Les données personnelles et les impératifs de lutte anti-blanchiment | Les Podcasts du Droit et du Chiffre Lefebvre Dalloz

Description

Dans ce deuxième épisode d’Assujettis, le podcast de la conformité LCB-FT proposé par l’OLAB et Lefebvre Dalloz, Solène Clément et Romain Laventure reçoivent Thomas Dautieu, directeur de l’accompagnement juridique à la CNIL, la Commission Nationale de l’Informatique et des Libertés, pour explorer la LCB-FT sous un angle nouveau, celui des données personnelles.

Derrière une matière souvent perçue comme technique et réglementaire se posent des questions essentielles : comment concilier efficacité de la surveillance financière et la protection des données personnelles ? Quelles limites et quels enjeux pour les opérateurs assujettis ? Quelles conséquences ?

Cet épisode décrypte les grands principes en jeu : vie privée, données personnelles, IA, impartialité, proportionnalité et montre pourquoi la LCB-FT est aussi un observatoire des transformations contemporaines de l’État de droit.

Assujettis, le podcast pour comprendre la conformité LCB-FT au plus près des textes, des pratiques et du terrain.

Invité : Thomas DAUTIEU, directeur de l’accompagnement juridique à la CNIL, la Commission Nationale de l’Informatique et des Libertés.

Préparé et animé par : Solène CLÉMENT, présidente et fondatrice de l'OLAB ; Romain LAVENTURE, président du Synaphe et trésorier de l'OLAB.

Réalisé par : Jérémy MARTIN, journaliste, Lefebvre Dalloz.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Lefebvre Dalloz
« Bienvenue dans Assujettis, le podcast de la conformité LCB-FT proposé par l'OLAB et Lefebvre Dalloz. Premier organisme associatif français dédié à la conformité LCB-FT, l'OLAB, l'observatoire de la lutte contre le blanchiment et le financement du terrorisme, réuni praticiens, experts, universitaires, et professionnels assujettis autour d'une approche transsectorielle unique. Cette approche conjugue expertise technique, réflexion opérationnelle et veille réglementaire avec une ambition forte, faire de la conformité une culture concrète, exigeante et ancrée dans les réalités du terrain. Dans chaque épisode, Assujettis donne la parole à celles et à ceux qui vivent la LCB-FT de l'intérieur pour décrypter les enjeux de la conformité au plus près du terrain. Aux commandes de ce podcast, Solène Clément, présidente et fondatrice de l'OLAB, et Romain Laventure, président du SYNAPHE, le syndicat professionnel de la domiciliation et du coworking, et trésorier de l'OLAB. Deux praticiens engagés pour aborder la LCB-FT sans détour, les textes, leurs applications, et les questions que les professionnels se posent vraiment.
Solène Clément
Bonjour à tous, ravie de vous retrouver pour ce deuxième épisode du podcast Assujettis - la conformité anti-blanchiment. Bonjour Romain.
Romain Laventure
Bonjour Solène.
Solène Clément
Bonjour M. Dautieu.
Romain Laventure
Bonjour.
Solène Clément
M. Dautieu, vous êtes le directeur de l'accompagnement juridique de la CNIL. Pourriez-vous nous parler un peu plus de vos missions au sein de la CNIL ?
Thomas Dautieu
Alors la CNIL, c'est la Commission nationale informatique et liberté, qui est l'autorité de protection des données en France, qui est chargée de faire respecter le fameux RGPD européen et la loi informatique et liberté. Donc ma direction, qui est la direction de l'accompagnement juridique. La direction qui, d'une part, rend des avis au gouvernement ou au Parlement sur des projets de texte. Donc, à ce titre, elle contribue à la création de textes sur la protection des données. Et d'autre part, elle accompagne et aide les entreprises ou les administrations dans la mise en œuvre concrète du RGPD et de la Lille, notamment en établissant des recommandations, des référentiels ou en donnant des avis qui peuvent aider les uns les autres.
Solène Clément
Très bien. Alors, premier sujet pour tous les assujettis. j'ai envie de dire de France et de Navarre, mais de l'Union européenne et de Navarre. Le grand sujet, ça va être l'entrée en vigueur du règlement 1624-2024. Est-ce que vous pourriez peut-être nous expliquer, selon vous, avec du coup ce nouveau paquet européen et la création de l'AMLA, comment la CNIL, elle voit, elle, son rôle sur ces sujets de protection des données ?
Thomas Dautieu
Alors, le nouveau paquet européen, vous en avez parlé, change... Assez profondément, en fait, le cadre dans lequel les autorités de protection européennes, donc CNIL, mais aussi les autres autorités européennes, vont intervenir. Ça va changer à plusieurs niveaux. Alors, premier niveau, c'est le rôle un peu traditionnel de la CNIL, qui est le rôle de garant des libertés fondamentales dans un contexte où les dispositifs LCBFT deviennent de plus en plus intensifs en données, utilisateurs de données ou gourmands dans les données. En effet, on voit qu'aujourd'hui, et ça va s'affirmer dans le temps, la lutte contre le blanchiment repose de plus en plus sur... Premièrement, des échanges massifs de données et des mécanismes de partage entre acteurs publics et privés, aussi bien au niveau national qu'européen. Ensuite, sur des outils de screening, des listes de sanctions, des watchlists, etc. Et sur aussi des outils algorithmiques, on parle beaucoup d'intelligence artificielle. Dans ce cas du premier rôle, dans ce rôle traditionnel de la CNIL, la vocation à s'assurer que le renforcement de tous ces outils de lutte contre la criminalité financière se fasse dans le respect des grands principes du RGPD. Donc ça, c'est le rôle classique de la CNIL, mais qui va se trouver renforcé du fait du renforcement des outils mis à disposition des acteurs. Et donc, le deuxième rôle de la CNIL qui, là aussi, se retrouve renforcé, c'est un peu celui dont je parlais directement rattaché à ma direction. C'est le rôle d'accompagnement et de sécurisation juridique des acteurs. Il y a une forte attente. Nous, on le constate très souvent des professionnels qui souhaitent disposer d'un cadre juridique clair et prévisible. et beaucoup d'acteurs ont le sentiment d'être... confrontés à des exigences parfois difficiles à articuler entre la LCBFT et la protection des données. Le rôle de la CNIL est, et sera de plus en plus, d'aider à construire cette articulation, non pas en opposant les objectifs, mais en permettant des dispositifs à la fois efficaces et juridiquement robustes. Cette sécurisation juridique passe aujourd'hui très largement par le renforcement de la coopération institutionnelle, aussi bien au niveau national qu'européen, puisqu'on voit que les sources du droit en matière de la CVT sont de plus en plus européennes. Ce nouveau règlement traduit d'ailleurs très clairement cette logique. puisqu'il prévoit explicitement l'association des autorités de protection des données, donc l'ECNIL française européenne, à ces mécanismes de supervision, notamment dans le partage d'informations prévues à l'article 75, peut-être qu'on aura l'occasion d'en reparler. Alors concrètement, ça veut dire que les autorités de supervision LCBFT devront désormais travailler en concertation avec l'ECNIL européenne afin de vérifier que les dispositifs mis en œuvre par les assujettis respectent les exigences du RGPD. Et le règlement LCBFT prévoit d'ailleurs un certain nombre d'outils, je ne vais pas rentrer trop dans les détails, mais on parle des analyses d'impact relatives à la protection des données, des mesures de sécurité, des mécanismes de gouvernance ou encore des dispositifs de contrôle et d'audit. Donc ça, c'est vraiment une évolution importante parce qu'elle permet de sortir d'une logique un peu binaire où chaque autorité interviendrait de manière isolée. Pour être un tout petit peu plus précis, je conclurai par là cette première question. Au niveau national, évidemment, ça ouvre une phase. de coopération encore plus étroite entre la CNIL et les autorités sectorielles comme la CPR, avec l'idée de construire une lecture un peu commune de ces différents textes, de façon à arriver à une convergence. Et au niveau européen, ça implique que le CEPD, qui est le Comité européen de la protection des données, qui rassemble les différentes CNIL européennes, soit de plus en plus impliqué. Alors il a été impliqué pendant les négociations du règlement. Et là, il va rentrer dans une deuxième phase de négociation avec l'AMLA pour que l'enjeu soit de structurer un dialogue durable entre les exigences RGPD et LCBFT. Enfin, je pense que c'est véritablement l'un des points clés du nouveau cadre européen, construire une supervision intégrée et harmonisée afin de garantir d'une part l'efficacité et d'autre part le respect des droits fondamentaux.
Solène Clément
Effectivement, durant les négociations sur le paquet européen, on a pu avoir accès aux publications du CEPD qui étaient montées au créneau pour... pour défendre plusieurs sujets. Est-ce qu'aujourd'hui, avec l'architecture institutionnelle telle qu'elle est prévue, telle que vous venez de la décrire, la nouvelle coopération, ça ressemble à une nouvelle dynamique. Est-ce que vous êtes confiant dans ce que ça va pouvoir produire ? Parce qu'effectivement, les acteurs, ils sont entre le marteau et l'enclume et ce n'est pas forcément évident pour eux. Est-ce que cette nouvelle architecture institutionnelle, elle vous paraît satisfaisante ou bien construite aujourd'hui ?
Thomas Dautieu
On verra ce que ça va donner, pour être tout à fait honnête. Je pense qu'il y a un facteur très positif, c'est la prise de conscience. On voit bien que la LCBFT, il y a des enjeux derrière de protection des données, il y a des enjeux de vie privée, avec des conséquences qui peuvent être extrêmement importantes pour les personnes qui seraient fichées à tort, sur une watchlist à tort, etc. Donc il y a une vraie prise de conscience au niveau européen, qui s'est traduite pour partie dans le règlement, qui s'est traduite dans les prises de position du CPD, et on peut imaginer que cette prise de conscience, aussi bien côté AMLA que côté CPD, va donner lieu à un dialogue fructueux et constructif. De ce côté-là, je pense que les signaux sont « au vert » , mais on verra dans la vraie vie ce que ça va donner dans quelques mois, quelques années.
Romain Laventure
En ce qui concerne le dispositif LCBFT, on constate qu'il y a deux outils qui prennent de plus en plus de place. On a les « watch lists » , en bon français, les listes de surveillance, et les outils de screening, qui sont des solutions logicielles qui permettent d'analyser de manière automatique des données, des fois en masse. Selon vous, quels sont les principaux points de vigilance en matière de protection des données et de liberté fondamentale ?
Thomas Dautieu
Comme vous l'avez dit, les établissements financiers, mais aussi beaucoup d'autres assujettis, utilisent ces outils pour détecter des profils à risque, identifier des personnes sous sanction ou repérer des situations potentiellement problématiques. Côté CNIL, on ne remet pas en cause leur utilité opérationnelle, mais il faut bien voir que ces outils soulèvent des questions assez sensibles du point de vue de la protection des données et des libertés fondamentales. Alors pourquoi ? D'abord parce que... que ces outils reposent sur des traitements extrêmement massifs de données personnelles et pas n'importe quelles données. C'est des données qui incluent des informations issues, ce qu'on appelle de sources ouvertes, qui sont parfois peu fiables lorsqu'elles sont élaborées par des acteurs privés internationaux. On ne sait pas toujours d'où viennent les informations mises à disposition des assujettis. Ensuite, on a des données qui sont relatives à des infractions ou des condamnations, ou avérées, ou des soupçons de condamnation. Et enfin, on a des données qui peuvent être considérées au regard du RGPD et de la loi française comme des données sensibles, des données relatives à l'opinion politique, aux convictions religieuses, etc. Donc on a vraiment un matériau de données qui sont sensibles. Or, le RGPD, le législateur européen, a prévu un régime extrêmement protecteur pour ce type de données. Et le problème aujourd'hui, c'est qu'il n'y a pas véritablement de cadre juridique sectoriel spécifique qui permet d'encadrer ces principes en matière de LCBFT. alors que normalement le RGPD le prévoit. Et donc tout ça, ça crée une insécurité juridique pour tout le monde. Alors déjà, un pour les éditeurs de Watchlist eux-mêmes, est-ce qu'ils ne font pas des fichiers entre guillemets qui seraient illégaux au regard du RGPD et des lois nationales ? Ensuite, pour les établissements qui utilisent de tels fichiers, est-ce qu'eux-mêmes ils ne sont pas en train de mettre en œuvre des traitements qui seraient illégaux ? Et puis aussi et peut-être surtout pour les personnes concernées qui voient leurs données traitées dans une sorte de no-man's land juridique avec des... des conséquences importantes sur leur vie privée. Alors cette insécurité, elle est problématique. Il y a des risques, on a commencé à les évoquer. Le premier, c'est celui de la qualité des données. Quand on travaille à très grande échelle avec des données multiples, il y a la question de la fiabilité qui devient essentielle. Une erreur d'identité, un homonyme ou une donnée obsolète, ça peut avoir des conséquences extrêmement importantes pour une personne. Le deuxième risque, c'est celui de la proportionnalité des traitements. et de l'utilisation de données sensibles, de données d'infraction, sans les garanties nécessaires, normalement, qui sont prévues par le RGPD pour réduire les risques que cela implique pour les personnes concernées. Et enfin, le troisième sujet, qui est extrêmement important et qui renvoie aux droits des personnes, c'est celui de la transparence. Dans certains cas, il y a des personnes qui ignorent totalement qu'elles figurent dans ces outils ou qu'elles font l'objet d'un screening. Et donc, elles peuvent rencontrer des difficultés considérables pour exercer leurs droits ou comprendre l'origine d'un refus ou d'un signalement qu'il en serait... opposé par une banque, par exemple. Donc la lutte contre le blanchiment, elle est évidemment indispensable, mais elle ne peut pas conduire à admettre des mécanismes de surveillance qui seraient disproportionnés ou totalement injustifiés. C'est pour ça que la CNIL, nous, on en a parfaitement conscience. On a alerté à plusieurs reprises les pouvoirs publics, tant au niveau national qu'européen, pour encadrer la constitution de ces listes par des acteurs privés. L'objectif, encore une fois, ce n'est pas de les interdire, mais c'est d'avoir un cadre juridique clair, harmonisé, protecteur. qui permettent leur utilisation dans des conditions juridiquement solides et respectueuses des droits fondamentaux des personnes.
Romain Laventure
Alors justement, en matière de droits des personnes, à votre avis, jusqu'où on peut aller dans la logique de surveillance préventive sans créer un risque de surdétection ou justement d'atteinte disproportionnée à ces fameux droits ?
Thomas Dautieu
Je pense qu'en fait, c'est une logique de bon sens, qui est de dire de quoi les assujettis vont avoir besoin pour identifier un certain nombre de risques, de quel type de données je vais avoir besoin. ou où je mets le curseur, en fait. C'est une question de curseur qui, le RGPD, pousse vers cette logique de compromis, ou en tous les cas, d'avoir un point d'équilibre à atteindre entre les obligations LCBFT et les droits des personnes, de façon à ne pas faire de la sursurveillance. Et encore une fois, ce point, il sera atteint avec un dialogue entre les différents régulateurs, les SUGT, pour essayer de savoir exactement comment naviguer dans des régulations qui peuvent paraître... mais je dis bien simplement qui peuvent paraître parfois opposées.
Solène Clément
Vous, à votre connaissance, est-ce que la CNIL reçoit beaucoup de plaintes de particuliers sur précisément ce sujet de screening ou de LCBFT ?
Thomas Dautieu
Alors, on en reçoit assez peu et peut-être pour la raison que j'ai citée tout à l'heure, qui est le manque de transparence. Quand vous ne savez pas que vous êtes « fiché » , vous ne pensez pas exercer vos droits, vous n'allez pas forcément avoir le réflexe CNIL. on peut être saisi de personnes qui... sont des personnes d'intérêt, entre guillemets, à qui on demande de remplir un certain nombre de documents et de donner d'informations assez précises sur eux ou leur entourage familial. Donc ça, on peut être saisi par ces personnes qui disent « mais je ne comprends pas pourquoi ma banque, elle me demande régulièrement des informations sur mon conjoint, mes enfants, mes ascendants, etc. » Après des kidams qui se voient refuser des services, notamment bancaires, immobiliers, etc., il y en a assez peu qui ont le réflexe de saisir la CNEL.
Solène Clément
Thomas, aujourd'hui, on a une question qui nous est beaucoup remontée depuis le terrain, à savoir que beaucoup de professionnels assujettis ont le sentiment d'être pris entre les exigences de la lutte anti-blanchiment et contre le financement du terrorisme et les exigences du RGPD, et d'être un peu seul au quotidien pour savoir comment manœuvrer ces deux exigences. Alors, est-ce que peut-être vous auriez quelques pistes pour leur expliquer comment trouver un équilibre entre à la fois... efficacité de chacun des dispositifs de LCBFT et respect des principes de protection des données. Il y a quelque chose de fondamentalement qui peut être perçu comme contradictoire, c'est-à-dire à la fois il va falloir que le professionnel aille sourcer de l'information sur l'origine des fonds, l'origine du patrimoine, obtenir un justificatif et puis en même temps, il y a la question de la protection, de la conservation des données.
Thomas Dautieu
Alors vous avez tout à fait raison, j'en ai un tout petit peu parlé, on en a un tout petit peu parlé il y a quelques instants. Et ce sentiment, il est vraiment compréhensif, parce que, comme vous l'avez dit, on a les SUGT qui font face à une montée très forte des exigences de conformité, avec des volumes de données toujours plus importants à traiter, des outils technologiques de plus en plus sophistiqués, et en plus, des attentes élevées en matière de détection des données. Et de l'autre côté, il y a le RGPD qui incite à ne pas trop collecter de données pour vraiment faire quelque chose de très court. Mais je crois qu'en fait, il est important de sortir d'une vision dans laquelle la lutte anti-blanchiment et le RGPD seraient... par nature ou nécessairement en tension. En fait, de notre point de vue, les deux cadres, ils poursuivent un objectif commun, qui est celui de la qualité et de la fiabilité des dispositifs. On a parfois tendance à penser, y compris en LCBFT, que plus un système collecte de données, et plus il sera efficace. Or, ce n'est pas forcément vrai, c'est ce qu'on voit, nous, assez régulièrement à la CNIL, pour une raison très simple, c'est que des volumes excessifs de données peuvent avoir au contraire... créer ce qu'on appelle du bruit informationnel. Quand il y a trop de données, on n'arrive plus à les faire parler. Ça peut augmenter les risques de faux positifs. Ça rend par définition les analyses plus difficiles. Ça mobilise inutilement les équipes de conformité. Et au final, tout ça, ça peut nuire à l'efficacité opérationnelle des dispositifs de LCBFT. Donc nous, ce qu'on dit, mais c'est aussi vrai en matière de marketing, c'est qu'un système qui collecte trop de données, à la fin, il peut devenir moins performant. Et c'est là, en fait, où le... le RGPD a tout son intérêt, au-delà de protéger évidemment les droits fondamentaux, c'est que ces grands principes jouent un rôle utile. Les principes de minimisation, de proportionnalité ou de limitation des finalités, ce n'est pas simplement des contraintes juridiques, c'est aussi des principes de bonne gouvernance de la donnée. Donc l'idée, ce n'est pas de collecter le plus de données possibles, je l'ai déjà dit, mais c'est de collecter les données qui sont pertinentes, fiables et réellement nécessaires à l'objectif poursuivi. Et cette exigence de qualité, elle est essentielle en matière de LCBFT C'est où ? les conséquences d'une erreur peuvent être hyper importantes, les faux signalements, les difficultés d'accès à des services pour les personnes, des suspicions injustifiées ou la surcharge des dispositifs de contrôle. Donc la question de la qualité des données est au cœur de l'articulation entre l'efficacité opérationnelle et la protection des droits fondamentaux. Et de la même manière, on a des exigences comme la traçabilité des accès, la documentation des traitements, les analyses d'impact ou alors les mécanismes de revue humaine pour les outils algorithmiques Merci. ou l'intelligence artificielle, par exemple, qui permettent à la fois de renforcer la conformité au RGPD et d'améliorer la robustesse des dispositifs LCBFT.
Romain Laventure
Thomas, vous le savez, je le sais, nous le savons tous, Solène, toi également, les assujettis sont des commerçants, des entreprises, avec des impératifs de chiffre d'affaires, de marge, de salaire, etc. La période, d'ailleurs, est suffisamment tendue en ce moment sur cette partie-là pour les entreprises. Et la conformité, de manière générale, alors que ce soit le KYC, la connaissance client, Le RGPD est souvent vu comme une dépense, un frein, une contrainte, sans forcément apporter de solution en face. Comment ces difficultés finalement pour les entreprises, puisqu'on leur impose une obligation, peuvent être vues comme un avantage concurrentiel plutôt que comme un problème de méthodologie ?
Thomas Dautieu
Depuis l'entrée en vigueur du RGPD en 2018, nous on a un discours à la CNIL, on essaie de convaincre, et en particulier les entreprises privées, que la conformité au RGPD... et donc assurer les droits fondamentaux des citoyens français ou européens, ça peut être un avantage concurrentiel dans un secteur numérique face à des acteurs américains ou chinois, par exemple, pour prendre vraiment les deux grands exemples. voir la conformité au RGPD comme une contrainte supplémentaire avec de la paperasse, et puis je dois nommer un DPO, et puis on me demande d'effacer mes données au bout d'un certain temps, tout ça est très dommage, et en fait c'est un boulet attaché à mes pieds dans une course que je fais contre des concurrents qui, eux, l'ont pas. On pense que nous, c'est pas la bonne approche. On pense qu'en 2026, sur le numérique, il y a vraiment une attente des citoyens, des consommateurs sur protéger mes données, et Dieu sait si on voit... tous les jours les fuites de données. Donc, il y a un vrai sujet. Ça devient vraiment un sujet de débat public sur la protection des données et au-delà, simplement, de la sécurité informatique. Donc, bref, nous, on en est convaincus. On essaie de convaincre les entreprises de dépasser un peu la vision. C'est des contraintes et derrière, ça ne m'apporte rien si ça vous apporte des tas de choses, de la sécurité informatique parce que c'est une obligation du RGPD, mais aussi un cadre de confiance avec les consommateurs. Et sur notre site, on a sorti il y a quelques mois une étude. qui démontrent un peu l'intérêt économique de la conformité au RGPD, parce qu'il y a de plus en plus d'acteurs qui sont soucieux de confier leurs données à des entreprises qui sauront les sécuriser, qui n'iront pas les revendre à droite à gauche et qui ne font pas n'importe quoi avec les données. Donc, en tous les cas, nous, on estime qu'au-delà des contraintes qui existent, elles sont réelles, on ne va pas le nier, mais il y a une façon de bien faire les choses et de faire profiter son business.
Romain Laventure
Alors Thomas, je suis complètement d'accord avec votre analyse. Une question cependant, une question de proportionnalité, de taille d'entreprise. Quand on est effectivement une société cotée au CAC 40 ou quand on est la PME du coin avec 2, 3, 4, 5 salariés, on n'a pas les mêmes moyens. On a peut-être une envie similaire, mais en tout cas, on a un problème de taille critique, si j'ose dire. Qu'est-ce que la CNIL répond à cela ?
Thomas Dautieu
C'est vrai qu'on n'a pas les mêmes moyens quand on est une toute petite entreprise ou un groupe du CAC 40. Mais ce qui est bien fait, c'est qu'on n'a pas les mêmes obligations aussi au regard du RGPD. Parce que le RGPD impose des obligations d'autant plus fortes que les données sont massives, sensibles, etc. Donc, c'est une approche par les risques. Et quand vous avez un petit fichier client sur un tableur Excel avec 200 lignes, évidemment, vous n'avez pas les mêmes obligations à l'RGPD que quand vous gérez des dizaines de millions de données sensibles ou quand vous mettez en œuvre des dispositifs de screening, de watchlist, LCDFT, on en a parlé. Et en même temps, nous, à la CNIL, en tant que régulateurs, on a aussi une approche proportionnée. On ne demande pas, lorsqu'on reçoit des plaintes ou lorsqu'on fait des contrôles ou lorsqu'on arrive à des sanctions, on n'a pas les mêmes exigences envers un grand groupe Donc, elle a une... envers une toute petite entreprise. Donc ça, c'est quelque chose que naturellement on sait. Il y a toute une réflexion actuellement sur l'adéquation du RGPD aux besoins et aux moyens des TPE-PME. Et l'ensemble des régulateurs européens vont dans un sens de simplification des textes pour les TPE-PME, parce qu'on se rend bien compte que des fois, la marche est un peu compliquée à franchir. Donc on essaie de « calibrer » les exigences pour ces entreprises.
Solène Clément
Thomas, une question avec ce que vous avez pu évoquer en introduction, peut-être l'article 75 du règlement européen qui institue le nouveau cadre juridique du développement des échanges d'informations entre les assujettis notamment. Donc avec ce développement des échanges d'informations et des outils technologiques dans les dispositifs du LCBFT, est-ce que vous avez, vous, le sentiment qu'un nouveau modèle européen est en train d'émerger sur ces sujets ? Est-ce que c'est une révolution ? Et si oui, dans quelle mesure s'en est-une ?
Thomas Dautieu
Je ne sais pas si on peut vraiment parler de révolution ou d'un nouveau modèle européen, mais en tous les cas, du point de vue de la CNIL, nous on analyse comme un renforcement de la dimension européenne de la LCBFT, avec peut-être trois mouvements. Le premier mouvement, c'est un mouvement qu'on pourrait dire d'harmonisation réglementaire. Avant, le cadre européen LCBFT, c'était des directives. Alors la directive, c'est très bien, mais on sait que c'est quand même transposé de manière plus ou moins... rigoureuse ou appliquée de manière plus ou moins rigoureuse dans un certain nombre d'États membres. Là, avec des règlements directement applicables, très clairement, on vise à une harmonisation européenne par des règlements extrêmement précis. Donc ça, c'est un premier mouvement, c'est un renforcement d'harmonisation réglementaire. Le deuxième mouvement, c'est évidemment la centralisation partielle de la supervision avec l'AMLA, on en a parlé. Tout ça dans la même logique d'avoir une lecture. plus cohérente des règles et de renforcer la coopération entre les superviseurs. Et la troisième dimension, c'est celle du partage d'informations. Vous en avez parlé, c'est l'article, notamment, pas que, mais l'article 75 du règlement, qui est, de notre point de vue, très emblématique de cette évolution. Cet article crée un cadre qui permet à des entités assujetties de partager certaines informations entre elles. C'est une évolution importante parce qu'elle traduit une volonté d'aller vers une logique plus collective de détection des risques. C'est quelque chose qu'on peut comprendre, mais en même temps, c'est un sujet très sensible. Le CEPD, on en a parlé à la réunion des CNIL européennes, a exprimé plusieurs préoccupations pendant les négociations du règlement. D'abord, ça peut conduire à une utilisation potentiellement massive de données. Ça peut conduire à la circulation de données sensibles. On ne voit pas, ou en tout cas, on peut avoir des doutes sur l'évaluation de l'efficacité réelle du dispositif. Est-ce que vraiment ça va fonctionner ? Puis, il y a peut-être un risque de transfert de certaines fonctions quasi régaliennes vers des acteurs privés. Tout ça, ça pose des questions. Ça a été soulevé par le CPD lors des négociations. Et puis, en réponse à ça, en écho, il y a eu des garanties importantes qui ont été introduites dans le texte final, au-delà de l'obligation de réaliser une étude d'impact. Il y a l'information des autorités de surveillance, il y a l'implication des autorités de protection des données. Donc ça, c'est bien, ça va dans le cadre d'une interrégulation dont on a parlé tout à l'heure. La traçabilité, l'obligation de mener leurs propres évaluations des transactions, des audits indépendants, etc. Donc ça, au total, c'est précisément cela, je trouve, qui caractérise le modèle européen émergent. C'est une volonté de concilier efficacité opérationnelle, coopération renforcée, mais aussi protection des droits fondamentaux, ce qui est évidemment... nous intéresse au premier plan. Maintenant, le défi sera assez concret. Il faudra évaluer dans le temps si ces dispositifs atteignent réellement leurs objectifs sans créer des atteintes disproportionnées aux libertés. C'est pourquoi la coopération entre l'AMLA, les superviseurs nationaux, le CPD et les CNIL européennes sera absolument essentielle dans les années à venir.
Romain Laventure
Thomas, une dernière question avant de vous laisser partir. Quelle est l'actualité de la CNIL en ce moment ?
Thomas Dautieu
Alors, l'actualité de la CNIL en ce moment, c'est évidemment le règlement sur l'intelligence artificielle. qui va rentrer progressivement en application, avec une grosse partie sur les systèmes d'IA à haut risque qui posent des questions en termes de sécurité ou de droits fondamentaux. Le projet de loi qui va donner les compétences en interne et en cours de discussion au Parlement. Et nous, on voit beaucoup, beaucoup de sujets IA qui émergent en matière de santé, d'éducation, RH, et aussi en LCBFT, puisqu'il y a de plus en plus quand même de traitements parce qu'ils traitent beaucoup de données, parce que... Il y a beaucoup d'interconnexions et le besoin d'analyser ces données repose de plus en plus sur l'IA. Donc on est en train de regarder dans quelle mesure les enjeux IA qui se cumulent avec les enjeux RGPD, donc il y aura vraiment les doubles réglementations qui vont s'appliquer, vont structurer un peu l'émergence de l'IA, notamment à LCBFT. On a beaucoup d'échanges avec la CPR qui sera compétent sur le sujet. On sera aussi compétent sur beaucoup de sujets IA. Et en conclusion, je dirais que... On va gagner un an et demi parce que la Commission européenne va repousser l'entrée en vigueur du RIA sur les systèmes dits à haut risque et qui donnera un peu plus de temps à tout le monde de se préparer parce que ça va être une montagne à franchir qui ne sera pas totalement simple. Mais en tous les cas, on s'y prépare et on sortira des éléments assez précis pour les ressources de traitement et les assujettis.
Solène Clément
Merci beaucoup, cher Thomas. N'oubliez pas les petits acteurs. Quand j'entends parler de travail avec la CPR, il ne faut pas... parce que pour le coup, l'IA... Je pense que tous les acteurs s'en saisissent et notamment aussi les petits, parce que ça permet d'aller plus, en tout cas, il y a l'idée que ça permet d'aller plus loin, plus vite. Donc, n'hésitez pas aussi à solliciter les petits acteurs. À bientôt.
Romain Laventure
Merci Thomas et à bientôt. À bientôt, merci.

About Les Podcasts du Droit et du Chiffre Lefebvre Dalloz

Bienvenue sur la chaîne podcast de Lefebvre Dalloz, leader de la connaissance juridique et fiscale en France. Cette chaîne, entièrement dédiée au droit, apporte de l'information et des réponses fiables aux questions juridiques et fiscales en matière de : droit fiscal, droit social, droit immobilier, droit des affaires, droit comptable, droit pénal, droit civil, droit public mais aussi en HSE et Action sociale. Elle s’adresse à vous : notaires, avocats, avocats aux Conseils, commissaires de justices, greffiers des tribunaux de commerce, administrateurs judiciaires, mandataires judiciaires, experts-comptables, commissaires aux comptes, directeurs administratif et financier, directeurs et responsables ressources humaines, directeurs juridiques, directrices/directeurs de la conformité, chefs d'entreprise, responsables d'associations, secteur public et académique étudiants en droit. Pour rester à jour des dernières évolutions législatives et réglementaires, abonnez-vous à notre chaîne !

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

About Les Podcasts du Droit et du Chiffre Lefebvre Dalloz

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Description

Assujettis, le podcast pour comprendre la conformité LCB-FT au plus près des textes, des pratiques et du terrain.

Invité : Thomas DAUTIEU, directeur de l’accompagnement juridique à la CNIL, la Commission Nationale de l’Informatique et des Libertés.

Préparé et animé par : Solène CLÉMENT, présidente et fondatrice de l'OLAB ; Romain LAVENTURE, président du Synaphe et trésorier de l'OLAB.

Réalisé par : Jérémy MARTIN, journaliste, Lefebvre Dalloz.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Lefebvre Dalloz
« Bienvenue dans Assujettis, le podcast de la conformité LCB-FT proposé par l'OLAB et Lefebvre Dalloz. Premier organisme associatif français dédié à la conformité LCB-FT, l'OLAB, l'observatoire de la lutte contre le blanchiment et le financement du terrorisme, réuni praticiens, experts, universitaires, et professionnels assujettis autour d'une approche transsectorielle unique. Cette approche conjugue expertise technique, réflexion opérationnelle et veille réglementaire avec une ambition forte, faire de la conformité une culture concrète, exigeante et ancrée dans les réalités du terrain. Dans chaque épisode, Assujettis donne la parole à celles et à ceux qui vivent la LCB-FT de l'intérieur pour décrypter les enjeux de la conformité au plus près du terrain. Aux commandes de ce podcast, Solène Clément, présidente et fondatrice de l'OLAB, et Romain Laventure, président du SYNAPHE, le syndicat professionnel de la domiciliation et du coworking, et trésorier de l'OLAB. Deux praticiens engagés pour aborder la LCB-FT sans détour, les textes, leurs applications, et les questions que les professionnels se posent vraiment.
Solène Clément
Bonjour à tous, ravie de vous retrouver pour ce deuxième épisode du podcast Assujettis - la conformité anti-blanchiment. Bonjour Romain.
Romain Laventure
Bonjour Solène.
Solène Clément
Bonjour M. Dautieu.
Romain Laventure
Bonjour.
Solène Clément
M. Dautieu, vous êtes le directeur de l'accompagnement juridique de la CNIL. Pourriez-vous nous parler un peu plus de vos missions au sein de la CNIL ?
Thomas Dautieu
Alors la CNIL, c'est la Commission nationale informatique et liberté, qui est l'autorité de protection des données en France, qui est chargée de faire respecter le fameux RGPD européen et la loi informatique et liberté. Donc ma direction, qui est la direction de l'accompagnement juridique. La direction qui, d'une part, rend des avis au gouvernement ou au Parlement sur des projets de texte. Donc, à ce titre, elle contribue à la création de textes sur la protection des données. Et d'autre part, elle accompagne et aide les entreprises ou les administrations dans la mise en œuvre concrète du RGPD et de la Lille, notamment en établissant des recommandations, des référentiels ou en donnant des avis qui peuvent aider les uns les autres.
Solène Clément
Très bien. Alors, premier sujet pour tous les assujettis. j'ai envie de dire de France et de Navarre, mais de l'Union européenne et de Navarre. Le grand sujet, ça va être l'entrée en vigueur du règlement 1624-2024. Est-ce que vous pourriez peut-être nous expliquer, selon vous, avec du coup ce nouveau paquet européen et la création de l'AMLA, comment la CNIL, elle voit, elle, son rôle sur ces sujets de protection des données ?
Thomas Dautieu
Alors, le nouveau paquet européen, vous en avez parlé, change... Assez profondément, en fait, le cadre dans lequel les autorités de protection européennes, donc CNIL, mais aussi les autres autorités européennes, vont intervenir. Ça va changer à plusieurs niveaux. Alors, premier niveau, c'est le rôle un peu traditionnel de la CNIL, qui est le rôle de garant des libertés fondamentales dans un contexte où les dispositifs LCBFT deviennent de plus en plus intensifs en données, utilisateurs de données ou gourmands dans les données. En effet, on voit qu'aujourd'hui, et ça va s'affirmer dans le temps, la lutte contre le blanchiment repose de plus en plus sur... Premièrement, des échanges massifs de données et des mécanismes de partage entre acteurs publics et privés, aussi bien au niveau national qu'européen. Ensuite, sur des outils de screening, des listes de sanctions, des watchlists, etc. Et sur aussi des outils algorithmiques, on parle beaucoup d'intelligence artificielle. Dans ce cas du premier rôle, dans ce rôle traditionnel de la CNIL, la vocation à s'assurer que le renforcement de tous ces outils de lutte contre la criminalité financière se fasse dans le respect des grands principes du RGPD. Donc ça, c'est le rôle classique de la CNIL, mais qui va se trouver renforcé du fait du renforcement des outils mis à disposition des acteurs. Et donc, le deuxième rôle de la CNIL qui, là aussi, se retrouve renforcé, c'est un peu celui dont je parlais directement rattaché à ma direction. C'est le rôle d'accompagnement et de sécurisation juridique des acteurs. Il y a une forte attente. Nous, on le constate très souvent des professionnels qui souhaitent disposer d'un cadre juridique clair et prévisible. et beaucoup d'acteurs ont le sentiment d'être... confrontés à des exigences parfois difficiles à articuler entre la LCBFT et la protection des données. Le rôle de la CNIL est, et sera de plus en plus, d'aider à construire cette articulation, non pas en opposant les objectifs, mais en permettant des dispositifs à la fois efficaces et juridiquement robustes. Cette sécurisation juridique passe aujourd'hui très largement par le renforcement de la coopération institutionnelle, aussi bien au niveau national qu'européen, puisqu'on voit que les sources du droit en matière de la CVT sont de plus en plus européennes. Ce nouveau règlement traduit d'ailleurs très clairement cette logique. puisqu'il prévoit explicitement l'association des autorités de protection des données, donc l'ECNIL française européenne, à ces mécanismes de supervision, notamment dans le partage d'informations prévues à l'article 75, peut-être qu'on aura l'occasion d'en reparler. Alors concrètement, ça veut dire que les autorités de supervision LCBFT devront désormais travailler en concertation avec l'ECNIL européenne afin de vérifier que les dispositifs mis en œuvre par les assujettis respectent les exigences du RGPD. Et le règlement LCBFT prévoit d'ailleurs un certain nombre d'outils, je ne vais pas rentrer trop dans les détails, mais on parle des analyses d'impact relatives à la protection des données, des mesures de sécurité, des mécanismes de gouvernance ou encore des dispositifs de contrôle et d'audit. Donc ça, c'est vraiment une évolution importante parce qu'elle permet de sortir d'une logique un peu binaire où chaque autorité interviendrait de manière isolée. Pour être un tout petit peu plus précis, je conclurai par là cette première question. Au niveau national, évidemment, ça ouvre une phase. de coopération encore plus étroite entre la CNIL et les autorités sectorielles comme la CPR, avec l'idée de construire une lecture un peu commune de ces différents textes, de façon à arriver à une convergence. Et au niveau européen, ça implique que le CEPD, qui est le Comité européen de la protection des données, qui rassemble les différentes CNIL européennes, soit de plus en plus impliqué. Alors il a été impliqué pendant les négociations du règlement. Et là, il va rentrer dans une deuxième phase de négociation avec l'AMLA pour que l'enjeu soit de structurer un dialogue durable entre les exigences RGPD et LCBFT. Enfin, je pense que c'est véritablement l'un des points clés du nouveau cadre européen, construire une supervision intégrée et harmonisée afin de garantir d'une part l'efficacité et d'autre part le respect des droits fondamentaux.
Solène Clément
Effectivement, durant les négociations sur le paquet européen, on a pu avoir accès aux publications du CEPD qui étaient montées au créneau pour... pour défendre plusieurs sujets. Est-ce qu'aujourd'hui, avec l'architecture institutionnelle telle qu'elle est prévue, telle que vous venez de la décrire, la nouvelle coopération, ça ressemble à une nouvelle dynamique. Est-ce que vous êtes confiant dans ce que ça va pouvoir produire ? Parce qu'effectivement, les acteurs, ils sont entre le marteau et l'enclume et ce n'est pas forcément évident pour eux. Est-ce que cette nouvelle architecture institutionnelle, elle vous paraît satisfaisante ou bien construite aujourd'hui ?
Thomas Dautieu
On verra ce que ça va donner, pour être tout à fait honnête. Je pense qu'il y a un facteur très positif, c'est la prise de conscience. On voit bien que la LCBFT, il y a des enjeux derrière de protection des données, il y a des enjeux de vie privée, avec des conséquences qui peuvent être extrêmement importantes pour les personnes qui seraient fichées à tort, sur une watchlist à tort, etc. Donc il y a une vraie prise de conscience au niveau européen, qui s'est traduite pour partie dans le règlement, qui s'est traduite dans les prises de position du CPD, et on peut imaginer que cette prise de conscience, aussi bien côté AMLA que côté CPD, va donner lieu à un dialogue fructueux et constructif. De ce côté-là, je pense que les signaux sont « au vert » , mais on verra dans la vraie vie ce que ça va donner dans quelques mois, quelques années.
Romain Laventure
En ce qui concerne le dispositif LCBFT, on constate qu'il y a deux outils qui prennent de plus en plus de place. On a les « watch lists » , en bon français, les listes de surveillance, et les outils de screening, qui sont des solutions logicielles qui permettent d'analyser de manière automatique des données, des fois en masse. Selon vous, quels sont les principaux points de vigilance en matière de protection des données et de liberté fondamentale ?
Thomas Dautieu
Comme vous l'avez dit, les établissements financiers, mais aussi beaucoup d'autres assujettis, utilisent ces outils pour détecter des profils à risque, identifier des personnes sous sanction ou repérer des situations potentiellement problématiques. Côté CNIL, on ne remet pas en cause leur utilité opérationnelle, mais il faut bien voir que ces outils soulèvent des questions assez sensibles du point de vue de la protection des données et des libertés fondamentales. Alors pourquoi ? D'abord parce que... que ces outils reposent sur des traitements extrêmement massifs de données personnelles et pas n'importe quelles données. C'est des données qui incluent des informations issues, ce qu'on appelle de sources ouvertes, qui sont parfois peu fiables lorsqu'elles sont élaborées par des acteurs privés internationaux. On ne sait pas toujours d'où viennent les informations mises à disposition des assujettis. Ensuite, on a des données qui sont relatives à des infractions ou des condamnations, ou avérées, ou des soupçons de condamnation. Et enfin, on a des données qui peuvent être considérées au regard du RGPD et de la loi française comme des données sensibles, des données relatives à l'opinion politique, aux convictions religieuses, etc. Donc on a vraiment un matériau de données qui sont sensibles. Or, le RGPD, le législateur européen, a prévu un régime extrêmement protecteur pour ce type de données. Et le problème aujourd'hui, c'est qu'il n'y a pas véritablement de cadre juridique sectoriel spécifique qui permet d'encadrer ces principes en matière de LCBFT. alors que normalement le RGPD le prévoit. Et donc tout ça, ça crée une insécurité juridique pour tout le monde. Alors déjà, un pour les éditeurs de Watchlist eux-mêmes, est-ce qu'ils ne font pas des fichiers entre guillemets qui seraient illégaux au regard du RGPD et des lois nationales ? Ensuite, pour les établissements qui utilisent de tels fichiers, est-ce qu'eux-mêmes ils ne sont pas en train de mettre en œuvre des traitements qui seraient illégaux ? Et puis aussi et peut-être surtout pour les personnes concernées qui voient leurs données traitées dans une sorte de no-man's land juridique avec des... des conséquences importantes sur leur vie privée. Alors cette insécurité, elle est problématique. Il y a des risques, on a commencé à les évoquer. Le premier, c'est celui de la qualité des données. Quand on travaille à très grande échelle avec des données multiples, il y a la question de la fiabilité qui devient essentielle. Une erreur d'identité, un homonyme ou une donnée obsolète, ça peut avoir des conséquences extrêmement importantes pour une personne. Le deuxième risque, c'est celui de la proportionnalité des traitements. et de l'utilisation de données sensibles, de données d'infraction, sans les garanties nécessaires, normalement, qui sont prévues par le RGPD pour réduire les risques que cela implique pour les personnes concernées. Et enfin, le troisième sujet, qui est extrêmement important et qui renvoie aux droits des personnes, c'est celui de la transparence. Dans certains cas, il y a des personnes qui ignorent totalement qu'elles figurent dans ces outils ou qu'elles font l'objet d'un screening. Et donc, elles peuvent rencontrer des difficultés considérables pour exercer leurs droits ou comprendre l'origine d'un refus ou d'un signalement qu'il en serait... opposé par une banque, par exemple. Donc la lutte contre le blanchiment, elle est évidemment indispensable, mais elle ne peut pas conduire à admettre des mécanismes de surveillance qui seraient disproportionnés ou totalement injustifiés. C'est pour ça que la CNIL, nous, on en a parfaitement conscience. On a alerté à plusieurs reprises les pouvoirs publics, tant au niveau national qu'européen, pour encadrer la constitution de ces listes par des acteurs privés. L'objectif, encore une fois, ce n'est pas de les interdire, mais c'est d'avoir un cadre juridique clair, harmonisé, protecteur. qui permettent leur utilisation dans des conditions juridiquement solides et respectueuses des droits fondamentaux des personnes.
Romain Laventure
Alors justement, en matière de droits des personnes, à votre avis, jusqu'où on peut aller dans la logique de surveillance préventive sans créer un risque de surdétection ou justement d'atteinte disproportionnée à ces fameux droits ?
Thomas Dautieu
Je pense qu'en fait, c'est une logique de bon sens, qui est de dire de quoi les assujettis vont avoir besoin pour identifier un certain nombre de risques, de quel type de données je vais avoir besoin. ou où je mets le curseur, en fait. C'est une question de curseur qui, le RGPD, pousse vers cette logique de compromis, ou en tous les cas, d'avoir un point d'équilibre à atteindre entre les obligations LCBFT et les droits des personnes, de façon à ne pas faire de la sursurveillance. Et encore une fois, ce point, il sera atteint avec un dialogue entre les différents régulateurs, les SUGT, pour essayer de savoir exactement comment naviguer dans des régulations qui peuvent paraître... mais je dis bien simplement qui peuvent paraître parfois opposées.
Solène Clément
Vous, à votre connaissance, est-ce que la CNIL reçoit beaucoup de plaintes de particuliers sur précisément ce sujet de screening ou de LCBFT ?
Thomas Dautieu
Alors, on en reçoit assez peu et peut-être pour la raison que j'ai citée tout à l'heure, qui est le manque de transparence. Quand vous ne savez pas que vous êtes « fiché » , vous ne pensez pas exercer vos droits, vous n'allez pas forcément avoir le réflexe CNIL. on peut être saisi de personnes qui... sont des personnes d'intérêt, entre guillemets, à qui on demande de remplir un certain nombre de documents et de donner d'informations assez précises sur eux ou leur entourage familial. Donc ça, on peut être saisi par ces personnes qui disent « mais je ne comprends pas pourquoi ma banque, elle me demande régulièrement des informations sur mon conjoint, mes enfants, mes ascendants, etc. » Après des kidams qui se voient refuser des services, notamment bancaires, immobiliers, etc., il y en a assez peu qui ont le réflexe de saisir la CNEL.
Solène Clément
Thomas, aujourd'hui, on a une question qui nous est beaucoup remontée depuis le terrain, à savoir que beaucoup de professionnels assujettis ont le sentiment d'être pris entre les exigences de la lutte anti-blanchiment et contre le financement du terrorisme et les exigences du RGPD, et d'être un peu seul au quotidien pour savoir comment manœuvrer ces deux exigences. Alors, est-ce que peut-être vous auriez quelques pistes pour leur expliquer comment trouver un équilibre entre à la fois... efficacité de chacun des dispositifs de LCBFT et respect des principes de protection des données. Il y a quelque chose de fondamentalement qui peut être perçu comme contradictoire, c'est-à-dire à la fois il va falloir que le professionnel aille sourcer de l'information sur l'origine des fonds, l'origine du patrimoine, obtenir un justificatif et puis en même temps, il y a la question de la protection, de la conservation des données.
Thomas Dautieu
Alors vous avez tout à fait raison, j'en ai un tout petit peu parlé, on en a un tout petit peu parlé il y a quelques instants. Et ce sentiment, il est vraiment compréhensif, parce que, comme vous l'avez dit, on a les SUGT qui font face à une montée très forte des exigences de conformité, avec des volumes de données toujours plus importants à traiter, des outils technologiques de plus en plus sophistiqués, et en plus, des attentes élevées en matière de détection des données. Et de l'autre côté, il y a le RGPD qui incite à ne pas trop collecter de données pour vraiment faire quelque chose de très court. Mais je crois qu'en fait, il est important de sortir d'une vision dans laquelle la lutte anti-blanchiment et le RGPD seraient... par nature ou nécessairement en tension. En fait, de notre point de vue, les deux cadres, ils poursuivent un objectif commun, qui est celui de la qualité et de la fiabilité des dispositifs. On a parfois tendance à penser, y compris en LCBFT, que plus un système collecte de données, et plus il sera efficace. Or, ce n'est pas forcément vrai, c'est ce qu'on voit, nous, assez régulièrement à la CNIL, pour une raison très simple, c'est que des volumes excessifs de données peuvent avoir au contraire... créer ce qu'on appelle du bruit informationnel. Quand il y a trop de données, on n'arrive plus à les faire parler. Ça peut augmenter les risques de faux positifs. Ça rend par définition les analyses plus difficiles. Ça mobilise inutilement les équipes de conformité. Et au final, tout ça, ça peut nuire à l'efficacité opérationnelle des dispositifs de LCBFT. Donc nous, ce qu'on dit, mais c'est aussi vrai en matière de marketing, c'est qu'un système qui collecte trop de données, à la fin, il peut devenir moins performant. Et c'est là, en fait, où le... le RGPD a tout son intérêt, au-delà de protéger évidemment les droits fondamentaux, c'est que ces grands principes jouent un rôle utile. Les principes de minimisation, de proportionnalité ou de limitation des finalités, ce n'est pas simplement des contraintes juridiques, c'est aussi des principes de bonne gouvernance de la donnée. Donc l'idée, ce n'est pas de collecter le plus de données possibles, je l'ai déjà dit, mais c'est de collecter les données qui sont pertinentes, fiables et réellement nécessaires à l'objectif poursuivi. Et cette exigence de qualité, elle est essentielle en matière de LCBFT C'est où ? les conséquences d'une erreur peuvent être hyper importantes, les faux signalements, les difficultés d'accès à des services pour les personnes, des suspicions injustifiées ou la surcharge des dispositifs de contrôle. Donc la question de la qualité des données est au cœur de l'articulation entre l'efficacité opérationnelle et la protection des droits fondamentaux. Et de la même manière, on a des exigences comme la traçabilité des accès, la documentation des traitements, les analyses d'impact ou alors les mécanismes de revue humaine pour les outils algorithmiques Merci. ou l'intelligence artificielle, par exemple, qui permettent à la fois de renforcer la conformité au RGPD et d'améliorer la robustesse des dispositifs LCBFT.
Romain Laventure
Thomas, vous le savez, je le sais, nous le savons tous, Solène, toi également, les assujettis sont des commerçants, des entreprises, avec des impératifs de chiffre d'affaires, de marge, de salaire, etc. La période, d'ailleurs, est suffisamment tendue en ce moment sur cette partie-là pour les entreprises. Et la conformité, de manière générale, alors que ce soit le KYC, la connaissance client, Le RGPD est souvent vu comme une dépense, un frein, une contrainte, sans forcément apporter de solution en face. Comment ces difficultés finalement pour les entreprises, puisqu'on leur impose une obligation, peuvent être vues comme un avantage concurrentiel plutôt que comme un problème de méthodologie ?
Thomas Dautieu
Depuis l'entrée en vigueur du RGPD en 2018, nous on a un discours à la CNIL, on essaie de convaincre, et en particulier les entreprises privées, que la conformité au RGPD... et donc assurer les droits fondamentaux des citoyens français ou européens, ça peut être un avantage concurrentiel dans un secteur numérique face à des acteurs américains ou chinois, par exemple, pour prendre vraiment les deux grands exemples. voir la conformité au RGPD comme une contrainte supplémentaire avec de la paperasse, et puis je dois nommer un DPO, et puis on me demande d'effacer mes données au bout d'un certain temps, tout ça est très dommage, et en fait c'est un boulet attaché à mes pieds dans une course que je fais contre des concurrents qui, eux, l'ont pas. On pense que nous, c'est pas la bonne approche. On pense qu'en 2026, sur le numérique, il y a vraiment une attente des citoyens, des consommateurs sur protéger mes données, et Dieu sait si on voit... tous les jours les fuites de données. Donc, il y a un vrai sujet. Ça devient vraiment un sujet de débat public sur la protection des données et au-delà, simplement, de la sécurité informatique. Donc, bref, nous, on en est convaincus. On essaie de convaincre les entreprises de dépasser un peu la vision. C'est des contraintes et derrière, ça ne m'apporte rien si ça vous apporte des tas de choses, de la sécurité informatique parce que c'est une obligation du RGPD, mais aussi un cadre de confiance avec les consommateurs. Et sur notre site, on a sorti il y a quelques mois une étude. qui démontrent un peu l'intérêt économique de la conformité au RGPD, parce qu'il y a de plus en plus d'acteurs qui sont soucieux de confier leurs données à des entreprises qui sauront les sécuriser, qui n'iront pas les revendre à droite à gauche et qui ne font pas n'importe quoi avec les données. Donc, en tous les cas, nous, on estime qu'au-delà des contraintes qui existent, elles sont réelles, on ne va pas le nier, mais il y a une façon de bien faire les choses et de faire profiter son business.
Romain Laventure
Alors Thomas, je suis complètement d'accord avec votre analyse. Une question cependant, une question de proportionnalité, de taille d'entreprise. Quand on est effectivement une société cotée au CAC 40 ou quand on est la PME du coin avec 2, 3, 4, 5 salariés, on n'a pas les mêmes moyens. On a peut-être une envie similaire, mais en tout cas, on a un problème de taille critique, si j'ose dire. Qu'est-ce que la CNIL répond à cela ?
Thomas Dautieu
C'est vrai qu'on n'a pas les mêmes moyens quand on est une toute petite entreprise ou un groupe du CAC 40. Mais ce qui est bien fait, c'est qu'on n'a pas les mêmes obligations aussi au regard du RGPD. Parce que le RGPD impose des obligations d'autant plus fortes que les données sont massives, sensibles, etc. Donc, c'est une approche par les risques. Et quand vous avez un petit fichier client sur un tableur Excel avec 200 lignes, évidemment, vous n'avez pas les mêmes obligations à l'RGPD que quand vous gérez des dizaines de millions de données sensibles ou quand vous mettez en œuvre des dispositifs de screening, de watchlist, LCDFT, on en a parlé. Et en même temps, nous, à la CNIL, en tant que régulateurs, on a aussi une approche proportionnée. On ne demande pas, lorsqu'on reçoit des plaintes ou lorsqu'on fait des contrôles ou lorsqu'on arrive à des sanctions, on n'a pas les mêmes exigences envers un grand groupe Donc, elle a une... envers une toute petite entreprise. Donc ça, c'est quelque chose que naturellement on sait. Il y a toute une réflexion actuellement sur l'adéquation du RGPD aux besoins et aux moyens des TPE-PME. Et l'ensemble des régulateurs européens vont dans un sens de simplification des textes pour les TPE-PME, parce qu'on se rend bien compte que des fois, la marche est un peu compliquée à franchir. Donc on essaie de « calibrer » les exigences pour ces entreprises.
Solène Clément
Thomas, une question avec ce que vous avez pu évoquer en introduction, peut-être l'article 75 du règlement européen qui institue le nouveau cadre juridique du développement des échanges d'informations entre les assujettis notamment. Donc avec ce développement des échanges d'informations et des outils technologiques dans les dispositifs du LCBFT, est-ce que vous avez, vous, le sentiment qu'un nouveau modèle européen est en train d'émerger sur ces sujets ? Est-ce que c'est une révolution ? Et si oui, dans quelle mesure s'en est-une ?
Thomas Dautieu
Je ne sais pas si on peut vraiment parler de révolution ou d'un nouveau modèle européen, mais en tous les cas, du point de vue de la CNIL, nous on analyse comme un renforcement de la dimension européenne de la LCBFT, avec peut-être trois mouvements. Le premier mouvement, c'est un mouvement qu'on pourrait dire d'harmonisation réglementaire. Avant, le cadre européen LCBFT, c'était des directives. Alors la directive, c'est très bien, mais on sait que c'est quand même transposé de manière plus ou moins... rigoureuse ou appliquée de manière plus ou moins rigoureuse dans un certain nombre d'États membres. Là, avec des règlements directement applicables, très clairement, on vise à une harmonisation européenne par des règlements extrêmement précis. Donc ça, c'est un premier mouvement, c'est un renforcement d'harmonisation réglementaire. Le deuxième mouvement, c'est évidemment la centralisation partielle de la supervision avec l'AMLA, on en a parlé. Tout ça dans la même logique d'avoir une lecture. plus cohérente des règles et de renforcer la coopération entre les superviseurs. Et la troisième dimension, c'est celle du partage d'informations. Vous en avez parlé, c'est l'article, notamment, pas que, mais l'article 75 du règlement, qui est, de notre point de vue, très emblématique de cette évolution. Cet article crée un cadre qui permet à des entités assujetties de partager certaines informations entre elles. C'est une évolution importante parce qu'elle traduit une volonté d'aller vers une logique plus collective de détection des risques. C'est quelque chose qu'on peut comprendre, mais en même temps, c'est un sujet très sensible. Le CEPD, on en a parlé à la réunion des CNIL européennes, a exprimé plusieurs préoccupations pendant les négociations du règlement. D'abord, ça peut conduire à une utilisation potentiellement massive de données. Ça peut conduire à la circulation de données sensibles. On ne voit pas, ou en tout cas, on peut avoir des doutes sur l'évaluation de l'efficacité réelle du dispositif. Est-ce que vraiment ça va fonctionner ? Puis, il y a peut-être un risque de transfert de certaines fonctions quasi régaliennes vers des acteurs privés. Tout ça, ça pose des questions. Ça a été soulevé par le CPD lors des négociations. Et puis, en réponse à ça, en écho, il y a eu des garanties importantes qui ont été introduites dans le texte final, au-delà de l'obligation de réaliser une étude d'impact. Il y a l'information des autorités de surveillance, il y a l'implication des autorités de protection des données. Donc ça, c'est bien, ça va dans le cadre d'une interrégulation dont on a parlé tout à l'heure. La traçabilité, l'obligation de mener leurs propres évaluations des transactions, des audits indépendants, etc. Donc ça, au total, c'est précisément cela, je trouve, qui caractérise le modèle européen émergent. C'est une volonté de concilier efficacité opérationnelle, coopération renforcée, mais aussi protection des droits fondamentaux, ce qui est évidemment... nous intéresse au premier plan. Maintenant, le défi sera assez concret. Il faudra évaluer dans le temps si ces dispositifs atteignent réellement leurs objectifs sans créer des atteintes disproportionnées aux libertés. C'est pourquoi la coopération entre l'AMLA, les superviseurs nationaux, le CPD et les CNIL européennes sera absolument essentielle dans les années à venir.
Romain Laventure
Thomas, une dernière question avant de vous laisser partir. Quelle est l'actualité de la CNIL en ce moment ?
Thomas Dautieu
Alors, l'actualité de la CNIL en ce moment, c'est évidemment le règlement sur l'intelligence artificielle. qui va rentrer progressivement en application, avec une grosse partie sur les systèmes d'IA à haut risque qui posent des questions en termes de sécurité ou de droits fondamentaux. Le projet de loi qui va donner les compétences en interne et en cours de discussion au Parlement. Et nous, on voit beaucoup, beaucoup de sujets IA qui émergent en matière de santé, d'éducation, RH, et aussi en LCBFT, puisqu'il y a de plus en plus quand même de traitements parce qu'ils traitent beaucoup de données, parce que... Il y a beaucoup d'interconnexions et le besoin d'analyser ces données repose de plus en plus sur l'IA. Donc on est en train de regarder dans quelle mesure les enjeux IA qui se cumulent avec les enjeux RGPD, donc il y aura vraiment les doubles réglementations qui vont s'appliquer, vont structurer un peu l'émergence de l'IA, notamment à LCBFT. On a beaucoup d'échanges avec la CPR qui sera compétent sur le sujet. On sera aussi compétent sur beaucoup de sujets IA. Et en conclusion, je dirais que... On va gagner un an et demi parce que la Commission européenne va repousser l'entrée en vigueur du RIA sur les systèmes dits à haut risque et qui donnera un peu plus de temps à tout le monde de se préparer parce que ça va être une montagne à franchir qui ne sera pas totalement simple. Mais en tous les cas, on s'y prépare et on sortira des éléments assez précis pour les ressources de traitement et les assujettis.
Solène Clément
Merci beaucoup, cher Thomas. N'oubliez pas les petits acteurs. Quand j'entends parler de travail avec la CPR, il ne faut pas... parce que pour le coup, l'IA... Je pense que tous les acteurs s'en saisissent et notamment aussi les petits, parce que ça permet d'aller plus, en tout cas, il y a l'idée que ça permet d'aller plus loin, plus vite. Donc, n'hésitez pas aussi à solliciter les petits acteurs. À bientôt.
Romain Laventure
Merci Thomas et à bientôt. À bientôt, merci.

About Les Podcasts du Droit et du Chiffre Lefebvre Dalloz

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

About Les Podcasts du Droit et du Chiffre Lefebvre Dalloz

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Embed

You may also like

Description

Assujettis, le podcast pour comprendre la conformité LCB-FT au plus près des textes, des pratiques et du terrain.

Invité : Thomas DAUTIEU, directeur de l’accompagnement juridique à la CNIL, la Commission Nationale de l’Informatique et des Libertés.

Préparé et animé par : Solène CLÉMENT, présidente et fondatrice de l'OLAB ; Romain LAVENTURE, président du Synaphe et trésorier de l'OLAB.

Réalisé par : Jérémy MARTIN, journaliste, Lefebvre Dalloz.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Lefebvre Dalloz
« Bienvenue dans Assujettis, le podcast de la conformité LCB-FT proposé par l'OLAB et Lefebvre Dalloz. Premier organisme associatif français dédié à la conformité LCB-FT, l'OLAB, l'observatoire de la lutte contre le blanchiment et le financement du terrorisme, réuni praticiens, experts, universitaires, et professionnels assujettis autour d'une approche transsectorielle unique. Cette approche conjugue expertise technique, réflexion opérationnelle et veille réglementaire avec une ambition forte, faire de la conformité une culture concrète, exigeante et ancrée dans les réalités du terrain. Dans chaque épisode, Assujettis donne la parole à celles et à ceux qui vivent la LCB-FT de l'intérieur pour décrypter les enjeux de la conformité au plus près du terrain. Aux commandes de ce podcast, Solène Clément, présidente et fondatrice de l'OLAB, et Romain Laventure, président du SYNAPHE, le syndicat professionnel de la domiciliation et du coworking, et trésorier de l'OLAB. Deux praticiens engagés pour aborder la LCB-FT sans détour, les textes, leurs applications, et les questions que les professionnels se posent vraiment.
Solène Clément
Bonjour à tous, ravie de vous retrouver pour ce deuxième épisode du podcast Assujettis - la conformité anti-blanchiment. Bonjour Romain.
Romain Laventure
Bonjour Solène.
Solène Clément
Bonjour M. Dautieu.
Romain Laventure
Bonjour.
Solène Clément
M. Dautieu, vous êtes le directeur de l'accompagnement juridique de la CNIL. Pourriez-vous nous parler un peu plus de vos missions au sein de la CNIL ?
Thomas Dautieu
Alors la CNIL, c'est la Commission nationale informatique et liberté, qui est l'autorité de protection des données en France, qui est chargée de faire respecter le fameux RGPD européen et la loi informatique et liberté. Donc ma direction, qui est la direction de l'accompagnement juridique. La direction qui, d'une part, rend des avis au gouvernement ou au Parlement sur des projets de texte. Donc, à ce titre, elle contribue à la création de textes sur la protection des données. Et d'autre part, elle accompagne et aide les entreprises ou les administrations dans la mise en œuvre concrète du RGPD et de la Lille, notamment en établissant des recommandations, des référentiels ou en donnant des avis qui peuvent aider les uns les autres.
Solène Clément
Très bien. Alors, premier sujet pour tous les assujettis. j'ai envie de dire de France et de Navarre, mais de l'Union européenne et de Navarre. Le grand sujet, ça va être l'entrée en vigueur du règlement 1624-2024. Est-ce que vous pourriez peut-être nous expliquer, selon vous, avec du coup ce nouveau paquet européen et la création de l'AMLA, comment la CNIL, elle voit, elle, son rôle sur ces sujets de protection des données ?
Thomas Dautieu
Alors, le nouveau paquet européen, vous en avez parlé, change... Assez profondément, en fait, le cadre dans lequel les autorités de protection européennes, donc CNIL, mais aussi les autres autorités européennes, vont intervenir. Ça va changer à plusieurs niveaux. Alors, premier niveau, c'est le rôle un peu traditionnel de la CNIL, qui est le rôle de garant des libertés fondamentales dans un contexte où les dispositifs LCBFT deviennent de plus en plus intensifs en données, utilisateurs de données ou gourmands dans les données. En effet, on voit qu'aujourd'hui, et ça va s'affirmer dans le temps, la lutte contre le blanchiment repose de plus en plus sur... Premièrement, des échanges massifs de données et des mécanismes de partage entre acteurs publics et privés, aussi bien au niveau national qu'européen. Ensuite, sur des outils de screening, des listes de sanctions, des watchlists, etc. Et sur aussi des outils algorithmiques, on parle beaucoup d'intelligence artificielle. Dans ce cas du premier rôle, dans ce rôle traditionnel de la CNIL, la vocation à s'assurer que le renforcement de tous ces outils de lutte contre la criminalité financière se fasse dans le respect des grands principes du RGPD. Donc ça, c'est le rôle classique de la CNIL, mais qui va se trouver renforcé du fait du renforcement des outils mis à disposition des acteurs. Et donc, le deuxième rôle de la CNIL qui, là aussi, se retrouve renforcé, c'est un peu celui dont je parlais directement rattaché à ma direction. C'est le rôle d'accompagnement et de sécurisation juridique des acteurs. Il y a une forte attente. Nous, on le constate très souvent des professionnels qui souhaitent disposer d'un cadre juridique clair et prévisible. et beaucoup d'acteurs ont le sentiment d'être... confrontés à des exigences parfois difficiles à articuler entre la LCBFT et la protection des données. Le rôle de la CNIL est, et sera de plus en plus, d'aider à construire cette articulation, non pas en opposant les objectifs, mais en permettant des dispositifs à la fois efficaces et juridiquement robustes. Cette sécurisation juridique passe aujourd'hui très largement par le renforcement de la coopération institutionnelle, aussi bien au niveau national qu'européen, puisqu'on voit que les sources du droit en matière de la CVT sont de plus en plus européennes. Ce nouveau règlement traduit d'ailleurs très clairement cette logique. puisqu'il prévoit explicitement l'association des autorités de protection des données, donc l'ECNIL française européenne, à ces mécanismes de supervision, notamment dans le partage d'informations prévues à l'article 75, peut-être qu'on aura l'occasion d'en reparler. Alors concrètement, ça veut dire que les autorités de supervision LCBFT devront désormais travailler en concertation avec l'ECNIL européenne afin de vérifier que les dispositifs mis en œuvre par les assujettis respectent les exigences du RGPD. Et le règlement LCBFT prévoit d'ailleurs un certain nombre d'outils, je ne vais pas rentrer trop dans les détails, mais on parle des analyses d'impact relatives à la protection des données, des mesures de sécurité, des mécanismes de gouvernance ou encore des dispositifs de contrôle et d'audit. Donc ça, c'est vraiment une évolution importante parce qu'elle permet de sortir d'une logique un peu binaire où chaque autorité interviendrait de manière isolée. Pour être un tout petit peu plus précis, je conclurai par là cette première question. Au niveau national, évidemment, ça ouvre une phase. de coopération encore plus étroite entre la CNIL et les autorités sectorielles comme la CPR, avec l'idée de construire une lecture un peu commune de ces différents textes, de façon à arriver à une convergence. Et au niveau européen, ça implique que le CEPD, qui est le Comité européen de la protection des données, qui rassemble les différentes CNIL européennes, soit de plus en plus impliqué. Alors il a été impliqué pendant les négociations du règlement. Et là, il va rentrer dans une deuxième phase de négociation avec l'AMLA pour que l'enjeu soit de structurer un dialogue durable entre les exigences RGPD et LCBFT. Enfin, je pense que c'est véritablement l'un des points clés du nouveau cadre européen, construire une supervision intégrée et harmonisée afin de garantir d'une part l'efficacité et d'autre part le respect des droits fondamentaux.
Solène Clément
Effectivement, durant les négociations sur le paquet européen, on a pu avoir accès aux publications du CEPD qui étaient montées au créneau pour... pour défendre plusieurs sujets. Est-ce qu'aujourd'hui, avec l'architecture institutionnelle telle qu'elle est prévue, telle que vous venez de la décrire, la nouvelle coopération, ça ressemble à une nouvelle dynamique. Est-ce que vous êtes confiant dans ce que ça va pouvoir produire ? Parce qu'effectivement, les acteurs, ils sont entre le marteau et l'enclume et ce n'est pas forcément évident pour eux. Est-ce que cette nouvelle architecture institutionnelle, elle vous paraît satisfaisante ou bien construite aujourd'hui ?
Thomas Dautieu
On verra ce que ça va donner, pour être tout à fait honnête. Je pense qu'il y a un facteur très positif, c'est la prise de conscience. On voit bien que la LCBFT, il y a des enjeux derrière de protection des données, il y a des enjeux de vie privée, avec des conséquences qui peuvent être extrêmement importantes pour les personnes qui seraient fichées à tort, sur une watchlist à tort, etc. Donc il y a une vraie prise de conscience au niveau européen, qui s'est traduite pour partie dans le règlement, qui s'est traduite dans les prises de position du CPD, et on peut imaginer que cette prise de conscience, aussi bien côté AMLA que côté CPD, va donner lieu à un dialogue fructueux et constructif. De ce côté-là, je pense que les signaux sont « au vert » , mais on verra dans la vraie vie ce que ça va donner dans quelques mois, quelques années.
Romain Laventure
En ce qui concerne le dispositif LCBFT, on constate qu'il y a deux outils qui prennent de plus en plus de place. On a les « watch lists » , en bon français, les listes de surveillance, et les outils de screening, qui sont des solutions logicielles qui permettent d'analyser de manière automatique des données, des fois en masse. Selon vous, quels sont les principaux points de vigilance en matière de protection des données et de liberté fondamentale ?
Thomas Dautieu
Comme vous l'avez dit, les établissements financiers, mais aussi beaucoup d'autres assujettis, utilisent ces outils pour détecter des profils à risque, identifier des personnes sous sanction ou repérer des situations potentiellement problématiques. Côté CNIL, on ne remet pas en cause leur utilité opérationnelle, mais il faut bien voir que ces outils soulèvent des questions assez sensibles du point de vue de la protection des données et des libertés fondamentales. Alors pourquoi ? D'abord parce que... que ces outils reposent sur des traitements extrêmement massifs de données personnelles et pas n'importe quelles données. C'est des données qui incluent des informations issues, ce qu'on appelle de sources ouvertes, qui sont parfois peu fiables lorsqu'elles sont élaborées par des acteurs privés internationaux. On ne sait pas toujours d'où viennent les informations mises à disposition des assujettis. Ensuite, on a des données qui sont relatives à des infractions ou des condamnations, ou avérées, ou des soupçons de condamnation. Et enfin, on a des données qui peuvent être considérées au regard du RGPD et de la loi française comme des données sensibles, des données relatives à l'opinion politique, aux convictions religieuses, etc. Donc on a vraiment un matériau de données qui sont sensibles. Or, le RGPD, le législateur européen, a prévu un régime extrêmement protecteur pour ce type de données. Et le problème aujourd'hui, c'est qu'il n'y a pas véritablement de cadre juridique sectoriel spécifique qui permet d'encadrer ces principes en matière de LCBFT. alors que normalement le RGPD le prévoit. Et donc tout ça, ça crée une insécurité juridique pour tout le monde. Alors déjà, un pour les éditeurs de Watchlist eux-mêmes, est-ce qu'ils ne font pas des fichiers entre guillemets qui seraient illégaux au regard du RGPD et des lois nationales ? Ensuite, pour les établissements qui utilisent de tels fichiers, est-ce qu'eux-mêmes ils ne sont pas en train de mettre en œuvre des traitements qui seraient illégaux ? Et puis aussi et peut-être surtout pour les personnes concernées qui voient leurs données traitées dans une sorte de no-man's land juridique avec des... des conséquences importantes sur leur vie privée. Alors cette insécurité, elle est problématique. Il y a des risques, on a commencé à les évoquer. Le premier, c'est celui de la qualité des données. Quand on travaille à très grande échelle avec des données multiples, il y a la question de la fiabilité qui devient essentielle. Une erreur d'identité, un homonyme ou une donnée obsolète, ça peut avoir des conséquences extrêmement importantes pour une personne. Le deuxième risque, c'est celui de la proportionnalité des traitements. et de l'utilisation de données sensibles, de données d'infraction, sans les garanties nécessaires, normalement, qui sont prévues par le RGPD pour réduire les risques que cela implique pour les personnes concernées. Et enfin, le troisième sujet, qui est extrêmement important et qui renvoie aux droits des personnes, c'est celui de la transparence. Dans certains cas, il y a des personnes qui ignorent totalement qu'elles figurent dans ces outils ou qu'elles font l'objet d'un screening. Et donc, elles peuvent rencontrer des difficultés considérables pour exercer leurs droits ou comprendre l'origine d'un refus ou d'un signalement qu'il en serait... opposé par une banque, par exemple. Donc la lutte contre le blanchiment, elle est évidemment indispensable, mais elle ne peut pas conduire à admettre des mécanismes de surveillance qui seraient disproportionnés ou totalement injustifiés. C'est pour ça que la CNIL, nous, on en a parfaitement conscience. On a alerté à plusieurs reprises les pouvoirs publics, tant au niveau national qu'européen, pour encadrer la constitution de ces listes par des acteurs privés. L'objectif, encore une fois, ce n'est pas de les interdire, mais c'est d'avoir un cadre juridique clair, harmonisé, protecteur. qui permettent leur utilisation dans des conditions juridiquement solides et respectueuses des droits fondamentaux des personnes.
Romain Laventure
Alors justement, en matière de droits des personnes, à votre avis, jusqu'où on peut aller dans la logique de surveillance préventive sans créer un risque de surdétection ou justement d'atteinte disproportionnée à ces fameux droits ?
Thomas Dautieu
Je pense qu'en fait, c'est une logique de bon sens, qui est de dire de quoi les assujettis vont avoir besoin pour identifier un certain nombre de risques, de quel type de données je vais avoir besoin. ou où je mets le curseur, en fait. C'est une question de curseur qui, le RGPD, pousse vers cette logique de compromis, ou en tous les cas, d'avoir un point d'équilibre à atteindre entre les obligations LCBFT et les droits des personnes, de façon à ne pas faire de la sursurveillance. Et encore une fois, ce point, il sera atteint avec un dialogue entre les différents régulateurs, les SUGT, pour essayer de savoir exactement comment naviguer dans des régulations qui peuvent paraître... mais je dis bien simplement qui peuvent paraître parfois opposées.
Solène Clément
Vous, à votre connaissance, est-ce que la CNIL reçoit beaucoup de plaintes de particuliers sur précisément ce sujet de screening ou de LCBFT ?
Thomas Dautieu
Alors, on en reçoit assez peu et peut-être pour la raison que j'ai citée tout à l'heure, qui est le manque de transparence. Quand vous ne savez pas que vous êtes « fiché » , vous ne pensez pas exercer vos droits, vous n'allez pas forcément avoir le réflexe CNIL. on peut être saisi de personnes qui... sont des personnes d'intérêt, entre guillemets, à qui on demande de remplir un certain nombre de documents et de donner d'informations assez précises sur eux ou leur entourage familial. Donc ça, on peut être saisi par ces personnes qui disent « mais je ne comprends pas pourquoi ma banque, elle me demande régulièrement des informations sur mon conjoint, mes enfants, mes ascendants, etc. » Après des kidams qui se voient refuser des services, notamment bancaires, immobiliers, etc., il y en a assez peu qui ont le réflexe de saisir la CNEL.
Solène Clément
Thomas, aujourd'hui, on a une question qui nous est beaucoup remontée depuis le terrain, à savoir que beaucoup de professionnels assujettis ont le sentiment d'être pris entre les exigences de la lutte anti-blanchiment et contre le financement du terrorisme et les exigences du RGPD, et d'être un peu seul au quotidien pour savoir comment manœuvrer ces deux exigences. Alors, est-ce que peut-être vous auriez quelques pistes pour leur expliquer comment trouver un équilibre entre à la fois... efficacité de chacun des dispositifs de LCBFT et respect des principes de protection des données. Il y a quelque chose de fondamentalement qui peut être perçu comme contradictoire, c'est-à-dire à la fois il va falloir que le professionnel aille sourcer de l'information sur l'origine des fonds, l'origine du patrimoine, obtenir un justificatif et puis en même temps, il y a la question de la protection, de la conservation des données.
Thomas Dautieu
Alors vous avez tout à fait raison, j'en ai un tout petit peu parlé, on en a un tout petit peu parlé il y a quelques instants. Et ce sentiment, il est vraiment compréhensif, parce que, comme vous l'avez dit, on a les SUGT qui font face à une montée très forte des exigences de conformité, avec des volumes de données toujours plus importants à traiter, des outils technologiques de plus en plus sophistiqués, et en plus, des attentes élevées en matière de détection des données. Et de l'autre côté, il y a le RGPD qui incite à ne pas trop collecter de données pour vraiment faire quelque chose de très court. Mais je crois qu'en fait, il est important de sortir d'une vision dans laquelle la lutte anti-blanchiment et le RGPD seraient... par nature ou nécessairement en tension. En fait, de notre point de vue, les deux cadres, ils poursuivent un objectif commun, qui est celui de la qualité et de la fiabilité des dispositifs. On a parfois tendance à penser, y compris en LCBFT, que plus un système collecte de données, et plus il sera efficace. Or, ce n'est pas forcément vrai, c'est ce qu'on voit, nous, assez régulièrement à la CNIL, pour une raison très simple, c'est que des volumes excessifs de données peuvent avoir au contraire... créer ce qu'on appelle du bruit informationnel. Quand il y a trop de données, on n'arrive plus à les faire parler. Ça peut augmenter les risques de faux positifs. Ça rend par définition les analyses plus difficiles. Ça mobilise inutilement les équipes de conformité. Et au final, tout ça, ça peut nuire à l'efficacité opérationnelle des dispositifs de LCBFT. Donc nous, ce qu'on dit, mais c'est aussi vrai en matière de marketing, c'est qu'un système qui collecte trop de données, à la fin, il peut devenir moins performant. Et c'est là, en fait, où le... le RGPD a tout son intérêt, au-delà de protéger évidemment les droits fondamentaux, c'est que ces grands principes jouent un rôle utile. Les principes de minimisation, de proportionnalité ou de limitation des finalités, ce n'est pas simplement des contraintes juridiques, c'est aussi des principes de bonne gouvernance de la donnée. Donc l'idée, ce n'est pas de collecter le plus de données possibles, je l'ai déjà dit, mais c'est de collecter les données qui sont pertinentes, fiables et réellement nécessaires à l'objectif poursuivi. Et cette exigence de qualité, elle est essentielle en matière de LCBFT C'est où ? les conséquences d'une erreur peuvent être hyper importantes, les faux signalements, les difficultés d'accès à des services pour les personnes, des suspicions injustifiées ou la surcharge des dispositifs de contrôle. Donc la question de la qualité des données est au cœur de l'articulation entre l'efficacité opérationnelle et la protection des droits fondamentaux. Et de la même manière, on a des exigences comme la traçabilité des accès, la documentation des traitements, les analyses d'impact ou alors les mécanismes de revue humaine pour les outils algorithmiques Merci. ou l'intelligence artificielle, par exemple, qui permettent à la fois de renforcer la conformité au RGPD et d'améliorer la robustesse des dispositifs LCBFT.
Romain Laventure
Thomas, vous le savez, je le sais, nous le savons tous, Solène, toi également, les assujettis sont des commerçants, des entreprises, avec des impératifs de chiffre d'affaires, de marge, de salaire, etc. La période, d'ailleurs, est suffisamment tendue en ce moment sur cette partie-là pour les entreprises. Et la conformité, de manière générale, alors que ce soit le KYC, la connaissance client, Le RGPD est souvent vu comme une dépense, un frein, une contrainte, sans forcément apporter de solution en face. Comment ces difficultés finalement pour les entreprises, puisqu'on leur impose une obligation, peuvent être vues comme un avantage concurrentiel plutôt que comme un problème de méthodologie ?
Thomas Dautieu
Depuis l'entrée en vigueur du RGPD en 2018, nous on a un discours à la CNIL, on essaie de convaincre, et en particulier les entreprises privées, que la conformité au RGPD... et donc assurer les droits fondamentaux des citoyens français ou européens, ça peut être un avantage concurrentiel dans un secteur numérique face à des acteurs américains ou chinois, par exemple, pour prendre vraiment les deux grands exemples. voir la conformité au RGPD comme une contrainte supplémentaire avec de la paperasse, et puis je dois nommer un DPO, et puis on me demande d'effacer mes données au bout d'un certain temps, tout ça est très dommage, et en fait c'est un boulet attaché à mes pieds dans une course que je fais contre des concurrents qui, eux, l'ont pas. On pense que nous, c'est pas la bonne approche. On pense qu'en 2026, sur le numérique, il y a vraiment une attente des citoyens, des consommateurs sur protéger mes données, et Dieu sait si on voit... tous les jours les fuites de données. Donc, il y a un vrai sujet. Ça devient vraiment un sujet de débat public sur la protection des données et au-delà, simplement, de la sécurité informatique. Donc, bref, nous, on en est convaincus. On essaie de convaincre les entreprises de dépasser un peu la vision. C'est des contraintes et derrière, ça ne m'apporte rien si ça vous apporte des tas de choses, de la sécurité informatique parce que c'est une obligation du RGPD, mais aussi un cadre de confiance avec les consommateurs. Et sur notre site, on a sorti il y a quelques mois une étude. qui démontrent un peu l'intérêt économique de la conformité au RGPD, parce qu'il y a de plus en plus d'acteurs qui sont soucieux de confier leurs données à des entreprises qui sauront les sécuriser, qui n'iront pas les revendre à droite à gauche et qui ne font pas n'importe quoi avec les données. Donc, en tous les cas, nous, on estime qu'au-delà des contraintes qui existent, elles sont réelles, on ne va pas le nier, mais il y a une façon de bien faire les choses et de faire profiter son business.
Romain Laventure
Alors Thomas, je suis complètement d'accord avec votre analyse. Une question cependant, une question de proportionnalité, de taille d'entreprise. Quand on est effectivement une société cotée au CAC 40 ou quand on est la PME du coin avec 2, 3, 4, 5 salariés, on n'a pas les mêmes moyens. On a peut-être une envie similaire, mais en tout cas, on a un problème de taille critique, si j'ose dire. Qu'est-ce que la CNIL répond à cela ?
Thomas Dautieu
C'est vrai qu'on n'a pas les mêmes moyens quand on est une toute petite entreprise ou un groupe du CAC 40. Mais ce qui est bien fait, c'est qu'on n'a pas les mêmes obligations aussi au regard du RGPD. Parce que le RGPD impose des obligations d'autant plus fortes que les données sont massives, sensibles, etc. Donc, c'est une approche par les risques. Et quand vous avez un petit fichier client sur un tableur Excel avec 200 lignes, évidemment, vous n'avez pas les mêmes obligations à l'RGPD que quand vous gérez des dizaines de millions de données sensibles ou quand vous mettez en œuvre des dispositifs de screening, de watchlist, LCDFT, on en a parlé. Et en même temps, nous, à la CNIL, en tant que régulateurs, on a aussi une approche proportionnée. On ne demande pas, lorsqu'on reçoit des plaintes ou lorsqu'on fait des contrôles ou lorsqu'on arrive à des sanctions, on n'a pas les mêmes exigences envers un grand groupe Donc, elle a une... envers une toute petite entreprise. Donc ça, c'est quelque chose que naturellement on sait. Il y a toute une réflexion actuellement sur l'adéquation du RGPD aux besoins et aux moyens des TPE-PME. Et l'ensemble des régulateurs européens vont dans un sens de simplification des textes pour les TPE-PME, parce qu'on se rend bien compte que des fois, la marche est un peu compliquée à franchir. Donc on essaie de « calibrer » les exigences pour ces entreprises.
Solène Clément
Thomas, une question avec ce que vous avez pu évoquer en introduction, peut-être l'article 75 du règlement européen qui institue le nouveau cadre juridique du développement des échanges d'informations entre les assujettis notamment. Donc avec ce développement des échanges d'informations et des outils technologiques dans les dispositifs du LCBFT, est-ce que vous avez, vous, le sentiment qu'un nouveau modèle européen est en train d'émerger sur ces sujets ? Est-ce que c'est une révolution ? Et si oui, dans quelle mesure s'en est-une ?
Thomas Dautieu
Je ne sais pas si on peut vraiment parler de révolution ou d'un nouveau modèle européen, mais en tous les cas, du point de vue de la CNIL, nous on analyse comme un renforcement de la dimension européenne de la LCBFT, avec peut-être trois mouvements. Le premier mouvement, c'est un mouvement qu'on pourrait dire d'harmonisation réglementaire. Avant, le cadre européen LCBFT, c'était des directives. Alors la directive, c'est très bien, mais on sait que c'est quand même transposé de manière plus ou moins... rigoureuse ou appliquée de manière plus ou moins rigoureuse dans un certain nombre d'États membres. Là, avec des règlements directement applicables, très clairement, on vise à une harmonisation européenne par des règlements extrêmement précis. Donc ça, c'est un premier mouvement, c'est un renforcement d'harmonisation réglementaire. Le deuxième mouvement, c'est évidemment la centralisation partielle de la supervision avec l'AMLA, on en a parlé. Tout ça dans la même logique d'avoir une lecture. plus cohérente des règles et de renforcer la coopération entre les superviseurs. Et la troisième dimension, c'est celle du partage d'informations. Vous en avez parlé, c'est l'article, notamment, pas que, mais l'article 75 du règlement, qui est, de notre point de vue, très emblématique de cette évolution. Cet article crée un cadre qui permet à des entités assujetties de partager certaines informations entre elles. C'est une évolution importante parce qu'elle traduit une volonté d'aller vers une logique plus collective de détection des risques. C'est quelque chose qu'on peut comprendre, mais en même temps, c'est un sujet très sensible. Le CEPD, on en a parlé à la réunion des CNIL européennes, a exprimé plusieurs préoccupations pendant les négociations du règlement. D'abord, ça peut conduire à une utilisation potentiellement massive de données. Ça peut conduire à la circulation de données sensibles. On ne voit pas, ou en tout cas, on peut avoir des doutes sur l'évaluation de l'efficacité réelle du dispositif. Est-ce que vraiment ça va fonctionner ? Puis, il y a peut-être un risque de transfert de certaines fonctions quasi régaliennes vers des acteurs privés. Tout ça, ça pose des questions. Ça a été soulevé par le CPD lors des négociations. Et puis, en réponse à ça, en écho, il y a eu des garanties importantes qui ont été introduites dans le texte final, au-delà de l'obligation de réaliser une étude d'impact. Il y a l'information des autorités de surveillance, il y a l'implication des autorités de protection des données. Donc ça, c'est bien, ça va dans le cadre d'une interrégulation dont on a parlé tout à l'heure. La traçabilité, l'obligation de mener leurs propres évaluations des transactions, des audits indépendants, etc. Donc ça, au total, c'est précisément cela, je trouve, qui caractérise le modèle européen émergent. C'est une volonté de concilier efficacité opérationnelle, coopération renforcée, mais aussi protection des droits fondamentaux, ce qui est évidemment... nous intéresse au premier plan. Maintenant, le défi sera assez concret. Il faudra évaluer dans le temps si ces dispositifs atteignent réellement leurs objectifs sans créer des atteintes disproportionnées aux libertés. C'est pourquoi la coopération entre l'AMLA, les superviseurs nationaux, le CPD et les CNIL européennes sera absolument essentielle dans les années à venir.
Romain Laventure
Thomas, une dernière question avant de vous laisser partir. Quelle est l'actualité de la CNIL en ce moment ?
Thomas Dautieu
Alors, l'actualité de la CNIL en ce moment, c'est évidemment le règlement sur l'intelligence artificielle. qui va rentrer progressivement en application, avec une grosse partie sur les systèmes d'IA à haut risque qui posent des questions en termes de sécurité ou de droits fondamentaux. Le projet de loi qui va donner les compétences en interne et en cours de discussion au Parlement. Et nous, on voit beaucoup, beaucoup de sujets IA qui émergent en matière de santé, d'éducation, RH, et aussi en LCBFT, puisqu'il y a de plus en plus quand même de traitements parce qu'ils traitent beaucoup de données, parce que... Il y a beaucoup d'interconnexions et le besoin d'analyser ces données repose de plus en plus sur l'IA. Donc on est en train de regarder dans quelle mesure les enjeux IA qui se cumulent avec les enjeux RGPD, donc il y aura vraiment les doubles réglementations qui vont s'appliquer, vont structurer un peu l'émergence de l'IA, notamment à LCBFT. On a beaucoup d'échanges avec la CPR qui sera compétent sur le sujet. On sera aussi compétent sur beaucoup de sujets IA. Et en conclusion, je dirais que... On va gagner un an et demi parce que la Commission européenne va repousser l'entrée en vigueur du RIA sur les systèmes dits à haut risque et qui donnera un peu plus de temps à tout le monde de se préparer parce que ça va être une montagne à franchir qui ne sera pas totalement simple. Mais en tous les cas, on s'y prépare et on sortira des éléments assez précis pour les ressources de traitement et les assujettis.
Solène Clément
Merci beaucoup, cher Thomas. N'oubliez pas les petits acteurs. Quand j'entends parler de travail avec la CPR, il ne faut pas... parce que pour le coup, l'IA... Je pense que tous les acteurs s'en saisissent et notamment aussi les petits, parce que ça permet d'aller plus, en tout cas, il y a l'idée que ça permet d'aller plus loin, plus vite. Donc, n'hésitez pas aussi à solliciter les petits acteurs. À bientôt.
Romain Laventure
Merci Thomas et à bientôt. À bientôt, merci.

About Les Podcasts du Droit et du Chiffre Lefebvre Dalloz

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

About Les Podcasts du Droit et du Chiffre Lefebvre Dalloz

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Description

Assujettis, le podcast pour comprendre la conformité LCB-FT au plus près des textes, des pratiques et du terrain.

Invité : Thomas DAUTIEU, directeur de l’accompagnement juridique à la CNIL, la Commission Nationale de l’Informatique et des Libertés.

Préparé et animé par : Solène CLÉMENT, présidente et fondatrice de l'OLAB ; Romain LAVENTURE, président du Synaphe et trésorier de l'OLAB.

Réalisé par : Jérémy MARTIN, journaliste, Lefebvre Dalloz.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Lefebvre Dalloz
« Bienvenue dans Assujettis, le podcast de la conformité LCB-FT proposé par l'OLAB et Lefebvre Dalloz. Premier organisme associatif français dédié à la conformité LCB-FT, l'OLAB, l'observatoire de la lutte contre le blanchiment et le financement du terrorisme, réuni praticiens, experts, universitaires, et professionnels assujettis autour d'une approche transsectorielle unique. Cette approche conjugue expertise technique, réflexion opérationnelle et veille réglementaire avec une ambition forte, faire de la conformité une culture concrète, exigeante et ancrée dans les réalités du terrain. Dans chaque épisode, Assujettis donne la parole à celles et à ceux qui vivent la LCB-FT de l'intérieur pour décrypter les enjeux de la conformité au plus près du terrain. Aux commandes de ce podcast, Solène Clément, présidente et fondatrice de l'OLAB, et Romain Laventure, président du SYNAPHE, le syndicat professionnel de la domiciliation et du coworking, et trésorier de l'OLAB. Deux praticiens engagés pour aborder la LCB-FT sans détour, les textes, leurs applications, et les questions que les professionnels se posent vraiment.
Solène Clément
Bonjour à tous, ravie de vous retrouver pour ce deuxième épisode du podcast Assujettis - la conformité anti-blanchiment. Bonjour Romain.
Romain Laventure
Bonjour Solène.
Solène Clément
Bonjour M. Dautieu.
Romain Laventure
Bonjour.
Solène Clément
M. Dautieu, vous êtes le directeur de l'accompagnement juridique de la CNIL. Pourriez-vous nous parler un peu plus de vos missions au sein de la CNIL ?
Thomas Dautieu
Alors la CNIL, c'est la Commission nationale informatique et liberté, qui est l'autorité de protection des données en France, qui est chargée de faire respecter le fameux RGPD européen et la loi informatique et liberté. Donc ma direction, qui est la direction de l'accompagnement juridique. La direction qui, d'une part, rend des avis au gouvernement ou au Parlement sur des projets de texte. Donc, à ce titre, elle contribue à la création de textes sur la protection des données. Et d'autre part, elle accompagne et aide les entreprises ou les administrations dans la mise en œuvre concrète du RGPD et de la Lille, notamment en établissant des recommandations, des référentiels ou en donnant des avis qui peuvent aider les uns les autres.
Solène Clément
Très bien. Alors, premier sujet pour tous les assujettis. j'ai envie de dire de France et de Navarre, mais de l'Union européenne et de Navarre. Le grand sujet, ça va être l'entrée en vigueur du règlement 1624-2024. Est-ce que vous pourriez peut-être nous expliquer, selon vous, avec du coup ce nouveau paquet européen et la création de l'AMLA, comment la CNIL, elle voit, elle, son rôle sur ces sujets de protection des données ?
Thomas Dautieu
Alors, le nouveau paquet européen, vous en avez parlé, change... Assez profondément, en fait, le cadre dans lequel les autorités de protection européennes, donc CNIL, mais aussi les autres autorités européennes, vont intervenir. Ça va changer à plusieurs niveaux. Alors, premier niveau, c'est le rôle un peu traditionnel de la CNIL, qui est le rôle de garant des libertés fondamentales dans un contexte où les dispositifs LCBFT deviennent de plus en plus intensifs en données, utilisateurs de données ou gourmands dans les données. En effet, on voit qu'aujourd'hui, et ça va s'affirmer dans le temps, la lutte contre le blanchiment repose de plus en plus sur... Premièrement, des échanges massifs de données et des mécanismes de partage entre acteurs publics et privés, aussi bien au niveau national qu'européen. Ensuite, sur des outils de screening, des listes de sanctions, des watchlists, etc. Et sur aussi des outils algorithmiques, on parle beaucoup d'intelligence artificielle. Dans ce cas du premier rôle, dans ce rôle traditionnel de la CNIL, la vocation à s'assurer que le renforcement de tous ces outils de lutte contre la criminalité financière se fasse dans le respect des grands principes du RGPD. Donc ça, c'est le rôle classique de la CNIL, mais qui va se trouver renforcé du fait du renforcement des outils mis à disposition des acteurs. Et donc, le deuxième rôle de la CNIL qui, là aussi, se retrouve renforcé, c'est un peu celui dont je parlais directement rattaché à ma direction. C'est le rôle d'accompagnement et de sécurisation juridique des acteurs. Il y a une forte attente. Nous, on le constate très souvent des professionnels qui souhaitent disposer d'un cadre juridique clair et prévisible. et beaucoup d'acteurs ont le sentiment d'être... confrontés à des exigences parfois difficiles à articuler entre la LCBFT et la protection des données. Le rôle de la CNIL est, et sera de plus en plus, d'aider à construire cette articulation, non pas en opposant les objectifs, mais en permettant des dispositifs à la fois efficaces et juridiquement robustes. Cette sécurisation juridique passe aujourd'hui très largement par le renforcement de la coopération institutionnelle, aussi bien au niveau national qu'européen, puisqu'on voit que les sources du droit en matière de la CVT sont de plus en plus européennes. Ce nouveau règlement traduit d'ailleurs très clairement cette logique. puisqu'il prévoit explicitement l'association des autorités de protection des données, donc l'ECNIL française européenne, à ces mécanismes de supervision, notamment dans le partage d'informations prévues à l'article 75, peut-être qu'on aura l'occasion d'en reparler. Alors concrètement, ça veut dire que les autorités de supervision LCBFT devront désormais travailler en concertation avec l'ECNIL européenne afin de vérifier que les dispositifs mis en œuvre par les assujettis respectent les exigences du RGPD. Et le règlement LCBFT prévoit d'ailleurs un certain nombre d'outils, je ne vais pas rentrer trop dans les détails, mais on parle des analyses d'impact relatives à la protection des données, des mesures de sécurité, des mécanismes de gouvernance ou encore des dispositifs de contrôle et d'audit. Donc ça, c'est vraiment une évolution importante parce qu'elle permet de sortir d'une logique un peu binaire où chaque autorité interviendrait de manière isolée. Pour être un tout petit peu plus précis, je conclurai par là cette première question. Au niveau national, évidemment, ça ouvre une phase. de coopération encore plus étroite entre la CNIL et les autorités sectorielles comme la CPR, avec l'idée de construire une lecture un peu commune de ces différents textes, de façon à arriver à une convergence. Et au niveau européen, ça implique que le CEPD, qui est le Comité européen de la protection des données, qui rassemble les différentes CNIL européennes, soit de plus en plus impliqué. Alors il a été impliqué pendant les négociations du règlement. Et là, il va rentrer dans une deuxième phase de négociation avec l'AMLA pour que l'enjeu soit de structurer un dialogue durable entre les exigences RGPD et LCBFT. Enfin, je pense que c'est véritablement l'un des points clés du nouveau cadre européen, construire une supervision intégrée et harmonisée afin de garantir d'une part l'efficacité et d'autre part le respect des droits fondamentaux.
Solène Clément
Effectivement, durant les négociations sur le paquet européen, on a pu avoir accès aux publications du CEPD qui étaient montées au créneau pour... pour défendre plusieurs sujets. Est-ce qu'aujourd'hui, avec l'architecture institutionnelle telle qu'elle est prévue, telle que vous venez de la décrire, la nouvelle coopération, ça ressemble à une nouvelle dynamique. Est-ce que vous êtes confiant dans ce que ça va pouvoir produire ? Parce qu'effectivement, les acteurs, ils sont entre le marteau et l'enclume et ce n'est pas forcément évident pour eux. Est-ce que cette nouvelle architecture institutionnelle, elle vous paraît satisfaisante ou bien construite aujourd'hui ?
Thomas Dautieu
On verra ce que ça va donner, pour être tout à fait honnête. Je pense qu'il y a un facteur très positif, c'est la prise de conscience. On voit bien que la LCBFT, il y a des enjeux derrière de protection des données, il y a des enjeux de vie privée, avec des conséquences qui peuvent être extrêmement importantes pour les personnes qui seraient fichées à tort, sur une watchlist à tort, etc. Donc il y a une vraie prise de conscience au niveau européen, qui s'est traduite pour partie dans le règlement, qui s'est traduite dans les prises de position du CPD, et on peut imaginer que cette prise de conscience, aussi bien côté AMLA que côté CPD, va donner lieu à un dialogue fructueux et constructif. De ce côté-là, je pense que les signaux sont « au vert » , mais on verra dans la vraie vie ce que ça va donner dans quelques mois, quelques années.
Romain Laventure
En ce qui concerne le dispositif LCBFT, on constate qu'il y a deux outils qui prennent de plus en plus de place. On a les « watch lists » , en bon français, les listes de surveillance, et les outils de screening, qui sont des solutions logicielles qui permettent d'analyser de manière automatique des données, des fois en masse. Selon vous, quels sont les principaux points de vigilance en matière de protection des données et de liberté fondamentale ?
Thomas Dautieu
Comme vous l'avez dit, les établissements financiers, mais aussi beaucoup d'autres assujettis, utilisent ces outils pour détecter des profils à risque, identifier des personnes sous sanction ou repérer des situations potentiellement problématiques. Côté CNIL, on ne remet pas en cause leur utilité opérationnelle, mais il faut bien voir que ces outils soulèvent des questions assez sensibles du point de vue de la protection des données et des libertés fondamentales. Alors pourquoi ? D'abord parce que... que ces outils reposent sur des traitements extrêmement massifs de données personnelles et pas n'importe quelles données. C'est des données qui incluent des informations issues, ce qu'on appelle de sources ouvertes, qui sont parfois peu fiables lorsqu'elles sont élaborées par des acteurs privés internationaux. On ne sait pas toujours d'où viennent les informations mises à disposition des assujettis. Ensuite, on a des données qui sont relatives à des infractions ou des condamnations, ou avérées, ou des soupçons de condamnation. Et enfin, on a des données qui peuvent être considérées au regard du RGPD et de la loi française comme des données sensibles, des données relatives à l'opinion politique, aux convictions religieuses, etc. Donc on a vraiment un matériau de données qui sont sensibles. Or, le RGPD, le législateur européen, a prévu un régime extrêmement protecteur pour ce type de données. Et le problème aujourd'hui, c'est qu'il n'y a pas véritablement de cadre juridique sectoriel spécifique qui permet d'encadrer ces principes en matière de LCBFT. alors que normalement le RGPD le prévoit. Et donc tout ça, ça crée une insécurité juridique pour tout le monde. Alors déjà, un pour les éditeurs de Watchlist eux-mêmes, est-ce qu'ils ne font pas des fichiers entre guillemets qui seraient illégaux au regard du RGPD et des lois nationales ? Ensuite, pour les établissements qui utilisent de tels fichiers, est-ce qu'eux-mêmes ils ne sont pas en train de mettre en œuvre des traitements qui seraient illégaux ? Et puis aussi et peut-être surtout pour les personnes concernées qui voient leurs données traitées dans une sorte de no-man's land juridique avec des... des conséquences importantes sur leur vie privée. Alors cette insécurité, elle est problématique. Il y a des risques, on a commencé à les évoquer. Le premier, c'est celui de la qualité des données. Quand on travaille à très grande échelle avec des données multiples, il y a la question de la fiabilité qui devient essentielle. Une erreur d'identité, un homonyme ou une donnée obsolète, ça peut avoir des conséquences extrêmement importantes pour une personne. Le deuxième risque, c'est celui de la proportionnalité des traitements. et de l'utilisation de données sensibles, de données d'infraction, sans les garanties nécessaires, normalement, qui sont prévues par le RGPD pour réduire les risques que cela implique pour les personnes concernées. Et enfin, le troisième sujet, qui est extrêmement important et qui renvoie aux droits des personnes, c'est celui de la transparence. Dans certains cas, il y a des personnes qui ignorent totalement qu'elles figurent dans ces outils ou qu'elles font l'objet d'un screening. Et donc, elles peuvent rencontrer des difficultés considérables pour exercer leurs droits ou comprendre l'origine d'un refus ou d'un signalement qu'il en serait... opposé par une banque, par exemple. Donc la lutte contre le blanchiment, elle est évidemment indispensable, mais elle ne peut pas conduire à admettre des mécanismes de surveillance qui seraient disproportionnés ou totalement injustifiés. C'est pour ça que la CNIL, nous, on en a parfaitement conscience. On a alerté à plusieurs reprises les pouvoirs publics, tant au niveau national qu'européen, pour encadrer la constitution de ces listes par des acteurs privés. L'objectif, encore une fois, ce n'est pas de les interdire, mais c'est d'avoir un cadre juridique clair, harmonisé, protecteur. qui permettent leur utilisation dans des conditions juridiquement solides et respectueuses des droits fondamentaux des personnes.
Romain Laventure
Alors justement, en matière de droits des personnes, à votre avis, jusqu'où on peut aller dans la logique de surveillance préventive sans créer un risque de surdétection ou justement d'atteinte disproportionnée à ces fameux droits ?
Thomas Dautieu
Je pense qu'en fait, c'est une logique de bon sens, qui est de dire de quoi les assujettis vont avoir besoin pour identifier un certain nombre de risques, de quel type de données je vais avoir besoin. ou où je mets le curseur, en fait. C'est une question de curseur qui, le RGPD, pousse vers cette logique de compromis, ou en tous les cas, d'avoir un point d'équilibre à atteindre entre les obligations LCBFT et les droits des personnes, de façon à ne pas faire de la sursurveillance. Et encore une fois, ce point, il sera atteint avec un dialogue entre les différents régulateurs, les SUGT, pour essayer de savoir exactement comment naviguer dans des régulations qui peuvent paraître... mais je dis bien simplement qui peuvent paraître parfois opposées.
Solène Clément
Vous, à votre connaissance, est-ce que la CNIL reçoit beaucoup de plaintes de particuliers sur précisément ce sujet de screening ou de LCBFT ?
Thomas Dautieu
Alors, on en reçoit assez peu et peut-être pour la raison que j'ai citée tout à l'heure, qui est le manque de transparence. Quand vous ne savez pas que vous êtes « fiché » , vous ne pensez pas exercer vos droits, vous n'allez pas forcément avoir le réflexe CNIL. on peut être saisi de personnes qui... sont des personnes d'intérêt, entre guillemets, à qui on demande de remplir un certain nombre de documents et de donner d'informations assez précises sur eux ou leur entourage familial. Donc ça, on peut être saisi par ces personnes qui disent « mais je ne comprends pas pourquoi ma banque, elle me demande régulièrement des informations sur mon conjoint, mes enfants, mes ascendants, etc. » Après des kidams qui se voient refuser des services, notamment bancaires, immobiliers, etc., il y en a assez peu qui ont le réflexe de saisir la CNEL.
Solène Clément
Thomas, aujourd'hui, on a une question qui nous est beaucoup remontée depuis le terrain, à savoir que beaucoup de professionnels assujettis ont le sentiment d'être pris entre les exigences de la lutte anti-blanchiment et contre le financement du terrorisme et les exigences du RGPD, et d'être un peu seul au quotidien pour savoir comment manœuvrer ces deux exigences. Alors, est-ce que peut-être vous auriez quelques pistes pour leur expliquer comment trouver un équilibre entre à la fois... efficacité de chacun des dispositifs de LCBFT et respect des principes de protection des données. Il y a quelque chose de fondamentalement qui peut être perçu comme contradictoire, c'est-à-dire à la fois il va falloir que le professionnel aille sourcer de l'information sur l'origine des fonds, l'origine du patrimoine, obtenir un justificatif et puis en même temps, il y a la question de la protection, de la conservation des données.
Thomas Dautieu
Alors vous avez tout à fait raison, j'en ai un tout petit peu parlé, on en a un tout petit peu parlé il y a quelques instants. Et ce sentiment, il est vraiment compréhensif, parce que, comme vous l'avez dit, on a les SUGT qui font face à une montée très forte des exigences de conformité, avec des volumes de données toujours plus importants à traiter, des outils technologiques de plus en plus sophistiqués, et en plus, des attentes élevées en matière de détection des données. Et de l'autre côté, il y a le RGPD qui incite à ne pas trop collecter de données pour vraiment faire quelque chose de très court. Mais je crois qu'en fait, il est important de sortir d'une vision dans laquelle la lutte anti-blanchiment et le RGPD seraient... par nature ou nécessairement en tension. En fait, de notre point de vue, les deux cadres, ils poursuivent un objectif commun, qui est celui de la qualité et de la fiabilité des dispositifs. On a parfois tendance à penser, y compris en LCBFT, que plus un système collecte de données, et plus il sera efficace. Or, ce n'est pas forcément vrai, c'est ce qu'on voit, nous, assez régulièrement à la CNIL, pour une raison très simple, c'est que des volumes excessifs de données peuvent avoir au contraire... créer ce qu'on appelle du bruit informationnel. Quand il y a trop de données, on n'arrive plus à les faire parler. Ça peut augmenter les risques de faux positifs. Ça rend par définition les analyses plus difficiles. Ça mobilise inutilement les équipes de conformité. Et au final, tout ça, ça peut nuire à l'efficacité opérationnelle des dispositifs de LCBFT. Donc nous, ce qu'on dit, mais c'est aussi vrai en matière de marketing, c'est qu'un système qui collecte trop de données, à la fin, il peut devenir moins performant. Et c'est là, en fait, où le... le RGPD a tout son intérêt, au-delà de protéger évidemment les droits fondamentaux, c'est que ces grands principes jouent un rôle utile. Les principes de minimisation, de proportionnalité ou de limitation des finalités, ce n'est pas simplement des contraintes juridiques, c'est aussi des principes de bonne gouvernance de la donnée. Donc l'idée, ce n'est pas de collecter le plus de données possibles, je l'ai déjà dit, mais c'est de collecter les données qui sont pertinentes, fiables et réellement nécessaires à l'objectif poursuivi. Et cette exigence de qualité, elle est essentielle en matière de LCBFT C'est où ? les conséquences d'une erreur peuvent être hyper importantes, les faux signalements, les difficultés d'accès à des services pour les personnes, des suspicions injustifiées ou la surcharge des dispositifs de contrôle. Donc la question de la qualité des données est au cœur de l'articulation entre l'efficacité opérationnelle et la protection des droits fondamentaux. Et de la même manière, on a des exigences comme la traçabilité des accès, la documentation des traitements, les analyses d'impact ou alors les mécanismes de revue humaine pour les outils algorithmiques Merci. ou l'intelligence artificielle, par exemple, qui permettent à la fois de renforcer la conformité au RGPD et d'améliorer la robustesse des dispositifs LCBFT.
Romain Laventure
Thomas, vous le savez, je le sais, nous le savons tous, Solène, toi également, les assujettis sont des commerçants, des entreprises, avec des impératifs de chiffre d'affaires, de marge, de salaire, etc. La période, d'ailleurs, est suffisamment tendue en ce moment sur cette partie-là pour les entreprises. Et la conformité, de manière générale, alors que ce soit le KYC, la connaissance client, Le RGPD est souvent vu comme une dépense, un frein, une contrainte, sans forcément apporter de solution en face. Comment ces difficultés finalement pour les entreprises, puisqu'on leur impose une obligation, peuvent être vues comme un avantage concurrentiel plutôt que comme un problème de méthodologie ?
Thomas Dautieu
Depuis l'entrée en vigueur du RGPD en 2018, nous on a un discours à la CNIL, on essaie de convaincre, et en particulier les entreprises privées, que la conformité au RGPD... et donc assurer les droits fondamentaux des citoyens français ou européens, ça peut être un avantage concurrentiel dans un secteur numérique face à des acteurs américains ou chinois, par exemple, pour prendre vraiment les deux grands exemples. voir la conformité au RGPD comme une contrainte supplémentaire avec de la paperasse, et puis je dois nommer un DPO, et puis on me demande d'effacer mes données au bout d'un certain temps, tout ça est très dommage, et en fait c'est un boulet attaché à mes pieds dans une course que je fais contre des concurrents qui, eux, l'ont pas. On pense que nous, c'est pas la bonne approche. On pense qu'en 2026, sur le numérique, il y a vraiment une attente des citoyens, des consommateurs sur protéger mes données, et Dieu sait si on voit... tous les jours les fuites de données. Donc, il y a un vrai sujet. Ça devient vraiment un sujet de débat public sur la protection des données et au-delà, simplement, de la sécurité informatique. Donc, bref, nous, on en est convaincus. On essaie de convaincre les entreprises de dépasser un peu la vision. C'est des contraintes et derrière, ça ne m'apporte rien si ça vous apporte des tas de choses, de la sécurité informatique parce que c'est une obligation du RGPD, mais aussi un cadre de confiance avec les consommateurs. Et sur notre site, on a sorti il y a quelques mois une étude. qui démontrent un peu l'intérêt économique de la conformité au RGPD, parce qu'il y a de plus en plus d'acteurs qui sont soucieux de confier leurs données à des entreprises qui sauront les sécuriser, qui n'iront pas les revendre à droite à gauche et qui ne font pas n'importe quoi avec les données. Donc, en tous les cas, nous, on estime qu'au-delà des contraintes qui existent, elles sont réelles, on ne va pas le nier, mais il y a une façon de bien faire les choses et de faire profiter son business.
Romain Laventure
Alors Thomas, je suis complètement d'accord avec votre analyse. Une question cependant, une question de proportionnalité, de taille d'entreprise. Quand on est effectivement une société cotée au CAC 40 ou quand on est la PME du coin avec 2, 3, 4, 5 salariés, on n'a pas les mêmes moyens. On a peut-être une envie similaire, mais en tout cas, on a un problème de taille critique, si j'ose dire. Qu'est-ce que la CNIL répond à cela ?
Thomas Dautieu
C'est vrai qu'on n'a pas les mêmes moyens quand on est une toute petite entreprise ou un groupe du CAC 40. Mais ce qui est bien fait, c'est qu'on n'a pas les mêmes obligations aussi au regard du RGPD. Parce que le RGPD impose des obligations d'autant plus fortes que les données sont massives, sensibles, etc. Donc, c'est une approche par les risques. Et quand vous avez un petit fichier client sur un tableur Excel avec 200 lignes, évidemment, vous n'avez pas les mêmes obligations à l'RGPD que quand vous gérez des dizaines de millions de données sensibles ou quand vous mettez en œuvre des dispositifs de screening, de watchlist, LCDFT, on en a parlé. Et en même temps, nous, à la CNIL, en tant que régulateurs, on a aussi une approche proportionnée. On ne demande pas, lorsqu'on reçoit des plaintes ou lorsqu'on fait des contrôles ou lorsqu'on arrive à des sanctions, on n'a pas les mêmes exigences envers un grand groupe Donc, elle a une... envers une toute petite entreprise. Donc ça, c'est quelque chose que naturellement on sait. Il y a toute une réflexion actuellement sur l'adéquation du RGPD aux besoins et aux moyens des TPE-PME. Et l'ensemble des régulateurs européens vont dans un sens de simplification des textes pour les TPE-PME, parce qu'on se rend bien compte que des fois, la marche est un peu compliquée à franchir. Donc on essaie de « calibrer » les exigences pour ces entreprises.
Solène Clément
Thomas, une question avec ce que vous avez pu évoquer en introduction, peut-être l'article 75 du règlement européen qui institue le nouveau cadre juridique du développement des échanges d'informations entre les assujettis notamment. Donc avec ce développement des échanges d'informations et des outils technologiques dans les dispositifs du LCBFT, est-ce que vous avez, vous, le sentiment qu'un nouveau modèle européen est en train d'émerger sur ces sujets ? Est-ce que c'est une révolution ? Et si oui, dans quelle mesure s'en est-une ?
Thomas Dautieu
Je ne sais pas si on peut vraiment parler de révolution ou d'un nouveau modèle européen, mais en tous les cas, du point de vue de la CNIL, nous on analyse comme un renforcement de la dimension européenne de la LCBFT, avec peut-être trois mouvements. Le premier mouvement, c'est un mouvement qu'on pourrait dire d'harmonisation réglementaire. Avant, le cadre européen LCBFT, c'était des directives. Alors la directive, c'est très bien, mais on sait que c'est quand même transposé de manière plus ou moins... rigoureuse ou appliquée de manière plus ou moins rigoureuse dans un certain nombre d'États membres. Là, avec des règlements directement applicables, très clairement, on vise à une harmonisation européenne par des règlements extrêmement précis. Donc ça, c'est un premier mouvement, c'est un renforcement d'harmonisation réglementaire. Le deuxième mouvement, c'est évidemment la centralisation partielle de la supervision avec l'AMLA, on en a parlé. Tout ça dans la même logique d'avoir une lecture. plus cohérente des règles et de renforcer la coopération entre les superviseurs. Et la troisième dimension, c'est celle du partage d'informations. Vous en avez parlé, c'est l'article, notamment, pas que, mais l'article 75 du règlement, qui est, de notre point de vue, très emblématique de cette évolution. Cet article crée un cadre qui permet à des entités assujetties de partager certaines informations entre elles. C'est une évolution importante parce qu'elle traduit une volonté d'aller vers une logique plus collective de détection des risques. C'est quelque chose qu'on peut comprendre, mais en même temps, c'est un sujet très sensible. Le CEPD, on en a parlé à la réunion des CNIL européennes, a exprimé plusieurs préoccupations pendant les négociations du règlement. D'abord, ça peut conduire à une utilisation potentiellement massive de données. Ça peut conduire à la circulation de données sensibles. On ne voit pas, ou en tout cas, on peut avoir des doutes sur l'évaluation de l'efficacité réelle du dispositif. Est-ce que vraiment ça va fonctionner ? Puis, il y a peut-être un risque de transfert de certaines fonctions quasi régaliennes vers des acteurs privés. Tout ça, ça pose des questions. Ça a été soulevé par le CPD lors des négociations. Et puis, en réponse à ça, en écho, il y a eu des garanties importantes qui ont été introduites dans le texte final, au-delà de l'obligation de réaliser une étude d'impact. Il y a l'information des autorités de surveillance, il y a l'implication des autorités de protection des données. Donc ça, c'est bien, ça va dans le cadre d'une interrégulation dont on a parlé tout à l'heure. La traçabilité, l'obligation de mener leurs propres évaluations des transactions, des audits indépendants, etc. Donc ça, au total, c'est précisément cela, je trouve, qui caractérise le modèle européen émergent. C'est une volonté de concilier efficacité opérationnelle, coopération renforcée, mais aussi protection des droits fondamentaux, ce qui est évidemment... nous intéresse au premier plan. Maintenant, le défi sera assez concret. Il faudra évaluer dans le temps si ces dispositifs atteignent réellement leurs objectifs sans créer des atteintes disproportionnées aux libertés. C'est pourquoi la coopération entre l'AMLA, les superviseurs nationaux, le CPD et les CNIL européennes sera absolument essentielle dans les années à venir.
Romain Laventure
Thomas, une dernière question avant de vous laisser partir. Quelle est l'actualité de la CNIL en ce moment ?
Thomas Dautieu
Alors, l'actualité de la CNIL en ce moment, c'est évidemment le règlement sur l'intelligence artificielle. qui va rentrer progressivement en application, avec une grosse partie sur les systèmes d'IA à haut risque qui posent des questions en termes de sécurité ou de droits fondamentaux. Le projet de loi qui va donner les compétences en interne et en cours de discussion au Parlement. Et nous, on voit beaucoup, beaucoup de sujets IA qui émergent en matière de santé, d'éducation, RH, et aussi en LCBFT, puisqu'il y a de plus en plus quand même de traitements parce qu'ils traitent beaucoup de données, parce que... Il y a beaucoup d'interconnexions et le besoin d'analyser ces données repose de plus en plus sur l'IA. Donc on est en train de regarder dans quelle mesure les enjeux IA qui se cumulent avec les enjeux RGPD, donc il y aura vraiment les doubles réglementations qui vont s'appliquer, vont structurer un peu l'émergence de l'IA, notamment à LCBFT. On a beaucoup d'échanges avec la CPR qui sera compétent sur le sujet. On sera aussi compétent sur beaucoup de sujets IA. Et en conclusion, je dirais que... On va gagner un an et demi parce que la Commission européenne va repousser l'entrée en vigueur du RIA sur les systèmes dits à haut risque et qui donnera un peu plus de temps à tout le monde de se préparer parce que ça va être une montagne à franchir qui ne sera pas totalement simple. Mais en tous les cas, on s'y prépare et on sortira des éléments assez précis pour les ressources de traitement et les assujettis.
Solène Clément
Merci beaucoup, cher Thomas. N'oubliez pas les petits acteurs. Quand j'entends parler de travail avec la CPR, il ne faut pas... parce que pour le coup, l'IA... Je pense que tous les acteurs s'en saisissent et notamment aussi les petits, parce que ça permet d'aller plus, en tout cas, il y a l'idée que ça permet d'aller plus loin, plus vite. Donc, n'hésitez pas aussi à solliciter les petits acteurs. À bientôt.
Romain Laventure
Merci Thomas et à bientôt. À bientôt, merci.

About Les Podcasts du Droit et du Chiffre Lefebvre Dalloz

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

About Les Podcasts du Droit et du Chiffre Lefebvre Dalloz

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Embed