LES OBLIGATIONS A L’EGARD DE LA CLIENTÈLE

« Il devrait être interdit aux institutions financières de tenir des comptes anonymes et des comptes sous des noms manifestement fictifs ». Ainsi, le professionnel est obligé de prendre des mesures de vigilance à l’égard de la clientèle dans certaines situations clairement définies, notamment :  

(i) l’établissement de relations d’affaires

(ii) l’exécution « d’opérations occasionnelles » (sous conditions)

(iii)  la suspicion de blanchiment ou de financement du terrorisme

(iv) un doute sur « la véracité ou de la pertinence des données d’identification du client précédemment obtenues ».

Le professionnel identifie et vérifie en particulier l’identité de son client, celle du bénéficiaire effectif en ce inclus des personnes morales et des constructions juridiques, obtient des informations sur l’objet et la nature envisagée de la relation d’affaires et exerce une vigilance constante à l’égard de cette relation. 

L’opération d’identification consiste à disposer du nom et de l’identité du client. L’identification peut ainsi se faire par le fait de compléter un formulaire de demande d’entrée en relation d’affaires et d’y indiquer le numéro d’un document d’identité.

L’opération de vérification quant à elle consiste à faire le lien avec la réalité en s’assurant que cette identité se rapporte effectivement à la personne avec laquelle on traite, que cette personne existe réellement et que les documents, données et informations sont respectivement fiables et probants.

EN QUOI CONSISTE L’OBLIGATION DE VIGILANCE ?

« Les mesures de vigilance à appliquer à l’égard de la clientèle doivent comprendre les mesures suivantes :

• L’identification du client et la vérification de son identité, sur la base de documents, de données ou d’informations de source fiable et indépendante y compris, le cas échéant, les moyens d’identification électronique et les services de confiance pertinents prévus par le règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (…), ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales concernées;
• L’identification du bénéficiaire effectif et la prise de mesures raisonnables pour vérifier son identité, à l’aide des informations ou données pertinentes obtenues d’une source fiable et indépendante, de telle manière que le professionnel ait l’assurance de connaître ledit bénéficiaire effectif, ainsi que, pour les personnes morales, les fiducies, les trusts, les sociétés, les fondations et les constructions juridiques similaires, la prise de mesures raisonnables pour comprendre la structure de propriété et de contrôle du client (…) ;
• L’évaluation et la compréhension de l’objet et de la nature envisagée de la relation d’affaires et, le cas échéant, l’obtention d’informations sur l’objet et la nature envisagée de la relation d’affaires ;
• L’exercice d’une vigilance constante quant à la relation d’affaires, notamment en examinant les transactions conclues pendant toute cette relation d’affaires et, si nécessaire, sur l’origine des fonds, de manière à vérifier que ces transactions sont cohérentes par rapport à la connaissance qu’a le professionnel de son client, de ses activités commerciales et de son profil de risque, et en s’assurant que les documents, données ou informations obtenus dans l’exercice du devoir de vigilance à l’égard de la clientèle restent à jour et pertinents. A cette fin, les professionnels examinent les éléments existants, et ceci en particulier pour les catégories de clients présentant des risques plus élevés ».

Section 1. Mesures de vigilance à l’égard de la clientèle

QUAND EXERCER LA VIGILANCE ?

« Les professionnels sont obligés d’appliquer des mesures de vigilance à l’égard de leur clientèle dans les cas suivants :
a) Lorsqu’ils nouent une relation d’affaires 
b) Lorsqu’ils exécutent, à titre occasionnel, une transaction :

1. d’un montant égal ou supérieur à 15.000 euros, que cette transaction soit exécutée en une seule ou en plusieurs opérations qui semblent être liées ; ou
2. constituant un transfert de fonds au sens de l’article 3, point 9) du règlement (UE) 2015/847 (…) supérieur à 1.000 euros.

« Le seuil de 1.000 euros (…) est également applicable aux opérations occasionnelles effectuées par les prestataires de services d’actifs virtuels ».

(…)

c) Lorsqu’il y a suspicion de blanchiment ou de financement du terrorisme, indépendamment de tous seuils, exemptions ou dérogations applicables
d) Lorsqu’il existe des doutes concernant la véracité ou la pertinence des données précédemment obtenues aux fins de l’identification d’un client ».

Les professionnels sont tenus d’appliquer les procédures de vigilance à l’égard de leur clientèle non seulement à tous leurs nouveaux clients mais aussi, « aux moments opportuns », à la clientèle existante en fonction de leur appréciation des risques, en tenant compte de l’existence des procédures de vigilance relatives à la clientèle antérieures et du moment où elles ont été mises en œuvre, ou lorsque les éléments pertinents de la situation d’un client changent ou lorsque le professionnel, au cours de l’année civile considérée, est tenu, en raison d’une obligation légale, de contacter le client afin de réexaminer toute information pertinente en rapport avec le ou les bénéficiaires effectifs ou si cette obligation a incombé au professionnel en application de la loi modifiée du 18 décembre 2015 relative à la Norme commune de déclaration (NCD) ».

La définition de « moments opportuns en fonction de l’appréciation des risques » est donnée dans le Règlement grand-ducal du 1^er février 2010 tel que modifié.

« Il s’agit notamment d’une des situations suivantes :

« – une transaction significative intervient ;

-les normes relatives aux documents d’identification des clients changent substantiellement ;

-en matière d’activité bancaire, un changement important se produit dans la façon dont le compte d’un client fonctionne ;

-le professionnel s’aperçoit qu’il ne dispose pas d’informations adéquates sur un client.

Les professionnels doivent être en mesure de prouver aux autorités de contrôle ou aux organismes d’autorégulation que l’étendue et la fréquence des mesures de vigilance à l’égard de la clientèle sont appropriées au vu des risques de blanchiment et de financement du terrorisme ».

 

Sous-section 1. Processus d’acceptation

1. Politique d’acceptation du nouveau client

1.1  Mise en œuvre de procédures appropriées

« Les professionnels arrêtent et mettent en œuvre une politique d’acceptation des clients appropriée aux activités qu’ils exercent, permettant de soumettre l’entrée en relation d’affaires avec les clients à une identification, une évaluation et une compréhension préalable des risques (…) ».

1.2 Caractère préalable de l’identification et de la vérification de l’identité

« La politique d’acceptation des clients doit exiger la documentation de toute entrée en contact, quelle que soit sa forme, et doit prévoir, notamment, un questionnaire client adapté à la nature du contact et de la relation d’affaires.  Lorsqu’ils nouent une nouvelle relation d’affaires avec une société ou une autre entité juridique, une fiducie, un trust ou une construction juridique présentant une structure ou des fonctions similaires à celles d’un trust pour lesquels des informations sur les bénéficiaires effectifs doivent être enregistrées en vertu de l’article 30 ou 31 de la directive (UE) 2015/849, les professionnels recueillent la preuve de l’enregistrement ou un extrait du registre ».

« La vérification de l’identité du client et du bénéficiaire effectif doit avoir lieu avant l’établissement d’une relation d’affaires ou l’exécution de la transaction ».

« Toutefois la vérification de l’identité du client et du bénéficiaire effectif peut avoir lieu durant l’établissement d’une relation d’affaires s’il est nécessaire de ne pas interrompre l’exercice normal des activités et lorsqu’il y a un faible risque de blanchiment ou de financement du terrorisme. Dans de telles situations, ces mesures sont prises le plus tôt possible après le premier contact et les professionnels prennent des mesures pour gérer efficacement le risque de blanchiment et de financement du terrorisme ».

« (…) les professionnels peuvent entreprendre une relation d’affaires, ouvrir un compte client ou effectuer une transaction pour un client occasionnel avant ou pendant que l’identité du client et du bénéficiaire effectif est vérifiée (…) pour autant que les conditions suivantes soient réunies:

• le risque de blanchiment et de financement du terrorisme est faible et efficacement géré ;
• il est nécessaire de ne pas interrompre le déroulement normal des affaires ;
• la vérification de l’identité est effectuée dans les plus brefs délais après le premier contact avec le client. L’impossibilité de vérifier l’identité du client et du bénéficiaire effectif dans le délai prescrit par les règles internes doit faire l’objet d’un rapport interne qui sera transmis au responsable du contrôleaux fins requises
• des mesures suffisantes sont mises en place afin qu’aucune sortie d’actifs au départ du compte ne puisse être réalisée avant l’achèvement de ladite vérification

(…)»

« Il pourrait être permis d’achever les obligations de vérification après l’établissement de la relation d’affaires, parce qu’il est essentiel de ne pas interrompre le déroulement normal des affaires », par ex. pour:

• « des opérations n’impliquant pas la présence physique des parties

• des opérations sur des valeurs mobilières. Dans le secteur des valeurs mobilières, les sociétés et intermédiaires peuvent être dans l’obligation d’exécuter des opérations très rapidement, aux conditions du marché valables au moment où le client les contacte, et la réalisation de l’opération peut être nécessaire avant que la vérification de l’identité ne soit terminée ».

1.3 Le Comité d’acceptation ou « autorisation écrite d’un supérieur ou organe spécifiquement habilité »

« (…) L’acceptation d’un nouveau client doit être soumise pour autorisation écrite à un supérieur ou à un organe du professionnel spécifiquement habilité à cet effet en prévoyant un niveau hiérarchique de décision adéquat ainsi que, le cas échéant, pour les clients présentant un niveau de risque plus élevé, au moins l’intervention systématique du responsable du contrôle».

« L’acceptation d’un nouveau client présentant un faible risque en matière de BC/FT, suivant l’approche fondée sur les risques telle que mise en place par le professionnel, peut être effectuée sur base d’un processus d’acceptation automatisé n’impliquant pas l’intervention d’une personne physique du côté du professionnel, de manière à constituer une alternative efficace et fiable à la validation par une personne physique du professionnel.

Ce processus doit avoir été configuré et testé préalablement et revu régulièrement par le professionnel de manière à analyser la robustesse de celui-ci. Ce processus doit être en ligne avec les politiques et procédures LBC/FT du professionnel et des instructions à émettre par la CSSF ».

1.4  Questionnaire d’entrée en relation d’affaires

« La politique d’acceptation des clients doit exiger la documentation de toute entrée en contact, quelle que soit sa forme, et doit prévoir, notamment, un questionnaire client adapté à la nature du contact et de la relation d’affaires ». 

« La politique d’acceptation des clients doit également prévoir les procédures à suivre lors d’un soupçon ou de motifs raisonnables de soupçon de blanchiment, d’une infraction sous-jacente associée ou de financement du terrorisme en cas de non-aboutissement d’une entrée en contact avec un client potentiel. Les raisons d’un refus de la part du client ou du professionnel de nouer une relation d’affaires ou d’effectuer une transaction doivent être documentées et conservées (selon les modalités du règlement CSSF n°12-02) et ce, même si le refus de la part du professionnel ne découle pas de la constatation d’un indice de blanchiment ou de financement du terrorisme ».

2. Identification des clients et vérification de leur identité

L’identification du client et la vérification de son identité s’effectuent sur la base de documents, de données ou d’informations de source fiable et indépendante, y compris, le cas échéant, les moyens d’identification électronique et les services de confiance pertinents prévus par le règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (…) » ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales concernées ».

2.1 Le client « personne physique »

2.1.1 Le titulaire

« Aux fins de l’identification des clients conformément à l’article 3 paragraphe 2, alinéa 1,  point a)  et alinéa 2 de la Loi, les professionnels doivent recueillir et enregistrer au minimum les informations suivantes:

En ce qui concerne les clients qui sont des personnes physiques:

• nom(s) et prénom(s);
• lieu et date de naissance ;
• nationalité(s);
• adresse postale complète de la résidence principale du client ;
• le cas échéant, le numéro d’identification national officiel ».

« Les informations énumérées au point 1 ci-dessus sont à recueillir et à enregistrer également pour les initiateurs, promoteurs qui sont à la base du lancement d’un fonds d’investissement sous la surveillance de la CSSF qui sera le client du professionnel ».

Vérification de l’identité du client personne physique

(1) « La vérification de l’identité, au sens de l’article 3 paragraphe 2, alinéa 1, point a) de la Loi, des clients qui sont des personnes physiques doit se faire au minimum au moyen d’un document d’identification authentique officiel en cours de validité, émanant d’une autorité publique et muni de la signature et d’une photo du client, tel que (…) le passeport du client, sa carte d’identité, (…) sa carte de séjour, son permis de conduire ou tout autre document similaire ».

« Des moyens d’identification électronique, en ce compris les services de confiance pertinents prévus par le Règlement (UE) n° 910/2014 ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales concernées peuvent être utilisés par le professionnel pour remplir son obligation de vigilance visée à l’article 3 paragraphe 2, alinéa 1, point a) de la Loi ».

(2) « En fonction de leur évaluation des risques, et sans préjudice d’autres obligations renforcées de vigilance, les professionnels prendront des mesures de vérification complémentaires, telles que, par exemple, la vérification de l’adresse indiquée par le client au moyen d’un justificatif du domicile ou une prise de contact avec le client, notamment par courrier recommandé avec accusé de réception ».

2.1.2  Le mandataire/fondé de procuration du client personne physique incapable/mineur

Les pouvoirs de représentation des représentants légaux des clients qui sont des personnes physiques incapables, c.-à-d. qui font l’objet de mesures de tutelle/curatelle (ou analogues), ou mineures, doivent être vérifiés au moyen de documents susceptibles de faire preuve.

L’identification et la vérification de l’identité du mandataire du client doit par ailleurs être réalisée comme décrit au point 2.1.1. Le professionnel prendra copie des documents recueillis.

2.1.3  Le cas particulier du statut de réfugié ou DPI (Demande de Protection Internationale)

Même si l’attestation de dépôt de demande de protection internationale ne constitue qu’un élément partiel de vérification de l’identité du client au sens de la Loi, on relève qu’elle comporte le cachet du Ministère des Affaires Étrangères, ainsi que la signature d’un officiel de ce ministère, en plus de la photographie d’identité du demandeur en protection, de sa signature et des indications d’identité telles que requises par l’article 16 du Règlement CSSF n°12-02.

2.1.4 La Validité de la carte d’identité française périmée depuis moins de 5 ans

D’après la réglementation française, depuis le 1er janvier 2014, la durée de validité de la carte nationale d’identité est passée de 10 à 15 ans pour les personnes majeures (plus de 18 ans). L’allongement de cinq ans pour les cartes d’identité concerne :

• Les nouvelles cartes d’identité sécurisées (cartes plastifiées) délivrées à partir du 1er janvier 2014 à des personnes majeures ;
• Les cartes d’identité sécurisées délivrées (cartes plastifiées) entre le 2 janvier 2004 et le 31 décembre 2013 à des personnes majeures.

Si la carte d’identité a été délivrée entre le 2 janvier 2004 et le 31 décembre 2013, la prolongation de 5 ans de validité de la carte est automatique. La date de validité inscrite sur le titre ne sera pas modifiée. Pour les cartes en apparence périmées mais dont la validité est prolongée de 5 ans, le Luxembourg a officiellement confirmé qu’il l’accepte comme document de voyage.

2.1.5  Moyens d’identification électroniques de vérification de l’identité

A. Les mesures de vigilance à l’égard de la clientèle comprennent :

« L’identification du client et la vérification de son identité, sur la base de documents, de données ou d’informations obtenus de sources fiables et indépendantes, y compris, le cas échéant, les moyens d’identification électronique et les services de confiance pertinents prévus par le règlement (UE) n°910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance (…), ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales concernées ».

Le professionnel peut recourir à la vidéo conférence en utilisant un logiciel développé par lui-même, sinon par un fournisseur externe ou encore déléguer cette fonction « d’on-boarding » vidéo à une partie tierce. Seule une personne physique formée à cet effet peut utiliser le système de vidéo conférence et agir directement avec le prospect, excluant de fait l’interposition unique d’un robot sans garanties supplémentaires.

Seules des personnes physiques (le client, le représentant légal du client, le mandataire, le co-titulaire du compte ou le BE) peuvent utiliser la fonctionnalité et être identifiées par le professionnel.

L’utilisation de l’outil de vidéo-conférence n’est possible que si le professionnel n’a aucun soupçon de blanchiment/financement du terrorisme et que la véracité et la pertinence des documents préalablement soumis par le client ne peut être contestée.

Pendant l’identification du client, les données figurant sur les documents d’identité doivent être clairement lisibles et clairement identifiables (bonnes conditions de luminosité, le client ne doit pas être déguisé ni porter de couvre-chef couvrant une partie de son visage etc…). Seuls les documents d’identité officiels du pays émetteur qui contiennent des dispositifs de sécurité optiques (hologrammes, éléments d’impression spécifiques) sont autorisés pour la procédure de vérification. L’annexe V du Vademecum contient un lien très pratique au registre public en ligne de documents authentiques d’identité et de voyage pour les citoyens du monde entier, tel qu’établi par le Conseil de l’Union européenne.

Le professionnel doit garantir l’efficacité et la fiabilité du système et reste toujours responsable des obligations de vigilance à l’égard de la clientèle qui lui incombent.

Que faire ?

Les professionnels qui souhaitent utiliser des installations/systèmes vidéo à des fins d’accueil de clients à distance doivent prendre contact avec la CSSF pour décrire les systèmes qu’ils ont l’intention d’exploiter. La CSSF pourra formuler des remarques utiles, dont il faudra tenir compte avant d’utiliser le système.

L’avis du comité mixte explore notamment comment les solutions innovantes actuellement utilisées par les professionnels du secteur financier peuvent les aider à mieux remplir leurs obligations en matière de LBC/FT. Par exemple, les solutions impliquant une vérification à distance  des clients peuvent contenir des fonctionnalités particulières permettant de définir si la pièce d’identité présentée appartient effectivement à la personne qui la présente, en combinant plusieurs paramètres, notamment la reconnaissance faciale biométrique, les fonctions de sécurité du document et la reconnaissance des caractères optiques.

Ces innovations peuvent également améliorer considérablement les processus de surveillance des transactions des établissements de crédit et des institutions financières en les automatisant et en permettant d’extraire de manière instantanée des données pertinentes de plusieurs banques de données.

Il ressort du Règlement européen n°910/2014 depuis le 1er Juillet 2016 que :

« 1- L’effet juridique et la recevabilité d’une signature électronique comme preuve en justice ne peuvent être refusés au seul motif que cette signature se présente sous une forme électronique ou qu’elle ne satisfait pas aux exigences de la signature électronique qualifiée.

2 – L’effet juridique d’une signature électronique qualifiée est équivalent à celui d’une signature manuscrite.

3 – Une signature électronique qualifiée qui repose sur un certificat qualifié délivré dans un État membre est reconnue en tant que signature électronique qualifiée dans tous les autres États membres ».

Par ailleurs, la valeur légale de la signature électronique est reprise dans le Code civil :

« La signature nécessaire à la perfection d’un acte sous seing privé identifie celui qui l’appose et manifeste son adhésion au contenu de l’acte. Elle peut être manuscrite ou électronique».

B.Mesures spécifiques à adopter par le professionnel dans le cas d’une entrée en relation d’affaires à distance « Non face to face »

« Lorsque le client n’est pas physiquement présent ou n’a pas été rencontré par ou pour le compte du professionnel aux fins de l’identification, relation dite « Non face-to-face », et que le professionnel n’a pas pris les garanties nécessaires telles qu’indiquées à l’Annexe IV, point 2) c) de la Loi (c’est-à-dire non assorties des garanties telles que des moyens d’identification électroniques au sens du règlement (UE) n°910/2014 ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales concernées)  des mesures spécifiques doivent être appliquées par le professionnel pour compenser le risque potentiellement plus élevé que présente ce type de relation ».

Les mesures spécifiques à prendre dans ce cas de figure peuvent notamment être :

• « des mesures garantissant que l’identité du client est établie au moyen de documents, données ou informations d’identification supplémentaires
• des mesures complémentaires assurant la vérification ou la certification par une autorité publique des documents fournis
• une attestation de confirmation de la part d’un établissement de crédit ou d’un établissement financier soumis à la Loi ou soumis à des obligations professionnelles équivalentes en matière de lutte contre le blanchiment et contre le financement du terrorisme
• des mesures garantissant que le premier paiement des opérations est effectué au moyen d’un compte ouvert au nom du client auprès d’un établissement de crédit ou d’un établissement financier soumis à la Loi ou soumis à des obligations professionnelles équivalentes en matière de lutte contre le blanchiment et contre le financement du terrorisme».

Cette liste de mesures supplémentaires à adopter en cas d’entrée en relation d’affaires à distance et en l’absence de garanties nécessaires telles que visées notamment dans le règlement (UE) n°910/2014 a été introduite par le règlement CSSF n°20-05 et n’est pas exhaustive. Libre au professionnel d’adopter d’autres mesures qu’il jugerait utile.

2.1.6 Orientations du GAFI sur l’identité numérique

L’identification numérique fait simplement référence à l’utilisation de la technologie pour affirmer et prouver l’identité.

La section III du guide est la plus pertinente en ce qui concerne les normes de vigilance à l’égard de la clientèle. Dans l’ensemble, le guide devrait aider les professionnels à comprendre si un identifiant numérique est adapté à des fins de vigilance à l’égard de la clientèle, après avoir d’abord compris les attributs des systèmes d’identification numérique.

A. Résumer brièvement le processus d’identification numérique (annexe A de la ligne directrice du GAFI)

Comme indiqué ci-dessus, le processus d’identification numérique se compose principalement de deux éléments :

(i) La preuve d’identité et l’enrôlement

La première étape consiste à répondre à la question simple « qui êtes-vous », avec la collecte de preuves d’attributs liés au fait que le client est ici un individu (documentaire ou numérique, sachant qu’il existe des biométries biophysiques, biomécaniques et comportementales).

Viendra ensuite la validation pour s’assurer de l’authenticité des preuves recueillies, puis le processus de vérification par lequel il y aura une confirmation que l’identité validée correspond bien au client en cours de processus.

(ii) L’authentification et la gestion du cycle de vie de l’identité

Cette partie du processus d’identification pourrait être brièvement résumée comme suit :  » Êtes-vous celui que vous prétendez être ? « .

Comme l’indique le GAFI, « plus un processus d’authentification utilise de facteurs, plus le système d’authentification est susceptible d’être robuste et digne de confiance ». Une fois que le client a été prouvé et inscrit avec succès dans un système d’identification numérique, le processus d’authentification garantit au professionnel que la personne qui présente le justificatif est bien celle à qui il appartient.

Les facteurs d’authentification courants peuvent être résumés comme suit :

La gestion du cycle de vie désigne simplement les actions que les professionnels devront entreprendre en réponse aux événements qui surviennent aux titres d’identité (perte, vol, etc.).

B. S’assurer que le système d’identification numérique est adapté aux besoins de diligence raisonnable des clients :

En dehors de la guidance de la CSSF sur le chat vidéo et du fait que la CSSF sera éventuellement consultée sur tout système d’identification numérique utilisé ou mis en œuvre par un professionnel, il n’existe pas de guidance spécifique au Luxembourg sur l’adéquation d’un système d’identification numérique qui sera utilisé pour l’accueil des clients.

Par conséquent, l’illustration du GAFI ci-dessous, combinée à une approche basée sur le risque, sera utile aux professionnels pour choisir le bon système et s’assurer qu’il est accompagné du bon niveau d’assurance :

2.2 Le client « personne morale »

2.2.1 L’identification du client personne morale

« Aux fins de l’identification des clients personnes morales, les professionnels doivent recueillir et enregistrer au minimum les informations suivantes :

1. • dénomination;
   • forme juridique;
   • adresse du siège social, ainsi que, si elle est différente, celle de l’un du principal lieu d’activité
   • le cas échéant, un numéro d’identification national officiel;
   • le nom des dirigeants (pour les personnes morales) et administrateurs ou personnes exerçant des positions similaires (pour les constructions juridiques) et intervenant dans le cadre de la relation d’affaires avec le professionnel;
   • dispositions régissant le pouvoir d’engager la personne morale ou la construction juridique;
   • autorisation d’entrer en relation ».

« Les informations énumérées au point 1 ci-dessus sont à recueillir et à enregistrer également pour les initiateurs, promoteurs qui sont à la base du lancement d’un fonds d’investissement sous la surveillance de la CSSF qui sera le client du professionnel ».

Ouverture d’un compte pour une société en voie de formation avant l’achèvement des mesures de vérification de l’identité

Le professionnel peut ouvrir un compte pour une société en voie de formation pour autant que les conditions suivantes soient réunies :

«  –  les professionnels identifient et vérifient l’identité des fondateurs de la société  conformément à la Loi. Ils obtiennent de la part des fondateurs une déclaration qu’ils agissent, soit pour leur propre compte, soit pour des bénéficiaires effectifs qu’ils nomment, et, le cas échéant, les professionnels prennent les mesures d’identification et de vérification de l’identité à l’égard de ces derniers conformément à la Loi

–  dans les plus brefs délais après la constitution de la société, les professionnels complètent les mesures d’identification et de vérification de l’identité à l’égard de la société (…) ainsi que, le cas échéant, à l’égard de ses bénéficiaires effectifs (…). L’impossibilité de vérifier l’identité des fondateurs, de la société et des bénéficiaires effectifs dans le délai prescrit par les règles internes doit faire l’objet d’un rapport interne qui sera transmis au responsable du contrôle de la LBC/FT aux fins requises

– des mesures suffisantes sont mises en place afin qu’aucune sortie d’actifs au départ du compte ne puisse être réalisée avant l’achèvement de ladite vérification ».

2.2.2 Mesures d’identification et de vérification du mandataire du client personne morale

« Les professionnels prennent en outre connaissance des pouvoirs de représentation de(s) la personne(s) agissant au nom du client dans le cadre de la relation d’affaires avec le professionnel et procèdent à leur vérification au moyen de documents susceptibles de faire preuve dont ils prennent copie, le cas échéant sous forme électronique (digitale) ».

« Sont notamment visées (…) :

• « (…) les personnes physiques ou morales autorisées à agir pour le compte des clients en vertu d’un mandat ;
• les personnes autorisées à représenter des clients qui sont des personnes morales ou des constructions juridiques dans leurs relations avec le professionnel ».

2.2.3 La vérification de l’identité du client personne morale

« L’identification du client et la vérification de son identité (s’effectuent) sur la base de documents, de données ou d’informations de source fiable et indépendante, y compris, le cas échéant, les moyens d’identification électronique et les services de confiance pertinents prévus par le règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (…) ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales concernées ».

« (…) la vérification de l’identité des clients qui sont des personnes morales ou autres constructions juridiques doit se faire au minimum au moyen des documents suivants dont il est pris copie, le cas échéant sous forme électronique (digitale) :

• les derniers statuts coordonnés ou statuts à jour (ou document constitutif équivalent)
• un extrait du registre des sociétés récent et à jour (ou document probant équivalent) ».

Le professionnel peut utiliser un certificat de constitution, un certificat de conformité, un contrat de société, (…) ou tout autre document provenant d’une source indépendante et fiable indiquant le nom, la forme et l’existence du client.

« En fonction de leur évaluation des risques, les professionnels prendront des mesures de vérification complémentaires, telles que, par exemple:

• un examen du dernier rapport de gestion et des derniers comptes, le cas échéant certifiés par un réviseur d’entreprises agréé
• la vérification, après consultation du registre des sociétés ou de toute autre source de données professionnelles, que la société n’a pas fait, ou ne fait pas, l’objet d’une dissolution, d’une radiation, d’une mise en faillite ou d’une liquidation
• la vérification des informations recueillies auprès de sources indépendantes et fiables, telles que, notamment, des banques de données publiques et privées

une visite de la société, dans la mesure du possible, ou une prise de contact avec la société, notamment par courrier recommandé avec avis de réception ».

Sous-section 2. Identification et vérification de l’identité des bénéficiaires effectifs

I – Définition de la notion de bénéficiaire effectif

1.1. La définition du bénéficiaire effectif (« BE »)

L’obligation d’identification des bénéficiaires effectifs recouvre l’identification :

(a) des bénéficiaires effectifs des sociétés

(b) des bénéficiaires effectifs des fiducies et des trusts

(c) des bénéficiaires effectifs des entités juridiques telles que les fondations et les constructions juridiques similaires à des fiducies ou à des trusts.

Les professionnels sont dans l’obligation de prendre des mesures raisonnables pour obtenir l’identité de la personne physique qui possède ou contrôle le client ou pour laquelle une transaction est réalisée.

 « Par bénéficiaire effectif (…) est désignée toute personne physique qui, en dernier ressort, possède ou contrôle le client ou toute personne physique pour laquelle une transaction est exécutée ou une activité réalisée. La notion de bénéficiaire effectif comprend au moins :

a)   dans le cas des sociétés :

i) toute personne physique qui, en dernier ressort, possède ou contrôle une entité juridique, du fait qu’elle possède directement ou indirectement un pourcentage suffisant d’actions ou de droits de vote ou d’une participation au capital dans cette entité, y compris par le biais d’actions au porteur ou d’un contrôle par d’autres moyens, autre qu’une société cotée sur un marché réglementé qui est soumise à des obligations de publicité compatibles avec le droit de l’Union européenne ou à des normes internationales équivalentes qui garantissent la transparence adéquate pour les informations relatives à la propriété.

Une participation dans l’actionnariat à hauteur de 25% des actions plus une ou une participation au capital de plus de 25% dans le client, détenue par une personne physique, est un signe de propriété directe. Une participation dans l’actionnariat à hauteur de 25% des actions plus une ou une participation au capital de plus de 25% dans le client, détenue par une société, qui est contrôlée par une ou plusieurs personnes physiques, ou par plusieurs sociétés, qui sont contrôlées par la ou les mêmes personnes physiques, est un signe de propriété indirecte.

ii) si après avoir épuisé tous les moyens possibles et pour autant qu’il n’y ait pas de motif de suspicion, aucune des personnes visées au point i) n’est identifiée, ou s’il n’est pas certain que la ou les personnes identifiées soient les bénéficiaires effectifs, toute personne physique qui occupe la position de dirigeant principal;

« Le contrôle par d’autres moyens peut être établi conformément aux articles 1711-1 à 1711-3 de la loi modifiée du 10 août 1915 concernant les sociétés commerciales ainsi que conformément aux critères suivants :

aa) un droit direct ou indirect d’exercer une influence dominante sur le client en vertu d’un contrat conclu avec celui-ci ou en vertu d’une clause des statuts de celui-ci, lorsque le droit dont relève le client permet qu’il soit soumis à de tels contrats ou de telles clauses statutaires

bb) le fait que la majorité des membres des organes d’administration, de gestion ou de surveillance du client, en fonction durant l’exercice ainsi que l’exercice précédent et jusqu’à l’établissement des états financiers consolidés, ont été nommés par l’effet direct ou indirect du seul exercice des droits de vote d’une personne physique ;

cc) un pouvoir direct ou indirect d’exercer ou un exercice effectif direct ou indirect d’une influence dominante ou d’un contrôle sur le client, y compris par le fait que le client se trouve placé sous une direction unique avec une autre entreprise ;

dd) une obligation par le droit national dont relève l’entreprise mère du client d’établir des états financiers consolidés et un rapport de gestion consolidé ; »

b)  dans le cas des fiducies et trusts :

i) le ou les constituants;

ii) le ou les fiduciaires ou trustees;

iii) le ou les protecteurs, le cas échéant;

iv) les bénéficiaires ou, lorsque les personnes qui seront les bénéficiaires de la construction ou de l’entité juridique n’ont pas encore été désignées, la catégorie de personnes dans l’intérêt principal de laquelle la construction ou l’entité juridique a été constituée ou opère;

v) toute autre personne physique exerçant le contrôle en dernier ressort sur la fiducie ou le trust par propriété directe ou indirecte ou par d’autres moyens;

c) pour les entités juridiques telles que les fondations, et les constructions juridiques similaires à des fiducies ou à des trusts, toute personne physique occupant des fonctions équivalentes ou similaires à celles visées au point b) ».

« l’identification du bénéficiaire effectif et la prise de mesures raisonnables pour vérifier l’identité de cette personne, de telle manière que l’entité assujettie ait l’assurance de savoir qui est le bénéficiaire effectif, y compris, pour les personnes morales, les fiducies/trusts, les sociétés, les fondations et les constructions juridiques similaires, la prise de mesures raisonnables pour comprendre la structure de propriété et de contrôle du client »

« Le bénéficiaire effectif au sens de l’article 1 paragraphe 7 de la Loi désigne toute personne physique qui, en dernier ressort, possède ou contrôle le client ou toute personne physique pour laquelle une transaction est exécutée ou une activité réalisée. Cela peut être le cas même si le seuil de participation ou de contrôle tel qu’indiqué à l’article 1 paragraphe 7 point a) i) de la Loi n’est pas atteint ».

1.2 La définition de « personnes détenant le contrôle » dans le cadre de l’échange automatique de renseignements relatifs aux comptes financiers en matière fiscale

« L’expression personnes détenant le contrôle désigne les personnes physiques qui exercent un contrôle sur une entité. Dans le cas d’un trust, cette expression désigne le ou les constituants, le ou les trustees, la ou les personnes chargées de surveiller le trustee le cas échéant, le ou les bénéficiaires ou la ou les catégories de bénéficiaires, et toute autre personne physique exerçant en dernier lieu un contrôle effectif sur le trust et, dans le cas d’une construction juridique qui n’est pas un trust, l’expression désigne les personnes dont la situation est équivalente ou analogue. L’expression personnes détenant le contrôle doit être interprétée conformément aux recommandations du GAFI ».

Pour déterminer la résidence des « Personnes détenant le contrôle » d’une ENF passive pour les nouveaux comptes d’entités, « (…) l’institution financière déclarante peut se fonder sur les informations recueillies et conservées dans le cadre des procédures visant à identifier les clients et à lutter contre le blanchiment (AML/KYC) », étant entendu que pour les comptes d’entités préexistant, la règle est la suivante :

« Pour déterminer les personnes détenant le contrôle d’un Titulaire de compte, une institution financière déclarante peut se fonder sur les informations recueillies et conservées dans le cadre des Procédures visant à identifier les clients et à lutter contre le blanchiment (AML/KYC) ». [personnes détenant le contrôle d’une ENF passive]

« Pour déterminer si une personne détenant le contrôle d’une ENF passive est une personne devant faire l’objet d’une déclaration, une Institution financière déclarante peut se fonder sur : 

i)  des informations recueillies et conservées en application des procédures visant à identifier les clients et à lutter contre le blanchiment (AML/KYC) dans le cas d’un compte d’entité préexistant détenu par une ou plusieurs ENF et dont le solde ou la valeur agrégée ne dépasse pas un montant libellé en euros équivalant à 1.000.000 USD (…) ». [Déterminer la résidence d’une personne détenant le contrôle d’une ENF passive]

II – Identification du/des bénéficiaire(s) effectif(s) dans différents cas de figure 

2.1  Identification du BE contrôlant la société par les seuils (actions/droits de vote/capital)

Le BE du client entité juridique peut simplement contrôler celle-ci de par une participation directe de plus de 25% dans son capital :

Le contrôle d’une entité juridique peut aussi résulter d’une détention indirecte (ou chaîne de détention) du capital de celle-ci :

Le BE peut détenir indirectement des droits de vote du client :

Détention par le BE d’une participation majoritaire dans une entité détenant plus de 25% de la société cliente :

M. A ne détient pas de participation pondérée dans LuxCo de plus de 25% (75%x30% = 22,5%) mais détient une participation majoritaire de 75% dans FrenchCo qui détient plus de 25% des actions/droits de vote dans LuxCo.

M.B  détient une participation directe substantielle dans LuxCo. Tous deux sont les BE du client LuxCo.

2.2  Identification du BE contrôlant la société « par d’autres moyens »

« Le contrôle par d’autres moyens peut être établi conformément aux articles 1711-1 à 1711-3 de la loi modifiée du 10 août 1915 concernant les sociétés commerciales ainsi que conformément aux critères suivants :

aa) un droit direct ou indirect d’exercer une influence dominante sur le client en vertu d’un contrat conclu avec celui-ci ou en vertu d’une clause des statuts de celui-ci, lorsque le droit dont relève le client permet qu’il soit soumis à de tels contrats ou de telles clauses statutaires

bb) le fait que la majorité des membres des organes d’administration, de gestion ou de surveillance du client, en fonction durant l’exercice ainsi que l’exercice précédent et jusqu’à l’établissement des états financiers consolidés, ont été nommés par l’effet direct ou indirect du seul exercice des droits de vote d’une personne physique ;

cc) un pouvoir direct ou indirect d’exercer ou un exercice effectif direct ou indirect d’une influence dominante ou d’un contrôle sur le client, y compris par le fait que le client se trouve placé sous une direction unique avec une autre entreprise ;

dd) une obligation par le droit national dont relève l’entreprise mère du client d’établir des états financiers consolidés et un rapport de gestion consolidé ; »

Ici, une chaîne d’actionnaires à 3 niveaux où l’on suppose que « les autres actionnaires » renvoient à des groupes d’actionnaires diffus (détention capital inférieure à 5%).

L’actionnaire A est BE de LuxCo en ce qu’il détient une part significative du capital de celle-ci qui lui permet d’exercer un « pouvoir de contrôle par d’autres moyens » sur les organes d’administration, de direction ou de surveillance ou sur son assemblée générale :

– détention indirecte de 13,26% du capital de LuxCo (51% x 51% x 51%) qui apparaît significative au regard du seuil de détention des groupes  « d’autres actionnaires » qui détiennent moins de 5% du capital

– A est détenteur majoritaire de l’actionnaire 2, lui-même actionnaire majoritaire de l’actionnaire 1, actionnaire majoritaire de LuxCo.

2.2.1 Le groupe familial s’assurant le contrôle d’une société

Un partenariat (PACS) est conclu entre Mme B et M. C.

Aucune  personne du groupe familial ne détient individuellement plus de 25% du capital ou des droits de vote de la société Alpha (tout comme les « autres actionnaires ou associés » qui n’ont pas conclu d’accord entre eux). Mais elles agissent « de concert », elles peuvent donc déterminer ensemble les décisions prises lors des AG dans le cadre de leurs liens familiaux.

M. A, Mme B, M. C et M.D sont les BE de la société cliente Alpha : ils disposent du contrôle de la société cliente « par d’autres moyens », car ils appartiennent à un groupe familial.

2.2.2 L’action de concert entre différentes personnes

Aucun des « autres actionnaires ou associés » ne détient individuellement plus de 25% du capital ou des droits de vote ; ils n’ont pas conclu d’accord pour détenir plus de 47% des droits de vote.

Mesdames D et A et Messieurs B et C n’ont pas de lien de parenté. Mais s’ils agissent de concert, ils peuvent déterminer les décisions prises lors des assemblées générales. Ils sont BE de la société cliente Alpha car ils disposent du contrôle « par d’autres moyens », étant tenus à un pacte d’actionnaires/associés.

2.2.3 Démembrement de propriété

80% des actions de la société civile immobilière Alpha sont détenues par la famille de Mme A ; un démembrement des actions a été préalablement effectué : Mme A jouit de l’usufruit et les héritiers légaux de la nue-propriété (en indivision).

Selon l’art. 1852bis du Code Civil, le droit de vote appartient au nu-propriétaire, à l’exception des décisions concernant l’affectation des bénéfices, réservées à l’usufruitier (sauf dispositions contraires des statuts de la SCI).

Sauf dispositions contraires des statuts de la SCI, Mme A, qui n’est pas associée de celle-ci, détermine néanmoins l’affectation des bénéfices à hauteur de 80%. Ainsi, Mme A est BE de la SCI Alpha.

Ses héritiers légaux, nus propriétaires, détiennent 80% du capital et des droits de vote de la SCI ; ils sont donc BE (on assume qu’il n’existe pas de dispositions contraires dans les statuts de la SCI).

2.3 Identification du BE de dernier ressort de la personne morale : « le dirigeant principal »

Si le professionnel n’a pas de motif de suspicion sur son client (société) et qu’il n’a pas pu déterminer le(s) bénéficiaire(s) effectif(s) de l’entité qui détient/détiennent un contrôle direct sur celle-ci ou via une chaîne de détention indirecte ou qui la contrôle « par d’autres moyens », ou s’il n’est pas certain que la/les personne(s) identifiée(s) soi(en)t le(s) bénéficiaire(s) effectif(s), le professionnel désigne alors toute personne physique qui occupe la position de dirigeant principal.

2.3.1 Cas des sociétés

 

« (…) la notion de dirigeant principal est à comprendre en général comme étant l’organe de gestion légalement prévu et pas uniquement par exemple, le président d’un conseil d’administration. Peut également être considéré comme dirigeant principal, le délégué à la gestion journalière ou tout autre organe équivalent, désigné en vertu de dispositions légales ou statutaires, auquel cas seul celui-ci est alors à inscrire ».

Illustration où le(s) représentant(s) légal/légaux sont, par défaut, les bénéficiaires effectifs :

Aucun BE de la SAS Alpha n’a pu être identifié ni au titre de la détention de capital/droits de vote, ni au titre d’un contrôle par d’autres moyens.

Devraient ainsi être identifiés BE de la SAS Alpha, les représentants légaux de la SAS Alpha :

M. A (DG de la société Belle qui a la qualité de présidente de la SAS Alpha) puisque dans la SAS française, le pouvoir est exercé par une unique personne : le président, qui peut être une personne physique ou morale (seul organe de direction obligatoire).

M. B, le cas échéant, si les statuts de la SAS Alpha lui confère un pouvoir exécutif et de représentation identique à celui de la SA « Belle ».

 

Le « représentant légal » appliqué au cas de la société cliente luxembourgeoise (exemple non exhaustif):

Tableau indicatif du « représentant légal »

	Représentant légal (pouvoir exécutif de l’organe de gestion/ gérance/direction)	Organe d’administration
	BE de « dernier ressort » (dirigeant principal)
- société à responsabilité limitée - société en nom collectif - société en commandite simple - société en commandite spéciale - société civile	associé commandité (« General Partner ») le(s) gérant(s)	Si SC spéciale structure de fonds d’investissement : les membres du CA, sauf accord juridique spécifique (délégation des pouvoirs de gestion)
société par actions simplifiées	- le président - le(s) directeur(s) (si les statuts de la SAS lui ont conféré un pouvoir de représentation analogue à celui du président)
société Anonyme avec Conseil d’administration (système moniste)	le directeur général (CEO) (sinon le représentant permanent chargé de l’exécution en présence d’un DG personne morale)	si SA SICAV: les membres du CA, sauf accord juridique spécifique (délégation des pouvoirs de gestion)
société Anonyme avec directoire et Conseil de Surveillance	- le membre du Directoire auquel a été délégué la gestion journalière/ représentation de la société (son président le cas échéant). (sinon son représentant permanent en présence d’une personne morale)	si SA SICAV: les membres du Conseil de surveillance sauf accord juridique spécifique (délégation des pouvoirs de gestion)
société en commandite par actions	le(s) Gérant(s) (actionnaire commandité le cas échéant)	si SCA SICAV: les membres du CA sauf accord juridique spécifique (délégation des pouvoirs de gestion)

« Pour les fonds communs de placement, les représentants légaux de la société de gestion du fonds : les membres du Conseil d’Administration, sauf accord juridique spécifique devraient être considérés comme « dirigeant principal » (c.-à-d. BE de dernier ressort).

2.3.2 Cas des associations

Les associations sans but lucratif peuvent être impliquées dans la collecte ou la distribution de fonds pour des motifs caritatifs, religieux, culturels, éducatifs, sociaux, confraternels ou pour d’autres types de « bonnes œuvres ». Néanmoins, elles sont susceptibles d’être utilisées à des fins moins vertueuses et courir le risque  d’être exploitées notamment à des fins de financement du terrorisme, plutôt que de poursuivre un but non lucratif ou louable.

Le Ministère de la Justice a illustré quelques cas de figure où des associations/fondations  sont utilisées à des fins de FT dans des orientations (« sensibilisation du secteur associatif aux risques de financement du terrorisme »).

« Si, malgré les recherches effectuées, aucun bénéficiaire effectif n’a pu être identifié au sens de la loi du 13 janvier 2019, le ou les dirigeants principaux sont alors considérés comme bénéficiaires effectifs et sont à ce titre, à inscrire au RBE.

Dans ce contexte, la notion de dirigeant principal est à comprendre en général comme étant le conseil d’administration et partant, l’ensemble de l’organe de gestion légalement prévu est à communiquer au RBE et pas seulement le président d’un conseil d’administration ou les membres d’un comité́ exécutif. Peut également être considéré comme dirigeant principal, le délégué à la gestion journalière ou tout autre organe équivalent, désigné en vertu de dispositions légales ou statutaires, auquel cas seul celui-ci est alors à inscrire ».

2.3.3 Cas des Organismes de placement collectif (OPC)

2.3.4 Cas des personnes morales de droit public et des sociétés dont les titres sont admis sur un marché réglementé

A. Les personnes morales de droit public

B. Les sociétés dont les titres sont admis à la négociation sur un marché réglementé

« (…) Les sociétés dont les titres sont admis à la négociation sur un marché réglementé au Grand-Duché de Luxembourg ou dans un autre État partie à l’accord sur l’Espace économique européen ou dans un autre pays tiers imposant des obligations reconnues comme équivalentes par la Commission européenne au sens de la directive 2004/119/CE du Parlement européen et du Conseil du 15 décembre 2004 sur l’harmonisation des obligations de transparence concernant l’information sur les émetteurs dont les valeurs mobilières sont admises à la négociation sur un marché réglementé et modifiant la directive 2001/34/CE inscrivent uniquement le nom du marché réglementé sur lequel leurs titres sont admis à la négociation ».

2.3.5 Cas des syndics de copropriété (NEW)

Conformément aux prescriptions de la loi du 16 mai 1975 portant statut de la copropriété des immeubles bâtis, les copropriétaires sont obligatoirement regroupés en un syndicat (syndic de copropriété), agissant en tant que représentant légal de la communauté des copropriétaires.

Le plus souvent, les syndics sont dotés de la personnalité juridique, enregistrés au Registre du Commerce de Luxembourg, ainsi soumis à la loi du 13 janvier 2019 instituant un registre des bénéficiaires effectifs.

2.3.6 Cas particulier des ONG

2.4 Le BE des fiducies et des trusts et autres constructions juridiques similaires

2.4.1 Fiducies et trusts

Le professionnel doit identifier le BE et prendre « des mesures raisonnables pour vérifier son identité (, de telle manière que le professionnel ait l’assurance de connaître ledit BE, ainsi que, pour les personnes morales, les fiducies, les trusts, les sociétés, les fondations et les constructions juridiques similaires, la prise de mesures raisonnables pour comprendre la structure de propriété et de contrôle du client ». 

« Les pays devraient prendre des mesures pour empêcher l’utilisation des constructions juridiques à des fins de blanchiment de capitaux ou de financement du terrorisme. En particulier, les pays devraient s’assurer que des informations satisfaisantes, exactes et à jour sur les trusts exprès, parmi lesquelles des informations sur le constituant, le trustee et les bénéficiaires, peuvent être obtenues ou sont accessibles en temps opportun par les autorités compétentes (…) ».

2.4.2 Les bénéficiaires effectifs des fondations / constructions juridiques similaires à des fiducies/trust

« Pour les entités juridiques telles que les fondations, et les constructions juridiques similaires à des fiducies ou à des trusts, (le professionnel identifie) toute personne physique occupant des fonctions équivalentes ou similaires à celles (de constituant, fiduciaire/trustee, bénéficiaires ou toute autre personne physique exerçant le contrôle en dernier ressort sur la fiducie/trust par propriété directe ou indirecte ou par d’autres moyens)».

2.5 Cas de la personne physique « pour laquelle une transaction est réalisée »

Est aussi considéré BE selon la Loi « toute personne physique pour laquelle une transaction est exécutée ou une activité réalisée ».

III – Les mesures d’identification et de vérification de l’identité à l’égard des bénéficiaires effectifs

La 4ème directive anti-blanchiment telle que modifiée impose que certaines informations sur les bénéficiaires effectifs des sociétés et des fiducies soient mises à disposition dans des registres auxquels les professionnels auront accès. Le professionnel pourra, outre les informations reçues par son client, consulter les registres établis dans les États Membres afin de conforter les informations qui lui ont été remises par son client.

1. Mesures d’identification

« Sans préjudice des obligations renforcées de vigilance ou l’application de mesures de vigilance simplifiées, le cas échéant, l’identification des bénéficiaires effectifs (…) porte sur le(s) nom(s), prénom(s), nationalité(s), date et lieu de naissance et leur adresse ainsi que sur l’adresse postale complète de la résidence principale. D’après l’appréciation du professionnel, elle inclura aussi le numéro d’identité national officiel ».

2. Mesures de vérification

« La vérification de ces données (des bénéficiaires effectifs) s’effectuera, notamment, au moyen des informations obtenues auprès du client, des registres centraux au sens des articles 30 paragraphe 3 et 31 paragraphe 3bis de la directive (UE) 2015/849 ou de toute autre source indépendante et fiable disponible.

Le seul recours aux registres centraux tel que mentionné ci-dessus ne constitue pas un moyen suffisant afin de remplir les obligations de vigilance, le professionnel prendra donc Le professionnel prendra toutes mesures raisonnables afin d’acquérir l’assurance de connaître l’identité réelle du bénéficiaire effectif. Le caractère raisonnable de ces mesures est déterminé, notamment, en fonction du niveau de risque de blanchiment ou de financement du terrorisme que le professionnel estime associé au profil du client ou à la nature de la relation d’affaires ou de la transaction souhaitée par le client ».

Pour information, eu égard aux « personnes détenant le contrôle » dans le cadre de l’échange automatique de renseignements relatifs aux comptes financiers en matière fiscale, les personnes qui « détiennent le contrôle » d’une entité et qui doivent faire l’objet d’une déclaration au sens de la loi du 18 décembre 2015 doivent renseigner leur « nom, l’adresse, la ou les juridiction(s) de résidence et le ou les NIF et les date et lieu de naissance (…) ».

« Les pays devraient s’assurer que des informations satisfaisantes, exactes et à jour sur les bénéficiaires effectifs et sur le contrôle des personnes morales peuvent être obtenues ou sont accessibles en temps opportun par les autorités compétentes. En particulier, les pays dans lesquels les personnes morales peuvent émettre des actions au porteur ou des bons de souscription d’actions au porteur, ou qui autorisent les actionnaires ou administrateurs agissant pour le compte d’une autre personne (nominee shareholders or nominee directors), devraient prendre des mesures efficaces pour s’assurer qu’elles ne sont pas détournées à des fins de blanchiment de capitaux ou de financement du terrorisme. Les pays devraient envisager de prendre des mesures pour faciliter l’accès aux informations sur les bénéficiaires effectifs et sur le contrôle des personnes morales par les institutions financières (…) ».

3. Cas particulier des parts au porteur

Sous-section 3. Obtention d’informations sur l’objet et la nature envisagée de la relation d’affaires, en ce inclus l’origine des fonds

Les mesures de vigilance à l’égard de la clientèle comprennent « l’évaluation la compréhension de l’objet et de la nature envisagée de la relation d’affaires et, le cas échéant, l’obtention d’informations (par le professionnel) sur l’objet et la nature envisagée de la relation d’affaires ».

1 –   Appréciation sur la relation d’affaires

2 – L’origine des fonds 

Le professionnel acquerra toutes les informations nécessaires sur l’origine des fonds du client :

« L’obligation des professionnels de connaître leur client comprend celle de recueillir (…), d’enregistrer, d’analyser et de comprendre, au moment de l’identification du client, des informations sur l’origine des fonds du client et les types de transactions pour lesquelles le client sollicite une relation d’affaires, ainsi que toutes les informations adéquates permettant de déterminer la finalité de la relation d’affaires envisagée dans le chef du client (…). Ces informations devront permettre au professionnel d’exercer une vigilance constante effective à l’égard du client (…) En fonction de l’appréciation des risques, cette obligation peut comprendre l’obligation d’obtenir des pièces probantes».

Sous-section 4. Exercice d’une vigilance constante de la relation d’affaires et tenue à jour des documents, données ou informations détenues

1 . Considérations générales

Cas particuliers : les comptes dormants et les chèques

3.  Activités requérant une attention particulière

« Dans le cadre de la vigilance constante, constituent notamment des activités requérant une attention particulière (…)

• les activités des clients dont l’acceptation a été soumise à un examen spécifique (…) (acceptation des clients susceptibles de présenter des niveaux élevés de risque) ; ainsi que
• les transferts de fonds au sens du Règlement (UE) 2015/847 et les exigences respectives précisées dans ce dernier règlement (…) ».

4. Mise à jour des documents et informations

« Le devoir de vigilance constante inclut l’obligation de vérifier et, le cas échéant, de mettre à jour, en conformité avec le délai maximal prévu par, et en tenant compte des moments opportuns précisés à, l’article 1 paragraphe 4 du Règlement grand-ducal (c.-à-d. au moins tous les sept ans, sans préjudice d’une fréquence plus importante en fonction de l’appréciation des risques), dans un délai adéquat déterminé par le professionnel en fonction de son évaluation des risques, les documents, données ou informations collectés lors de l’accomplissement des obligations de vigilance à l’égard de la clientèle (…) ».

«Pour ce qui concerne les relations d’affaires à risque élevé, la fréquence de revue doit être au moins annuelle ».

« Les professionnels sont tenus de documenter, tenir à jour et mettre à disposition des autorités de contrôle et des organismes de régulation les évaluations des risques (…). Les autorités de contrôle et les organismes d’autorégulation peuvent décider que certaines évaluations des risques individuelles documentées ne sont pas obligatoires si les risques spécifiques inhérents au secteur sont clairement identifiés et compris ».

5.  La conservation des documents et la protection des données à caractère personnel 

1 –  Conservation des documents

« Les professionnels sont tenus de conserver et mettre rapidement à disposition les documents, données et informations ci-après aux fins de prévention et de détection d’un éventuel blanchiment de capitaux ou d’un éventuel financement du terrorisme et des enquêtes en la matière par les autorités luxembourgeoises responsables de la lutte contre le blanchiment et contre le financement du terrorisme ou par les organismes d’autorégulation :

a) en ce qui concerne les mesures de vigilance à l’égard de la clientèle, une copie des documents et informations qui sont nécessaires pour se conformer aux obligations de vigilance à l’égard de la clientèle prévues aux articles 3-3, y compris, le cas échéant, les données obtenues par l’utilisation de moyens d’identification électronique, des services de confiance pertinents prévus par le règlement (UE) nº 910/2014, ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales compétentes, les livres de comptes, la correspondance commerciale, ainsi que les résultats de toute analyse réalisée, pendant cinq ans après la fin de la relation d’affaires avec le client ou après la date de la transaction conclue à titre occasionnel;

b)les pièces justificatives et les enregistrements de transactions qui sont nécessaires pour identifier ou reconstituer des transactions individuelles afin de fournir, si nécessaire, des preuves dans le cadre d’une enquête ou instruction pénale, pendant cinq ans après la fin de la relation d’affaires avec le client ou après la date de la transaction conclue à titre occasionnel ».

« La période de conservation visée au présent paragraphe, y compris la période de conservation prolongée qui ne dépasse pas cinq années supplémentaires, s’applique également en ce qui concerne les données accessibles par l’intermédiaire des mécanismes centralisés visés à l’article 32bis de la directive (UE) 2015/849 ».

« Les professionnels sont également tenus de conserver les informations relatives aux mesures qui ont été prises afin d’identifier les bénéficiaires effectifs (…).

Sans préjudice des délais de conservation plus longs prescrits par d’autres lois, les professionnels sont tenus d’effacer les données à caractère personnel à l’issue des périodes de conservation visées à l’alinéa 1er. (…).

Par dérogation à l’alinéa 4, les professionnels conservent les données à caractère personnel pendant une période supplémentaire de cinq ans lorsque cette conservation est nécessaire pour la mise en œuvre efficace des mesures internes de prévention ou de détection des actes de blanchiment de capitaux ou de financement du terrorisme ».

2 – Respect des règles relatives à la protection des données 

A) Information des personnes concernées et avertissement général

– Le client :

« Les professionnels communiquent aux nouveaux clients les informations requises en vertu des articles 13 et 14 du RGPD avant de nouer une relation d’affaires ou d’exécuter une transaction à titre occasionnel.

Ces informations contiennent en particulier un avertissement général concernant les obligations légales des professionnels au titre de la présente loi en ce qui concerne le traitement des données à caractère personnel aux fins de la prévention du blanchiment de capitaux et du financement du terrorisme ».

–  Le bénéficiaire effectif :

Le professionnel ne collectant qu’indirectement l’information du BE par le biais de son client, il n’aura pas à informer le BE de par l’exception figurant dans le RGPD.

B) Restriction au droit d’accès

« (…) le responsable de traitement limite ou diffère l’exercice du droit d’accès de la personne concernée aux données à caractère personnel la concernant lorsqu’une telle mesure est nécessaire et proportionnée pour :

a) permettre au professionnel, à la CRF, à une autorité de contrôle ou à un organisme d’autorégulation d’accomplir ses tâches comme il convient aux fins de la présente loi (…) »              b) éviter de faire obstacle aux demandes de renseignements, analyses, enquêtes ou procédures à caractère officiel ou judiciaire, menées aux fins de la présente loi et pour ne pas compromettre la prévention et la détection des cas de blanchiment de capitaux ou de financement du terrorisme ni les enquêtes en la matière».

Pour mémoire, le RGPD permet à l’État membre de limiter les droits des « personnes concernées » dans certains cas de figure, par ex. « dans le cadre de la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ».