En 2015, le nouveau système européen de lutte contre le blanchiment de capitaux et le financement du terrorisme était adopté¹. Quelques mois plus tard voilà que la Commission annonce déjà son intention de l’amender². Ce projet s’explique en partie par les attaques terroristes qui ont touché le territoire européen en 2015 et en 2016. Il avait d’ailleurs été annoncé en février 2016 par la Commission dans son plan d’action pour renforcer la lutte contre le financement du terrorisme³. Il s’explique aussi par l’affaire des « panama papers », qui a convaincu la Commission d’agir plus fermement contre l’évasion fiscale et la fraude fiscale. L’analyse d’impact de ce projet soulève plusieurs questions relatives à la protection des droits fondamentaux et l’objectif de cet article est de les analyser. Il se concentrera sur les enjeux en matière de protection des données et de droit à la vie privée au sens de la charte des droits fondamentaux de l’Union européenne.

Le cadre européen de lutte contre le blanchiment de capitaux est basé sur la collecte et le traitement d’une quantité considérable de données personnelles par les entités assujetties et en particulier par les institutions financières⁴. Le nouveau projet présenté par la Commission repose toujours sur la même logique de collecte de données personnelles en l’approfondissant (I). L’un des éléments principaux du nouveau projet est qu’il entend grandement faciliter l’accès à ces données collectées par le secteur privé. L’accès à ces données nécessite un encadrement pour être compatible avec le respect du droit à la vie privée et du droit à la protection des données (II). Si la nécessité d’encadrer l’accès aux données relatives aux bénéficiaires effectifs a été prise en compte dans une certaine mesure par la Commission (III), il n’en va pas de même pour l’accès aux autres données financières collectées par les établissements financiers (IV).

I. Un approfondissement du système existant

Le système préventif de lutte contre le blanchiment de capitaux repose sur un élément essentiel : la collecte et la rétention par les institutions financières de quantités très importantes de données personnelles. Cette obligation est aujourd’hui imposée par l’article 40 de la quatrième directive anti-blanchiment qui prévoit que les institutions financières doivent conserver les données relatives à leurs clients pendant au moins cinq ans. Cette obligation n’est pas modifiée par le nouveau projet de la Commission. En revanche, le projet a bien d’autres incidences sur les droits fondamentaux, et la plupart d’entre eux sont analysés par l’analyse d’impact de la Commission. Ainsi, en souhaitant inclure les établissements d’échange de monnaies virtuelles dans le champ d’application de la directive, le projet augmente automatiquement la quantité de données collectées⁵. De même, le projet accroît le contrôle des instruments prépayés qui avait été mis en place par la quatrième directive, ce qui a pour conséquence un plus grand degré de contrôle de la part des institutions financières⁶. En outre, la proposition modifie la définition de bénéficiaire effectif d’une construction juridique en abaissant le seuil de participation requise dans la structure, augmentant ainsi la quantité d’informations recueillies par les entités assujetties⁷. De la même manière, l’obligation générale de due diligence est précisée dans le cas particulier des relations financières avec les pays tiers à haut risque, ce qui accroît le degré de contrôle appliqué par les institutions financières⁸. Pour toutes ces raisons, la quantité de données collectées et l’intensité du contrôle exercé sur leurs clients par les entités assujetties va augmenter. Cela renforce l’atteinte à la vie privée exercée par le système préventif de lutte contre le blanchiment de capitaux. Pour l’ensemble de ces propositions, la Commission renvoie au chapitre V de la quatrième directive anti-blanchiment⁹ qui encadre le droit à la protection des données des clients des entités assujetties. Cet encadrement n’est lui-même pas entièrement satisfaisant et certains éléments pourraient être améliorés¹⁰, mais de manière générale la lutte contre le blanchiment de capitaux et le financement du terrorisme justifie ces atteintes au droit à la vie privée et du droit à la protection des données¹¹.

En plus de cet approfondissement du système préexistant, d’autres bases de données sont créées. La Commission entend en effet faciliter et accélérer l’identification des détenteurs de comptes bancaires et de comptes de paiement. Il n’existe à l’heure actuelle pas d’obligation pour les Etats membres de mettre en place des systèmes centralisés permettant un accès rapide des autorités compétentes à ces données. Au niveau des Etats membres, on retrouve trois situations différentes. Soit (i) il existe un registre central permettant d’identifier directement les détenteurs de comptes bancaires et de paiement¹², soit (ii) il existe un système d’extraction de données qui permet d’accéder directement aux registres des comptes bancaires et de paiements enregistrés auprès des banques et des établissements de paiement¹³, soit (iii) il est nécessaire de contacter l’ensemble des établissements bancaires et de paiement afin de leur demander de vérifier dans leurs registres s’ils ont ouvert un compte au nom d’une personne précise. Pour la Commission, ce dernier cas n’est pas satisfaisant car il empêche un accès rapide à ces données¹⁴. De ce fait, elle suggère de demander aux Etats membres de choisir entre un registre central et un système centralisé d’extraction de ces données¹⁵. La Commission est consciente de l’encadrement nécessaire afin de garantir le droit à la protection des données des personnes concernées par ces mécanismes de rétention des données¹⁶. Cependant, d’autres propositions visent à renforcer les possibilités d’accès aux bases de données financières et c’est ici que se situe le véritable enjeu pour les droits fondamentaux.

II. La nécessité d’encadrer l’accès aux données financières

L’accès aux données financières devrait tenir compte des exigences qui existent en matière d’encadrement de l’accès aux données personnelles par les autorités chargées de l’application de la loi. Dans son fameux arrêt Digital Rights Ireland Ltd ¹⁷, la Cour de justice de l’Union européenne avait fermement critiqué la rétention de données de toute personne « de manière généralisée »¹⁸, sans que les personnes concernées se trouvent « même indirectement, dans une situation susceptible de donner lieu à des poursuites pénales »¹⁹. L’obligation de rétention s’appliquait même « à des personnes pour lesquelles il n’existe aucun indice de nature à laisser croire que leur comportement puisse avoir un lien, même indirect ou lointain, avec des infractions graves » et sans prévoir d’exceptions pour les personnes protégées par le secret professionnel²⁰. Ce qui est important ici, c’est que la rétention massive et indiscriminée de données personnelles n’est pas en tant que telle disproportionnée pourvu qu’elle soit accompagnée de « garanties strictes concernant l’accès aux données, la durée de conservation ainsi que la protection et la sécurité des données »²¹. Outre la durée de rétention et la sécurité des données, l’encadrement de l’accès à ces données est une garantie primordiale pour la Cour. En particulier, elle exige la présence d’un « critère objectif permettant de délimiter l’accès des autorités nationales compétentes aux données »²² et de « conditions matérielles et procédurales »²³ relatives à cet accès. La Cour souhaite également la présence d’un « critère objectif permettant de limiter le nombre de personnes disposant de l’autorisation d’accès » et, surtout, d’un contrôle préalable permettant de limiter « l’accès aux données et leur utilisation à ce qui est strictement nécessaire aux fins d’atteindre l’objectif poursuivi »²⁴. Comme les métadonnées de communications, les obligations de rétention des données financières sont très générales et concernent l’ensemble des personnes qui font usage des services bancaires et financiers. Il n’existe pas d’exception, y compris pour les personnes soumises au secret professionnel, par exemple pour les avocats. L’accès à ces données doit donc aussi être strictement encadré.

Aujourd’hui, le système prévoit seulement que les entités assujetties sont chargées de détecter des comportements suspects et d’effectuer des déclarations d’opérations suspectes auprès des cellules de renseignement financier. Ces dernières se doivent alors d’analyser ces déclarations et peuvent pour cela accéder aux données financières nécessaires à leurs analyses avant de déterminer si l’ouverture d’une enquête pénale est pertinente²⁵. Avec le système actuel, l’accès aux données en l’absence de déclaration d’opération suspecte n’est pas encadré au niveau européen. Il est possible d’accéder à ces données dans le cadre d’une enquête pénale et les conditions de cet accès sont prévues par le droit national. L’encadrement de cet accès au niveau national laisse parfois à désirer²⁶ et a récemment retenu l’attention de la CEDH. En effet, l’accès à ces données doit faire l’objet d’une procédure susceptible de prévenir les abus, par exemple pour l’accès aux données bancaires des avocats ou aux données relatives à des personnes non visées par une enquête pénale²⁷. Si la procédure d’accès en matière pénale relève des Etats membres et ne constitue pas l’objet de la proposition de la Commission, les pouvoirs d’accès aux données financières par les cellules de renseignement constituent bien, eux, l’objet de la proposition. Or, étendre ces pouvoirs via une Directive ne peut se faire sans respecter les conditions strictes prévues par l’arrêt Digital Rights Ireland Ltd. Cela est fait en ce qui concerne l’accès aux données relatives aux bénéficiaires effectifs.

III. L’identification des bénéficiaires effectifs

La quatrième directive anti-blanchiment avait été très innovante en imposant la création de registres centralisés pour faciliter l’accès aux informations relatives aux bénéficiaires effectifs des sociétés et autres entités juridiques²⁸ ainsi que des trusts et fiducies²⁹. Cette nouvelle forme de collecte des données était justifiée par l’existence de preuves selon lesquelles ces structures étaient utilisées pour couvrir des activités illicites³⁰. Les règles relatives à l’accès aux deux types de registres sont actuellement différentes. Contrairement au registre des sociétés et autres entités juridiques, l’accessibilité des données relatives aux trusts et fiducies n’est pas rendue obligatoire pour « toute personne ou organisation capable de démontrer un intérêt légitime »³¹. Cette différence de traitement est justifiée par le fait que les sociétés et autres entités juridiques ne sont utilisées que pour des fins strictement économiques, alors que les trusts peuvent aussi être utilisés pour d’autres raisons, par exemple en relation avec la gestion d’un patrimoine familial³².

La Commission, motivée en cela par la récente affaire des « panama papers », entend désormais permettre un accès public à ces registres, non limité aux personnes pouvant démontrer un intérêt légitime³³. La démonstration d’un intérêt légitime ne serait nécessaire que pour les trusts qui ne sont pas utilisés dans le cadre d’une activité purement économique³⁴. Cette modification qui prévoit le principe d’un accès public a plusieurs objectifs, à savoir renforcer la transparence de l’information vis-à-vis des tierces personnes souhaitant engager une activité commerciale avec une certaine société ou structure juridique³⁵, faciliter l’accès de la presse et de la société civile à ces informations, renforcer la confiance dans l’intégrité du système financier et supprimer tout obstacle à l’accès aux données par les institutions financières et par les autorités compétentes y compris depuis des pays tiers³⁶. La Commission estime que cette transparence peut contribuer à combattre l’abus de constructions juridiques. Cette proposition répond à une revendication de longue date de la société civile³⁷.

La Commission reconnaît que cette solution est risquée et mérite de plus amples analyses en ce qui concerne sa compatibilité avec la Charte des droits fondamentaux de l’Union européenne³⁸. Cette crainte est justifiée. Le Conseil constitutionnel français vient de rendre une décision illustrant le risque de créer une base de données personnelles relative aux trusts et accessible librement. Le Conseil constitutionnel a estimé que constituait une ingérence dans le droit à la vie privée le fait de fournir dans un registre public des « informations sur la manière dont une personne entend disposer de son patrimoine »³⁹. Bien qu’il reconnaisse que la mesure poursuit « l’objectif de valeur constitutionnelle de lutte contre la fraude et l’évasion fiscale »⁴⁰, il estime que l’atteinte est manifestement disproportionnée⁴¹. En effet, le législateur n’a pas « précisé la qualité ni les motifs justifiant la consultation du registre, n’a pas limité le cercle des personnes ayant accès aux données de ce registre »⁴². On aurait pu estimer que les données disponibles, limitées aux noms de l’administrateur, du constituant, du bénéficiaire et à la date de la constitution du trust, étaient suffisamment limitées pour justifier la faible ingérence dans le droit à la vie privée. Cela étant, il est vrai que le système français allait plus loin que ce que propose la Commission. En l’espèce il s’agissait d’un trust purement privé et le Conseil d’Etat, dans sa décision de transmission de la question prioritaire de constitutionnalité, expliquait que la personne concernée faisait « valoir que la publication dans le registre litigieux de données personnelles la concernant, se rapportant notamment aux bénéficiaires des trusts qu'elle a constitués aux Etats-Unis en vue d'organiser la dévolution de ses biens après son décès, est susceptible de permettre à des personnes de son entourage d'avoir accès à des informations devant rester confidentielles jusqu'à l'ouverture de sa succession, et de les inciter à exercer sur elle des pressions en vue d'obtenir qu'elle modifie ces dispositions successorales, le cas échéant en reconsidérant la liste des bénéficiaires des trusts ainsi constitués »⁴³. Cette décision du Conseil constitutionnel ne fait pas ressortir la spécificité des trusts « privés » et il est possible que la même décision serait prise dans le cas de ce que la Commission appelle les « business-type trusts » dont la transparence ne pourrait avoir de conséquences sur la vie privée. Malgré cela, il nous apparaît que le choix de la Commission est justifié et équilibré dans la mesure où il distingue les trusts qui, en raison de leur spécificité et de leur caractère privé, familial, ne peuvent être totalement transparents⁴⁴. Plus problématique, la Commission ne s’est pas intéressée à l’encadrement de l’accès par les cellules de renseignement financier aux autres données financières collectées par les institutions financières.

IV. L’accès aux autres données financières

Selon le système actuel, les Etats membres sont libres de permettre aux cellules de renseignement financier d’accéder aux données financières détenues par les établissements financiers en l’absence de déclaration préalable par les entités assujetties⁴⁵. En principe, les cellules policières ou judiciaires disposent de cette possibilité⁴⁶. En effet, dans ces cas, le pouvoir d’accéder aux données financières étant déjà attribué à la police et/ou au parquet, il n’y a pas de raison pour que les cellules de renseignement financier n’en bénéficient pas. Ce pouvoir d’accès pour les cellules de renseignement financier de nature administrative est moins systématique, c’est ce qui manque dans le système actuel. Cela pose problème par exemple en matière de coopération internationale, lorsque des cellules administratives refusent d’accéder à des données dans le cadre d’une demande émanant d’une cellule judiciaire ou policière, par exemple. C’est cette situation que la Commission entend améliorer en exigeant de tout Etat membre qu’il accorde des pouvoirs d’accès plus large à sa cellule de renseignement financier, quelle que soit sa nature. La Commission entend ainsi « passer d’un système de divulgation fondé sur des suspicions à un système de divulgation davantage basé sur le renseignement »⁴⁷. La Commission précise que la mesure peut être justifiée par une suspicion préalable issue de la propre analyse des cellules, de renseignements fournis par les autorités compétentes ou d’informations détenues par des cellules étrangères⁴⁸. C’est un changement significatif⁴⁹. Notons qu’une telle extension avait été envisagée en 2014 en France, afin de transformer la cellule de renseignement financier française en « un service de renseignement financier de plein exercice»⁵⁰.

Le système proposé par la Commission se rapproche dans une certaine mesure de ce qui a été mis en place aux Etats-Unis via le PATRIOT ACT. La section 314 (a) du PATRIOT Act permet à la cellule de renseignement financier américaine d’accéder aux données financières sur demande d’autres autorités enquêtant sur des faits soit de blanchiment de capitaux, soit de financement du terrorisme⁵¹. Cette disposition permet de contourner deux obstacles : l’absence de déclaration d’opération suspecte de la part des entités assujetties et les obstacles procéduraux à l’accès aux données financières via les voies classiques en matière de procédure pénale⁵². Avant d’en revenir à la proposition de la Commission, deux éléments du système américain méritent d’être précisés. Le premier élément est constitué par le fait que les Etats-Unis appliquent un système de protection de la vie privée en matière d’enquête qui est très différent du système européen. Les données financières ne bénéficient pas d’une protection constitutionnelle sur le fondement du quatrième amendement de la Constitution américaine⁵³. De ce fait, le Congrès est absolument libre de permettre un accès à ces données qui ne soit pas enserrés dans des conditions strictes. Le deuxième élément important est que la section 314 (a) ne permet qu’un accès limité aux données financières. La cellule de renseignement financier américaine ne peut que demander aux établissements financiers de lui signaler si une certaine personne, celle qui fait l’objet de l’enquête, détient des comptes auprès de cet établissement, et si ces comptes ont permis d’effectuer des transactions dans les six derniers mois avec d’autres comptes dont l’identité sera, elle aussi, divulguée. Autrement dit, il ne s’agit d’accéder qu’à des « lead information » qui ne font qu’indiquer dans quelle direction les enquêteurs doivent diriger leur attention. Pour accéder aux informations relatives à toutes les transactions, en particulier aux relevés de compte enregistrés par les banques, il faudra alors passer par les procédures normales qui, elles, sont plus encadrées⁵⁴.

La proposition de la Commission ne s’embarrasse pas de limiter les pouvoirs qu’elle attribue aux cellules de renseignement financier. Elle renvoie purement et simplement au droit national qui doit encadrer ces mesures et se contente de rappeler les exigences très générales qui devront être respectées au niveau national, en particulier que l’ingérence doit être prévue par la loi⁵⁵. Aurait-elle pu faire autrement ? Le problème vient du fait que les pouvoirs d’enquête tant des autorités compétentes en matière pénale que des cellules de renseignement financier dans le champ du renseignement relèvent en principe des prérogatives des Etats membres. Cependant, la Commission entend étendre les pouvoirs des cellules de renseignement financier via une Directive et doit en tirer les conséquences. De plus, comme l’a affirmé récemment l’avocat général Henrik Saugmandsgaard Øe « la raison d’être d’une obligation de conservation de données est de permettre aux autorités répressives d’accéder aux données conservées, de sorte que les problématiques de la conservation et de l’accès ne sauraient être complètement dissociées »⁵⁶. En matière de données financières, l’obligation de rétention étant organisée dans une large mesure par la quatrième directive anti-blanchiment, n’aurait-il pas été pertinent d’accompagner la nouvelle proposition de lignes directrices en matière de garanties devant encadrer les pouvoirs des cellules de renseignement financier ?⁵⁷

En guise de conclusion, une première garantie pourrait être proposée. Les nouveaux pouvoirs des cellules s’appliqueraient tant en matière de blanchiment de capitaux qu’en matière de financement du terrorisme⁵⁸, autrement dit il n’y aurait pas de limitation quant aux raisons qui peuvent justifier l’accès aux données. Or, cette nouvelle mesure étant justifiée par le besoin de coopération accru entre les cellules de renseignement financier en matière de lutte contre le financement du terrorisme, n’aurait-il pas été préférable de la limiter aux cas de financement du terrorisme, en écartant le blanchiment de capitaux ? Il est en effet peu discutable qu’en matière de financement du terrorisme, les entités assujetties soient bien moins à même de détecter des faits suspects dans la mesure où les capitaux utilisés sont généralement d’origine légale, alors qu’un tel problème ne se pose pas en matière de blanchiment de capitaux⁵⁹.

Plutôt que d’ignorer le problème en renvoyant à la responsabilité des Etats membres dans la transposition de la Directive, n’aurait-il pas été préférable de « rouvrir des débats fondamentaux »⁶⁰ en matière de lutte contre le financement du terrorisme afin de proposer un nouveau système ambitieux mais précisément encadré ? Cela aurait aussi permis de ne pas assimiler lutte contre le financement du terrorisme et lutte contre l’évasion fiscale, des objectifs différents qui appellent des réponses adaptées et donc vraisemblablement différenciées.