Résumé de l’avis du contrôleur européen de la protection des données sur le paquet de propositions législatives relatives à la lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC-FT)

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2021/C 524/03)

Le 20 juillet 2021, la Commission européenne a adopté un paquet de propositions législatives visant à renforcer les règles de l’UE en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC-FT) (le «paquet législatif LBC»), qui consiste en: une proposition de règlement du Parlement européen et du Conseil relatif à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme; une proposition de directive du Parlement européen et du Conseil relative aux mécanismes à mettre en place pour prévenir l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme et abrogeant la directive (UE) 2015/849; une proposition de règlement du Parlement européen et du Conseil instituant l’Autorité de lutte contre le blanchiment de capitaux et le financement du terrorisme et modifiant les règlements (UE) no 1093/2010, (UE) no 1094/2010 et (UE) no 1095/2010; et une proposition de règlement du Parlement européen et du Conseil sur les informations accompagnant les transferts de fonds et de certains crypto-actifs.

Le CEPD se félicite des objectifs poursuivis par le paquet législatif LBC, à savoir accroître l’efficacité de la lutte contre le blanchiment de capitaux et le financement du terrorisme, notamment en harmonisant davantage les règles applicables et en renforçant la surveillance au niveau de l’UE (y compris la création de l’Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme, ci-après désignée l’«ALBC»).

Le CEPD souligne que l’approche fondée sur les risques du contrôle de l’utilisation du système financier aux fins du blanchiment de capitaux, qui est au cœur du paquet législatif LBC, bien qu’elle soit accueillie favorablement, doit faire l’objet de précisions et de clarifications supplémentaires.

Dans ce contexte, afin de garantir le respect des principes de nécessité et de proportionnalité, ainsi que de renforcer la sécurité juridique pour les entités assujetties dans l’exercice de leurs fonctions, le CEPD formule un certain nombre d’observations et de recommandations, notamment:

Le paquet législatif LBC devrait identifier les catégories de données à caractère personnel qui doivent être traitées par les entités assujetties pour satisfaire aux obligations en matière de LBC-FT, au lieu de s’en remettre systématiquement aux normes techniques de réglementation, et mieux décrire les conditions et les limites applicables au traitement de catégories particulières de données à caractère personnel et de données à caractère personnel relatives aux condamnations pénales et aux infractions.

Le paquet législatif LBC devrait notamment préciser quels types de catégories particulières de données à caractère personnel devraient être traitées par les entités assujetties, en tenant compte des principes de nécessité et de proportionnalité, eu égard aux différentes activités et mesures à prendre (identification, vigilance à l’égard de la clientèle, signalement aux CRF), et à la finalité spécifique poursuivie (à savoir la lutte contre le blanchiment de capitaux ou le financement du terrorisme). Plus particulièrement, le CEPD estime que le traitement des données à caractère personnel relatives à l’orientation sexuelle ou à l’origine ethnique ne devrait pas être autorisé.

En ce qui concerne les registres des bénéficiaires effectifs, le CEPD:

— se félicite de l’obligation faite aux États membres de communiquer à la Commission la liste fermée des autorités compétentes et des organismes d’autorégulation ainsi que des catégories d’entités assujetties qui ont obtenu l’accès aux registres des bénéficiaires effectifs. Toutefois, le CEPD invite le législateur à préciser que l’accès aux registres des bénéficiaires effectifs, par les autorités fiscales ainsi que par les organismes d’autorégulation, devrait se limiter aux fins de la lutte contre le blanchiment de capitaux et le financement du terrorisme et ne devrait donc être autorisé qu’à cette fin;

— en ce qui concerne l’accès de «tout membre du grand public» aux registres des bénéficiaires effectifs, le CEPD réitère sa position antérieure selon laquelle la nécessité et la proportionnalité d’un tel accès généralisé aux fins de la prévention du blanchiment de capitaux et du financement du terrorisme n’ont pas été clairement établies jusqu’à présent. En principe, cet accès devrait être limité aux autorités compétentes chargées de faire appliquer la législation et aux entités assujetties lorsqu’elles prennent des mesures de vigilance à l’égard de la clientèle. Le CEPD est d’avis que l’accès aux informations sur les bénéficiaires effectifs motivé par d’autres objectifs d’intérêt général (tels que le renforcement de la transparence) devrait plutôt être considéré comme un droit d’obtenir des informations. Cet accès du public nécessiterait une évaluation distincte de la nécessité et de la proportionnalité et serait soumis à un ensemble distinct de règles établissant les garanties nécessaires. Par conséquent, le CEPD recommande au législateur d’évaluer la nécessité et la proportionnalité d’un tel «accès général» et, compte tenu de cette évaluation, le cas échéant, d’établir un cadre juridique spécifique à cet égard, distinct de celui relatif à l’accès des autorités compétentes.

En outre, le CEPD recommande vivement d’ajouter, parmi les risques que les États membres doivent prendre en considération lors de l’établissement des critères d’octroi des dérogations à l’accès aux informations sur les bénéficiaires effectifs, une référence explicite aux risques pour la protection des données à caractère personnel des personnes concernées.

Le CEPD recommande également de prévoir dans le paquet législatif LBC un mécanisme permettant de rendre compte de l’utilisation des registres des bénéficiaires effectifs dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, afin de recueillir des preuves factuelles de l’efficacité du système et de soutenir d’éventuelles initiatives législatives futures.

En outre, le CEPD prend acte des pouvoirs d’accès étendus conférés aux CRF et invite le législateur à réévaluer la nécessité et la proportionnalité de ces droits d’accès, notamment en ce qui concerne les «informations d’ordre répressif» énumérées à l’article 18, paragraphe 1, point c), de la proposition de directive. En ce qui concerne le système d’échange d’informations entre les CRF, le réseau FIU.net, le CEPD recommande de modifier la proposition de règlement instituant l’ALBC de manière à définir clairement les rôles de toutes les parties prenantes concernées (ALBC, CRF) du point de vue de la protection des données en lien avec ce canal de communication, étant donné que cela a une incidence sur le cadre applicable en matière de protection des données et a des implications pour le modèle de supervision.

En ce qui concerne les sources d’information pour les mesures de vigilance à l’égard de la clientèle, y compris les «listes de surveillance», le paquet LBC devrait préciser en particulier dans quels cas les entités assujetties devraient avoir recours à ces listes. À cet égard, le CEPD invite le législateur à examiner si cet accès ne devrait être accordé qu’en cas de risque élevé de blanchiment de capitaux ou de financement du terrorisme.

En outre, afin de favoriser l’adoption de codes de conduite et de certifications qui doivent être respectés par les fournisseurs de bases de données et de listes de surveillance utilisées aux fins de LBC-FT, le CEPD invite le législateur à inclure dans le paquet législatif LBC une référence aux codes de conduite visés à l’article 40 du RGPD et aux certifications visées à l’article 42 du RGPD, qui doivent être développés en tenant compte des besoins spécifiques dans ce secteur.

1 Contexte

1. Le 20 juillet 2021, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme (la «proposition de règlement») (1); une proposition de directive du Parlement européen et du Conseil relative aux mécanismes à mettre en place pour prévenir l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme et abrogeant la directive (UE) 2015/849 (la «proposition de directive») (2); une proposition de règlement du Parlement européen et du Conseil instituant l’Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme, modifiant les règlements (UE) no 1093/2010, (UE) no 1094/2010 et (UE) no 1095/2010 (la «proposition de règlement instituant l’ALBC») (3); et une proposition de règlement du Parlement européen et du Conseil sur les informations accompagnant les transferts de fonds et de certains crypto-actifs (la «proposition de règlement sur les crypto-actifs») (4). Ci-après, nous désignons également les quatre projets de propositions comme étant le «paquet législatif LBC».

2. Le paquet législatif LBC est proposé conformément au plan d’action pour une politique globale de l’Union en matière de prévention du blanchiment de capitaux et du financement du terrorisme du 7 mai 2020 (5). Le CEPD a rendu son avis sur le plan d’action le 23 juillet 2020 (6).

3. Les objectifs du plan d’action, tels que visés notamment dans le règlement (7), sont les suivants: — veiller à la mise en œuvre effective du cadre de l’UE existant en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme; — mettre en place un corpus de règles LBC-FT unique à l’échelle de l’UE; — instaurer une surveillance de niveau européen en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme; — créer un mécanisme de coordination et de soutien pour les cellules de renseignement financier; — faire appliquer les dispositions de droit pénal et en matière d’échange d’informations arrêtées au niveau de l’Union; — renforcer la dimension internationale du cadre LBC-FT de l’UE.

4. Le paquet législatif LBC, y compris la proposition de règlement intégrant des éléments (dispositions) de la directive (UE) 2018/843 (8), est une initiative législative ambitieuse qui vise à accroître l’efficacité de la lutte contre le blanchiment de capitaux. Elle vise à atteindre cet objectif en particulier par la centralisation de la répression, notamment l’Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (ALBC) récemment instituée, une normalisation des obligations pour les entités assujetties, la rationalisation d’une approche supranationale et nationale fondée sur les risques, ainsi que l’établissement de règles relatives à la coopération entre les autorités de surveillance compétentes et aux bases de données et infrastructures pertinentes pour l’échange d’informations, notamment le réseau FIU.net, qui doit être hébergé et géré par l’ALBC.

5. Le 21 juillet 2021, la Commission européenne a demandé au CEPD d’émettre un avis sur la proposition, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725. Ces observations se limitent aux dispositions les plus pertinentes de la proposition en matière de protection des données.

4. Conclusions

À la lumière de ce qui précède, le CEPD:

— se félicite des objectifs poursuivis par le paquet législatif LBC, à savoir accroître l’efficacité de la lutte contre le blanchiment de capitaux et le financement du terrorisme, notamment en harmonisant davantage les règles applicables et en renforçant la surveillance au niveau de l’UE (y compris la création de l’Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme, l’ALBC);

— et se félicite de l’approche fondée sur les risques suivie pour empêcher l’utilisation du système financier aux fins du blanchiment de capitaux, qui est au cœur du paquet législatif LBC;

Toutefois, afin de garantir le respect des principes de nécessité et de proportionnalité en matière de protection des données, ainsi que de la législation applicable de l’Union et des États membres en matière de protection des données, le CEPD note et recommande en particulier ce qui suit:

— le paquet législatif LBC (notamment la proposition de règlement) devrait identifier les catégories de données à caractère personnel qui doivent être traitées par les entités assujetties pour satisfaire aux obligations en matière de LBC-FT;

— plus particulièrement, la proposition de règlement devrait fournir des indications claires sur les conditions et les limites applicables au traitement de catégories particulières de données à caractère personnel et de données à caractère personnel relatives aux condamnations pénales et aux infractions;

— en ce qui concerne les catégories particulières de données à caractère personnel, le paquet législatif LBC devrait préciser en particulier quel type de données (relevant de la catégorie plus large des catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD) devrait être traité par les entités assujetties, et à quel stade précis du processus, aux fins de la lutte contre le blanchiment de capitaux et le financement du terrorisme. À cet égard, le CEPD estime que le traitement de données à caractère personnel relatives à l’orientation sexuelle ou à l’origine ethnique ne devrait pas être autorisé;

— en ce qui concerne les registres des bénéficiaires effectifs, le CEPD: — se félicite de la mention des informations sur les bénéficiaires effectifs qui doivent figurer dans les registres des bénéficiaires effectifs. Toutefois, le CEPD recommande de préciser que la liste des informations visées à l’article 44 de la proposition de règlement est exhaustive; — se félicite de l’obligation faite aux États membres de communiquer à la Commission la liste des autorités compétentes et des organismes d’autorégulation ainsi que des catégories d’entités assujetties qui ont obtenu l’accès aux registres. Toutefois, le CEPD invite le législateur à préciser que l’accès aux registres des bénéficiaires effectifs, par les autorités fiscales ainsi que par les organismes d’autorégulation, devrait se limiter à l’objectif de la lutte contre le blanchiment de capitaux et le financement du terrorisme et ne devrait donc être autorisé qu’à cette fin; — observe que l’article 12 de la proposition de directive intègre des dispositions, déjà incluses dans la directive (UE) 2015/849, telle que modifiée par la directive (UE) 2018/843, selon lesquelles «tout membre du grand public» a accès aux registres des bénéficiaires effectifs. Le CEPD réitère donc la position qu’il a exprimée dans son avis 1/2017 sur un tel accès généralisé, à savoir que, aux fins de l’identification et de la prévention du blanchiment de capitaux et du financement du terrorisme, les informations sur les bénéficiaires effectifs ne devraient être accessibles - qu’aux autorités compétentes chargées de faire appliquer la législation et aux entités assujetties lorsqu’elles prennent des mesures de vigilance à l’égard de la clientèle (9). Le CEPD fait observer que l’accès aux informations sur les bénéficiaires effectifs (par exemple, par les ONG) entrerait en ligne de compte en tant que droit différent d’obtenir et de fournir des informations. Cet accès du public, répondant à une fonction ou à une finalité différente, devrait être soumis à un critère de nécessité et de proportionnalité différent, ainsi qu’à un ensemble de règles distinct et différent. Par conséquent, le CEPD recommande au législateur d’évaluer la nécessité et la proportionnalité d’un tel «accès général» et, sur la base de cette évaluation, le cas échéant, d’établir un cadre juridique spécifique à cet égard, distinct de celui relatif à l’accès des autorités compétentes; — en outre, le CEPD recommande vivement d’ajouter, parmi les risques que les États membres doivent prendre en considération lors de l’établissement des critères d’octroi des dérogations à l’accès aux informations sur les bénéficiaires effectifs, une référence explicite aux risques pour la protection des données à caractère personnel des personnes concernées. Le CEPD recommande également de supprimer le terme «exceptionnelles» dans la première et la deuxième phrase de l’article 13; — enfin, le CEPD recommande d’insérer dans le paquet législatif LBC une disposition établissant un mécanisme permettant de rendre compte de l’efficacité de l’utilisation des registres des bénéficiaires effectifs dans la lutte contre le blanchiment de capitaux et le financement du terrorisme;

— en ce qui concerne le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions, la référence aux «allégations» (en plus des «enquêtes», des «procédures» et des «condamnations») à l’article 55, paragraphe 3, point b), de la proposition de règlement est vague et devrait donc être supprimée ou précisée;

— prend note des pouvoirs d’accès étendus conférés aux CRF en vertu de l’article 18 de la proposition de directive et invite dès lors le législateur à réévaluer la nécessité et la proportionnalité de ces droits d’accès, notamment en ce qui concerne les «informations d’ordre répressif» énumérées à l’article 18, paragraphe 1, point c). Dans le même ordre d’idées, le CEPD recommande de délimiter de manière claire et exhaustive les catégories de données à caractère personnel auxquelles les CRF peuvent avoir accès en vertu de l’article 18, paragraphe 1, point a) («informations financières») et de l’article 18, paragraphe 1, point b) («informations administratives»);

— réaffirme qu’une configuration juridique des pouvoirs et des activités des CRF comme étant «fondés sur des enquêtes» plutôt que «fondés sur le renseignement» serait davantage conforme aux principes de proportionnalité et de limitation des finalités en matière de protection des données, et recommande donc de supprimer le libellé au considérant 51 de la directive concernant la détection des «personnes qui l’intéressent»;

— en ce qui concerne le réseau FIU.net, recommande que la proposition de règlement instituant l’ALBC, ou au moins une norme technique d’exécution qui serait adoptée par la Commission conformément à l’article 24, paragraphe 3, de la proposition de directive, prévoie clairement le rôle de toutes les parties prenantes concernées (ALBC, CRF) du point de vue de la protection des données, étant donné que cela a une incidence sur le cadre applicable en matière de protection des données et sur le modèle de surveillance;

— en ce qui concerne la base de données centrale LBC-FT, le CEPD recommande de préciser un délai de conservation pour les données à caractère personnel qu’elle contient, notamment en raison de la collecte par les CRF et de la transmission à la base de données centrale LBC-FT des «résultats d’inspections de surveillance de dossiers concernant des personnes politiquement exposées et des membres de leur famille ou de leur entourage»;

— en ce qui concerne les sources d’information pour les mesures de vigilance à l’égard de la clientèle, y compris les «listes de surveillance», le paquet législatif LBC devrait préciser en particulier dans quels cas les entités assujetties devraient avoir recours à ces listes. À cet égard, le CEPD invite le législateur à examiner si cet accès ne devrait être accordé qu’en cas de risque élevé de blanchiment de capitaux ou de financement du terrorisme. En outre, un considérant pourrait préciser que les entités assujetties devraient dûment vérifier les informations figurant sur les listes de surveillance, eu égard en particulier à leur fiabilité et à leur exactitude.

— par ailleurs, afin de favoriser l’adoption de codes de conduite et de certifications qui doivent être respectés par les fournisseurs de bases de données et de listes de surveillance utilisées à des fins de lutte contre le blanchiment de capitaux et le financement du terrorisme, le CEPD invite le législateur à inclure dans le paquet législatif LBC une référence aux codes de conduite visés à l’article 40 du RGPD et aux certifications visées à l’article 42 du RGPD, qui devront être développés en tenant compte des besoins spécifiques dans ce secteur;

— l’article 32, paragraphe 3, de la proposition de règlement prévoit que l’ALBC publie des orientations sur les critères d’identification des personnes relevant de la définition des personnes connues pour être étroitement associées à des personnes politiquement exposées [de «personne politiquement exposée»]. À cet égard, le CEPD estime que la catégorie des «personnes connues pour être étroitement associées à des personnes politiquement exposées» devrait être précisée dans la proposition de règlement elle-même, plutôt que (uniquement) par les orientations de l’ALBC;

— le CEPD recommande de préciser les catégories de membres du personnel faisant l’objet d’une «évaluation de l’intégrité» requise par l’article 11 de la proposition de règlement;

— le CEPD recommande d’inclure, de manière plus explicite, parmi les critères que l’autorité compétente doit prendre en considération lors de la publication des sanctions et des mesures administratives, les risques pour la protection des données à caractère personnel des personnes concernées;

— enfin, le CEPD recommande d’apporter certaines modifications (ajouts et suppressions) au libellé des articles et des considérants du paquet législatif LBC faisant référence au RGPD et au règlement sur la protection des personnes physiques à l’égard du traitement des données à caractère personnel.

Bruxelles, le 22 septembre 2021 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2021) 420 final.

(2) COM(2021) 423 final.

(3) COM(2021) 421 final.

(4) COM(2021) 422 final. Le CEPD note à cet égard que la proposition de règlement étend les exigences de traçabilité des crypto-actifs aux fins de LBC-FT; l’obligation pour le prestataire de services sur crypto-actifs de fournir les informations visées aux articles 14 à 18; l’inclusion des prestataires de services sur crypto-actifs à l’article 20, Protection des données, et à l’article 21, Conservation des informations. Le CEPD a récemment rendu son avis sur les crypto-actifs, Avis du CEPD sur la proposition de règlement sur les marchés decrypto-actifs, et modifiant la directive (UE) 2019/1937, le 24 juin 2021.

Cet avis est disponible à l’adresse suivante: https://edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-regulation-markets-crypto_en

(5) Communication sur un plan d’action pour une politique globale de l’Union en matière de prévention du blanchiment de capitaux et du financement du terrorisme, (C(2020)2800 final).

(6) Avis 5/2020 du CEPD sur le plan d’action de la Commission européenne pour une politique globale de l’Union en matière de prévention du blanchiment de capitaux et du financement du terrorisme, disponible à l’adresse: https://edps.europa.eu/sites/default/files/publication/20-07-23_edps_aml_opinion_en.pdf

(7) Voir page 1 de l’exposé des motifs.

(8) Directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE (JO L 156 du 19.6.2018, p. 43).

(9) Voir points 61 et 62 de l’avis 1/2017 du CEPD: «Comme souligné dans l’introduction du présent avis, la détection et la répression des activités criminelles sont réservées, dans la directive anti-blanchiment, aux autorités publiques compétentes. À cet égard, les particuliers actifs sur les marchés financiers sont seulement tenus de fournir des informations aux autorités compétentes qui en sont chargées. Une personne ou une entité privée ne se voit en aucun cas, formellement ou informellement, directement ou indirectement, confier un rôle répressif». 62. «On peut admettre que les ONG qui luttent contre les crimes et abus financiers, la presse et le journalisme d’investigation contribuent de facto à attirer l’attention des autorités sur des phénomènes susceptibles d’être pertinents en matière de répression pénale. Cependant, si c’est le cas, le législateur devrait concevoir l’accès aux informations sur les bénéficiaires en tant que composant du droit, pour les citoyens, de recueillir des informations et, pour la presse, de les fournir. Cela donnerait une nouvelle finalité à l’accès public, qui aurait pour conséquence une évaluation de la proportionnalité de cette règle en fonction de ce droit et non en fonction d’objectifs politiques (la lutte contre le terrorisme ou l’évasion fiscale, par exemple) qui ne peuvent pas être associés à des actions privées».

Pour conclure sur ce point, nous rappelons également la jurisprudence de la Cour de justice dans l’affaire Österreichischer Rundfunk, dans laquelle la Cour a conclu qu’il était nécessaire de vérifier si l’objectif politique auquel répondait la publicité «n’aurait pu être atteint de manière aussi efficace par la transmission des informations nominatives aux seules instances de contrôle» [point 88, caractères gras ajoutés, arrêt de la Cour du 20 mai 2003. Rechnungshof (C-465/00 )/Österreichischer Rundfunk e.a. et Christa Neukomm (C-138/01) et Joseph Lauermann (C-139/01)/Österreichischer Rundfunk, ECLI:EU:C:2003:294]. Cette question doit être consciencieusement prise en considération lors de l’évaluation de la proportionnalité des mesures relatives à l’accès public aux informations à caractère personnel.