Conservation des documents LBC/FT : la règle des cinq ans au Luxembourg

Au Luxembourg, les professionnels conservent les documents de vigilance et les pièces de transactions pendant cinq ans après la fin de la relation d'affaires, ou après la date de la transaction conclue à titre occasionnel (loi du 12 novembre 2004, article 3, paragraphe 6). Les autorités de contrôle peuvent demander cinq ans de plus dans des cas précis, et les données personnelles sont ensuite effacées.

Ce que la loi oblige à conserver

L'article 3, paragraphe 6, impose de conserver et de mettre rapidement à disposition les documents, données et informations utiles à la prévention et à la détection du blanchiment et du financement du terrorisme, ainsi qu'aux enquêtes menées par les autorités luxembourgeoises ou par les organismes d'autorégulation.

L'article 3, paragraphe 2, point b, ajoute que les professionnels conservent les informations relatives aux mesures prises pour vérifier l'identité du bénéficiaire effectif et à toutes les difficultés rencontrées pendant cette vérification : le dossier garde la trace du raisonnement, pas seulement la pièce d'identité. Voir l'article sur le bénéficiaire effectif et le RBE.

Le délai : point de départ, prolongation, effacement

Le délai de cinq ans court à compter de la fin de la relation d'affaires, ou de la date de la transaction conclue à titre occasionnel. La loi prévoit ensuite trois mécanismes, tous dans l'article 3, paragraphe 6 :

1. Prolongation décidée par l'autorité. Les autorités de contrôle peuvent exiger, dans des affaires spécifiques et lorsque c'est nécessaire à leurs missions, une conservation supplémentaire qui ne dépasse pas cinq ans.
2. Prolongation décidée par le professionnel. Les données à caractère personnel sont conservées cinq ans de plus lorsque cette conservation est nécessaire à la mise en œuvre efficace des mesures internes de prévention ou de détection du blanchiment et du financement du terrorisme.
3. Effacement. À l'issue des périodes de conservation, les professionnels effacent les données à caractère personnel, sans préjudice des délais plus longs prescrits par d'autres lois.

Une procédure de conservation complète comprend donc une date de purge par dossier, pas seulement une date d'archivage.

Ce que précise le règlement CSSF 12-02

Pour les professionnels supervisés par la CSSF, l'article 25 du règlement CSSF 12-02 donne le contenu concret de l'obligation :

• Dossier de vigilance (paragraphe 1). Tous les documents, données et informations obtenus dans le cadre des mesures de vigilance de l'article 3, paragraphe 2, points a à d, y compris les résultats de toute analyse réalisée.
• Transactions (paragraphe 2). Les rapports écrits transmis au responsable du contrôle, les analyses des transactions et des faits que celui-ci a réalisées, les décisions prises sur cette base et les résultats de toute autre analyse. Voir l'article sur le responsable du respect et le responsable du contrôle.
• Support (paragraphe 3). N'importe quel support d'archivage, à condition que les documents puissent servir de preuve dans une enquête, une instruction pénale ou une analyse des autorités compétentes.

L'article 11, paragraphe 2, étend la règle aux refus : les raisons d'un refus de nouer une relation ou d'effectuer une transaction sont documentées et conservées selon l'article 25, même si le refus ne découle d'aucun indice de blanchiment. Le texte complet est présenté dans l'article sur le règlement CSSF 12-02.

Répondre vite aux autorités

La conservation sert à répondre. Trois dispositions de la loi la rendent opérationnelle :

• l'article 4, paragraphe 3, impose des systèmes permettant de répondre de manière rapide et complète à toute demande des autorités visant à déterminer si le professionnel entretient ou a entretenu, au cours des cinq années précédentes, une relation d'affaires avec une personne donnée, et de quelle nature, par des canaux sécurisés et en toute confidentialité ;
• l'article 5, paragraphe 1, point b, impose de fournir sans délai à la cellule de renseignement financier, à sa demande, toutes les informations requises, y compris les pièces sur lesquelles elles reposent ;
• l'article 4, paragraphe 1, range la conservation des documents et pièces parmi les éléments des politiques, contrôles et procédures internes.

La mécanique d'une déclaration est décrite dans l'article sur la déclaration d'opération suspecte.

Données personnelles et signalements de la CRF

L'article 3, paragraphe 6bis, soumet ces traitements au règlement (UE) 2016/679. Les données ne servent qu'à la prévention du blanchiment et du financement du terrorisme, et les professionnels informent les nouveaux clients selon les articles 13 et 14 du règlement avant de nouer la relation ou d'exécuter la transaction occasionnelle.

Une règle distincte vise les signalements de la CRF que peuvent solliciter les établissements de crédit, les professionnels du secteur financier, les établissements de paiement et de monnaie électronique (article 2, paragraphe 1, point 1) et les prestataires de services sur crypto-actifs (point 20) : ils s'utilisent exclusivement pour la LBC/FT, ne se révèlent ni au client ni à des tiers, et leurs informations sont supprimées dans un délai de six mois à compter de leur réception (article 5-1).

Ce que change le règlement (UE) 2024/1624

Le règlement AMLR est applicable à partir du 10 juillet 2027 (article 90). Son article 77 reprend le délai de cinq ans et le précise :

Les documents conservés ne sont pas caviardés (paragraphe 1). Les entités qui conservent des références fixent dans leurs procédures internes les catégories concernées et la manière de les récupérer. Pour les procédures judiciaires en cours au 10 juillet 2027, l'entité peut garder les documents concernés cinq ans à compter de cette date (paragraphe 4). L'article 78 impose des systèmes de réponse rapide et complète aux demandes de la cellule de renseignement financier ou d'autres autorités compétentes sur les cinq années précédentes, et l'article 69, paragraphe 1, fixe à cinq jours ouvrables le délai de réponse aux demandes d'informations de la cellule. Le calendrier d'ensemble est dans l'article sur le règlement (UE) 2024/1624.

Une procédure de conservation en six points

1. Un tableau par catégorie : documents de vigilance, pièces de transactions, analyses, rapports au responsable du contrôle, refus, déclarations.
2. Un déclencheur par ligne : fin de relation, date de la transaction occasionnelle, date du refus.
3. L'analyse avec le document : les résultats de toute analyse réalisée font partie du dossier.
4. Une recherche testée : retrouver en quelques minutes toute relation des cinq dernières années, avec sa nature.
5. Une purge datée : effacement des données personnelles à l'échéance, sauf délai légal plus long ou prolongation justifiée.
6. Une information client : la mention des articles 13 et 14 du RGPD dans le parcours d'entrée en relation.

Le défaut de conservation relève de l'article 3, dont les manquements sont sanctionnables par les autorités de contrôle selon l'article 8-4 : avertissement, blâme, déclaration publique et amendes administratives, jusqu'à 5 000 000 euros ou 10 pour cent du chiffre d'affaires annuel total pour un établissement de crédit ou un établissement financier personne morale. Le panorama complet est dans l'article sur les sanctions LBC/FT.

Passer de la règle à la pratique

Regardez gratuitement la leçon 1.2 du cours, sans compte : elle parcourt les articles 2, 3, 4 et 5 de la loi, ceux qui fondent le dossier client et sa conservation. Le cours complet AML/CFT et KYC en pratique au Luxembourg compte 30 leçons en sept modules, dont le module 3 sur la vigilance en pratique, et coûte 99 € pour 12 mois d'accès. Cours en anglais, transcription mot à mot incluse.