LCB-FT 2026 : 3 piliers, obligations, checklist
Obligations LCB-FT 2026 : entités assujetties, mesures de vigilance (KYC), déclaration Tracfin, conservation 5 ans, sanctions ACPR. Guide et checklist.
L’essentiel. La LCB-FT impose aux entités assujetties trois familles d’obligations : la vigilance (connaissance du client / KYC et approche par les risques), la déclaration de soupçon à Tracfin, et une organisation interne documentée. Les documents doivent être conservés 5 ans. Les manquements exposent à des sanctions ACPR pouvant atteindre 100 millions d’euros. Le paquet européen de 2024 (AMLR, AMLD6, autorité AMLA à Francfort) redéfinit ce cadre à l’horizon 2027-2028.
La lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) dépasse largement le secteur bancaire. Un nombre croissant d’entreprises et de professions sont assujetties à des obligations de vigilance, de déclaration et de conservation qui impliquent des traitements massifs de données personnelles. Maîtriser ce cadre est indispensable à la fois pour éviter les sanctions et pour l’articuler correctement avec le RGPD, dont les principes de minimisation et de durée de conservation entrent en tension permanente avec les exigences anti-blanchiment.
Ce guide fait le point sur les textes applicables en 2026, le périmètre des assujettis, les trois piliers d’obligations, les durées de conservation, les sanctions, et propose une checklist de conformité directement exploitable.
Le cadre réglementaire français et européen
Les textes fondateurs
Le dispositif français de LCB-FT repose sur la transposition des directives européennes successives :
- La 4e directive anti-blanchiment (directive (UE) 2015/849), transposée par l’ordonnance n° 2016-1635 du 1er décembre 2016 ;
- La 5e directive anti-blanchiment (directive (UE) 2018/843), transposée par l’ordonnance n° 2020-115 du 12 février 2020 ;
- Le paquet législatif anti-blanchiment de 2024, comprenant le règlement (UE) 2024/1624 (dit « AMLR », directement applicable), la directive (UE) 2024/1640 (6e directive, dite « AMLD6 ») et le règlement (UE) 2024/1620 créant l’Autorité européenne de lutte anti-blanchiment (AMLA).
En droit français, les dispositions sont codifiées au livre V, titre VI du code monétaire et financier (articles L.561-1 à L.561-50) et dans le code pénal pour les infractions sous-jacentes.
Le tournant du paquet AML de 2024
Le paquet de 2024 marque un basculement vers un cadre plus harmonisé et directement applicable :
- Le règlement AMLR (2024/1624) unifie les règles de vigilance dans un texte d’application directe, réduisant les divergences entre États membres. Ses dispositions deviennent applicables à compter de juillet 2027.
- La directive AMLD6 (2024/1640) encadre l’organisation des cellules de renseignement financier, des registres des bénéficiaires effectifs et de la supervision, avec une transposition attendue à l’horizon 2027.
- Le règlement (UE) 2024/1620 crée l’AMLA (Anti-Money Laundering Authority), installée à Francfort et opérationnelle depuis 2025. Elle disposera de pouvoirs de supervision directe sur certaines entités assujetties à haut risque à partir de 2028, et coordonne l’ensemble des cellules de renseignement financier nationales.
Cette architecture renforce considérablement la dimension européenne du dispositif : les entités doivent anticiper une convergence des standards et un contrôle plus intégré. Pour suivre ces évolutions, notre veille sur l’actualité RGPD 2026 couvre aussi les interactions avec le droit des données.
Les entités assujetties
Le champ des entités assujetties est défini par l’article L.561-2 du code monétaire et financier. Il couvre un spectre très large de professions et d’activités.
| Secteur | Entités concernées (exemples) |
|---|---|
| Financier | Établissements de crédit, sociétés de financement, entreprises d’investissement, sociétés de gestion, assureurs, mutuelles, établissements de paiement et de monnaie électronique, prestataires de services sur actifs numériques |
| Juridique et comptable | Avocats, notaires, commissaires de justice, experts-comptables, commissaires aux comptes |
| Immobilier | Agents immobiliers, administrateurs de biens |
| Autres | Casinos, opérateurs de jeux en ligne, sociétés de domiciliation, marchands de biens précieux au-delà de certains seuils |
L’évolution constante de ce périmètre exige une veille réglementaire attentive. Le paquet européen étend encore le champ des assujettis, notamment à certaines plateformes de financement participatif et à des acteurs du secteur des crypto-actifs. Les professions réglementées disposent souvent de régimes adaptés : voir nos guides sur le RGPD dans l’immobilier et le RGPD en cabinet d’avocats, où la conformité anti-blanchiment croise directement la protection des données clients.
Les trois piliers des obligations LCB-FT
Premier pilier : les mesures de vigilance
Les mesures de vigilance constituent le cœur du dispositif. Elles comprennent :
La vigilance à l’égard du client (KYC). L’entité doit identifier son client, vérifier son identité sur la base de documents fiables, identifier le bénéficiaire effectif et vérifier son identité, évaluer l’objet et la nature de la relation d’affaires, et exercer une vigilance constante pendant toute la durée de la relation. Ces traitements reposent, du point de vue du RGPD, sur la base légale de l’obligation légale (Art. 6(1)©) — une articulation détaillée dans notre guide sur la base légale RGPD.
L’approche par les risques. L’entité doit élaborer une classification des risques intégrant les facteurs liés au client (nature, activité, structure juridique, pays de résidence), au produit ou service (complexité, opacité, montant), au canal de distribution (relation à distance, recours à des intermédiaires) et à la zone géographique (pays tiers à haut risque). Cette approche graduée fait écho au principe de proportionnalité : l’intensité des contrôles s’ajuste au niveau de risque.
La vigilance renforcée. Des mesures supplémentaires s’appliquent dans les situations à risque élevé : personnes politiquement exposées (PPE), relations d’affaires avec des pays tiers à haut risque identifiés par la Commission européenne, opérations complexes ou d’un montant inhabituellement élevé, opérations sans objet économique apparent.
Deuxième pilier : la déclaration de soupçon
L’article L.561-15 du code monétaire et financier impose de déclarer à Tracfin (Traitement du renseignement et action contre les circuits financiers clandestins) les sommes ou opérations dont l’entité sait, soupçonne ou a de bonnes raisons de soupçonner qu’elles proviennent d’une infraction passible d’une peine privative de liberté supérieure à un an, ou qu’elles participent au financement du terrorisme.
La déclaration est transmise par voie électronique via la plateforme ERMES de Tracfin. Elle contient l’identification du client, la description de l’opération suspecte, les éléments ayant motivé le soupçon et toute information utile à l’analyse.
Le secret de la déclaration. L’article L.561-19 interdit formellement à l’entité déclarante de porter à la connaissance du client ou de tiers l’existence d’une déclaration de soupçon. Cette obligation de secret a des implications directes sur le droit d’accès RGPD : le déclarant ne peut pas révéler la déclaration à la personne concernée, même si celle-ci exerce son droit d’accès.
Troisième pilier : les obligations organisationnelles
L’entité doit mettre en place une organisation interne adaptée à son profil de risque :
- La désignation d’un responsable LCB-FT (correspondant et déclarant Tracfin) chargé de la mise en œuvre du dispositif ;
- L’élaboration de procédures internes écrites, couvrant la vigilance, la déclaration et la conservation ;
- La formation du personnel aux obligations LCB-FT, adaptée aux fonctions et actualisée régulièrement ;
- Un dispositif de contrôle interne comprenant un contrôle permanent et un contrôle périodique ;
- Un document de classification des risques actualisé régulièrement.
La conservation des données LCB-FT
Les durées légales
L’article L.561-12 du code monétaire et financier impose des durées de conservation spécifiques :
| Type de document | Durée | Point de départ |
|---|---|---|
| Documents d’identification et pièces de vigilance | 5 ans | Clôture du compte / fin de la relation d’affaires |
| Documents relatifs aux opérations | 5 ans | Exécution de l’opération |
| Documents relatifs aux déclarations de soupçon | 5 ans | Date de la déclaration |
L’articulation avec le RGPD
Ces durées de conservation constituent des obligations légales qui justifient la conservation au regard du principe de finalité du RGPD. Néanmoins, le RGPD impose de ne pas conserver les données au-delà du nécessaire : à l’expiration du délai de cinq ans, les données doivent être supprimées ou anonymisées, sauf obligation légale contraire.
La conservation de données LCB-FT doit faire l’objet d’une inscription au registre des traitements (Art. 30 du RGPD), mentionnant les finalités, les catégories de données, les durées et les mesures de sécurité. C’est un travail de cartographie répétitif que l’on peut fiabiliser : un logiciel RGPD permet d’industrialiser la tenue du registre et le suivi des durées de conservation, y compris pour les traitements LCB-FT. Voir un exemple de registre RGPD rempli pour la structure attendue. Le principe de minimisation reste applicable : on ne collecte que les données strictement nécessaires à l’obligation de vigilance.
Les sanctions en cas de manquement
Les sanctions administratives
L’ACPR (Autorité de contrôle prudentiel et de résolution) et l’AMF (Autorité des marchés financiers) disposent de pouvoirs de sanction importants :
- Avertissement ou blâme ;
- Sanctions pécuniaires pouvant atteindre 100 millions d’euros ou, pour certaines entités, 10 % du chiffre d’affaires annuel (le montant le plus élevé étant retenu) ;
- Interdiction temporaire d’exercer certaines fonctions ;
- Retrait d’agrément dans les cas les plus graves.
Les décisions de la Commission des sanctions de l’ACPR sont régulièrement publiées et constituent une source précieuse d’interprétation. Les montants prononcés ces dernières années attestent d’un durcissement significatif de la répression, avec des amendes de plusieurs millions d’euros pour des établissements de toutes tailles. À titre de comparaison, les sanctions RGPD obéissent à une logique distincte mais peuvent se cumuler lorsque la défaillance touche aussi la protection des données.
Les sanctions pénales
Le blanchiment de capitaux est un délit puni par l’article 324-1 du code pénal de cinq ans d’emprisonnement et 375 000 euros d’amende. En bande organisée, les peines sont portées à dix ans d’emprisonnement et 750 000 euros d’amende. La responsabilité pénale des personnes morales peut être engagée.
Le défaut de déclaration de soupçon n’est pas en soi une infraction pénale, mais il peut constituer un élément de complicité de blanchiment si l’organisme a eu connaissance de l’infraction et n’a pas agi.
Checklist de conformité LCB-FT
- Assujettissement — Vérifier si l’activité relève de l’article L.561-2 (secteur financier, professions juridiques/comptables, immobilier, autres).
- Classification des risques — Établir et actualiser un document de classification des risques (client, produit, canal, géographie).
- Procédures de vigilance (KYC) — Formaliser l’identification et la vérification du client et du bénéficiaire effectif, la vigilance constante et la vigilance renforcée (PPE, pays à haut risque).
- Déclaration de soupçon — Désigner le déclarant/correspondant Tracfin, connaître la procédure ERMES et respecter le secret de l’article L.561-19.
- Conservation — Mettre en place la conservation 5 ans des pièces et opérations, avec purge à l’échéance et inscription au registre des traitements.
- Organisation interne — Rédiger les procédures écrites, former le personnel, organiser le contrôle permanent et périodique.
- Articulation RGPD — Documenter la base légale (obligation légale), la minimisation et la sécurité des traitements LCB-FT.
Checklist indicative fournie à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre profil de risque et à votre secteur avant usage. Version 2026-07.
Construire sa classification des risques
Le document de classification des risques est la clé de voûte de l’approche par les risques : c’est lui qui détermine l’intensité de la vigilance appliquée à chaque relation d’affaires. Sa construction repose sur le croisement de quatre familles de facteurs.
- Risque client — Nature juridique (personne physique, société, structure opaque type trust ou fiducie), secteur d’activité, présence d’une personne politiquement exposée, réputation, cohérence entre le profil et les opérations.
- Risque produit/service — Complexité, opacité, montants en jeu, possibilité d’anonymat, produits favorisant les flux transfrontaliers.
- Risque canal de distribution — Relation nouée à distance sans vérification en face-à-face, recours à des intermédiaires ou apporteurs d’affaires.
- Risque géographique — Pays tiers à haut risque identifiés par la Commission européenne, juridictions à fiscalité privilégiée, zones sous sanctions.
Chaque relation reçoit un niveau de risque (faible, standard, élevé) qui commande le niveau de vigilance : allégée, standard ou renforcée. La classification doit être écrite, datée et actualisée — c’est le premier document que l’ACPR examine lors d’un contrôle. Du point de vue du RGPD, la collecte de données pour alimenter cette classification obéit au principe de minimisation : on ne recueille que ce qui est nécessaire à l’évaluation du risque, et l’ensemble s’inscrit dans le registre des traitements. La cartographie des flux et des données personnelles mobilisées est un préalable indispensable à un dispositif défendable.
L’articulation avec les autres réglementations
LCB-FT et résilience opérationnelle (DORA)
Pour les entités financières, les systèmes d’information supportant le dispositif LCB-FT (filtrage, détection, déclaration) constituent des fonctions critiques au sens du règlement DORA. La gestion des risques liés aux technologies de l’information doit donc intégrer ces systèmes, auxquels s’appliquent les exigences de résilience opérationnelle.
LCB-FT et protection des données
La tension entre LCB-FT et RGPD est permanente. La collecte massive de données dans le cadre du KYC, la surveillance continue des opérations et la conservation prolongée doivent être mises en balance avec les principes de minimisation, de limitation des finalités et de proportionnalité du RGPD. La CNIL et les autorités de contrôle LCB-FT travaillent à une articulation cohérente : l’obligation légale de vigilance justifie le traitement, mais elle ne dispense ni de l’information des personnes (sous réserve du secret de la déclaration), ni de la sécurité, ni de la limitation à ce qui est strictement nécessaire.
FAQ
Qui est concerné par les obligations LCB-FT ?
Les entités listées à l’article L.561-2 du code monétaire et financier : établissements de crédit, entreprises d’investissement, assureurs, établissements de paiement, prestataires de services sur actifs numériques, mais aussi avocats, notaires, experts-comptables, commissaires aux comptes, agents immobiliers, casinos et opérateurs de jeux, sociétés de domiciliation et marchands de biens précieux au-delà de certains seuils. Le paquet européen de 2024 étend encore ce périmètre.
Quelles sont les principales sanctions récentes en matière de LCB-FT ?
La Commission des sanctions de l’ACPR a prononcé des sanctions significatives ces dernières années. Plusieurs établissements de crédit ont été condamnés à des amendes de plusieurs dizaines de millions d’euros pour des défaillances de vigilance, de filtrage et de déclaration. Les manquements les plus fréquents concernent l’insuffisance des procédures de connaissance client, le défaut de mise à jour des dossiers KYC, les lacunes de détection des opérations suspectes et les retards de déclaration.
La déclaration de soupçon peut-elle être communiquée au client via le droit d’accès RGPD ?
Non. L’article L.561-19 du code monétaire et financier interdit formellement de divulguer une déclaration de soupçon à la personne concernée ou à des tiers. Cette interdiction prime sur le droit d’accès. L’article 23 du RGPD autorise les États à limiter les droits des personnes lorsque cela est nécessaire pour prévenir, rechercher ou poursuivre des infractions pénales : le secret de la déclaration entre dans ce cadre.
Les professions non financières (avocats, notaires, agents immobiliers) sont-elles soumises aux mêmes obligations ?
Oui, avec des aménagements. Les avocats bénéficient d’un régime particulier pour les activités couvertes par le secret professionnel : la déclaration est transmise au bâtonnier, qui la transmet à Tracfin après vérification de sa recevabilité. Les professions non financières doivent néanmoins mettre en œuvre l’ensemble des mesures de vigilance et des obligations organisationnelles, adaptées à leur profil de risque et à la nature de leurs activités.
Combien de temps faut-il conserver les données LCB-FT ?
Cinq ans. Les documents d’identification et de vigilance se conservent 5 ans à compter de la fin de la relation d’affaires ; les documents relatifs aux opérations, 5 ans à compter de leur exécution ; les documents liés aux déclarations de soupçon, 5 ans à compter de la déclaration. À l’échéance, les données doivent être supprimées ou anonymisées, conformément au principe de temporalité du RGPD, sauf obligation légale contraire.
Qu’est-ce que l’AMLA et quand entre-t-elle en action ?
L’AMLA (Anti-Money Laundering Authority) est la nouvelle autorité européenne anti-blanchiment, créée par le règlement (UE) 2024/1620 et installée à Francfort. Opérationnelle depuis 2025, elle exercera une supervision directe sur certaines entités à haut risque à partir de 2028 et coordonnera les cellules de renseignement financier nationales. Elle s’inscrit dans le paquet AML de 2024, dont le règlement AMLR devient applicable à compter de juillet 2027.