’on s’y arrête. Quand le téléphone porte à la fois la carte d’identité numérique, la carte Vitale et l’accès au compte en banque, le perdre ne relève plus de la contrariété. C’est un point que nous avions déjà soulevé à propos de la carte d’identité sur smartphone et de la carte Vitale numérique : concentrer tous ses justificatifs dans un seul appareil est confortable au quotidien et redoutable le jour de la panne.

Interrogé au Sénat en janvier 2025 sur cette obligation de fait, le Gouvernement a répondu que les clients sans téléphone pouvaient utiliser les guichets automatiques, appeler leur conseiller ou se rendre en agence, et il en a tiré une conclusion nette.

La sénatrice a répliqué sur-le-champ que cette égalité était largement théorique en zone rurale, où les agences ferment et où les services clients sont difficiles à joindre. Dix-neuf mois plus tard, le cas du 21 septembre lui donne raison : consulter son solde à un distributeur ne permet ni d’ajouter un bénéficiaire, ni de faire un virement, ni d’écrire à son conseiller.

4. Les moyens qui existent vraiment, et qui ne demandent aucun téléphone

Avant de se résigner, il faut savoir ce que l’on peut demander. Toutes les méthodes ci-dessous respectent la définition réglementaire de l’authentification forte, et plusieurs banques françaises en proposent déjà au moins une, parfois sur simple demande au conseiller.

5. Ce qui va changer, et quand

Le législateur européen a vu le problème. Les textes de compromis finaux du futur règlement sur les services de paiement, publiés par le Conseil de l’Union européenne le 23 avril 2026, prévoient que les moyens d’authentification forte devront être fournis gratuitement, qu’ils ne devront pas dépendre uniquement d’un smartphone, et qu’ils devront être adaptés aux utilisateurs les plus vulnérables.

C’est exactement la réponse attendue. Reste le calendrier, et il est long : le texte doit encore être adopté formellement puis publié au Journal officiel de l’Union européenne, et les délais d’application courent sur environ vingt et un mois après son entrée en vigueur. Autrement dit, cette protection n’entrera pas dans les faits avant 2028. D’ici là s’applique la réglementation actuelle, celle qui laisse la banque libre du moyen qu’elle retient – et il reste la négociation, la réclamation, et si besoin le départ.

6. Vous êtes bloqué aujourd’hui : la marche à suivre

Cinq gestes, dans cet ordre. Aucun n’est payant, et chacun laisse une trace écrite qui sert au suivant.

1. Demandez par écrit un moyen alternatif. Pas par téléphone : par message dans la messagerie sécurisée de la banque, ou par lettre. Formulez-le dans les termes du droit : « je vous demande de me fournir un dispositif d’authentification forte ne reposant pas sur un téléphone intelligent ». Cette phrase change la nature de l’échange, parce qu’elle montre que vous savez que l’application n’est pas une obligation légale.
2. Gardez la réponse. Si la banque refuse, demandez-lui de le confirmer par écrit et d’en indiquer le motif. Un refus écrit est une pièce ; un refus au guichet n’est rien.
3. Saisissez le médiateur bancaire si vous n’avez pas obtenu satisfaction dans un délai de deux mois après votre réclamation. Ses coordonnées figurent sur vos relevés de compte et sur le site de votre banque. La saisine est gratuite.
4. Signalez la situation à la répression des fraudes via la plateforme publique SignalConso. Un signalement isolé ne change rien ; des signalements nombreux sur le même établissement déclenchent des contrôles.
5. Changez de banque si rien ne bouge. Le service d’aide à la mobilité bancaire oblige la nouvelle banque à transférer vos prélèvements et vos virements réguliers. Avant de signer, posez la question en une phrase : « quels moyens d’authentification proposez-vous à un client qui n’utilise pas d’application mobile ? » La réponse, cette fois, est un argument de vente.

7. Professionnels, employeurs et accompagnants : trois angles morts

Le dirigeant de TPE. Sur un compte professionnel, le blocage ne coûte pas une contrariété mais une journée de trésorerie : un virement fournisseur qui ne part pas, une paie qui attend. Vérifiez dès maintenant, et sans attendre la panne, quel est votre moyen de validation de secours, et si votre banque en propose un second. La bonne question à poser à votre conseiller tient en une ligne : « si je perds mon téléphone un vendredi soir, comment je valide un virement le lundi matin ? » Si la réponse est « il faudra passer en agence », vous connaissez désormais le délai.

L’employeur. Un salarié n’a pas à mettre son téléphone personnel au service de l’entreprise. Si la validation des opérations bancaires de la société repose sur l’appareil privé du comptable, l’organisation est fragile juridiquement autant que pratiquement. Un boîtier au nom de l’entreprise règle les deux problèmes.

Le médiateur numérique et l’aidant. C’est devenu l’une des demandes les plus fréquentes en permanence, et l’une des plus délicates. Accompagner, ici, consiste à aider la personne à rédiger sa demande écrite et à saisir le médiateur bancaire, pas à manipuler ses comptes à sa place. La disparition progressive des permanences de proximité, que nous avons documentée à propos des conseillers numériques, rend ce réflexe d’autant plus important : il faut outiller la personne, car il n’est pas certain que quelqu’un soit encore là pour elle l’an prochain.

Une remarque pour finir, parce qu’elle vaut au-delà de la banque. Chaque fois qu’un service essentiel se réduit à une seule application sur un seul appareil, il fabrique une catégorie de personnes exclues, et cette catégorie n’est jamais celle que l’on avait prévue. C’est vrai des démarches administratives, c’est vrai de l’identité, c’est vrai des téléphones et des dispositifs de téléassistance, et c’est désormais vrai de l’argent. La bonne question à poser à n’importe quel fournisseur de service, avant de s’engager, est toujours la même : et si je n’ai pas de téléphone ce jour-là, qu’est-ce qui se passe ?

Num Compagny accompagne les particuliers, les associations et les TPE dans la reprise en main de leurs accès numériques : inventaire des moyens de connexion, mise en place de solutions de secours, rédaction des demandes et des réclamations, formation des équipes et des aidants. Découvrez nos formations professionnelles et nos accompagnements sur mesure.