Lutte antiblanchiment : le pas de deux du législateur européen

L’expression « pas de deux » n’est peut-être pas la plus heureuse, tant il est vrai que la matière de la lutte contre le blanchiment de capitaux et le financement du terrorisme (ci-après « lutte antiblanchiment ») ne se caractérise pas par sa légèreté [1] . Sa pesanteur s’accommode cependant de quelques concepts « mous », à commencer par le premier d’entre eux : l’ « approche fondée sur les risques ». Étalon ultime du contrôle interne des établissements financiers, la définition de l’approche par les risques demeure en effet évanescente : « Lorsqu’elles mettent en œuvre une approche fondée sur les risques, les institutions financières et les entreprises et professions non financières désignées devraient disposer de processus d’identification, d’évaluation, de surveillance, de gestion et d’atténuation des risques de blanchiment de capitaux et de financement du terrorisme. Le principe général de l’approche fondée sur les risques est d’obliger les institutions financières et entreprises et professions non financières désignées à appliquer des mesures de vigilance renforcées lorsqu’il existe des risques plus élevés afin de les gérer et de les atténuer et, inversement, de permettre aux institutions financières et entreprises et professions non financières désignées d’appliquer des mesures de vigilance simplifiées lorsque les risques sont plus faibles » [2] .

Pas de deux, toutefois, car les textes le sont : une directive (la 4^e, abrogeant la 3^e : la directive 2005/60/CE du 26 octobre 2005 [3] , l’une et l’autre, faut-il observer, étant manifestement d’harmonisation minimale) accompagnée d’un règlement (abrogeant lui-même le 3^e : règlement n° 1781/2006 du 15 novembre 2006 relatif aux informations concernant le donneur d’ordre accompagnant les virements de fonds), le tout formant un « paquet antiblanchiment » que le législateur européen a souhaité traiter de manière commune. Si bien que cet ensemble devrait être applicable à la même date, la date d’application du règlement – pourtant censé entrer en vigueur vingt jours après sa publication au JOUE – attendant la fin du délai de transposition de la directive, soit le 26 juin 2017.

Droit « doublement dérivé », ensuite (ce qui promet quelques contorsions d’interprétation), s’agissant en particulier de la directive, en ce sens que les législations nationales seront dérivées de celle-ci qui, elle-même, l’est des recommandations révisées de février 2012 du GAFI, vis-à-vis desquelles les textes nouveaux s’alignent (le considérant 43 de la directive parle bien d’« alignement »). Faut-il ajouter que cette dérivation composera, dans la directive toujours, avec un triple niveau d’évaluation des risques (l’approche fondée sur les risques est poussée jusqu’au bout) :

• d’abord par la Commission elle-même (aux termes d’un rapport mis à jour tous les deux ans) ;
• puis par les États membres (approche sectorielle privilégiée) ;
• enfin par les entités assujetties, guidées par trois listes indicatives figurant en annexe, relatives la première aux variables de risques, la seconde aux facteurs minorants et la troisième aux facteurs aggravants (art. 6 à 8).

Les acteurs – et leurs conseils – sont prévenus : «  Il en résulte une directive moins détaillée quant aux mesures concrètes à prendre » [4] . Une logique d’ accountability en somme (qui est bien dans l’air du temps, celui par exemple du futur droit de la protection des données à caractère personnel), qui place la cartographie des risques au cœur des dispositifs antiblanchiment.

Sans autre recherche d’originalité, il est temps de passer à l’analyse rapide de la directive et du règlement, l’une embrassant l’ensemble du système financier, l’autre centré sur les services de paiement.

I. La directive

Une étude complète du texte dépasserait le cadre de cette chronique. Nous avons retenu les points suivants, qui ne videront donc pas la matière. Une précision avant de les aborder, concernant le champ d’application du texte, élargi notablement aux prestataires de services de jeux d’argent et de hasard et aux négociants en biens à partir d’un seuil de 10 000 euros, contre 15 000 auparavant, mais non 7 500 euros comme initialement proposé [5] .

Territorialité

La question de la territorialité du droit de la lutte antiblanchiment avait donné lieu, il y a deux ans, à un bel arrêt sur l’applicabilité des règles de l’État d’accueil à un établissement opérant en libre prestation de services [6] . Non pas tellement que la question se pose au regard du caractère éminemment transnational du blanchiment (cela sera affaire de coopération entre cellules de renseignement financier ou CRF), mais plutôt à raison de l’activité hors territoire d’origine de filiales ou succursales (voire d’agents ou de distributeurs de monnaie électronique) d’un groupe. La directive y consacre quelques règles inédites [7] , principalement à son article 45 [8] .

Il est d’abord prévu que les entités assujetties qui font partie d’un groupe mettent en œuvre des politiques et procédures à l’échelle du groupe (en particulier de protection des données, faut-il remarquer), ce qui pourrait aller jusqu’à des inspections sur place effectuées par l’autorité de l’État d’origine dans des établissements installés dans un autre État, précise le considérant 52 de la directive.

Par ailleurs, les entités assujetties qui exploitent des établissements dans un autre État membre sont tenues de veiller à ce que ceux-ci respectent les dispositions nationales de cet autre État issues de la présente directive. Partant, l’autorité compétente de l’État d’accueil est à même de faire respecter les règles antiblanchiment, y compris en procédant à des inspections sur place (cons. 53).

Lorsque l’État d’accueil des filiales ou succursales est un pays tiers dont le droit antiblanchiment est moins strict que celui de l’État d’origine de l’entité assujettie, alors celle-ci doit appliquer son propre droit, dans la mesure toutefois où la réglementation du pays tiers le permet. « Les établissements de crédit et les établissements financiers de l'Union ayant des succursales et des filiales établies dans des pays tiers dont les exigences en la matière sont moins strictes que dans les États membres devraient, pour éviter l'application de normes très divergentes à l'intérieur d'un établissement ou d'un groupe d'établissements, appliquer les normes de l'Union à ces succursales ou filiales […] », recommande le considérant 48.

Dernière « règle territoriale » significative, celle du « point de contact » imposé aux établissements de monnaie électronique ou aux établissements de paiement (et seulement à eux) : lorsqu’ils sont établis sur leur territoire sous une forme autre que celle de la succursale mais que leur siège social est situé dans un autre État, l’État d’accueil peut exiger de l’établissement qu’il nomme un point de contact central sur son territoire afin de veiller au respect des règles antiblanchiment [9] .

Bénéficiaire effectif

L’identification du bénéficiaire effectif [10] est traditionnellement associée à celle du client au titre de l’obligation générale de vigilance : « Les mesures de vigilance à l'égard de la clientèle comprennent : a) l'identification du client et la vérification de son identité, sur la base de documents, de données ou d'informations obtenus d'une source fiable et indépendante ; / b) l'identification du bénéficiaire effectif et la prise de mesures raisonnables pour vérifier l'identité de cette personne, de telle manière que l'entité assujettie ait l'assurance de savoir qui est le bénéficiaire effectif » (art. 13, 1).

On remarque tout d'abord que l'expression « le cas échéant », qui accompagnait l’obligation d’identifier le bénéficiaire effectif dans la 3^e directive Antiblanchiment (art. 8) – et que l’on retrouve dans l’article L. 561-5 du CMF –, a disparu dans la 4^e : cette obligation est désormais systématique. Surtout, c’est l’un des éléments majeurs du texte, l’identification du bénéficiaire effectif s’est en quelque sorte « autonomisée » par rapport à la lutte antiblanchiment. Car, à la suite des obligations de vigilance à l’égard de la clientèle, un chapitre distinct est consacré aux « informations sur les bénéficiaires effectifs », directement dues par les clients, sans détour par les entités assujetties :

« Les États membres veillent à ce que les sociétés et autres entités juridiques constituées sur leur territoire aient l'obligation d'obtenir et de conserver des informations adéquates, exactes et actuelles sur leurs bénéficiaires effectifs, y compris des précisions sur les intérêts effectifs détenus.

Les États membres veillent à ce que ces entités soient tenues de fournir, outre des informations sur leur propriétaire légal, des informations sur le bénéficiaire effectif aux entités assujetties lorsque celles-ci prennent des mesures de vigilance à l'égard de la clientèle conformément au chapitre II » (art. 30, 1).

Par suite, les États ont obligation de veiller à la conservation des informations relatives aux bénéficiaires effectifs dans un registre central [11] , ouvert aux autorités compétentes et CRF mais aussi aux entités assujetties et, même, « à toute personne ou organisation capable de démontrer un intérêt légitime » (par exemple des journalistes d’investigation ou des ONG, a précisé le Parlement européen).

Monnaie électronique

On attendait la 4e directive Antiblanchiment sur la question des plafonds d’anonymat de la monnaie électronique, anonymat qui constitue une valeur d’usage importante de celle-ci. Cela fait l’objet de l’article 12, qui pose cinq « conditions d’atténuation du risque » propres à autoriser une État membre à dispenser une entité assujettie de l’identification du client, de celle du bénéficiaire effectif et de l’évaluation ou l’obtention d’informations sur l’objet et la nature de la relation d’affaires [12] :

• soit l'instrument de paiement n'est pas rechargeable, soit il est assorti d'une limite maximale mensuelle de 250 euros pour des opérations de paiement réalisées uniquement dans cet État membre ;
• le montant maximal stocké sur un support électronique n'excède pas 250 euros, limite pouvant être portée à 500 euros en cas d’utilisation dans le seul l’État membre ;
• l'instrument de paiement est utilisé exclusivement pour l'achat de biens ou de services ;
• il ne peut être crédité au moyen de monnaie électronique anonyme ;
• l'émetteur exerce un contrôle suffisant des transactions ou de la relation d'affaires pour être en mesure de détecter toute transaction inhabituelle ou suspecte.

Dans l’esprit, on remarque que la présente disposition ne figure pas au titre des «  obligations simplifiées de vigilance à l’égard de la clientèle » comme cela était le cas pour l’article 11, d) de la directive 2005/60/CE. Nous sommes ici dans une hypothèse de dérogation, qui ne jouera que «  sur la base d’une évaluation des risques appropriée attestant la faiblesse du risque » (art. 12, 1). De là sans doute que les conditions d’anonymat sont durcies, en particulier avec la disparation du plafond annuel de 2 500 euros pour les instruments rechargeables, certes remplacé par un plafond mensuel de 250 euros, mais seulement pour les opérations de paiement nationales [13] .

Protection des données

La 3e directive Antiblanchiment se contentait de l’évoquer rapidement au titre des exceptions à l’interdiction de divulgation [14] . De manière inédite, le droit antiblanchiment nouveau compose désormais [15] avec la protection des données à caractère personnelle, objet de dispositions à part entière [16] destinées, selon les termes de l’exposé des motifs de la proposition de directive, à « clarifier l’interaction » entre l’un et l’autre. Il est à cet égard remarquable que la protection des données soit directement rattachée à l’obligation générale – et fondamentale car la Commission et les entités assujetties y sont également soumises – d’évaluation des risques à laquelle les États seront tenus : « Chaque État membre prend des mesures appropriées pour identifier, évaluer, comprendre et atténuer les risques de blanchiment de capitaux et de financement du terrorisme auxquels il est exposé, ainsi que tout problème relatif à la protection des données qui y est lié. Il tient à jour cette évaluation des risques » (art. 7, 1).

Le considérant 43 de la 4^e directive mérite d’être cité intégralement : « Il est essentiel que l'alignement de la présente directive sur les recommandations révisées du GAFI s'effectue dans le plein respect du droit de l'Union, en particulier en ce qui concerne le droit de l'Union en matière de protection des données et la protection des droits fondamentaux consacrée dans la charte. Certains aspects de la mise en œuvre de la présente directive impliquent la collecte, l'analyse, la conservation et le partage de données. Ce traitement de données à caractère personnel devrait être autorisé dans le plein respect des droits fondamentaux et seulement aux fins prévues dans la présente directive, et pour les activités nécessaires au titre de la présente directive, telles que l'application de mesures de vigilance à l'égard de la clientèle, l'exercice d'un contrôle continu, la conduite d'enquêtes sur les transactions inhabituelles et suspectes et la déclaration de ces transactions, l'identification du bénéficiaire effectif d'une personne morale ou d'une construction juridique, l'identification d'une personne politiquement exposée et le partage d'informations par les autorités compétentes ainsi que par les établissements de crédit, les établissements financiers et les autres entités assujetties. La collecte et le traitement ultérieur de données à caractère personnel par les entités assujetties devrait se limiter à ce qui est nécessaire au respect des exigences de la présente directive, et ces données ne devraient pas faire l'objet d'un traitement ultérieur d'une manière incompatible avec ces finalités. Le traitement ultérieur de données à caractère personnel à des fins commerciales, en particulier, devrait être strictement interdit. »

Outre l’interdiction, réaffirmée à l’article 41, 2, d’un traitement des données à des fins commerciales, il est prescrit que les documents et informations recueillis au titre de la lutte antiblanchiment soient conservés pendant cinq ans après la fin de la relation d’affaires ou après la date de la transaction conclue à titre occasionnel, après quoi les entités assujetties doivent les détruire (art. 41, 1). Celles-ci sont par ailleurs tenues de fournir aux nouveaux clients les informations requises par l’article 10 de la directive de 1995 (identité du responsable de traitement, finalités du traitement, etc.), au sein d’un avertissement général concernant les obligations légales auxquelles elles sont soumises (art. 41, 3).

Sanctions

Le chapitre des sanctions était attendu, d’autant que la directive 2005/60/CE s’en remettait aux législations nationales. Tel n’est pas le cas du texte nouveau, qui « tape fort » et entend toucher les dirigeants et responsables derrière les personnes morales. Étant précisé qu’il s’agit ici de sanctions et mesures administratives, que les États devront coordonner – voire écarter au profit – avec les sanctions pénales de leur droit national dans le respect du principe ne bis in idem.

Sont d’abord circonscrites les exigences dont la violation grave, répétée, systématique, ou leur combinaison, doit être au moins sanctionnée : obligations de vigilance à l’égard de la clientèle, déclaration de transactions suspectes, conservation des documents et pièces et contrôles internes. La sanction administrative pécuniaire sera d’un montant au moins égal au double du montant de l’avantage tiré de l’infraction ou, s’il n’est pas possible de le déterminer, d’au moins 1 million d'euros. Une place spéciale est réservée aux établissements de crédit et établissements financier, susceptibles d’encourir: pour les personnes morales, une sanction maximale d’au moins 5 millions d'euros ou 10 % du chiffre d’affaires annuel total ; pour les personnes physiques, une sanction maximale d’au moins 5 millions d'euros (art. 59).

On note encore que lorsque l’entité assujettie est soumise à agrément, celui-ci est retiré ou suspendu ; que la sanction s’accompagne d’une interdiction temporaire pour les dirigeants et responsables d’exercer des fonctions de direction dans des entités assujetties, ou que les décisions de sanction sont publiées sur le site Internet des autorités compétentes indiquant le type et la nature de l’infraction commise ainsi que l’identité de la personne responsable (art. 59 et 60).

Il faut enfin remarquer que, en matière de sanctions, le règlement antiblanchiment s’aligne sur la directive ; les points 2 et 3 de l’article 59 précités s’appliquent en effet :

• en cas de manquement répété ou systématique du prestataire de services de paiement (PSP) à l’obligation de fournir les informations requises sur le donneur d’ordre ou le bénéficiaire ;
• en cas de manquement répété, systématique ou grave du PSP à l’obligation de conservation des informations ;
• en cas de manquement du PSP à l’obligation de mettre en œuvre des procédures efficaces fondées sur les risques ;
• enfin, en cas de manquement grave du PSP intermédiaire à ses obligations en cas d’informations manquantes sur le donneur d’ordre ou le bénéficiaire (art. 18).

II. Le règlement

La lutte antiblanchiment n’est pas qu’affaire de cadre général. Un règlement spécial s’attache à la traçabilité des transferts de fonds.

Champ d’application

L’élément sans doute le plus notable du règlement antiblanchiment est que son intitulé a imperceptiblement dévié : parti d’une proposition de texte sur les informations accompagnant les « virements » de fonds et destinée à refondre le précédent règlement n° 1781/2006 portant lui-même cet intitulé [17] , il est aujourd’hui relatif aux « transferts » de fonds ; en somme relatif à (presque) toutes les opérations de paiement qui, hors versements et retraits, caractérisent une action de transfert de fonds [18] . Si bien qu’il n’est sans doute pas exagéré d’avancer que ce règlement est une sorte d’excroissance de la directive sur les services de paiement (DSP), qui ne se suffit dès lors plus à elle-même.

Règlement applicable, donc (article 3, 9)), à « toute transaction exécutée au moins en partie par voie électronique, pour le compte d'un donneur d'ordre, par l'intermédiaire d'un prestataire de services de paiement, dans le but de mettre des fonds à la disposition d'un bénéficiaire, par l'intermédiaire d'un prestataire de services de paiement, que le donneur d'ordre et le bénéficiaire ou le prestataire de services de paiement du donneur d'ordre et celui du bénéficiaire soient ou non la même personne, y compris :

a) un virement tel qu'il est défini à l'article 2, point 1), du règlement (UE) n° 260/2012 ;

b) un prélèvement tel qu'il est défini à l'article 2, point 2), du règlement (UE) n° 260/2012 ;

c) une transmission de fonds telle qu'elle est définie à l'article 4, point 13), de la directive 2007/64/CE, qu'elle soit nationale ou transfrontalière ;

d) un transfert effectué à l'aide d'une carte de paiement, d'un instrument de monnaie électronique ou d'un téléphone portable, ou de tout autre dispositif numérique ou informatique qui permet de pré- ou postpayer présentant des caractéristiques similaires. »

Le point d) ci-dessus subit cependant une dérogation, c’est-à-dire que le règlement ne s’applique pas, lorsque trois conditions sont réunies : le transfert de fonds n’est pas réalisé entre particuliers (personnes physiques agissant, en tant que consommateurs, à des fins autres que commerciales ou professionnelles) [19] ; la carte, l’instrument ou le dispositif est utilisé exclusivement pour payer des biens ou des services, et le numéro de la carte, de l’instrument ou du dispositif, accompagne tous les transferts découlant de la transaction (art. 2, 3).

Par ailleurs, les retraits aux distributeurs automatiques de billets, le paiement d'impôts, d'amendes ou d'autres prélèvements, les transferts de fonds réalisés au moyen d'échanges d'images chèques, y compris de chèques digitalisés, ou de lettres de change et les transferts de fonds pour lesquels le donneur d'ordre et le bénéficiaire sont tous deux des PSP agissant pour leur propre compte sont exclus du champ d'application du présent règlement.

Traçabilité

Le règlement antiblanchiment porte, fondamentalement, sur la « traçabilité » des paiements tout au long de la « chaîne » de ceux-ci [20] (où des « PSP intermédiaires » sont susceptibles de s’entremettre), considérant que « la pleine traçabilité des transferts de fonds peut être un instrument particulièrement important et précieux pour prévenir et détecter le blanchiment de capitaux et le financement du terrorisme et enquêter en la matière, ainsi que pour mettre en œuvre des mesures restrictives » (cons. 9).

Lorsqu’un transfert de fonds n’est pas effectué à partir ou à destination d’un compte de paiement, la traçabilité est assurée en dernier lieu par un « identifiant de transaction unique », ainsi défini : « une combinaison de lettres, de chiffres ou de symboles qui est définie par le prestataire de services de paiement conformément aux protocoles des systèmes de paiement et de règlement ou des systèmes de messagerie utilisés pour effectuer le transfert de fonds et qui assure la traçabilité de la transaction jusqu'au donneur d'ordre et au bénéficiaire » (art. 3, 11). De sorte que, à suivre le considérant 18 du règlement, « il devrait être suffisant de prévoir que les transferts de fonds effectués au sein de l'Union sont accompagnés uniquement d'informations simplifiées, telles que le(s) numéro(s) de compte de paiement ou un identifiant de transaction unique ». L’identifiant de transaction unique est donc l’alternative au numéro de compte, ainsi que la recommandation 16 du GAFI l’a prescrit : « En l’absence de compte, un numéro de référence unique d’opération devrait être inclus afin de permettre la traçabilité de l’opération ».

L’innovation majeure du règlement est qu’il ne s’intéresse plus qu’au seul donneur d’ordres (comme le faisait le règlement n° 1781/2006) mais va « chercher » le bénéficiaire. Cela apparaît clairement dans la définition de l’objet de ces textes (art. 1er) : « Le présent règlement établit les règles relatives aux informations sur le donneur d’ordre qui doivent accompagner les virements de fonds », disposait le premier ; « Le présent règlement établit les règles relatives aux informations sur les donneurs d’ordre et les bénéficiaires accompagnant les transferts de fonds », précise le second, fidèle à la recommandation 16 du GAFI. Une pleine traçabilité sera ainsi assurée, de bout en bout de la chaîne de paiement [21] . Le PSP du donneur d’ordre aura en conséquence l’obligation de veiller à ce que les transferts de fonds soient accompagnés d’informations non seulement sur le donneur d’ordre, mais aussi sur le bénéficiaire : pour le donneur d’ordre : nom, numéro de compte (ou identifiant de transaction unique) et adresse, numéro du document d’identité officiel, numéro d’identification de client ou date et lieu de naissance ; pour le bénéficiaire : nom et numéro de compte (ou identifiant de transaction unique) (art. 4). Quant au PSP du bénéficiaire, pèse sur lui une obligation de détection d’informations manquantes sur le donneur d’ordre ou le bénéficiaire (art. 7), après quoi il pourra se livrer à une appréciation des risques (au sens de la directive) propre à « déterminer s'il y a lieu d'effectuer, de rejeter ou de suspendre un transfert de fonds qui n'est pas accompagné des informations complètes requises sur le donneur d'ordre et le bénéficiaire et pour prendre les mesures de suivi qui s'imposent » (art. 8, 1) [22] .

Seuil de 1 000 euros

Le nombre magique du règlement antiblanchiment est « 1 000 euros ». L’inspiration générale est celle-ci : « Afin de ne pas nuire à l'efficacité des systèmes de paiement et de trouver un équilibre entre, d'une part, le risque de faire basculer des transactions dans la clandestinité en raison d'obligations d'identification trop strictes et, d'autre part, la menace terroriste potentiellement liée aux transferts de fonds de faible montant, il convient, pour les transferts de fonds n'ayant pas encore fait l'objet d'une vérification, de n'imposer la vérification de l'exactitude des informations sur le donneur d'ordre ou le bénéficiaire que pour les transferts de fonds individuels qui excèdent 1 000 EUR, à moins que le transfert ne semble lié à d'autres transferts de fonds dont le montant cumulé excéderait 1 000 EUR, que les fonds aient été reçus ou payés en espèces ou sous forme de monnaie électronique anonyme, ou lorsqu'il y a des motifs raisonnables de suspecter l'existence de blanchiment de capitaux ou de financement du terrorisme » (cons. 16).

Le seuil de 1 000 euros commande alors les règles suivantes :

• le règlement peut ne pas être appliqué lorsque le transfert de fonds est effectué sur le compte de paiement d’un bénéficiaire et permet le paiement exclusivement pour la fourniture de biens ou de services ; que le PSP du bénéficiaire est soumis à la directive Antiblanchiment et qu’il est en mesure de remonter, grâce à un identifiant de transaction unique, à la personne qui a un accord avec le bénéficiaire aux fins de la fourniture de biens ou services, et que le montant du transfert n’excède pas 1 000 euros (art. 2, 5) ;
• par dérogation à l’obligation d’identification complète du donneur d’ordre et du bénéficiaire et pour les transferts de fonds au sein de l’Union (ou vers le PSP d’un bénéficiaire hors l’Union) n’excédant pas 1 000 euros, le PSP du donneur d’ordre peut ne mettre à la disposition du PSP du bénéficiaire que le nom du premier et du second et les numéros de compte de paiement de ceux-ci ou, à défaut, l’identifiant de transaction unique (art. 5, 2, b), et art.6, 2) ;
• pour les transferts de fonds inférieurs à 1 000 euros, le PSP du bénéficiaire n’est pas tenu de vérifier, sauf exceptions, l’exactitude des informations sur le bénéficiaire (art. 7, 4).

À titre de comparaison, le seuil de 1 000 euros intervient de la sorte dans la directive Antiblanchiment : les entités assujetties peuvent être autorisées à ne pas appliquer des mesures de vigilance à l’égard de leur clientèle lorsqu’elles exécutent, à titre occasionnel, une transaction constituant un transfert de fonds inférieur à 1 000 euros (art. 11, b), ii)) [23] .

 

Achevé de rédiger le 12 juin 2015.