Les décisions de la Commission des sanctions de l’Autorité de contrôle prudentiel et de résolution (ACPR) se succèdent à nouveau. En effet, en l’espace de deux mois, ce sont cinq décisions, s’adressant respectivement à un établissement de monnaie électronique
La première de ces hypothèses retiendra ici notre attention. Mangopay est une société de droit luxembourgeois agréée par la Commission de surveillance du secteur financier (CSSF) en tant qu’établissement de monnaie électronique et habilitée à fournir des services de paiement. Cette filiale du groupe Leetchi (Crédit Mutuel Arkéa) exerce en France son activité d’émission de monnaie électronique et une partie de son activité de prestataire de service de paiement sous le régime de la liberté d’établissement avec différents partenaires (places de marché, plateformes de financement participatif, sites de cagnottes en ligne, conseillers en investissement participatif, intermédiaires en financement participatif). Son activité de prestataire de service de paiement est également exercée en France, pour une part, sous le régime de la libre prestation de services.
À la suite d’un premier contrôle sur place du 12 février au 8 juin 2018, le collège de l’ACPR a décidé d’ouvrir une procédure disciplinaire à l’encontre de Mangopay et de saisir la Commission des sanctions. Plusieurs griefs, relatifs au dispositif de lutte contre le blanchiment et le financement du terrorisme (LCB-FT) et à celui du gel des avoirs, sont opposés à l’établissement.
Après avoir écarté diverses exceptions tirées de l’incompétence de l’Autorité et de la violation du principe de légalité des délits et des peines (1.), la Commission confirme les griefs notifiés (2.) et inflige à Mangopay un blâme ainsi qu’une sanction pécuniaire de 150 000 euros.
1. Concernant la compétence de l’ACPR et l’applicabilité des règles de LCB-FT
Mangopay contestait, en premier lieu, la compétence de l’ACPR à l’égard de certaines de ses activités exercées sur le territoire français.
En vertu de l’article L. 561-2 du Code monétaire et financier, les établissements de monnaie électronique ayant leur siège social dans un autre État membre de l’Union européenne sont assujettis aux obligations relatives à la lutte contre blanchiment des capitaux et le financement du terrorisme (LCB-FT) prévues par le Code monétaire et financier en tant qu’ils exercent leur activité sur le territoire français en ayant recours aux services d’un ou plusieurs agents pour la fourniture de services de paiement en France ou d’une ou plusieurs personnes en vue de distribuer en France la monnaie électronique
Mangopay soutenait que certains griefs formulés à son encontre visaient ses activités en France exercées, non pas au titre de la liberté d’établissement, mais sous le régime de la libre prestation de services pour lesquelles l’ACPR est incompétente. Il incombe, en effet, à l’autorité de surveillance luxembourgeoise de contrôler le respect par Mangopay de ses obligations en matière de lutte contre le blanchiment des capitaux et le financement du terrorisme pour ses activités accomplies en France sous le régime de la libre prestation de services. L’établissement de monnaie électronique prétendait qu’elle avait déclaré à tort à la CSSF que certaines de ses activités de prestation de services de paiement en France seraient exercées sous le régime de la liberté d’établissement avec des partenaires ayant le statut d’agent de prestataires de service de paiement. Ces partenaires étaient des places de marché qui avaient été déclarées en qualité d’agents de prestataires de service de paiement mais qui, selon elle, ne fournissaient pas de services de paiement. Mangopay estimait que la Commission de sanctions de l’ACPR ne devait pas fonder sa compétence, et celle de l’Autorité, sur le statut juridique de ses partenaires mais sur la réalité de leurs prestations. À l’invitation de la CSSF, Mangopay avait d’ailleurs « dénotifié », postérieurement au contrôle sur place de l’ACPR, certains de ses partenaires qui ne fournissaient pas effectivement de services de paiement.
La Commission des sanctions considère cependant que l’ACPR était compétente pour diligenter le contrôle sur place à l’origine de la notification des griefs, dès lors que la « dénotification » des partenaires par Mangopay était intervenue après celui-ci. L’Autorité pouvait vérifier le respect, par l’établissement de monnaie électronique, de ses obligations de lutte contre blanchiment des capitaux et le financement du terrorisme, puisque les activités en cause étaient exercées en France sous le régime de la liberté d’établissement, à la lumière des déclarations faites auprès de la CSSF par Mangopay.
L’ACPR n’étant compétente que pour contrôler les activités accomplies en France au titre de la liberté d’établissement, la Commission des sanctions précise que la notification des griefs ne devait pas le rappeler. Mangopay ne pouvait donc prétendre utilement que la notification des griefs était imprécise et qu’il en résultait une atteinte aux exigences du procès équitables garanties à l’article 6 de la Convention européenne des droits de l’Homme, uniquement parce que le collège de l’Autorité avait ouvert une procédure disciplinaire à son encontre pour son activité en France, sans distinguer entre ses activités exercées sous le régime de la libre prestation de services et celles exercées sous le régime de la liberté d’établissement.
Mangopay invoquait, en second lieu, l’absence de clarté et de prévisibilité des règles relatives aux obligations de vigilance à l’égard de la clientèle et au gel des avoirs.
L’établissement de monnaie électronique soutenait que, durant la période couverte par le premier contrôle sur place mené par l’ACPR, il ne lui était pas possible de connaître de façon claire et prévisible les obligations de vigilance l’égard de la clientèle qui s’imposaient à lui, en raison du délai qui s’est écoulé entre la date d’entrée en vigueur de l’ordonnance n° 2016-1635 du 1er décembre 2016
Mais la Commission des sanctions rappelle que la 4e directive antiblanchiment a renforcé les conditions permettant aux émetteurs de monnaie électronique de bénéficier d’une exonération des obligations de vigilance, notamment en limitant cette dispense à la monnaie électronique stockée inférieure à 250 euros par mois et aux remboursements en espèces inférieurs à 100 euros. Elle ajoute qu’un professionnel de bonne foi, qui exerçait ses activités dans tous les pays membres de l’Union européenne, était nécessairement conscient que pendant la période concernée par le premier contrôle sur place la faculté d’être exonéré des obligations de vigilance à l’égard de la clientèle prévue par l’article L. 561-9-1 du Code monétaire et financier ne pouvait être exercée que dans des conditions conformes à la 4e directive antiblanchiment. La Commission des sanctions en déduit que « Mangopay ne pouvait donc soutenir que, pendant la période en cause, les obligations de vigilance qu’elle devait respecter n’étaient pas définies de façon suffisamment claire et prévisible ».
Mangopay estimait, par ailleurs, qu’en raison du délai entre l’entrée en vigueur de l’ordonnance n° 2016-1575 du 24 novembre 2016 portant réforme du dispositif de gel des avoirs et celle de son décret d’application édicté dix-sept mois plus tard, son obligation en matière de gel des avoirs n’était pas définie de façon claire et prévisible.
Cependant, la Commission des sanctions rappelle que la circonstance qu’une loi ou un règlement renvoie à des mesures d’application qui n’ont pas encore été prises ne fait pas obstacle à l’entrée en vigueur des dispositions de cette loi ou de ce règlement si elles sont suffisamment précises pour être immédiatement applicables. Il est vrai que l’article 1er du Code civil dispose que l’entrée en vigueur des dispositions législatives ou réglementaires dont l’exécution nécessite des mesures d’application est reportée à la date d’entrée en vigueur de ces mesures. La jurisprudence admet toutefois qu’une disposition législative se suffisant à elle-même est applicable sans attendre la publication d’un décret d’application, à la date d’entrée en vigueur de cette loi
2. Concernant les griefs reprochés à la société mise en cause
En premier lieu, la plupart des griefs relevés étaient relatifs au dispositif de lutte contre le blanchiment et le financement du terrorisme (LCB-FT). Ceux-ci concernaient les procédures internes, la classification des risques, l’exercice de la vigilance, les défauts d’examen renforcé et enfin les défauts de déclaration de soupçon.
Concernant, par exemple, cette dernière hypothèse, il convient de rappeler qu’en vertu du I de l’article L. 561-15 du Code monétaire et financier, les organismes assujettis doivent déclarer à Tracfin les sommes inscrites dans leurs livres ou les opérations portant sur des sommes dont ils savent, soupçonnent ou ont de bonnes raisons de soupçonner qu'elles proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an ou sont liées au financement du terrorisme.
Il était alors reproché à Mangopay de n’avoir pas réalisé de déclaration de soupçons dans 35 dossiers ou séries de dossiers.
Or, la société mise en cause soutenait que, de septembre 2016 à décembre 2017, les cellules de renseignement financier luxembourgeoise et française avaient des analyses différentes des obligations auxquelles un organisme comme elle était soumis au titre de ses activités exercées, en France, en libre établissement. En effet, la première estimait, selon Mangopay, qu’un tel organisme ne devait adresser de déclaration de soupçon qu’à elle, tandis que la seconde exigeait de recevoir également les déclarations qui portaient sur des opérations effectuées en France. Toujours selon Mangopay, ce n’est qu’en janvier 2018 qu’un dispositif de double déclaration, unique en Europe, a été mis en place, auquel elle se serait immédiatement conformée.
Par ailleurs, la cellule de renseignement financier luxembourgeoise aurait donné pour instruction aux organismes assujettis à son contrôle de ne pas procéder à des déclarations de soupçon relatives à des fraudes aux moyens de paiement de faible importance.
Ces moyens sont cependant écartés par la Commission des sanctions du superviseur. En effet, selon cette dernière, les obligations de déclaration de soupçon qui s’imposent à un organisme comme Mangopay pour ses activités exercées en France en libre établissement, qui sont seules en cause, sont fixées par les seules dispositions de l’article L. 561-15 du Code monétaire et financier. Au demeurant, les organismes assujettis qui interviennent dans ce cadre sur le territoire national doivent désigner à cet effet un représentant permanent. Il est encore souligné que Mangopay avait transmis 14 déclarations de soupçon à Tracfin entre 2015 et début 2018, ce qui confirmait qu’elle avait connaissance de ses obligations déclaratives.
En second lieu, un dernier grief concernait le dispositif de gel des avoirs. Il est vrai que, alors que la réglementation légale interdit de mettre des fonds à disposition des personnes faisant l’objet d’une mesure restrictive dès le premier euro, la procédure mise en place par Mangopay prévoyait que le filtrage des clients au regard des listes de mesures nationales et européennes de gel ne serait effectué qu’en cas de dépassement des « seuils d’authentification », soit au-delà de 2 500 euros. De même, dans le cas particulier des bénéficiaires de cagnottes, Mangopay ne vérifiait leur identité qu’en cas de versement supérieur à 1 000 euros. En outre, il est noté que le filtrage était opéré au regard des seuls nom et prénoms selon une correspondance orthographique exacte, ce qui exposait l’établissement à ne pas détecter certaines personnes. Au final Mangopay n’avait pas été en mesure de détecter près de 200 homonymes d’une personne faisant l’objet d’une mesure restrictive.
Des circonstances atténuantes
La Commission des sanctions de l’ACPR caractérise ainsi, dans sa décision, l’ensemble des griefs reprochés à la société mise en cause. Différentes circonstances atténuantes sont, cependant, observées dans le même temps, et notamment le fait que cette société était encore, pendant les exercices concernés par le premier contrôle, une entreprise de création récente, dont la croissance était très rapide. De même, il est souligné que Mangopay a mis en œuvre, depuis la fin du premier contrôle, des mesures de remédiation « très significatives », qui ont mobilisé des ressources financières et humaines importantes. Son organisation s’est ainsi sensiblement améliorée, semble-t-il, depuis la première mission de contrôle du premier semestre 2018. Un blâme et une sanction pécuniaire de 150 000 euros lui sont alors finalement infligés.
