Paiement fractionné : ce qui change le 20 novembre 2026

Le 20 novembre 2026, dans moins de trois mois, le « paiement en 3 fois sans frais » cesse d’être une facilité commerciale pour devenir un crédit à la consommation au sens du code de la consommation. L’ordonnance n° 2025-880 du 3 septembre 2025, qui transpose la directive (UE) 2023/2225, fait entrer dans le champ réglementé les crédits gratuits, les mini-crédits de moins de 200 euros et les opérations de moins de trois mois — c’est-à-dire l’essentiel de ce que le marché appelle le BNPL.

Pour un e-commerçant, la question n’est pas théorique. Elle se décompose en trois : votre prestataire de paiement fractionné est-il prêt ? Quel est votre propre rôle juridique dans le montage ? Et que devient le flux de données personnelles que vous lui transmettez à chaque commande, dès lors qu’il alimente une évaluation de solvabilité désormais encadrée par une recommandation dédiée de la CNIL ?

Voici ce que dit exactement le texte, ce que la presse généraliste a mal rapporté, et ce qu’il reste à faire d’ici l’échéance.

Ce qui bascule au 20 novembre 2026

L’ordonnance a été prise sur le fondement du VII de l’article 2 de la loi n° 2025-391 du 30 avril 2025 (DDADUE). Elle transpose la directive (UE) 2023/2225 du 18 octobre 2023, qui abroge la directive 2008/48/CE — celle-là même que la loi du 1er juillet 2010 avait transposée et qui structurait le crédit à la consommation français depuis quinze ans.

Son article 99 est limpide : l’ordonnance entre en vigueur le 20 novembre 2026, et les contrats de crédit en cours à cette date restent régis par le droit antérieur. Il n’y a donc pas de reprise de stock : le basculement se fait sur les nouvelles opérations. Pour un marchand qui traite plusieurs milliers de paniers par jour en fractionné, cela signifie qu’un parcours d’achat unique devra changer de régime du jour au lendemain.

L’élargissement du champ, décrit par le rapport au Président de la République, porte sur cinq catégories :

Ce qui entre dans le champ au 20/11/2026	Situation avant
Crédits gratuits (sans intérêt ni frais) qui créent néanmoins une charge de remboursement	Largement hors champ
Mini-crédits de moins de 200 €	Exclus (plancher de 200 €)
Crédits de moins de trois mois assortis de frais négligeables — paiements fractionnés et différés	Exclus
Crédits à la consommation entre 75 000 € et 100 000 €	Exclus (plafond de 75 000 €)
Contrats de location avec option d’achat (LOA)	Déjà largement soumis en droit français ; nouveauté : instauration d’un taux d’usure

Les cartes à débit différé demeurent exemptées : la France a retenu cette option, déjà présente dans le droit interne depuis 2010.

Attention, ensuite, à ne pas s’arrêter à l’ordonnance de septembre 2025. La transposition s’est faite en trois temps : l’ordonnance n° 2025-880 du 3 septembre 2025, puis l’ordonnance rectificative n° 2025-1154 du 2 décembre 2025, complétées par le décret n° 2026-105 du 19 février 2026. Beaucoup de commentaires publiés à l’automne 2025 raisonnent encore sur la première version du texte, y compris sur le point qui intéresse le plus les marchands.

Ce point, c’est le monopole bancaire. Le rapport au Président de la République annonçait que l’article 87 de l’ordonnance initiale limiterait aux seules petites et moyennes entreprises le bénéfice de l’exemption dont jouissent les délais de paiement consentis par les fournisseurs de biens et prestataires de services (article L. 511-7, I, 1° du code monétaire et financier). L’ordonnance rectificative du 2 décembre 2025 a supprimé cette restriction : l’exemption reste ouverte à toute entreprise, quelle que soit sa taille, sous réserve des dispositions du nouveau 9° de l’article L. 511-6 du même code.

Ce qui est réservé aux micro, petites et moyennes entreprises, c’est autre chose — et c’est plus subtil : la dispense d’immatriculation. La directive impose en principe l’enregistrement des prêteurs qui ne sont pas des établissements financiers, avec une option de dérogation pour les PME octroyant à titre accessoire des paiements différés sans intérêt et à frais limités. La France a exercé cette option, étroitement. Pour les autres, le principe est l’immatriculation sur un nouveau registre, avec un délai de grâce à compter de sa création. Le décret d’application n’ayant pas été publié au moment où j’écris ces lignes, c’est un point de veille à tenir : si vous financez vous-même le fractionnement de vos ventes aux particuliers et que vous n’êtes pas une PME, l’exemption de monopole ne vous dispense pas nécessairement de l’enregistrement.

Dernier point de cadrage, souvent négligé : l’article 42 de la directive pose une harmonisation maximale. Les États membres ne peuvent ni maintenir ni introduire de dispositions divergentes, sauf option expresse. C’est une rupture avec la directive de 2008, qui était d’harmonisation minimale. Concrètement, la marge d’interprétation nationale est faible et les positions prises par les régulateurs des autres États membres deviennent des indices utiles.

Le régime allégé du fractionné court : ce qui s’applique vraiment

C’est ici que la presse généraliste s’est trompée, et que la lecture du texte rapporte le plus.

Faire entrer le paiement fractionné dans le champ du crédit à la consommation ne signifie pas lui appliquer la totalité du régime du prêt personnel. Le nouvel article L. 312-4-1 du code de la consommation écarte une partie des dispositions pour deux catégories : les opérations dont le délai de remboursement ne dépasse pas trois mois et qui sont sans intérêt ni frais, ou assorties d’intérêts et de frais d’un montant négligeable ; et les opérations dont le montant total de crédit est inférieur à 200 euros.

Les deux options nationales exercées par la France ne recouvrent d’ailleurs pas exactement le même périmètre, et la confusion est fréquente. L’allègement de la liste des informations précontractuelles et contractuelles vise trois catégories — crédits de moins de trois mois à frais négligeables, crédits gratuits, crédits de moins de 200 euros. La consultation facultative du FICP n’en vise que deux : les crédits de moins de trois mois sans intérêt ni frais ou à frais négligeables, et les crédits de moins de 200 euros. Un crédit gratuit de dix mois relève donc de l’information allégée, mais pas de l’option FICP.

Point	Régime pour le fractionné ≤ 3 mois sans frais et les crédits < 200 €
Consultation du FICP lors de l’analyse de solvabilité	Facultative (option nationale retenue)
Informations précontractuelles et contractuelles	Liste adaptée, plus courte que le régime de droit commun
Évaluation de la solvabilité	Applicable
Devoir de mise en garde	Applicable
Encadrement de la publicité	Applicable
Droit de rétractation	Applicable

Deux affirmations circulent depuis un an et sont inexactes. Non, la consultation du FICP ne devient pas obligatoire pour le paiement en 3 ou 4 fois sans frais : le rapport au Président de la République indique expressément que la France a retenu l’option d’une consultation facultative pour ces opérations. Elle reste évidemment possible, et sera souvent pratiquée par les prêteurs professionnels — mais elle n’est pas imposée par le texte, ce qui change tout pour dimensionner un parcours d’achat de trente secondes.

Non plus, le délai de rétractation ne passe pas de quatorze à trente jours. Le principe reste le délai de quatorze jours. Ce que fait la directive, et l’ordonnance à sa suite, c’est allonger ce délai lorsque le prêteur a manqué à ses obligations d’information contractuelle. C’est une sanction civile, pas un nouveau standard. La nuance est importante pour un e-commerçant : elle transforme un défaut de mention dans le parcours en fenêtre de rétractation prolongée, donc en risque opérationnel sur les stocks et les remboursements.

Qui est le prêteur ? La question à trancher en premier

Avant d’ouvrir le chantier RGPD, il faut poser le schéma contractuel. Dans mon expérience, c’est le point sur lequel les marchands se trompent le plus souvent, parce que la relation commerciale avec le prestataire de fractionné est présentée comme un simple module de paiement.

Trois configurations coexistent sur le marché français.

Le marchand est simple apporteur d’affaires. Le prêteur est le prestataire (établissement de crédit ou de paiement agréé). Le marchand affiche l’option, redirige vers le parcours du prêteur, et est payé comptant. C’est le montage le plus fréquent et le plus confortable : la charge réglementaire du crédit pèse sur le prestataire. Le marchand reste néanmoins tenu par les règles de publicité et d’information précontractuelle qui s’affichent sur son site, et il demeure responsable de traitement pour les données qu’il collecte avant la bascule.

Le marchand est intermédiaire en opérations de banque et en services de paiement (IOBSP). Dès que le marchand fait plus qu’afficher — recueil de données, présentation de l’offre, conseil, assistance au montage du dossier — la qualification d’intermédiation peut être retenue, avec les obligations d’immatriculation, de compétence professionnelle et de règles de conduite qui l’accompagnent. L’ordonnance renforce précisément ces exigences pour le personnel des intermédiaires de crédit (articles 88 à 91).

Le marchand accorde lui-même le délai de paiement. Le monopole bancaire n’y fait pas obstacle, l’exemption des délais de paiement restant ouverte à toute entreprise après la rectification de décembre 2025. Mais la question de l’immatriculation comme prêteur à titre accessoire se pose : la dispense est réservée aux PME octroyant à titre accessoire des paiements différés sans intérêt et à frais limités. Une entreprise de taille intermédiaire ou un grand groupe qui finance lui-même le fractionnement de ses ventes aux particuliers doit donc instruire ce point avant novembre, en suivant la publication des textes d’application.

Sur le plan de la protection des données, ces trois configurations ne produisent pas le même résultat. Dans la première, marchand et prêteur sont en général responsables de traitement indépendants : le marchand traite pour la vente, le prêteur pour l’octroi de crédit, chacun avec sa finalité et sa base légale. Dans la deuxième, la responsabilité conjointe au sens de l’article 26 du RGPD devient plausible dès lors que le marchand participe à la détermination des finalités et des moyens de la collecte : il faut alors un accord de responsabilité conjointe et une information des personnes qui en reflète la substance. La CNIL place d’ailleurs cette qualification en tête de sa liste de vérifications : « déterminer votre responsabilité et celles des autres intervenants ». Ne présumez pas un rapport de sous-traitance au motif que le prestataire « traite pour vous » : le prêteur poursuit sa propre finalité réglementaire, il n’agit pas sur instruction.

L’évaluation de solvabilité devient un traitement encadré

Le 2 avril 2026, la CNIL a adopté sa délibération n° 2026-047 portant recommandation sur l’évaluation de la solvabilité dans le cadre de l’octroi de crédit, publiée le 7 mai 2026. Elle remplace l’autorisation unique AU-005 (délibération n° 2008-198 du 9 juillet 2008), c’est-à-dire un texte antérieur au RGPD, antérieur au scoring algorithmique généralisé et antérieur à toute jurisprudence européenne sur le sujet.

Cette recommandation s’adresse aux organismes privés qui accordent des crédits et aux intermédiaires en opérations de banque et en services de paiement. Elle couvre le crédit à la consommation et le crédit immobilier. Si votre montage vous place dans la deuxième configuration ci-dessus, elle vous concerne directement.

Deux apports méritent l’attention d’un e-commerçant.

La base légale est l’obligation légale. La version définitive de la recommandation permet de fonder ces traitements sur l’article 6(1)© du RGPD, puisque le code de la consommation impose d’évaluer la solvabilité du demandeur. C’est un changement de posture par rapport aux montages fondés sur l’intérêt légitime ou, pire, sur un consentement de façade. Si vous êtes concerné, la nécessité et la proportionnalité doivent être documentées — la CNIL suggère de le faire dans l’analyse d’impact. Pour situer ce choix parmi les autres fondements, voir notre analyse de l’article 6 du RGPD et notre guide des bases légales.

Le périmètre des données est resserré. La liste de vérifications publiée par la CNIL en mai 2026 est explicite sur plusieurs points qui, dans la pratique, sont fréquemment franchis :

Règle posée par la CNIL	Portée pratique
S’assurer qu’aucune donnée n’est collectée sur les réseaux sociaux	Interdit les enrichissements de profil par social scoring, y compris via un prestataire tiers
Limiter la fenêtre d’analyse de l’historique des transactions à trois mois, ou douze mois sur demande de la personne	Encadre les parcours d’open banking qui aspirent douze à vingt-quatre mois de relevés par défaut
Permettre la transmission de documents partiellement occultés	Le refus d’un justificatif caviardé doit être motivé et assorti d’une alternative, y compris un examen manuel
Prévoir une procédure pour ne pas traiter de catégories particulières (article 9) via les libellés de transactions	Les libellés bancaires révèlent la santé, les convictions religieuses, l’appartenance syndicale : la catégorisation doit rester générique
Documenter l’usage du département de résidence au regard d’une stratégie géographique	Une variable géographique non justifiée devient un indice de discrimination indirecte
Limiter l’accès au score aux services d’octroi et de sélection des risques, et aux commerciaux pour leurs seuls dossiers	Le score n’a pas vocation à circuler dans le CRM

Sur le rôle de l’intermédiaire, la CNIL est précise : après la saisie des données, les personnels habilités de l’intermédiaire ne doivent accéder qu’à un message indiquant l’acceptation ou non de la demande, et uniquement jusqu’à la communication de la décision finale. Un marchand qui reçoit du prestataire un motif de refus détaillé sort du cadre.

Ces exigences prolongent le principe de minimisation posé par l’article 5 du RGPD, en lui donnant des seuils chiffrés — ce qui est rare et donc précieux.

Décision automatisée : le point le plus sous-estimé

C’est ici que les deux calendriers se rejoignent, et c’est de loin l’apport le plus intéressant de la séquence.

Un scoring de solvabilité entièrement automatisé est une décision au sens de l’article 22 du RGPD dès lors qu’il joue un rôle déterminant dans l’octroi du crédit. La CJUE l’a jugé dans l’affaire SCHUFA (C-634/21, 7 décembre 2023), puis a consacré un droit à l’explication du mécanisme ayant conduit à la décision dans l’affaire Dun & Bradstreet (C-203/22, 27 février 2025). Un fractionnement accepté ou refusé en deux secondes par un moteur de règles entre pleinement dans ce périmètre. Voir aussi notre analyse du profilage.

L’article 22(1) pose une interdiction de principe, assortie de trois exceptions : la nécessité contractuelle, l’autorisation par le droit de l’Union ou de l’État membre, et le consentement explicite. Jusqu’à présent, les prêteurs français s’appuyaient massivement sur la nécessité contractuelle de l’article 22(2)(a) — un fondement fragile, puisqu’il faut démontrer la nécessité objective de l’automatisation, et non son simple confort opérationnel.

La CNIL indique avoir mis à jour sa recommandation pour anticiper « l’entrée en application, en novembre 2026, d’une autorisation légale pour les décisions entièrement automatisées pour les crédits à la consommation ». Traduction : à compter du 20 novembre 2026, le crédit à la consommation dispose d’un fondement propre au titre de l’article 22(2)(b) du RGPD, ancré au VIII de l’article L. 312-16 du code de la consommation dans sa rédaction issue de la transposition, avec les garanties que ce texte y attache. Pour les acteurs du fractionné, c’est une sécurisation juridique réelle — à condition de servir les garanties.

Ces garanties, telles qu’elles ressortent des nouvelles dispositions du code de la consommation issues du chapitre VII de l’ordonnance et de la recommandation CNIL, forment un bloc de cinq obligations :

1. Informer le demandeur, dès la réception de la demande, que l’offre ou l’évaluation de sa solvabilité repose sur un traitement automatisé de données personnelles.
2. Fournir une explication claire et compréhensible de la logique sous-jacente, ainsi que de l’importance et des conséquences prévues du traitement (articles 13(2)(f) et 14(2)(g) du RGPD — voir article 13 et article 14).
3. Permettre à la personne d’exprimer son point de vue sur sa situation financière personnelle.
4. Ouvrir un droit d’intervention humaine et de réexamen, avec indication de la procédure à suivre en cas de refus.
5. En réponse à une demande d’accès, indiquer dans quelle mesure une variation des données aurait conduit à un résultat différent (article 15(1)(h) du RGPD, dans la lecture de l’arrêt Dun & Bradstreet). La CNIL suggère des illustrations concrètes plutôt qu’une description abstraite du modèle. Voir notre guide du droit d’accès.

Le cinquième point est celui qui casse les architectures existantes. Répondre « votre score est de 412 sur 1000 » ne suffit pas. Il faut être capable de dire : « avec un reste à vivre supérieur de X euros, ou en l’absence de l’incident de remboursement de mars, la décision aurait été différente ». Cela suppose de journaliser les variables d’entrée par dossier et de conserver la version du modèle appliquée — ce qui est un chantier d’ingénierie, pas une mention à ajouter dans une politique de confidentialité.

Un dernier étage s’ajoute pour ceux qui utilisent l’apprentissage automatique : l’évaluation de la solvabilité des personnes physiques figure à l’annexe III du règlement européen sur l’IA, donc parmi les systèmes à haut risque. Le règlement (UE) 2026/1744 a reporté les obligations de l’annexe III au 2 décembre 2027, mais la conception des modèles se décide aujourd’hui. Voir AI Act, banque et assurance et l’AIPD appliquée à l’IA.

Durées de conservation : des seuils enfin chiffrés

La recommandation CNIL fixe des repères que je n’avais jamais vus formulés aussi nettement en matière de crédit :

Donnée	Durée recommandée
Données collectées pour l’évaluation de solvabilité, demande rejetée	Suppression au plus tard 6 mois après le dépôt de la demande, sauf conservation pour une autre finalité (mise à jour d’un dossier client existant) ou archivage intermédiaire à des fins probatoires
Manquements contractuels passés, après régularisation intégrale	Prise en compte pendant une durée n’excédant pas 24 mois à compter de la régularisation
Manquements contractuels passés, sans régularisation	Prise en compte pendant une durée n’excédant pas 24 mois à compter de la prescription ou de la forclusion de la créance
Manquement écarté par une décision judiciaire définitive	Cessation immédiate du traitement

L’archivage intermédiaire à des fins probatoires reste ouvert : le prêteur doit pouvoir démontrer qu’il a bien réalisé la vérification de solvabilité si l’emprunteur le conteste ultérieurement. C’est un cas d’école de dissociation entre base active et base d’archivage — voir notre tableau des durées de conservation et le guide sur les durées de conservation RGPD.

Sur les critères d’objectivité des incidents, la CNIL demande trois choses : une description factuelle de la situation, un seuil de prise en compte fondé sur des critères objectifs (répétition, montant, montant rapporté à celui du crédit) et la limitation aux inexécutions ayant effectivement placé la personne en situation de débiteur à l’égard du responsable de traitement. Un « client à problèmes » signalé sur appréciation d’un conseiller n’est pas une donnée exploitable.

Publicité et parcours d’achat : le volet le plus visible pour un marchand

L’ordonnance étend le champ des publicités interdites. Deux interdictions, déjà présentes en droit français et désormais généralisées, méritent d’être vérifiées sur vos pages produit : celle mentionnant l’existence d’une période de franchise de remboursement supérieure à trois mois, et celle laissant entendre que le prêt améliore la situation financière de l’emprunteur. Passez en revue vos bandeaux « payez plus tard, respirez maintenant » : la formulation compte.

S’y ajoute un droit d’accès à une information générale sur les contrats de crédit à la consommation, créé au bénéfice des consommateurs, et un renforcement des explications adéquates ainsi qu’un devoir de mise en garde explicite du prêteur.

Sur le parcours lui-même, deux réflexes. D’abord, un module de fractionné présélectionné par défaut, ou dont l’alternative « paiement comptant » est visuellement dévalorisée, relève de la logique des dark patterns sanctionnés au titre du DSA et par la CNIL — un point d’autant plus sensible que l’opération devient un crédit. Ensuite, l’ensemble des mentions d’information précontractuelle continue de relever de vos obligations de vente en ligne et doit être cohérent avec vos CGV et vos mentions légales. Vérifiez également que vos clauses ne deviennent pas abusives par l’effet du changement de qualification, et que vos annonces de réduction de prix ne se combinent pas au fractionné d’une manière qui rende le coût total illisible.

Enfin, le sort des données de carte bancaire dans un parcours à échéances multiples obéit à ses propres règles : voir données bancaires et RGPD et, si vous passez par un prestataire, Stripe et RGPD.

Plan d’action d’ici le 20 novembre 2026

Il reste moins de trois mois. Dans cet ordre :

1. Qualifiez votre rôle. Apporteur d’affaires, intermédiaire, ou prêteur ? Écrivez-le, faites-le valider, et vérifiez la cohérence avec votre contrat de prestataire. C’est la décision dont dépendent toutes les suivantes.
2. Interrogez votre prestataire par écrit. Trois questions suffisent : quelle est votre feuille de route de mise en conformité au 20 novembre ? Quelles données exigez-vous de nous et à quel titre ? Comment servez-vous le droit à l’explication de l’article 15(1)(h) ?
3. Cartographiez le flux. Quelles données quittent votre site vers le prestataire, à quel moment du tunnel, avec quelle base légale de votre côté. Mettez à jour votre registre des traitements.
4. Tranchez la qualification RGPD et contractualisez : accord de responsabilité conjointe si nécessaire, ou clarification écrite de l’indépendance des responsabilités.
5. Réalisez ou mettez à jour l’AIPD si vous participez à l’évaluation. La CNIL demande d’y documenter les risques de biais discriminatoires en cas de recours à l’IA, et — pour les outils d’aide à la décision sans automatisation complète — le caractère significatif de l’intervention humaine. Voir l’article 35 du RGPD.
6. Auditez vos mentions d’information. Article 13, logique sous-jacente, conséquences prévues, droits spécifiques à la décision automatisée. Comparez avec vos mentions RGPD dans les CGV.
7. Revoyez le parcours et la publicité. Franchise supérieure à trois mois, promesse d’amélioration de la situation financière, présélection par défaut, lisibilité du coût total.
8. Testez le chemin de contestation. Un client refusé doit trouver, sans effort, comment demander un réexamen humain. Chronométrez-le sur votre propre site.

Ce type de revue — cartographier les flux, rattacher chaque traitement à sa base légale et suivre les échéances réglementaires — est exactement ce que Legiscope automatise sur un portefeuille de traitements et de sous-traitants.

Les erreurs que je vois déjà

Croire que « sans frais » veut dire « hors champ ». C’est l’inverse : la directive vise expressément les crédits gratuits qui créent une charge de remboursement. La gratuité était la faille, elle est refermée.

Traiter le prestataire de fractionné comme un sous-traitant. Il poursuit sa propre finalité réglementaire d’octroi de crédit et ne peut pas agir sur vos instructions pour cette finalité. Signer un DPA standard ne règle pas la question et peut même vous exposer, en rendant votre documentation contradictoire avec la réalité.

Confondre information et explication. Écrire dans la politique de confidentialité que « des traitements automatisés peuvent être mis en œuvre » ne satisfait ni l’article 13(2)(f), ni le droit à l’explication consacré par l’arrêt Dun & Bradstreet.

Raisonner sur la seule ordonnance de septembre 2025. Une bonne partie des analyses publiées à l’automne 2025 est périmée sur le volet monopole bancaire et immatriculation, réécrit par l’ordonnance rectificative du 2 décembre 2025. Vérifiez toujours la date de la source que vous lisez.

Attendre la doctrine sectorielle. La CNIL a annoncé accompagner les associations professionnelles du « club conformité » banque par un webinaire, puis veiller au respect des règles dans le cadre de ses contrôles à venir. La séquence est claire : accompagnement d’abord, contrôle ensuite.

Oublier les contrats en cours. L’article 99 les préserve, mais votre système d’information devra faire cohabiter deux régimes pendant toute la durée d’écoulement du stock. Ce point se prépare côté produit, pas côté juridique.

Ce qu’il faut retenir

• Au 20 novembre 2026, le paiement fractionné, le paiement différé, les mini-crédits sous 200 € et les crédits gratuits deviennent des crédits à la consommation : ordonnance n° 2025-880 du 3 septembre 2025, article 99. Les contrats en cours restent sous l’ancien droit.
• Lisez le dispositif complet : ordonnance n° 2025-880, ordonnance rectificative n° 2025-1154 du 2 décembre 2025 et décret n° 2026-105 du 19 février 2026. La rectificative a notamment supprimé la restriction aux PME de l’exemption de monopole bancaire pour les délais de paiement.
• La consultation du FICP n’est pas rendue obligatoire pour le fractionné de moins de trois mois sans frais ni pour les crédits de moins de 200 € : la France a retenu l’option d’une consultation facultative.
• Le délai de rétractation reste de quatorze jours ; il est allongé en cas de manquement du prêteur à ses obligations d’information contractuelle.
• La première décision à prendre est la qualification de votre rôle — apporteur d’affaires, IOBSP ou prêteur. Elle commande le régime de crédit comme le partage des responsabilités RGPD.
• La recommandation CNIL n° 2026-047 du 2 avril 2026 fixe des seuils opérationnels : pas de données issues des réseaux sociaux, fenêtre d’analyse des transactions limitée à trois mois, suppression des données d’une demande rejetée sous six mois, prise en compte des incidents pendant vingt-quatre mois au plus.
• Un scoring déterminant est une décision automatisée au sens de l’article 22 du RGPD (CJUE C-634/21 et C-203/22). À compter du 20 novembre 2026, une autorisation légale sécurise ces décisions pour le crédit à la consommation, sous réserve de servir effectivement l’information, l’explication, l’intervention humaine et le droit d’accès de l’article 15(1)(h).

Vous suivez ces sujets de près ? Chaque semaine, je publie une analyse des textes et décisions qui changent réellement quelque chose pour les entreprises françaises. Recevez nos analyses conformité.

FAQ

Le paiement en 3 fois sans frais devient-il un crédit à la consommation ?

Oui, à compter du 20 novembre 2026. La directive (UE) 2023/2225, transposée par l’ordonnance n° 2025-880 du 3 septembre 2025, fait entrer dans le champ du crédit à la consommation les opérations de moins de trois mois assorties de frais négligeables ou nuls, ainsi que les crédits gratuits. Un régime allégé s’applique toutefois à ces opérations, notamment pour les informations précontractuelles et la consultation du FICP.

Dois-je consulter le FICP avant d’accorder un paiement fractionné ?

Pas obligatoirement. La France a retenu l’option d’une consultation facultative du fichier national des incidents de remboursement des crédits aux particuliers pour les opérations de crédit d’une durée maximale de trois mois sans intérêt ni frais — ou à frais négligeables — et pour celles dont le montant est inférieur à 200 euros. La consultation reste possible et sera souvent pratiquée par les prêteurs professionnels, mais elle n’est pas imposée par le texte.

En tant que e-commerçant, suis-je responsable de traitement pour les données du dossier de crédit ?

Cela dépend de votre rôle. Si vous vous bornez à afficher l’option et à rediriger vers le parcours du prestataire, vous êtes en principe responsable de traitement indépendant pour vos propres finalités de vente, le prêteur l’étant pour l’octroi de crédit. Si vous participez à la collecte, à la présentation de l’offre ou au montage du dossier, une responsabilité conjointe au sens de l’article 26 du RGPD devient plausible et doit être contractualisée. La CNIL place cette qualification en premier point de sa liste de vérifications.

Un refus de paiement fractionné décidé par un algorithme est-il légal ?

Il l’est, sous conditions. Un score déterminant dans la décision d’octroi constitue une décision entièrement automatisée au sens de l’article 22 du RGPD, comme la CJUE l’a jugé dans l’affaire SCHUFA (C-634/21). À compter du 20 novembre 2026, le crédit à la consommation bénéficie d’une autorisation légale spécifique. Restent dues : l’information sur le caractère automatisé, l’explication de la logique sous-jacente, la possibilité d’exprimer un point de vue, le droit à une intervention humaine et le réexamen du dossier.

Combien de temps puis-je conserver les données d’une demande refusée ?

La CNIL recommande une suppression au plus tard six mois après le dépôt de la demande, sauf si les données doivent être conservées pour une autre finalité — mise à jour du dossier d’un client existant en base active, ou archivage intermédiaire à des fins probatoires, notamment si l’emprunteur conteste ultérieurement la réalisation de la vérification de solvabilité.

Puis-je utiliser des données issues des réseaux sociaux pour évaluer un client ?

Non. La liste de vérifications publiée par la CNIL en mai 2026 demande expressément de s’assurer qu’aucune donnée n’est collectée sur les réseaux sociaux dans le cadre de l’évaluation de la solvabilité. Cette interdiction vaut également lorsque l’enrichissement est réalisé par un prestataire tiers pour votre compte.

Que se passe-t-il pour les paiements fractionnés en cours au 20 novembre 2026 ?

L’article 99 de l’ordonnance prévoit que les contrats de crédit en cours à cette date restent régis par les dispositions du code de la consommation et du code monétaire et financier dans leur rédaction antérieure. Il n’y a donc pas de reprise de stock, mais votre système d’information devra faire cohabiter deux régimes pendant l’écoulement des dossiers ouverts avant l’échéance.