Cour de cassation : La vigilance LCB-FT est sanctuarisée

Focus — Cour de cassation : La vigilance LCB-FT ne doit servir que la LCB-FT

Par un arrêt très attendu de mars 2026, la chambre commerciale de la Cour de cassation vient de poser une limite claire et ferme à l'utilisation des données collectées par les assujettis dans le cadre de leurs obligations de vigilance en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). La plus haute juridiction française a en effet consacré le principe d'une finalité exclusive, interdisant de facto le détournement de ces informations sensibles à des fins autres que celles prévues par le Code monétaire et financier, notamment commerciales ou fiscales.

Cette décision met un terme à une zone grise juridique exploitée par de nombreux acteurs, qui tendaient à mutualiser les informations KYC (Know Your Customer) pour des usages variés, allant de la prospection commerciale à l'analyse de risques extra-financiers. L'enjeu principal est désormais la sanctuarisation des données LCB-FT, dont le traitement doit être strictement cantonné à la gestion du risque de blanchiment et de financement du terrorisme.

💡 Sujet/Concept clé : de quoi parle-t-on ?

Les obligations de vigilance, au cœur du dispositif LCB-FT, imposent aux entités assujetties (banques, assurances, sociétés de gestion, avocats, experts-comptables, etc.) d'identifier et de vérifier l'identité de leurs clients, de leurs bénéficiaires effectifs, et de comprendre la nature de la relation d'affaires. Ce processus, connu sous l'acronyme KYC, s'accompagne d'une vigilance constante et renforcée tout au long de la relation, incluant le suivi des opérations et l'analyse de leur cohérence avec le profil de risque du client. L'objectif est de détecter les opérations atypiques ou suspectes qui devront, le cas échéant, faire l'objet d'une déclaration à TRACFIN.

Historiquement, la richesse des données collectées (identité, revenus, patrimoine, structure de détention, origine des fonds) a suscité la convoitise d'autres départements au sein des entreprises, notamment les directions commerciales et marketing. La tentation était grande d'utiliser ce capital informationnel pour affiner le profilage des clients, proposer des produits ciblés ou même pour des motifs de conformité fiscale. Cette pratique, souvent justifiée par une logique de synergie et d'efficacité, se heurtait cependant de plus en plus frontalement au principe de finalité, pierre angulaire du Règlement Général sur la Protection des Données (RGPD).

La base légale et réglementaire

Le cadre juridique est un entrelacs entre le Code monétaire et financier (CMF) et le RGPD. Les articles L. 561-5 et suivants du CMF détaillent précisément les obligations de vigilance LCB-FT, en spécifiant qu'elles sont mises en œuvre pour évaluer, surveiller et gérer les risques de BC-FT. Le CMF constitue la base légale qui oblige les assujettis à collecter ces données, mais il en délimite également le but.

En parallèle, l'article 5.1.b du RGPD énonce le principe de 'limitation des finalités', qui dispose que les données à caractère personnel doivent être 'collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités'. Le traitement de données KYC à des fins commerciales, par exemple, constitue un traitement ultérieur qui nécessite sa propre base légale (typiquement, le consentement du client ou l'intérêt légitime de l'entreprise), distincte de l'obligation légale LCB-FT. C'est cette articulation que la Cour de cassation vient de clarifier avec force.

Les sanctions en cas de non-respect sont doubles. D'une part, l'ACPR peut sanctionner lourdement les manquements au dispositif LCB-FT. D'autre part, la CNIL peut infliger des amendes pouvant atteindre jusqu'à 4% du chiffre d'affaires mondial pour des violations du RGPD, comme un détournement de finalité. L'arrêt de la Cour de cassation renforce donc le risque de sanction en cas de confusion des genres.

L'arrêt de mars 2026 : une clarification bienvenue mais exigeante

Au cœur de cette affaire (fictive), une institution financière avait utilisé les informations patrimoniales détaillées, collectées au titre de la vigilance renforcée LCB-FT, pour proposer des produits de défiscalisation très ciblés à ses clients, sans avoir recueilli un consentement spécifique pour ce démarchage. La Cour a jugé que la base légale de l'obligation LCB-FT ne pouvait être invoquée pour justifier un traitement dont la finalité était purement commerciale. Elle a ainsi consacré une interprétation stricte du principe de finalité.

Cette décision impose une discipline rigoureuse dans la gouvernance des données. Elle n'interdit pas toute utilisation secondaire des données, mais elle la conditionne à l'existence d'une base légale distincte et appropriée. Par exemple, si des informations collectées pour la LCB-FT révèlent un risque de fraude interne, leur utilisation pour une enquête interne pourrait se fonder sur l'intérêt légitime de l'entreprise, mais cela doit être documenté et justifié au cas par cas, et non systématisé.

Le principal piège à éviter est de considérer le dossier KYC comme une base de données unique et polyvalente. Les régulateurs, forts de cette nouvelle jurisprudence, seront particulièrement attentifs au cloisonnement, tant logique que physique, des données. La réaction du marché devrait se traduire par une accélération des projets de mise en conformité data, avec un focus sur la cartographie des flux de données et la ségrégation des usages.

Ce que ça change opérationnellement (Plan d'action)

Pour les Compliance Officers, l'impact est immédiat et nécessite un plan d'action structuré :

1. Auditer les finalités des traitements de données LCB-FT : En collaboration étroite avec le DPO, lancez un audit exhaustif pour cartographier tous les usages actuels des données collectées au titre de la LCB-FT. Identifiez précisément chaque traitement, sa finalité réelle et la base légale invoquée.

2. Mettre à jour le registre des traitements RGPD : Le registre doit refléter cette nouvelle orthodoxie. Chaque finalité doit être documentée séparément avec sa base légale propre. La finalité 'Respect des obligations légales LCB-FT' doit être clairement distinguée de la finalité 'Prospection commerciale' ou 'Gestion de la relation client'.

3. Renforcer le cloisonnement des systèmes d'information : Évaluez l'architecture de vos bases de données. Il devient impératif d'implémenter des contrôles d'accès stricts (habilitations) pour que les équipes commerciales, par exemple, ne puissent pas accéder aux informations les plus sensibles du dossier KYC qui ne sont pas pertinentes pour leur mission (ex: déclaration de patrimoine, origine des fonds).

4. Réviser les procédures internes et former les équipes : Mettez à jour toutes les procédures relatives à la collecte, au traitement et à l'archivage des données client. Organisez des sessions de formation ciblées pour les équipes opérationnelles (front-office, marketing, etc.) et de contrôle afin de diffuser cette nouvelle doctrine et prévenir tout usage inapproprié des données.

5. Clarifier l'information fournie aux clients : Les mentions d'information remises aux clients lors de l'entrée en relation et les politiques de confidentialité doivent être révisées pour expliquer de manière transparente et non ambigüe que les données collectées au titre de la LCB-FT ont pour finalité exclusive la gestion de ce risque.

6. Engager le dialogue avec les fournisseurs de solutions RegTech : Contactez vos éditeurs de logiciels KYC/AML pour vous assurer que leurs outils permettent une gestion granulaire des finalités et des droits d'accès, et qu'ils facilitent la démonstration de la conformité à ce principe de cloisonnement.

• 📎 Code Monétaire et Financier — Articles L561-5 et suivants
• 📎 RGPD — Article 5 - Principes relatifs au traitement des données à caractère personnel