Vérifier un fournisseur, un dirigeant ou un bénéficiaire effectif suppose de collecter, croiser et conserver des données personnelles : identité, mandats, listes de sanctions, statut de personne politiquement exposée, articles de presse défavorables. Or ces mêmes traitements relèvent du RGPD, souvent dans ses zones les plus sensibles (données pénales, profilage réputationnel). La tentation est double : sur-collecter « au cas où » pour se couvrir côté LCB-FT, ou au contraire brider le screening par peur de la CNIL. Les deux réflexes sont mauvais. Cet article détaille comment articuler obligation de vigilance et protection des données, base légale par base légale, pour que votre due diligence tienne à la fois devant un contrôle ACPR ou Tracfin et devant une réclamation de personne concernée.
Pourquoi la due diligence tiers est un traitement RGPD à part entière
Dès que vous identifiez un dirigeant, recherchez un bénéficiaire effectif, comparez un nom à une liste de sanctions ou consultez des articles de presse le concernant, vous traitez des données personnelles au sens de l'article 4 du RGPD. Le fait que ces données proviennent de sources publiques (registres officiels, presse en ligne, listes de gel d'avoirs) ne les fait pas sortir du champ du règlement : la publicité d'une donnée ne vaut pas consentement, et vous restez responsable de traitement pour l'usage que vous en faites.
Trois familles de données particulièrement encadrées se rencontrent en due diligence :
- Les données pénales (article 10 RGPD) : condamnations, mesures d'interdiction de gérer, procédures en cours évoquées dans la presse. Leur traitement est réservé aux cas prévus par le droit ou sous contrôle de l'autorité publique.
- Les données sensibles (article 9) : une revue de presse peut révéler, indirectement, des opinions politiques, une origine ou une orientation. Le statut de personne politiquement exposée touche à l'activité politique et exige une vigilance renforcée.
- Le profilage réputationnel : agréger des signaux pour produire un score de risque constitue un traitement à part entière, potentiellement soumis à analyse d'impact (AIPD) selon son ampleur.
Choisir la bonne base légale : obligation légale ou intérêt légitime
C'est le point de départ, et l'erreur la plus fréquente. La base légale n'est pas la même selon que la vérification vous est imposée ou qu'elle procède de votre propre prudence.
Pour les entités assujetties à la LCB-FT (banques, assurances, fintechs, experts-comptables, notaires, avocats sur certaines opérations, agents immobiliers), le screening des clients et bénéficiaires effectifs repose sur l'obligation légale (article 6.1.c RGPD), fondée sur le code monétaire et financier. Le consentement de la personne n'est ni requis ni pertinent : on ne demande pas à un client s'il accepte d'être comparé aux listes de sanctions. Les régulateurs de référence (voir notre panorama ACPR, AMF et DG Trésor) attendent précisément cette diligence.
Pour les entreprises non assujetties qui vérifient un fournisseur, un distributeur ou une contrepartie commerciale, la base est généralement l'intérêt légitime (article 6.1.f) : prévenir la fraude, sécuriser un paiement, respecter un devoir de vigilance contractuel. Cet intérêt doit être documenté par un test de mise en balance (le fameux « balancing test ») prouvant qu'il ne prime pas déraisonnablement sur les droits des personnes. Certaines obligations, comme le devoir de vigilance issu de la loi de 2017 et de la directive CS3D, rapprochent d'ailleurs ce cas de figure de l'obligation légale.
Tableau finalité / base légale / durée de conservation
À adapter à votre secteur ; les durées ci-dessous sont des repères usuels, non des règles absolues. La durée LCB-FT de cinq ans après la fin de la relation d'affaires découle du code monétaire et financier.
| Finalité | Base légale | Durée de conservation indicative |
|---|---|---|
| Identification client / KYC (entité assujettie) | Obligation légale (LCB-FT) | 5 ans après fin de la relation d'affaires |
| Screening sanctions / gel des avoirs | Obligation légale | Durée de la relation + 5 ans ; log de contrôle horodaté |
| Vérification fournisseur (entreprise non assujettie) | Intérêt légitime | Durée de la relation contractuelle + délai de prescription utile |
| Détection PPE | Obligation légale ou intérêt légitime selon le cas | Aligné sur le dossier de vigilance |
| Adverse media / presse négative | Intérêt légitime | Court : ne conserver que les éléments retenus, purger les faux positifs |
| Données pénales (interdiction de gérer, condamnations) | Cadre légal spécifique (art. 10) | Minimale, strictement nécessaire à la décision |
Minimisation : le meilleur bouclier
La minimisation (article 5.1.c) impose de ne collecter que ce qui est adéquat, pertinent et limité à la finalité. En due diligence, cela se traduit très concrètement :
- Cibler la personne utile. Vérifier le dirigeant et les bénéficiaires effectifs pertinents, pas tous les salariés ni la famille élargie sans motif.
- Distinguer le signal du bruit. Un résultat d'adverse media homonyme ou non pertinent ne doit pas être versé au dossier : conservez la décision, purgez les faux positifs.
- Ne pas thésauriser. Une vérification ponctuelle n'autorise pas un archivage indéfini « pour plus tard ». La finalité fixe la durée.
Le screening des personnes politiquement exposées illustre bien l'exigence : on documente le statut PPE et son incidence sur le niveau de vigilance, sans accumuler de détails sur la vie politique de l'intéressé au-delà du strict nécessaire.
Données pénales et adverse media : le terrain le plus délicat
L'article 10 du RGPD réserve le traitement des données relatives aux condamnations et infractions à des cas encadrés par le droit. Une interdiction de gérer inscrite au fichier national, une condamnation définitive mentionnée par une source officielle, une mesure de gel d'avoirs : ces éléments peuvent légitimement fonder une décision de vigilance lorsqu'une obligation LCB-FT ou un devoir de vigilance le justifie.
La prudence s'impose avec la presse négative. Un article évoquant une « mise en examen » ou une « enquête » relate des faits non définitivement jugés, couverts par la présomption d'innocence. Deux règles pratiques :
- Traiter ces éléments comme des signaux à vérifier, jamais comme des vérités établies. RiskSonnar formule à ce titre une recommandation de vigilance, et non un verdict juridique définitif sur une personne nommée.
- Ne conserver que ce qui est étayé et pertinent pour la décision, en écartant les homonymes et les rapprochements incertains, sources classiques de préjudice pour la personne concernée.
Information des personnes et exercice des droits
Les personnes dont vous traitez les données conservent leurs droits : information, accès, rectification, opposition (particulièrement en base d'intérêt légitime), limitation. Deux tempéraments existent toutefois en matière de LCB-FT.
D'abord, l'information préalable peut être aménagée : prévenir un client qu'il est comparé aux listes de sanctions n'a pas de sens et pourrait compromettre l'efficacité du dispositif. La mention d'information générale (politique de confidentialité, clause dans les CGV ou le contrat cadre) suffit le plus souvent à satisfaire les articles 13 et 14, avec les exceptions prévues.
Ensuite, le secret des déclarations de soupçon prime : une personne ne peut exercer un droit d'accès pour découvrir qu'une déclaration à Tracfin a été effectuée à son sujet. Le droit d'accès s'exerce alors de manière indirecte, via la CNIL. Documentez ces arbitrages dans votre registre.
Sous-traitance, transferts hors UE et gouvernance
Recourir à un prestataire de screening ou de vérification d'entreprise fait de lui un sous-traitant au sens de l'article 28 : un contrat de sous-traitance (DPA) est obligatoire, précisant finalités, mesures de sécurité et sort des données en fin de contrat. Vérifiez notamment :
- La localisation des données. Un traitement dans l'UE simplifie la conformité. En cas de transfert hors UE, il faut un fondement valable (décision d'adéquation, clauses contractuelles types accompagnées d'une analyse d'impact du transfert).
- La chaîne de sous-traitance ultérieure. Régulateurs et hébergeurs mobilisés par votre prestataire doivent être encadrés.
- La réversibilité. Restitution ou suppression des données en fin de relation.
Côté gouvernance interne, trois piliers : un registre des activités de traitement décrivant chaque finalité de vigilance (KYC, screening sanctions, adverse media, scoring), une AIPD lorsque le profilage de risque est systématique et à grande échelle, et l'implication du DPO dans la définition des durées et des mesures. Le DPO et le responsable conformité LCB-FT ne poursuivent pas les mêmes objectifs : c'est précisément leur dialogue qui produit un dispositif équilibré.
Bonnes pratiques opérationnelles
- Cartographier chaque traitement de vigilance et l'inscrire au registre, avec sa base légale explicite.
- Rédiger un test de mise en balance pour tout screening fondé sur l'intérêt légitime.
- Fixer des durées de conservation par finalité et automatiser la purge, en particulier des faux positifs.
- Tracer et horodater les contrôles (qui a vérifié quoi, quand, avec quelle source) pour prouver la diligence sans sur-conserver de données personnelles.
- Encadrer contractuellement tout prestataire et vérifier la localisation des données.
- Prévoir la procédure d'exercice des droits, y compris le circuit indirect via la CNIL pour les cas LCB-FT.
Questions fréquentes
Faut-il le consentement du tiers pour le vérifier ?
Non, dans la quasi-totalité des cas. Le consentement est une base fragile et inadaptée : soit vous êtes assujetti et l'obligation légale LCB-FT s'applique, soit vous agissez sur le fondement de l'intérêt légitime (prévention de la fraude, sécurisation d'un paiement). Demander un consentement révocable rendrait votre dispositif inopérant.
Combien de temps conserver les résultats d'une due diligence ?
Cela dépend de la finalité. Pour une entité assujettie, la LCB-FT impose une conservation des documents d'identification cinq ans après la fin de la relation d'affaires. Pour une vérification fournisseur en intérêt légitime, alignez la durée sur la relation contractuelle et un délai de prescription utile, puis purgez. Les faux positifs d'adverse media, eux, doivent être supprimés rapidement.
Peut-on conserver un article de presse évoquant une enquête ?
Avec prudence. Ces éléments relèvent de faits non jugés, couverts par la présomption d'innocence. Traitez-les comme des signaux à vérifier, conservez uniquement ceux qui sont pertinents et étayés pour votre décision, et écartez les homonymes. La donnée sert à motiver une vigilance renforcée, pas à établir une culpabilité.
Une AIPD est-elle obligatoire pour un outil de scoring de risque ?
Souvent, oui. Dès lors que le traitement combine profilage systématique, données potentiellement sensibles ou pénales et grande échelle, l'analyse d'impact relative à la protection des données s'impose. Associez-y votre DPO en amont du déploiement.
Un prestataire de screening est-il responsable ou sous-traitant ?
Généralement sous-traitant : il agit sur vos instructions et pour votre finalité. Un contrat de sous-traitance (article 28) est obligatoire, avec vérification de la localisation des données et encadrement de tout transfert hors UE.
Conclusion
Vigilance et protection des données ne s'opposent pas : bien menée, la due diligence est même un traitement exemplaire, car finalisé, tracé et proportionné. La clé tient en quatre réflexes : identifier la bonne base légale, minimiser la collecte, fixer des durées par finalité et documenter les arbitrages au registre. C'est cette rigueur qui vous protège à la fois du régulateur LCB-FT et de la réclamation d'une personne concernée.
Pour outiller cette approche, RiskSonnar restitue des vérifications sourcées et horodatées — utile pour prouver la diligence sans sur-conserver de données — et vous pouvez tester une première recherche via la vérification par SIREN.