Entreprises assujetties à la quatrième directive anti-blanchiment: cadre, évolutions et enjeux de protection des données

En 2015, le nouveau système européen de lutte contre le blanchiment de capitaux et le financement du terrorisme était adopté. Quelques mois plus tard voilà que la Commission annonce déjà son intention de l’amender. Ce projet s’explique en partie par les attaques terroristes qui ont touché le territoire européen en 2015 et en 2016, ainsi que par l’affaire des « Panama Papers ». L’objectif central est de renforcer la lutte, tout en harmonisant et clarifiant les obligations pour les entités assujetties, notamment les établissements financiers et certains professionnels.

I. Le système préventif repose sur la collecte massive de données personnelles

Le cadre européen de LCB-FT est basé sur la collecte et le traitement d’une quantité considérable de données personnelles par les entités assujetties et en particulier par les institutions financières. Le nouveau projet repose toujours sur la même logique de collecte de données personnelles en l’approfondissant. L’obligation de conservation des données relatives à leurs clients pendant au moins cinq ans demeure inchangée pour les institutions financières.

En incluant les établissements d’échange de monnaies virtuelles et en accroissant le contrôle des instruments prépayés, le projet augmente automatiquement la quantité de données collectées et l’intensité du contrôle. De plus, la définition de bénéficiaire effectif est abaissée, augmentant la collecte d’informations. L’accès à ces données par le secteur privé serait grandement facilité, ce qui nécessite un encadrement strict pour respecter la vie privée et la protection des données.

Des bases de données centrales ou centralisées sont envisagées pour faciliter l’identification des titulaires de comptes bancaires et de paiement. Trois scénarios existent aujourd’hui au niveau des États membres: registre central, système d’extraction des données ou vérification auprès de tous les établissements. La Commission préfère une solution centralisée unique, pour un accès rapide et uniforme.

II. Encadrement de l’accès et garanties de protection des données

L’accès aux données financières doit se fonder sur des garanties concernant l’accès, la durée de conservation et la sécurité, avec un critère objectif délimitant l’accès des autorités et des conditions matérielles et procédurales. La Cour exige un contrôle préalable et une limitation du nombre de personnes autorisées, ainsi qu’un accès strictement nécessaire à l’objectif poursuivi. Aucune exception n’est prévue au droit actuel pour les personnes protégées par le secret professionnel, y compris les avocats, dans l’accès sans déclaration d’opération suspecte.

Le cadre européen prévoit que les cellules de renseignement financier puissent accéder aux données, même en l’absence de déclaration d’opération suspecte, dans le cadre d’enquêtes, et cherche à élargir ces pouvoirs. Cette évolution s’apparente, dans une certaine mesure, au PATRIOT ACT américain, qui permet des accès sous certaines conditions lorsque la déclaration d’opération est absente ou les procédures nationales difficiles à franchir.

Abdenour Hibouche President de La Cellule de traitement du renseignement financier (CTRF)

III. Registres des bénéficiaires effectifs et transparence

La quatrième directive imposait déjà des registres centralisés pour les bénéficiaires effectifs des sociétés et autres entités juridiques, y compris les trusts et fiducies. La Commission vise désormais un accès public à ces registres pour les trusts et fiducies, dans le but de renforcer la transparence et la confiance, tout en reconnaissant les risques potentiels pour la vie privée. Le Conseil constitutionnel français a mis en lumière les limites d’un registre public et l’ingérence possible dans le droit à la vie privée, particulièrement pour les trusts privés; toutefois, la Commission maintient que la transparence est nécessaire, tout en distinguant les trusts privés de ceux à usages économiques, afin d’éviter une ingérence excessive.

Les États membres doivent prévoir que les informations sur les bénéficiaires effectifs soient conservées dans des registres centralisés en dehors de la société, accessibles selon les règles de protection des données et à toute personne justifiant d’un intérêt légitime en matière de blanchiment ou de financement du terrorisme. Les fiduciaires/trustees sont également tenus de collecter et conserver des informations sur les bénéficiaires effectifs et de les transmettre au registre central. L’objectif est d’assurer la traçabilité jusqu’aux criminels qui pourraient masquer leur identité derrière des structures. Trois options de registre central existent, et la mise en œuvre doit assurer l’accès des autorités compétentes et des CRF.

IV. Mise en œuvre fondée sur les risques et coopération internationale

Une approche fondée sur les risques est indispensable pour adapter les mesures à la dangerosité des situations, y compris pour les transactions avec des pays tiers à haut risque. La Commission peut adopter des actes pour recenser ces pays et exiger des mesures de vigilance renforcées pour les clients établis dans ces pays. L’évaluation des risques transfrontaliers doit être coordonnée au niveau de l’Union, avec la contribution d’experts et des CRF, et les données personnelles ne devraient pas être traitées lors de l’évaluation transfrontalière et doivent être rendues anonymes.

Le cadre prévoit l’éventuelle délégation à la Commission du pouvoir d’adopter des actes obligatoires pour recenser les pays tiers à haut risque et adapter rapidement les règles face à l’évolution des menaces. Les mesures d’atténuation doivent être proportionnées et appliquées de manière homogène à tous les prestataires et structures, y compris les entreprises liées aux crypto-actifs.

Le règlement modificatif (UE) 2023/1113 et l’amendement de la directive (UE) 2015/849 relèvent la gestion des échanges de crypto-actifs et imposent des obligations de traçabilité des transferts, en lien avec les adresses auto-hébergées et les relations transfrontalières. Les États membres disposent d’un éventail d’options pour les prestataires de services sur crypto-actifs et doivent adapter les règles d’agrément et de coopération entre autorités européennes et nationales.

Points clés et calendrier

La directive 2015/849 - 4ème directive anti-blanchiment - est en vigueur depuis le 25 juin 2015 et appliquée dans l’UE à partir de 2017, avec des transpositions ultérieures.
Les mesures du règlement modificatif (UE) 2023/1113 s’appliquent depuis le 30 décembre 2024 et modernisent la traçabilité des crypto-actifs.
La 5ème directive LCB-FT (2018/843) poursuit les objectifs de transparence accrue et de vigilance renforcée, avec transposition en droit national comme en France.
La directive sera abrogée et remplacée par la directive (UE) 2024/1640 à partir de juillet 2027.

Cadre international et national

Les mesures s’inscrivent dans un cadre international guidé par les recommandations du GAFI et coordonnées avec les actions des CRF et des autorités nationales. Le GAFI a révisé ses recommandations et les a intégrées dans le cadre européen afin d’assurer une cohérence et une efficacité renforcées dans la lutte contre le blanchiment et le financement du terrorisme.

Terminologie et définitions essentielles

Blanchiment de capitaux: la conversion des produits d’une activité criminelle en fonds apparemment honnêtes par le système financier.
Financement du terrorisme: le fait de réunir des fonds pour des activités terroristes.
Bénéficiaire effectif: la ou les personnes physiques qui exercent le contrôle ultime sur une entité juridique.
Adresse auto-hébergée: adresse de cryptomonnaie non liée à un prestataire UE.

Lire aussi: Solutions innovantes de financement

balises: #Entreprise