RGPD et LCB-FT : 5 conflits de conformité et solutions

En une phrase. Le RGPD et la LCB-FT ne se contredisent pas au niveau des principes — le Code monétaire et financier fournit l’obligation légale de l’Art. 6(1)© RGPD — mais ils entrent en collision sur cinq points opérationnels précis : la durée de conservation (5 ans après la fin de la relation d’affaires, Art. L561-12 CMF) face à la minimisation, le droit à l’effacement, le droit d’accès face à l’interdiction de divulgation (Art. L561-18 CMF), le filtrage automatisé au regard de l’Art. 22 RGPD, et les flux intragroupes hors UE.

Cet article s’adresse aux DPO et responsables conformité des établissements assujettis — banques, assurances, fintechs, PSAN, mais aussi notaires, experts-comptables et agents immobiliers. Chaque conflit y est traité par sa solution documentaire, pas par un arbitrage de principe.

Points clés

• Aucun des deux régimes ne « prime » : la LCB-FT fournit la base légale, le RGPD encadre la finalité, la durée et l’accès.
• L’Art. L561-12 CMF impose 5 ans à compter de la fin de la relation d’affaires ; le règlement (UE) 2024/1624 harmonise cette durée, avec extension possible à dix ans sur décision nationale.
• L’Art. 17(3)(b) RGPD écarte le droit à l’effacement en présence d’une obligation légale : le refus doit être motivé, pas silencieux.
• L’interdiction de divulgation (Art. L561-18 CMF) est le seul conflit vraiment insoluble : il se gère par un périmètre d’exclusion documenté.
• Arrêt SCHUFA (CJUE, C-634/21, 7 décembre 2023) : un score peut constituer une décision automatisée au sens de l’Art. 22(1) lorsqu’il joue un rôle déterminant.

Pourquoi les deux régimes se croisent

Un établissement assujetti aux articles L561-1 et suivants du Code monétaire et financier doit identifier son client et le bénéficiaire effectif, recueillir des justificatifs sur l’origine des fonds, exercer une vigilance constante et déclarer les soupçons à TRACFIN (Art. L561-15 CMF). Chacune de ces obligations est un traitement de données personnelles.

La base légale n’est pas discutable : c’est l’obligation légale de l’Art. 6(1)© RGPD, comme le rappelle notre guide des bases juridiques du RGPD. Cette qualification a deux effets symétriques. Elle sécurise la collecte — le client ne peut pas s’y opposer, l’établissement ne peut pas y renoncer. Mais elle enferme ces données dans la seule finalité LCB-FT : réutiliser un justificatif de domicile KYC pour du ciblage commercial est un détournement de finalité caractérisé, premier réflexe à vérifier dans un secteur bancaire où données KYC et données commerciales cohabitent dans le même référentiel client.

Le cadre européen a été refondu en 2024 : le règlement (UE) 2024/1624 (« AMLR »), la directive (UE) 2024/1640 (« AMLD6 ») et le règlement (UE) 2024/1620 créant l’Autorité européenne de lutte contre le blanchiment (AMLA). Le CEPD et le Contrôleur européen de la protection des données avaient formulé, dans leur avis conjoint 04/2021 sur ce paquet, des réserves explicites sur la proportionnalité de plusieurs traitements.

Conflit 1 — La durée de conservation

Le problème. L’Art. 5(1)(e) RGPD impose de ne pas conserver au-delà du nécessaire ; l’Art. L561-12 CMF impose 5 ans à compter de la fin de la relation d’affaires ou de l’exécution de l’opération. La tentation est d’appliquer cette durée à tout le dossier client.

La solution. Distinguer trois périmètres et trois horloges. Les données strictement LCB-FT (identité, justificatifs, profil de risque, historique des opérations, alertes) suivent les 5 ans du CMF ; les données contractuelles, les délais de prescription applicables ; les données de prospection, la doctrine CNIL de 3 ans après le dernier contact. Le passage en archivage à accès restreint — base séparée, habilitations nominatives, journalisation des consultations — est ce qui rend la conservation défendable au regard de la minimisation. Notre tableau des durées de conservation donne les repères par catégorie.

Attention à l’extension : l’AMLR maintient les 5 ans et laisse aux États membres la faculté de porter cette durée jusqu’à dix ans. Appliquée sans base nationale explicite, l’extension est un excès de conservation.

Conflit 2 — Le droit à l’effacement

Le problème. Un client clôture son compte et demande la suppression de ses données. L’établissement ne peut pas s’exécuter sur le périmètre LCB-FT.

La solution. L’Art. 17(3)(b) RGPD écarte expressément le droit à l’effacement lorsque le traitement est nécessaire au respect d’une obligation légale prévue par le droit de l’Union ou d’un État membre. Le refus est donc licite, à trois conditions. Il doit être partiel : les données hors périmètre LCB-FT (préférences marketing, navigation, fidélité) doivent être supprimées. Il doit être motivé par écrit, référence du CMF à l’appui, dans le délai d’un mois de l’Art. 12(3). Il doit mentionner les voies de recours. Un refus global et non motivé est le manquement le plus facile à établir en contrôle — voir notre guide du droit à l’effacement.

Conflit 3 — Le droit d’accès et l’interdiction de divulgation

Le problème. C’est le conflit le plus dur. L’Art. 15 RGPD donne à la personne le droit d’obtenir une copie de ses données. L’Art. L561-18 CMF interdit de porter à la connaissance du client — ou de tout tiers — l’existence et le contenu d’une déclaration de soupçon. Répondre complètement à une demande d’accès reviendrait à commettre le délit de divulgation.

La solution. Le RGPD prévoit lui-même la sortie : l’Art. 23(1) autorise le droit national à limiter la portée des droits pour des objectifs importants d’intérêt public général, dont la prévention et la détection des infractions pénales. Les données relatives aux déclarations de soupçon et au traitement mis en œuvre par TRACFIN relèvent ainsi du droit d’accès indirect, exercé par l’intermédiaire de la CNIL, qui vérifie et répond à la personne sans révéler le contenu.

En pratique, la procédure d’exercice des droits doit prévoir un périmètre d’exclusion écrit : alertes de filtrage, scores de risque LCB-FT, rapports de vigilance renforcée et déclarations de soupçon sont retirés de la réponse, sans que celle-ci signale leur existence. La formulation type est neutre — elle ne confirme ni n’infirme. Ce périmètre doit être validé par le responsable conformité et le DPO, et tracé dans le registre des traitements.

Conflit 4 — Filtrage automatisé, scoring et Art. 22

Le problème. Les dispositifs de vigilance reposent sur du filtrage automatisé : listes de sanctions, personnes politiquement exposées, détection d’opérations atypiques, scores de risque client. Ces traitements sont du profilage au sens de l’Art. 4(4) RGPD, et basculent sous l’Art. 22 lorsqu’ils déclenchent sans intervention humaine réelle un refus d’entrée en relation ou une clôture de compte.

La solution. La CJUE a précisé la ligne dans l’arrêt SCHUFA (C-634/21, 7 décembre 2023) : lorsqu’un score joue un rôle déterminant dans la décision, il constitue lui-même une décision automatisée au sens de l’Art. 22(1), même si la décision formelle est prise par un autre acteur. Transposé à la LCB-FT : un « comité » qui se contente d’entériner l’alerte de l’outil n’apporte pas l’intervention humaine exigée.

Ce qu’il faut mettre en place : une revue humaine effective par un analyste habilité à infirmer l’alerte, la traçabilité de cette revue, un taux de faux positifs mesuré, l’information du client sur la logique générale, et une AIPD (Art. 35) sur le dispositif de filtrage — le profilage systématique à grande échelle figure parmi les critères de risque élevé. Notre analyse de l’Art. 22 RGPD sur les décisions automatisées détaille les garanties ; le même raisonnement vaut pour la tarification et la sélection des risques en assurance.

Conflit 5 — Les flux intragroupes hors UE

Le problème. L’AMLR impose des politiques et procédures à l’échelle du groupe, donc de partager des informations sur les clients à risque entre entités. Lorsque la maison mère ou le centre de conformité est situé hors EEE — États-Unis, Suisse, Royaume-Uni, Singapour — chaque partage est un transfert au sens du chapitre V du RGPD.

La solution. Trois voies, dans cet ordre. Une décision d’adéquation lorsqu’elle existe (Royaume-Uni, Suisse, Data Privacy Framework pour les importateurs américains certifiés). À défaut, des clauses contractuelles types — Module 1 entre responsables, le plus souvent — assorties d’une analyse d’impact du transfert documentée et d’une annexe II spécifique. Les règles d’entreprise contraignantes (Art. 47) restent l’option la plus solide pour un groupe international, au prix d’un processus d’approbation long.

Ce qui ne fonctionne pas : invoquer la dérogation d’intérêt public de l’Art. 49(1)(d) pour un flux permanent. Le CEPD la réserve aux transferts occasionnels, et l’intérêt public doit être reconnu par le droit de l’Union ou d’un État membre — la réglementation d’un pays tiers ne suffit pas. Une demande de production émanant d’un régulateur étranger relève quant à elle de l’Art. 48 RGPD : vérifier l’existence d’un accord international avant toute transmission.

Ce que regardent la CNIL et l’ACPR

Les deux autorités ne contrôlent pas la même chose, et c’est ce qui piège les établissements. L’ACPR vérifie l’efficacité du dispositif de vigilance : classification des risques, exhaustivité du KYC, qualité des déclarations de soupçon. La CNIL en vérifie la proportionnalité : durées, périmètre des données collectées, habilitations, information des personnes, sous-traitance. Un dispositif jugé satisfaisant par l’ACPR peut être excessif pour la CNIL — collecter systématiquement un avis d’imposition à l’entrée en relation d’un client à risque faible, par exemple.

La preuve attendue reste la même : une documentation qui relie chaque donnée à l’obligation qui la justifie, chaque durée à son texte, chaque décision automatisée à un réexamen humain tracé. Pour un établissement cumulant RGPD, LCB-FT et DORA, un outil de conformité banque-assurance évite la démultiplication des tableurs de suivi.

FAQ

La LCB-FT prime-t-elle sur le RGPD ?

Non, aucune des deux réglementations ne prime. Le CMF crée l’obligation de collecter et de conserver ; le RGPD fournit la base légale correspondante (Art. 6(1)©) et impose que ces données ne servent qu’à cette finalité, avec accès restreint et purge au terme. Le conflit ne porte que sur les modalités et se résout par la documentation du périmètre.

Peut-on refuser une demande d’effacement au nom de la LCB-FT ?

Oui, sur le seul périmètre couvert par l’obligation légale, en application de l’Art. 17(3)(b) RGPD. Le refus doit être motivé par écrit avec la référence textuelle, notifié dans le délai d’un mois, limité aux données concernées, et accompagné de la mention des voies de recours. Les données hors périmètre doivent être effacées.

Faut-il une AIPD pour un dispositif de filtrage LCB-FT ?

Dans la quasi-totalité des cas, oui. Le dispositif combine profilage, évaluation systématique et traitement à grande échelle de données pouvant révéler des infractions — plusieurs critères de risque élevé au sens de l’Art. 35(3) et des lignes directrices du CEPD. L’AIPD doit couvrir la solution de filtrage, ses règles de paramétrage et le circuit de traitement des alertes.