LCB-FT – Identification et vérification de l’identité du client personne physique

Nul ne peut entrer en relation d’affaires avec une banque sans avoir décliné son identité et l’avoir prouvée : sous l’apparente banalité de cette formalité d’ouverture se joue la première ligne de défense du système financier contre le blanchiment. Le droit y organise une exigence à double détente — recueillir ce que le client déclare, puis confronter cette déclaration à un élément probant — dont la mise en œuvre expose l’établissement à la sanction du régulateur autant qu’à celle du juge.

I) Le fondement de l’obligation d’identification

Nul ne peut aujourd’hui ouvrir un compte, souscrire un contrat d’assurance-vie ou confier des fonds à un prestataire de paiement sans que celui-ci ne sache, au sens juridique du terme, à qui il a affaire. Cette exigence, longtemps rangée parmi les usages prudentiels de la profession bancaire, est devenue une obligation légale dont l’inobservation se sanctionne. Elle repose sur une idée simple mais exigeante : la lutte contre le blanchiment de capitaux et le financement du terrorisme suppose, en amont de tout dispositif de surveillance, que les flux soient rattachables à des personnes déterminées. Un compte anonyme est un compte insurveillable ; identifier, c’est rendre possible tout le reste.

Encore faut-il s’entendre sur ce que recouvre cette identification. Le droit distingue avec soin deux opérations que le langage courant confond : recueillir les éléments qui désignent une personne, d’une part, s’assurer que ces éléments sont exacts, d’autre part. La première relève de la déclaration, la seconde de la preuve. C’est cette architecture — la source du dispositif, le cercle de ceux qu’il oblige, le moment où il joue et la matière qu’il commande de recueillir — qu’il convient d’exposer avant d’aborder les moyens de la vérification proprement dite.

A) Les sources du dispositif

L’obligation d’identification ne se lit pas dans un texte unique : elle procède d’une superposition de normes dont chacune joue un office distinct. La loi française en pose le principe, le règlement en détaille la matière, le droit de l’Union en commande l’harmonisation, et la doctrine administrative des autorités de contrôle en éclaire l’application quotidienne. Cette stratification n’est pas un désordre : elle traduit la nature même d’une police administrative qui doit être à la fois ferme dans son principe et souple dans ses modalités.

1) Le socle du code monétaire et financier

Le siège de la matière est l’article L. 561-5 du Code monétaire et financier, dont l’économie est remarquablement ramassée : il énonce, en deux temps, l’identification puis la vérification, et il les commande l’une et l’autre avant l’entrée en relation. La chronologie n’est pas indifférente. Le texte n’invite pas l’établissement à se renseigner en cours de route ; il fait de la connaissance du client la condition d’accès à la relation elle-même.

Le pouvoir réglementaire est venu préciser la matière de cette collecte. Pour la personne physique, l’article R. 561-5 énumère les éléments qui la désignent : les nom et prénoms, la date et le lieu de naissance. La formulation mérite attention, car la pratique bancaire — et bon nombre de présentations de la matière — a longtemps traité le lieu de naissance comme une mention d’usage plutôt que comme une mention obligatoire. Le texte, lui, l’exige au même titre que la date, et l’on comprend pourquoi : c’est la conjonction du patronyme, de la date et du lieu qui écarte l’homonymie et permet l’appariement fiable avec les fichiers institutionnels.

L’identification ainsi entendue est un préalable logique autant que chronologique : on ne saurait corroborer ce qui n’a pas été recueilli. C’est en cela que l’article R. 561-5 précède nécessairement les articles R. 561-5-1 et R. 561-5-2, qui organisent les moyens de la vérification et seront examinés plus loin.

Une précision s’impose quant au périmètre. L’entrepreneur individuel, à ce stade, est identifié comme une personne physique — sa qualité professionnelle ne modifie pas la nature des mentions d’état civil recueillies, mais elle appelle des diligences complémentaires ultérieures, tenant au numéro SIREN et à l’extrait d’immatriculation. Symétriquement, l’identification ne porte pas sur l’honorabilité du postulant, ni sur sa solvabilité, ni, sauf régime particulier, sur sa profession. Elle ne commande davantage aucune collecte étrangère à la finalité d’individualisation : le principe de minimisation issu du règlement général sur la protection des données y veille, et l’on y reviendra.

2) L’ancrage dans les directives européennes

Le dispositif français n’est pas une création autonome : il transpose une succession de directives dont la dernière en date, celle du 20 mai 2015, a imposé l’approche par les risques qui irrigue aujourd’hui toute la matière. Le Code monétaire et financier en porte la marque jusque dans son vocabulaire — la référence aux listes publiées par la Commission européenne et aux déclarations du Groupe d’action financière, qu’opère l’article R. 561-22-1 pour l’appréciation de l’équivalence des pays tiers, en est l’illustration la plus nette.

Cette architecture est appelée à changer de nature. Le paquet législatif adopté le 31 mai 2024 substituera pour l’essentiel un règlement à la directive : le règlement (UE) 2024/1624, dit AMLR, sera directement applicable dans tous les États membres à compter du 10 juillet 2027 — le 10 juillet 2029 seulement pour les entités visées aux points n) et o) de son article 3, paragraphe 3. Son article 22 fixera alors la liste des informations à recueillir aux fins d’identification, et l’on y retrouvera, pour la personne physique, tous les prénoms et les noms ainsi que le lieu et la date complète de naissance. La convergence avec l’article R. 561-5 est frappante ; elle ne dispense pas de la vigilance, car un règlement d’application directe ne se transpose pas : il se substitue, et c’est l’ensemble de la construction réglementaire nationale qui devra alors être relue à son aune. La directive (UE) 2024/1640, qui l’accompagne, devra pour sa part être transposée au plus tard à la même date du 10 juillet 2027, quelques-unes de ses dispositions relatives aux registres centraux de bénéficiaires effectifs l’étant plus tôt.

Un texte de ce paquet, en revanche, produit déjà ses effets : le règlement (UE) 2024/1620 instituant l’Autorité de lutte contre le blanchiment est applicable depuis le 1^er juillet 2025, et son article 11 confie à cette autorité la tenue d’une base de données centrale alimentée par les autorités de surveillance. La distinction est essentielle et doit gouverner toute lecture de la matière : ce qui s’applique aujourd’hui aux établissements dans leurs diligences d’identification demeure le Code monétaire et financier, et lui seul.

3) Les lignes directrices des autorités de contrôle

Entre la règle et sa mise en œuvre s’interpose une doctrine administrative abondante, dont les lignes directrices de l’Autorité de contrôle prudentiel et de résolution relatives à l’identification, à la vérification de l’identité et à la connaissance de la clientèle constituent la pièce maîtresse. S’y ajoutent des principes d’application sectoriels, propres notamment au secteur des assurances, ainsi que des lignes directrices élaborées conjointement avec Tracfin sur les obligations de vigilance et de déclaration, ou avec la direction générale du Trésor en matière de gel des avoirs.

Ces documents ne sont pas normatifs — ils ne créent pas d’obligation que la loi n’aurait pas posée. Ils n’en gouvernent pas moins la pratique, pour une raison qui tient à la nature du contrôle : c’est au regard de ces textes que la mission de contrôle apprécie la qualité d’un dispositif, et l’établissement qui s’en écarte devra justifier son choix. La commission des sanctions en a marqué la limite dans les deux sens. Elle a jugé qu’un organisme ne saurait se retrancher derrière la faculté, mentionnée dans les lignes directrices, de recueillir une information déclarée par le client pour s’affranchir de l’obligation légale qui lui incombe — c’est le sens de la décision n° 2016-05 du 30 mars 2017 à l’égard de la société Lemon Way, dont le dispositif de détection des personnes politiquement exposées reposait sur la seule auto-déclaration de l’utilisateur. Mais elle a également refusé qu’un établissement tire argument d’une version ancienne des lignes directrices pour retarder l’accomplissement d’une diligence que le code imposait, ainsi qu’il ressort de la décision n° 2022-04 à l’égard de la société BMW Finance. La doctrine administrative éclaire donc l’obligation ; elle ne la déplace pas.

B) Le champ des personnes assujetties

L’obligation d’identifier ne pèse pas sur quiconque contracte : elle vise un cercle défini de professionnels, énuméré à l’article L. 561-2 du Code monétaire et financier, auquel renvoient tous les textes précédemment cités. Ce cercle s’est constamment élargi au fil des réformes, à mesure que se déplaçaient les canaux du blanchiment.

1) Les organismes financiers

Le noyau historique du dispositif est constitué par les organismes financiers, que la doctrine administrative de l’Autorité de contrôle prudentiel identifie comme les personnes mentionnées aux 1° à 7° bis de l’article L. 561-2, à l’exclusion de celles relevant du 5° et des organismes soumis au contrôle de l’Autorité des marchés financiers. On y trouve les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d’investissement, les organismes d’assurance ainsi que les mutuelles et institutions de prévoyance. La diversité des modèles économiques ainsi rassemblés explique que l’Autorité ait complété ses lignes directrices générales par des principes d’application sectoriels — ceux relatifs au secteur des assurances rappellent ainsi que les mesures de vigilance prévues aux articles L. 561-5 et L. 561-6 doivent être mises en œuvre avant l’entrée en relation d’affaires, et que l’obligation ne s’épuise pas à cet instant mais se poursuit tout au long de la relation.

2) Les professions non financières

Le législateur a progressivement étendu l’assujettissement à des professions qui n’ont du financier que le voisinage : notaires, avocats dans certaines de leurs activités, experts-comptables, commissaires aux comptes, agents immobiliers, opérateurs de jeux, marchands de biens précieux, prestataires de services sur actifs numériques. La logique de cette extension est constante : partout où une opération peut servir de véhicule à des fonds d’origine douteuse, celui qui la facilite doit savoir pour qui il agit. Le règlement (UE) 2024/1624 poursuivra ce mouvement, puisqu’il différera au 10 juillet 2029 son application à certaines catégories d’entités nouvellement assujetties, visées aux points n) et o) de son article 3, paragraphe 3 — signe que l’élargissement du cercle appelle un temps d’adaptation que le législateur européen a jugé bon de ménager.

3) L’externalisation et le tiers introducteur

Deux techniques permettent à l’assujetti de ne pas accomplir lui-même l’intégralité des diligences, et il importe de ne pas les confondre. L’externalisation est une délégation de moyens : l’organisme confie à un prestataire, par un contrat de mandat, l’exécution matérielle de certaines opérations d’identification. Les lignes directrices de l’Autorité de contrôle prudentiel en précisent les conditions — le contrat doit organiser l’accès de l’organisme aux informations qui lui permettront de satisfaire à ses propres obligations déclaratives ou de gel des avoirs, et, lorsque le prestataire fournit une solution technologique, prévoir l’information préalable de l’organisme et le recueil de son consentement en cas de modification de l’outil, qu’il s’agisse de ses fonctionnalités, de ses algorithmes ou des sources qu’il interroge. La responsabilité, elle, ne se délègue pas : elle demeure entière sur la tête de l’assujetti.

La tierce introduction, régie par l’article L. 561-7, obéit à une autre logique : l’assujetti s’appuie sur les diligences déjà accomplies par un autre professionnel lui-même soumis au dispositif. Les principes d’application sectoriels relatifs aux assurances en fournissent l’illustration la plus parlante avec la chaîne du courtage : le courtier direct, seul en contact avec le client, identifie celui-ci et vérifie son identité dans les conditions des articles L. 561-5 et R. 561-5, recueille les informations sur l’objet et la nature de la relation, puis transmet l’ensemble au courtier grossiste — lequel est regardé comme recourant à la tierce introduction. Encore faut-il que l’introducteur soit lui-même soumis à des obligations équivalentes, ce que l’article R. 561-22-1 commande d’apprécier, s’agissant d’un professionnel établi dans un pays tiers, au regard notamment des informations diffusées par le Groupe d’action financière et des listes publiées par la Commission européenne.

C) Le moment de l’obligation

Dire qu’il faut identifier ne suffit pas : encore faut-il dire quand. Le droit positif retient un principe d’antériorité, qu’il assortit de tempéraments mesurés et qu’il adapte à la figure particulière du client de passage.

1) L’antériorité à la relation d’affaires

L’article L. 561-5 est sans ambiguïté : les diligences interviennent avant d’entrer en relation d’affaires ou d’assister le client dans la préparation ou la réalisation d’une transaction. La règle a une portée pratique considérable, car elle interdit la séquence inverse — ouvrir d’abord, régulariser ensuite — qui a longtemps prévalu dans certains réseaux et que les missions de contrôle relèvent avec constance. Les lignes directrices conjointes de l’Autorité et de Tracfin le rappellent en articulant expressément les articles L. 561-5, R. 561-5 et R. 561-5-1 à R. 561-6 : c’est avant l’entrée en relation que l’organisme identifie et vérifie l’identité du client et, le cas échéant, du bénéficiaire effectif.

La qualification même de relation d’affaires n’est d’ailleurs pas indifférente, car elle déclenche le régime le plus exigeant. La commission des sanctions a jugé, dans sa décision n° 2012-08 du 2 décembre 2013 à l’égard de la Banque Chaâbi du Maroc, qu’une relation de clientèle répondant aux critères d’inscription dans la durée, de régularité ou de réitération des opérations — critères précisés par l’article L. 561-2-1 — constituait une relation d’affaires indépendamment de la publication ultérieure de lignes directrices venues les expliciter. L’établissement ne pouvait donc justifier une requalification tardive par l’attente de cette doctrine administrative.

2) Les dérogations à l’antériorité

Le principe souffre des aménagements, dont la justification tient à la nature de certaines opérations qui supporteraient mal une interruption. Lorsque le risque de blanchiment paraît faible et que la continuité de l’activité l’exige, la vérification peut être achevée pendant l’établissement de la relation, à la condition qu’elle le soit dans les meilleurs délais et que l’exposition demeure maîtrisée dans l’intervalle. La dérogation porte, on le notera, sur la vérification et non sur l’identification : les éléments d’état civil doivent avoir été recueillis, c’est leur corroboration qui peut être différée. La distinction n’est pas de pure forme — elle marque que le client doit être désigné dès l’origine, fût-ce sous réserve de contrôle.

Une garde importante encadre en pratique cette tolérance dans l’activité bancaire : la charge de la preuve. La Cour de cassation a jugé qu’il incombe à la banque d’établir qu’elle a satisfait, avant la première délivrance de formules de chèques, aux exigences de vérification d’identité du nouveau client et de consultation des fichiers de la Banque de France. Autant dire qu’un établissement qui use de la dérogation sans en conserver la trace se prive du moyen de démontrer sa diligence.

3) Le cas du client occasionnel

Le client de passage — celui qui sollicite une opération isolée sans nouer de relation suivie — n’échappe pas au dispositif, mais il y entre par une autre porte. Le II de l’article L. 561-5 commande d’identifier et de vérifier dans les mêmes conditions l’identité des clients occasionnels et, le cas échéant, de leurs bénéficiaires effectifs, notamment lorsque l’organisme soupçonne que l’opération pourrait participer d’un blanchiment ou d’un financement du terrorisme. Le déclenchement est ici moins mécanique : il tient au montant de l’opération, à sa nature, ou au soupçon qu’elle inspire.

Le paquet européen de 2024 durcira ce point en le chiffrant. À compter du 10 juillet 2027, l’article 19 du règlement (UE) 2024/1624 imposera l’application des mesures de vigilance lorsque l’entité exécutera à titre occasionnel une transaction d’un montant d’au moins 10 000 euros, ou l’équivalent en monnaie nationale, que cette transaction soit exécutée en une fois ou au moyen de transactions liées — un seuil inférieur pouvant être fixé selon les modalités que ce même article prévoira.

D) Les éléments d’identité recueillis

Reste à dire ce que l’on recueille. La matière de l’identification est déterminée par le règlement, complétée par l’usage, et soumise à une exigence d’actualisation qui interdit de la tenir pour acquise une fois pour toutes.

1) Les mentions d’état civil obligatoires

Nom, prénoms, date et lieu de naissance : tel est le quadruplet que commande l’article R. 561-5 pour la personne physique. L’exactitude de ces mentions n’est pas une exigence formelle. Une erreur de saisie ne produit pas un dossier légèrement imparfait : elle produit une désignation fausse, dont les effets se propagent à tous les traitements en aval — alimentation des référentiels internes, déclaration des ouvertures de comptes au fichier des comptes bancaires en application de l’article 1649 A du Code général des impôts, criblage des listes de gel, signalements aux autorités. La chambre criminelle a eu l’occasion de souligner combien la rigueur s’impose en la matière, notamment quant au lieu de naissance, une inexactitude pouvant conduire à des signalements indus préjudiciables au client comme à l’établissement (Cass. crim., 19 décembre 1995, n° 94-81.431).

Quant à la graphie du patronyme, source classique de difficultés lorsque le nom se prête à plusieurs orthographes, la première chambre civile admet que l’établissement se réfère au document d’identité présenté par le client : la mention portée sur le titre fait foi (Cass. 1^re civ., 4 mai 2012, n° 10-27.208). La règle est de bon sens et elle offre à l’organisme une sécurité appréciable — il n’a pas à arbitrer entre des graphies concurrentes, il enregistre celle du titre.

2) Les mentions complémentaires d’usage

La pratique bancaire recueille couramment davantage que le strict nécessaire réglementaire : adresse, situation familiale, profession, coordonnées de contact. Cette collecte n’est pas illégitime, mais elle change de fondement — elle ne relève plus de l’identification au sens de l’article R. 561-5, mais de la connaissance de la relation d’affaires prévue par l’article L. 561-5-1, qui commande de recueillir les informations relatives à l’objet et à la nature de cette relation et tout autre élément pertinent. La commission des sanctions veille au sérieux de cette seconde collecte : dans sa décision n° 2019-08 du 27 janvier 2021 à l’égard de la société A, comme dans sa décision n° 2020-06 du 12 juillet 2021 rendue à l’égard d’une autre société A, elle a examiné dossier par dossier la présence des éléments de connaissance requis — allant, dans la seconde, jusqu’à prendre acte de l’abandon partiel d’un grief tiré d’un défaut d’information sur les revenus, dès lors que l’établissement avait produit les pièces manquantes pour trois des quatre dossiers visés.

La même décision n° 2019-08 rappelle une limite qui protège l’assujetti : le manquement s’apprécie à l’échelle du dispositif, non de l’incident. La commission y a jugé que le faible nombre de dossiers individuels invoqués par la poursuite ne pouvait, en l’absence de défaillance systématique, caractériser un manquement général aux obligations d’identification et de vérification d’identité.

3) La mise à jour des données

L’identification n’est pas un acte instantané dont la vertu s’épuiserait à l’entrée en relation. Les lignes directrices de l’Autorité de contrôle prudentiel insistent sur l’actualisation régulière de la connaissance de la relation d’affaires, qu’elles présentent comme la condition d’un exercice efficace de la vigilance constante et de la surveillance des opérations, et qu’elles commandent d’assortir de mesures adaptées de contrôle interne. La fréquence de cette mise à jour, comme la nature et l’étendue des éléments à rafraîchir, dépendent du profil de risque de la relation — application directe de l’approche par les risques que consacrent les articles L. 561-5-1 et R. 561-12. En tout état de cause, l’actualisation s’impose lors de tout changement significatif affectant la relation ; elle peut également procéder d’un examen renforcé ou d’une déclaration de soupçon, à la hausse si le soupçon se confirme, à la baisse si l’analyse révèle que le risque avait été surévalué.

Cette exigence d’actualisation a pour corollaire une exigence de formalisation. Recueillir ne suffit pas : il faut conserver, et conserver de manière à pouvoir démontrer. L’article L. 561-12 impose à cet égard une durée de cinq ans à compter de la clôture des comptes ou de la cessation des relations pour les documents relatifs aux relations d’affaires et aux mesures de vigilance mises en œuvre, la même durée courant à compter de leur exécution pour les documents relatifs aux opérations.

Ce socle probatoire — études d’identification, journaux d’ouverture, référentiels clients — est aussi un traitement de données à caractère personnel, soumis comme tel au règlement général sur la protection des données et à la loi du 6 janvier 1978. L’organisme y trouve sa base légale dans l’obligation légale que lui impose le dispositif de lutte contre le blanchiment, mais cette base ne l’autorise pas à tout : il lui faut informer la personne concernée, sécuriser le traitement, respecter la limitation des finalités et des durées de conservation, et garantir l’exercice des droits, sous le contrôle de la Commission nationale de l’informatique et des libertés. La collecte doit demeurer adéquate, pertinente et limitée à ce qui est nécessaire au regard de sa finalité — ce que l’on nomme la minimisation. L’articulation est ici d’une exigence particulière, car les deux corps de règles tirent en sens contraire : le premier commande de savoir, le second de ne pas savoir plus qu’il n’est utile. C’est dans cet équilibre que se joue la légalité du dossier de connaissance du client.

II) La graduation des moyens de vérification

Savoir quels éléments d’identité le professionnel doit recueillir ne dit encore rien de la manière dont il doit s’assurer qu’ils sont exacts. Or c’est là que se joue l’essentiel : une déclaration non corroborée n’oppose aucune résistance à celui qui vient précisément pour mentir. Le droit positif ne se contente donc pas d’exiger une vérification — il en hiérarchise les moyens, du plus probant au moins sûr, et n’admet les seconds qu’au prix de leur combinaison. Cette architecture, que les articles R. 561-5-1 et R. 561-5-2 du Code monétaire et financier déploient, obéit à une logique simple : la certitude que l’on n’obtient pas d’un seul procédé, on la reconstitue par l’accumulation de plusieurs.

A) La distinction du déclaratif et du probant

Le I de l’article L. 561-5 juxtapose deux opérations que la pratique confond volontiers et que le droit sépare rigoureusement : identifier, puis vérifier. La distinction n’est pas de vocabulaire, elle commande le régime.

1) L’identification comme collecte déclarative

Identifier, c’est demander et recevoir. L’établissement recueille les nom et prénoms du client, ses date et lieu de naissance — rien de plus au titre de l’article R. 561-5, 1° —, et ce recueil repose sur la parole du client. À ce stade, aucune défiance n’est requise : le professionnel enregistre ce qui lui est dit. L’entrepreneur individuel, du reste, est identifié comme la personne physique qu’il est, sans que l’activité exercée n’altère la nature des mentions attendues, ainsi que le rappellent les lignes directrices de l’Autorité de contrôle prudentiel et de résolution. La collecte est déclarative parce qu’elle est première : elle constitue l’énoncé que la suite viendra éprouver.

2) La vérification comme confrontation documentaire

Vérifier, c’est confronter. Le 2° du I de l’article L. 561-5 subordonne l’opération à la « présentation de tout document écrit à caractère probant » — formule qui dit à la fois l’exigence et sa souplesse : il faut un écrit, mais tout écrit qui prouve convient, sur support matériel comme sur support numérique. L’objet de la confrontation est délimité par l’article R. 561-5 : la vérification doit porter sur l’intégralité des éléments recueillis, et non sur quelques-uns d’entre eux. Un procédé qui corrobore le nom sans rien dire du lieu de naissance laisse subsister une part déclarative non éprouvée.

Cette exigence n’a pas toujours revêtu la forme qu’on lui connaît. Jusqu’au 30 septembre 2018, l’article R. 561-5 imposait lui-même la présentation d’un document officiel en cours de validité comportant photographie, et énumérait les mentions à relever puis à conserver ; la Commission des sanctions de l’ACPR a eu l’occasion de retracer cette évolution dans sa décision n° 2020-06 du 12 juillet 2021 à l’égard de la société A. La refonte d’octobre 2018 n’a pas allégé la contrainte : elle l’a déplacée vers un dispositif gradué, plus ouvert dans ses moyens, plus rigoureux dans ses conditions.

B) Les mesures principales de vérification

L’article R. 561-5-1 constitue la voie ordinaire. Chacune des modalités qu’il ouvre se suffit à elle-même, parce que chacune atteint, par un chemin propre, un degré de certitude comparable. Encore faut-il que ses conditions soient exactement remplies : c’est leur rigueur qui justifie qu’un procédé unique emporte la conviction.

1) Le moyen d’identification électronique certifié

La première modalité repose sur un moyen d’identification électronique répondant au règlement (UE) n° 910/2014, dit règlement eIDAS, et présentant un niveau de garantie au moins substantiel. Deux voies alternatives permettent d’y satisfaire : la certification ou l’attestation de conformité délivrée par l’Agence nationale de la sécurité des systèmes d’information, ou le rattachement à un schéma d’identification électronique notifié par la France ou par un autre État membre. L’arrêté du 28 mars 2021 et le référentiel publié le 1^er mars 2021 par l’Agence encadrent la certification des prestataires de vérification d’identité à distance, dits PVID. L’intérêt de cette voie tient tout entier à ce qu’elle affranchit de la présence physique sans rien céder sur la sécurité : elle constitue aujourd’hui la solution de référence de l’entrée en relation dématérialisée.

2) La présentation du document officiel

La modalité classique demeure la présentation de l’original d’un document officiel d’identité en cours de validité comportant une photographie. Elle suppose que le client — ou la personne agissant pour son compte — se trouve physiquement dans le même lieu que le préposé de l’organisme, au moment de l’établissement de la relation d’affaires. L’exigence est de présence, non de simultanéité visuelle : c’est pourquoi la vidéoconférence ne saurait y suppléer, ainsi que les autorités européennes de supervision l’ont explicité dans leurs orientations du 1^er mars 2021. L’organisme réalise et conserve une copie recto-verso du titre présenté.

Encore le professionnel ne se borne-t-il pas à recevoir le document : il l’examine. La fraude documentaire commande une attention particulière, que l’établissement peut nourrir de plusieurs manières — en exigeant une pièce supplémentaire, telle une carte Vitale comportant photographie, dont les cinq derniers chiffres du numéro de sécurité sociale doivent être masqués lors de la prise de copie, un livret de famille ou un extrait d’état civil ; en interrogeant la base PRADO du Conseil de l’Union européenne, registre public en ligne des documents authentiques d’identité et de voyage ; en consultant ses propres référentiels documentaires internes. Le recueil d’une seconde pièce n’est pas obligatoire, mais il est toujours ouvert au professionnel que le doute saisit. Restent les clients qui ne peuvent produire une carte nationale d’identité valide : l’article 6 de l’arrêté du 6 janvier 2021 impose que les procédures internes définissent l’ensemble des documents recevables, de sorte que ces situations soient traitées par la règle et non par l’improvisation du guichet.

3) La signature électronique qualifiée

La troisième voie mobilise, elle aussi, l’infrastructure de confiance européenne, mais par son versant probatoire : la signature électronique qualifiée, reposant sur un certificat qualifié délivré par un prestataire de services de confiance reconnu. Le procédé ne fait pas que sécuriser un consentement — il identifie le signataire, puisque la délivrance du certificat a supposé, en amont, une vérification d’identité conduite par le prestataire selon les exigences du règlement eIDAS. L’établissement s’adosse ainsi à une diligence déjà accomplie, dont la qualification européenne garantit le niveau.

C) Les mesures subsidiaires complémentaires

Il arrive que la voie principale se dérobe : le client ne peut se déplacer, aucun moyen électronique qualifié n’est disponible, l’original ne peut être présenté. L’article R. 561-5-2 prend alors le relais — mais à titre supplétif, et jamais au choix de l’établissement.

1) L’exigence de deux procédés cumulés

Le principe cardinal du texte tient en un chiffre : deux. L’organisme ne peut se contenter d’une mesure isolée, il doit en combiner au moins deux, complémentaires, dont l’assemblage reconstitue un niveau de certitude équivalent à celui qu’offrait la voie principale. La règle a sa logique : chacun de ces procédés, pris seul, laisse subsister une faille — la copie ne prouve pas la détention du titre, le virement ne prouve pas le lieu de naissance —, mais la faille de l’un est souvent comblée par l’autre. Encore faut-il que la combinaison couvre l’ensemble des éléments de l’article R. 561-5 : deux mesures qui vérifieraient toutes deux le seul patronyme ne feraient pas un faisceau, elles feraient une redondance.

2) L’inventaire des procédés admis

Le premier procédé consiste dans le recueil d’une copie du document d’identité, papier ou numérique, permettant de confirmer les informations essentielles de l’état civil ; la protection des données commande ici les mêmes précautions de masquage que celles évoquées plus haut. Le deuxième réside dans la certification de cette copie par un tiers indépendant — autorité publique ou officier public ministériel, notaire, consulat, ambassade —, dont l’intervention élève la valeur probante de la reproduction et réduit d’autant le risque de faux. Le troisième repose sur un premier paiement effectué en provenance ou à destination d’un compte ouvert au nom du client auprès d’un établissement situé dans l’Union européenne, dans l’Espace économique européen, ou dans un pays tiers dont l’article R. 561-22-1 permet de reconnaître l’équivalence du dispositif de lutte contre le blanchiment.

Le quatrième procédé emprunte à la confiance entre professionnels : l’organisme sollicite directement une banque ou un autre assujetti, établi dans l’Union, dans l’Espace économique européen ou dans un pays tiers équivalent, pour obtenir confirmation des éléments d’identification. La doctrine administrative insiste sur un point qui n’est pas de détail — la demande s’adresse au tiers sans passer par l’intermédiaire du client, faute de quoi la confirmation perdrait toute indépendance —, et l’échange s’inscrit dans le cadre de l’article L. 561-7, qui régit la circulation des informations nominatives entre assujettis. Le cinquième groupe s’appuie sur le règlement eIDAS, dont la norme européenne offre ici un point d’ancrage : service certifié par l’Agence nationale de la sécurité des systèmes d’information au niveau de garantie substantiel, conformément à l’arrêté du 28 mars 2021 et au référentiel PVID ; signature électronique avancée ou qualifiée, ou cachet électronique qualifié, adossés à un certificat qualifié délivré par un prestataire reconnu ; service d’envoi recommandé électronique qualifié comportant l’identité du signataire. Le sixième, enfin, ouvre la porte aux technologies nouvelles — biométrie, vidéoconférence —, dans une approche par les risques et sous la double réserve de la traçabilité et de la sécurité qu’imposent les articles R. 561-5-1 et R. 561-5-2.

3) Les procédés jugés insuffisants

L’inventaire aurait peu de force s’il n’était bordé par ce qu’il exclut. Deux exclusions méritent d’être retenues, et toutes deux procèdent de la même confusion : prendre pour une vérification d’identité ce qui n’est qu’un contrôle technique. Ainsi du seul examen de cohérence de la bande de lecture optique — la zone « MRZ » — figurant sur la copie du titre : l’opération éprouve l’authenticité apparente du document, non l’identité de celui qui le produit, et la Commission des sanctions de l’ACPR a jugé, dans sa décision n° 2016-01 du 28 décembre 2016, qu’elle ne constitue pas une mesure de vérification et de certification au sens de l’article R. 561-5-2. Ainsi, encore, du relevé d’identité bancaire présenté en lieu et place du premier paiement : la même décision en refuse la suffisance, car ce qui est exigé n’est pas la désignation d’un compte mais la provenance effective des fonds. Il appartient dès lors à l’établissement de s’assurer que le paiement par carte n’est pas rattaché à un porte-monnaie électronique et que le porteur de la carte est bien le titulaire du compte — vérifications sans lesquelles le procédé, formellement accompli, serait matériellement vide. La logique de graduation prend ici tout son sens : les mesures principales forment la voie normale, les mesures subsidiaires n’interviennent qu’à titre supplétif et par combinaison ; en présentiel, la présentation de l’original demeure la référence, tandis que l’entrée en relation à distance appelle les moyens eIDAS ou les dispositifs PVID certifiés.

D) Les vérifications dérivées

La vérification ne s’arrête pas toujours à la personne du client. Dès lors qu’un tiers s’interpose — parce qu’il agit pour le client ou parce qu’il profite de l’opération —, l’obligation se dédouble.

1) Le représentant et le mandataire

Que le client soit représenté légalement — parent d’un mineur, tuteur d’un majeur protégé —, statutairement ou conventionnellement, l’article R. 561-5-4 impose que le représentant soit identifié et vérifié dans les mêmes formes que le client lui-même, indépendamment des mesures retenues pour ce dernier. À cette première diligence s’en ajoute une seconde, distincte par son objet : la vérification des pouvoirs, qui suppose la production d’un titre approprié — livret de famille ou acte de naissance pour le mineur, jugement de protection pour le majeur protégé, statuts ou délégation accompagnés d’un extrait d’immatriculation récent pour la personne morale. Vérifier qui est le représentant ne dit rien de ce qu’il peut faire ; les deux contrôles ne se substituent pas l’un à l’autre.

2) Le bénéficiaire effectif de l’opération

Le bénéficiaire effectif obéit à un régime volontairement plus souple. Ses éléments d’identification se vérifient, comme ceux du client, au moyen de tout document écrit à caractère probant au sens de l’article L. 561-5 ; mais l’article R. 561-7 module l’intensité des mesures selon le risque présenté par la relation d’affaires. Hors risque élevé et en l’absence de tout soupçon, le recueil d’un extrait pertinent du registre des bénéficiaires effectifs suffit — un simple registre d’actionnaires ne saurait, en revanche, y équivaloir, sauf à être étayé par une attestation émanant d’un professionnel du droit. La présentation d’un document officiel d’identité et le recueil de sa copie, qui ne sont pas en principe exigés du bénéficiaire effectif, redeviennent nécessaires dès que son identité fait doute. L’établissement doit, en toute hypothèse, pouvoir justifier auprès de l’ACPR tant des mesures accomplies que de leur adéquation au risque, et ses procédures internes doivent en fixer les modalités.

3) L’entrée en relation à distance

Reste l’hypothèse aujourd’hui dominante, celle du client qui ne se présente jamais. La distance n’allège rien : elle redistribue. Elle ferme la voie de l’original, puisque celle-ci exige la présence physique ; elle ouvre en revanche celle du moyen d’identification électronique certifié, et à défaut celle de la combinaison subsidiaire, où la copie du titre s’associe utilement au premier paiement depuis un compte européen ou à la confirmation obtenue d’un tiers assujetti. Si aucune de ces voies n’aboutit et que le risque est faible, l’article R. 561-6 autorise, à titre exceptionnel et de manière dûment justifiée, que la vérification soit différée pendant l’établissement de la relation. Hors ce cas, l’obtention des documents après l’entrée en relation caractérise un manquement — la Commission des sanctions de l’ACPR l’a retenu, dans sa décision n° 2019-07 du 23 décembre 2020 à l’égard d’un établissement de paiement, à propos d’une offre permettant l’ouverture de comptes sans vérification de l’identité du client ni, le cas échéant, de son bénéficiaire effectif lors de l’entrée en relation. Et si la vérification échoue tout à fait, l’article L. 561-8 commande de n’exécuter aucune opération ni d’établir aucune relation, le cas échéant en adressant une déclaration de soupçon à Tracfin.

Cette architecture est appelée à se déplacer. Le règlement (UE) 2024/1624 du 31 mai 2024, applicable à partir du 10 juillet 2027 — le 10 juillet 2029 pour les entités visées à son article 3, points 3) n) et o) —, énoncera lui-même, en son article 22, les informations que les entités assujetties devront recueillir pour identifier le client, toute personne prétendant agir pour son compte et les personnes physiques pour le compte ou au profit desquelles l’opération est menée : tous les prénoms et noms, le lieu et la date complète de naissance. La matière quittera ainsi le décret national pour un texte directement applicable, tandis que la directive (UE) 2024/1640, à transposer pour la même échéance, refondra le cadre de la supervision.

III) Le standard de vigilance du banquier

Les moyens de vérification une fois inventoriés, une question demeure, qui commande tout le contentieux : jusqu’où l’établissement doit-il pousser l’examen de ce qu’on lui présente ? Car le document remis peut être un faux, la déclaration recueillie un mensonge, et l’opération projetée le paravent d’une entreprise délictueuse. La réponse ne se lit dans aucun des textes du dispositif LCB-FT, qui décrivent des modalités sans fixer d’intensité. Elle se trouve dans un standard forgé par la jurisprudence bancaire bien avant que le blanchiment ne devînt une préoccupation du législateur, et que le dispositif de vigilance est venu recouvrir sans l’abolir : le banquier n’a pas à se faire enquêteur, mais il ne saurait ignorer ce qui saute aux yeux.

A) Le principe de non-ingérence

1) L’absence de devoir général d’investigation

Au vrai, le point de départ est un principe d’abstention. Le banquier n’a pas à s’immiscer dans les affaires de son client : il ne lui appartient ni de juger l’opportunité d’une opération, ni d’en rechercher la cause économique, ni de vérifier que l’usage annoncé des fonds correspond à leur emploi réel. Ce devoir de non-ingérence — que l’on nomme aussi devoir de non-immixtion — protège autant le client, dont la liberté de gestion serait autrement soumise à l’agrément d’un tiers, que l’établissement, qu’une obligation générale de contrôle exposerait à une responsabilité sans mesure.

Transposé à l’identité, ce principe emporte une conséquence précise, et souvent mal comprise. L’obligation de vérifier n’est pas une obligation d’authentifier. Le professionnel n’est pas un expert en documents de sécurité : on ne lui demande ni de soumettre le titre à une lampe à ultraviolets, ni d’en éprouver les encres, ni de recourir aux procédés de laboratoire qui permettent seuls de déceler une contrefaçon soignée. Il lui est demandé de confronter la déclaration au document, et d’exercer sur ce dernier l’attention que la profession commande. Rien de plus — mais rien de moins.

2) La neutralité du banquier dépositaire

Cette neutralité tient à la nature même de la fonction. Le dépositaire de fonds exécute les ordres reçus ; il n’en apprécie pas le mérite. Lui imposer de refuser un virement qu’il jugerait douteux sans texte l’y autorisant reviendrait à lui reconnaître un pouvoir de police sur le patrimoine d’autrui — et à lui faire encourir, symétriquement, une responsabilité pour n’avoir pas exercé ce pouvoir. La jurisprudence s’y est toujours refusée, et le dispositif LCB-FT n’a pas renversé cet équilibre : il l’a déplacé. Là où le droit commun laissait le banquier libre, la réglementation lui prescrit désormais des diligences déterminées, dont la déclaration de soupçon à Tracfin, sans pour autant lui confier une mission générale de surveillance de la licéité des affaires de sa clientèle.

L’obligation de vigilance se tient donc à un point d’équilibre entre deux excès. D’un côté, l’exigence de moyens d’investigation disproportionnés, qui paralyserait l’activité bancaire et déplacerait sur le professionnel une charge de contrôle qui incombe aux autorités. De l’autre, la cécité complaisante, qui laisserait passer ce que tout observateur normalement attentif aurait relevé. Entre ces deux bornes, la jurisprudence a dessiné les contours d’une obligation qu’il faut bien qualifier de moyens, mais de moyens renforcée : l’établissement ne garantit pas le résultat — l’identité vraie —, il répond de la diligence déployée pour l’approcher.

B) L’exception de l’anomalie apparente

Le principe de non-ingérence n’est pas un permis d’indifférence. Il cède devant l’anomalie apparente, notion charnière qui commande l’ensemble du contentieux de la vérification d’identité, et dont la jurisprudence distingue traditionnellement deux figures.

1) L’anomalie matérielle du titre présenté

La première tient au document lui-même, dans sa consistance physique et ses énonciations. Elle se donne à voir sans expertise : une autorité émettrice qui n’existe pas, une mention grattée ou surchargée, une photographie mal fixée, une incohérence entre le millésime de délivrance et le format du titre, une date de validité expirée. Ce sont là des irrégularités que le simple examen visuel révèle, et dont la jurisprudence a très tôt jugé qu’elles devaient être immédiatement détectées — la Cour d’appel de Paris l’avait déjà énoncé en 1960 à propos d’un titre se réclamant d’une administration imaginaire, et la solution n’a jamais varié depuis.

Le titre périmé appelle un traitement particulier. Sa péremption n’emporte pas, en elle-même, disqualification : le document expiré peut encore servir la vérification si l’établissement en tire les conséquences, en sollicitant une attestation de renouvellement et en exigeant une seconde pièce. Mais il déclenche une vigilance accrue, car il est précisément l’un des vecteurs privilégiés de la fraude documentaire. De même, un permis de conduire portant des mentions suspectes ne peut fonder à lui seul la vérification : l’établissement doit alors soit la refuser, soit la compléter par un autre procédé.

Sur ce terrain, l’établissement dispose aujourd’hui d’outils que les décisions anciennes ignoraient. La base PRADO, registre public en ligne tenu par le Conseil de l’Union européenne, recense les modèles authentiques de documents d’identité et de voyage et permet de confronter le titre présenté à son gabarit officiel. La consultation d’une seconde pièce — carte vitale portant photographie, dont les cinq derniers chiffres du numéro de sécurité sociale seront masqués pour respecter la minimisation des données, livret de famille, extrait d’état civil — reste facultative, mais elle devient l’usage lorsque le doute s’installe. Le refus opposé au client est alors la seule issue conforme : mieux vaut une entrée en relation manquée qu’un dossier bâti sur une identité incertaine.

2) L’anomalie intellectuelle de l’opération

La seconde figure est plus subtile, et c’est elle qui nourrit aujourd’hui l’essentiel des griefs disciplinaires. L’anomalie n’affecte pas le document, régulier en la forme, mais la cohérence de l’ensemble : l’opération projetée ne s’accorde ni avec le profil déclaré, ni avec l’objet annoncé de la relation. Un client se présentant comme employé sans revenu notable qui ouvre un compte pour y faire transiter des sommes considérables ; un fractionnement de règlements manifestement destiné à demeurer sous les seuils ; une adresse de résidence qui ne correspond ni au lieu de domiciliation bancaire ni au pays de la carte utilisée ; l’absence des flux qu’une activité déclarée rendait attendus — loyers, fournitures, salaires — doublée de la présence de flux qu’elle ne laissait pas prévoir.

La doctrine administrative est ici précieuse, car elle recense ces signaux avec une précision que les textes n’ont pas. Les principes d’application sectoriels conjoints de l’ACPR et de la direction générale des douanes relatifs aux opérations sur métaux précieux, comme les lignes directrices conjointes de l’ACPR et de Tracfin sur les obligations de vigilance, énumèrent ainsi la hâte anormale du client, la pluralité inexpliquée d’intervenants pour une même marchandise, le montant sans rapport avec les prix pratiqués, ou encore les modalités de règlement inhabituelles — espèces, cartes étrangères, comptes détenus hors du pays de résidence. Ces documents ne sont pas normatifs ; ils sont suivis en pratique, et l’autorité de contrôle s’y réfère pour apprécier l’adéquation d’un dispositif.

3) L’appréciation par le professionnel normalement attentif

Reste à fixer l’étalon. L’anomalie n’est pas apparente dans l’absolu : elle l’est pour quelqu’un. Ce quelqu’un n’est ni l’expert en documents de sécurité, ni le client profane, mais le professionnel normalement attentif et diligent, placé dans les mêmes circonstances et disposant des mêmes informations. Le standard est donc objectif, mais relatif — relatif à l’état des connaissances de la profession, aux outils dont elle dispose, et au niveau de risque que le dossier présentait.

C’est en cela que le standard prétorien et le dispositif réglementaire se rejoignent : ce qu’un professionnel attentif aurait dû relever dépend de ce que sa classification des risques lui commandait de regarder. La Commission des sanctions le rappelle sans relâche. Dans sa décision n° 2022-01 à l’égard d’Axa Banque, elle a écarté l’argument tiré du caractère infinitésimal du taux de dossiers défaillants : un manquement à l’obligation d’examen renforcé se constate dossier par dossier, non en proportion d’un encours. Symétriquement, elle refuse de tenir un grief pour établi par la seule statistique. Sa décision n° 2020-06 énonce que la proportion très élevée de clients classés en risque faible rend le manquement vraisemblable, mais ne l’établit pas si la poursuite ne démontre pas que ce classement était injustifié au regard des caractéristiques réelles de la clientèle. La décision n° 2021-05, rendue à l’égard d’une caisse régionale de Crédit agricole, procède de la même exigence : des données d’ancienneté sur la profession et les revenus des clients peuvent laisser penser que la carence excède les dossiers formellement relevés, sans suffire à établir une défaillance générale du dispositif de connaissance actualisée, la charge de la preuve pesant sur la poursuite.

C) La modulation par le risque

L’attention due n’est pas uniforme. Le dispositif LCB-FT repose sur une approche par les risques qui module l’intensité des diligences selon le profil du client, la nature du produit et la géographie de l’opération.

1) La vigilance allégée

Lorsque le risque est faible, l’établissement peut réduire l’intensité de ses mesures — en espaçant la mise à jour des données, en différant certaines vérifications accessoires. L’allègement ne dispense jamais de l’identification ni de la vérification elles-mêmes : il porte sur l’étendue et la fréquence, non sur le principe. Encore faut-il que la faiblesse du risque soit établie et documentée, ce qui suppose une classification à jour et argumentée. La décision n° 2020-06 illustre la difficulté : la méthodologie interne y rangeait en risque faible les porteurs de cartes résidant en France et dépensant dans leur pays de résidence, classification que la Commission des sanctions n’a pas censurée faute de démonstration contraire, mais dont elle a souligné qu’elle appelait justification.

2) La vigilance renforcée

Le risque élevé commande l’inverse : recueil d’éléments supplémentaires sur l’origine des fonds et le patrimoine, validation de l’entrée en relation à un niveau hiérarchique déterminé, surveillance rapprochée des opérations. L’article R. 561-22-1 du code monétaire et financier fournit le point d’appui géographique de cette modulation, en prescrivant d’évaluer l’équivalence du dispositif d’un pays tiers au regard des travaux du Groupe d’action financière et des listes publiées par la Commission européenne.

La décision n° 2024-02, rendue le 19 juin 2025 à l’égard de la banque Delubac et Cie, montre où le raisonnement se rompt en pratique. L’établissement avait réservé sa surveillance renforcée aux seules relations impliquant des pays classés en risque « très élevé », excluant de ce fait celles qui touchaient des pays de risque « élevé » — parmi lesquels figuraient plusieurs États inscrits sur les listes du GAFI ou de l’Union. Une classification comportant plusieurs niveaux ne vaut que si chaque niveau déclenche effectivement les mesures qui lui correspondent : réserver le traitement au seul échelon supérieur revient à priver l’échelon intermédiaire de tout effet.

3) La personne politiquement exposée

La personne politiquement exposée constitue le cas emblématique du risque élevé par détermination réglementaire. Sa qualité impose une double contrainte : disposer d’une procédure permettant de la détecter, puis appliquer les mesures renforcées qui s’attachent à cette qualification — décision de nouer ou de maintenir la relation prise à un niveau approprié, recherche de l’origine du patrimoine, surveillance continue. La décision n° 2018-03 a sanctionné, sur ce terrain, un établissement de monnaie électronique dépourvu de procédure de détection adaptée, en rappelant que l’obligation ne se satisfait pas d’une intention mais d’un dispositif opérant. La décision n° 2022-03, à l’égard d’Abeille Vie, en donne une variante instructive : le dispositif de surveillance existait bien pour les personnes politiquement exposées, les clients déclarés et les personnes sous mesure de gel, mais il reposait sur une approche par contrat et non par client, de sorte qu’il ne couvrait qu’une fraction du portefeuille. Un dispositif dont l’unité d’analyse est mal choisie manque son objet quand bien même il fonctionnerait.

D) La charge de la preuve des diligences

1) La démonstration incombant à l’établissement

Un dispositif de vigilance n’a d’existence juridique que par la trace qu’il laisse. C’est le sens du renversement pratique de la charge probatoire opéré par la chambre commerciale dans l’arrêt du 11 janvier 2000 déjà cité : il appartient à la banque de démontrer qu’elle a vérifié l’identité de son client conformément aux prescriptions légales, faute de quoi elle s’expose à voir sa responsabilité retenue. La solution est logique — le client ou le tiers lésé n’a pas accès au dossier —, mais sa portée est considérable : l’établissement qui a bien fait sans pouvoir l’établir est traité comme celui qui n’a rien fait. La diligence non documentée est une diligence perdue.

La répartition diffère toutefois selon le terrain. Devant la Commission des sanctions, c’est la poursuite qui supporte la charge d’établir le manquement, ainsi que les décisions n° 2020-06 et n° 2021-05 le rappellent expressément. Mais la démonstration s’appuie sur les pièces du dossier client, que seul l’établissement détient : l’absence de trace ne profite jamais à celui qui devait la conserver.

2) La conservation des pièces justificatives

L’article L. 561-12 du code monétaire et financier fixe le cadre de cette obligation documentaire, en imposant la conservation des documents et informations relatifs aux relations d’affaires et aux mesures de vigilance mises en œuvre pendant cinq ans à compter de la clôture du compte ou de la cessation de la relation. Le champ en est large : y entrent la copie recto-verso du document officiel présenté en original, exigée par l’article R. 561-5-1, mais aussi, pour les parcours à distance, les journaux techniques, les preuves de certification — signature qualifiée, envoi recommandé électronique qualifié — et les confirmations obtenues auprès d’un tiers assujetti. La documentation ainsi constituée doit pouvoir être produite indifféremment devant le contrôle de l’ACPR et devant le juge civil.

Le paquet européen de 2024 confirmera cette architecture sans la bouleverser. Le règlement (UE) 2024/1624, applicable à compter du 10 juillet 2027, imposera aux entités assujetties de conserver une copie des documents et informations obtenus au titre de la vigilance, y compris les données issues de moyens d’identification électronique, ainsi que le relevé des examens conduits et de leurs résultats. Jusqu’à cette date, c’est l’article L. 561-12 qui régit seul la matière.

3) La valeur probatoire de la copie numérique

La conservation étant aujourd’hui presque toujours dématérialisée, la question de la force probante du fichier se pose. Le droit commun de la preuve y répond : la copie fiable, produite par un procédé assurant une reproduction à l’identique et l’intégrité durable du fichier, a la même force probante que l’original. Encore faut-il que le procédé le garantisse — horodatage, empreinte, journalisation des accès —, faute de quoi la copie ne vaudra que ce que le juge voudra bien lui accorder au titre de la preuve libre en matière commerciale. Le contentieux disciplinaire est plus exigeant encore : la décision n° 2017-10, rendue le 10 janvier 2019 à l’égard d’un établissement de paiement, retient le manquement tiré de l’absence, dans les dossiers, des informations relatives au document d’identité présenté, en observant que la réglementation offre une alternative — prendre copie du titre ou en recueillir les mentions — mais n’autorise pas à s’abstenir des deux. Que ces indications ne figurent pas au nombre de celles qu’une déclaration de soupçon doit obligatoirement comporter est indifférent : l’obligation de vérification est distincte de l’obligation déclarative, et se prouve séparément.

Ainsi la vigilance se donne-t-elle pour ce qu’elle est : non une garantie de résultat, mais une exigence de diligence dont l’intensité varie avec le risque et dont la preuve incombe à celui qui la doit. Cette dernière observation ouvre la question des sanctions, car un manquement ainsi caractérisé produit ses effets sur deux plans que rien ne subordonne l’un à l’autre.

IV) Les sanctions du manquement

Que la preuve des diligences pèse sur l’établissement, la chose est acquise ; encore faut-il mesurer ce qu’il encourt lorsqu’il ne la rapporte pas. Or la vérification de l’identité présente cette particularité de relever simultanément de deux ordres : elle est une obligation de police administrative, dont le respect intéresse l’État dans sa lutte contre les circuits financiers illicites, et elle est un devoir professionnel dont l’inexécution peut léser un client ou un tiers. De cette dualité procède une dualité de sanctions — l’une disciplinaire, prononcée par l’autorité de contrôle, l’autre indemnitaire, prononcée par le juge civil — qui n’obéissent ni aux mêmes conditions ni à la même logique. Il faut y ajouter l’ombre portée du droit pénal et, en aval de tout, la mesure la plus radicale : la rupture du lien contractuel lui-même.

A) La répression administrative

C’est là que se joue l’essentiel. La Cour de cassation ne connaît presque rien de ce contentieux ; la jurisprudence réelle de la matière est celle de la Commission des sanctions de l’Autorité de contrôle prudentiel et de résolution, dont les décisions, souvent anonymisées, forment le corps de doctrine le plus dense sur ce qu’exige concrètement l’article L. 561-5.

1) Le contrôle de l’ACPR

L’Autorité, autorité administrative indépendante adossée à la Banque de France, exerce un contrôle sur pièces et sur place. La mission de contrôle procède par échantillon : elle prélève un ensemble de dossiers clients et reconstitue, pièce par pièce, ce que l’établissement a fait et quand il l’a fait. Le rapport remis au collège de supervision peut conduire celui-ci à ouvrir une procédure disciplinaire par une notification de griefs ; la Commission des sanctions, formation distincte du collège, statue alors au terme d’une instruction contradictoire conduite par un rapporteur, et sa décision est déférable au Conseil d’État.

La méthode du contrôle éclaire, mieux qu’aucun commentaire, la structure de l’obligation. Le contrôleur vérifie d’abord la chronologie : la vérification devait intervenir avant l’entrée en relation d’affaires, sur présentation d’un document écrit à caractère probant, conformément au 2° du I de l’article L. 561-5 — l’identification, purement déclarative, ne se confond pas avec la vérification, qui corrobore les nom, prénoms, date et lieu de naissance recueillis au titre de l’article R. 561-5. Il vérifie ensuite la hiérarchie des moyens employés : l’établissement devait recourir en principe à l’une des mesures principales de l’article R. 561-5-1, voie ordinaire offrant le degré de certitude le plus élevé, et ne se tourner vers la combinaison d’au moins deux mesures subsidiaires de l’article R. 561-5-2 qu’après avoir constaté l’impossibilité des premières.

Il vérifie enfin la cohérence du canal choisi. Les mesures de vérification peuvent être conduites en présentiel comme à distance, mais la présentation de l’original du titre d’identité implique nécessairement la présence physique du client ou de la personne agissant pour son compte : les orientations des autorités européennes de supervision du 1^er mars 2021 en excluent la vidéoconférence, laquelle relève d’un autre régime, celui des dispositifs certifiés. Un dossier qui invoque la présentation d’un original tout en documentant un parcours entièrement dématérialisé se contredit lui-même, et le grief s’écrit seul.

Le contrôle s’étend aux vérifications dérivées. Lorsque le client est représenté, le représentant légal, statutaire ou conventionnel est identifié et sa propre identité vérifiée dans les mêmes formes que celle du client, indépendamment des mesures retenues pour ce dernier, et ses pouvoirs sont établis par un titre approprié.

Il serait faux, pourtant, de croire la poursuite dispensée de toute démonstration. Dans la décision n° 2022-01 rendue à l’égard d’Axa Banque, la Commission a écarté une partie du reproche faute pour la poursuite d’avoir produit les pièces sur lesquelles il s’appuyait, le nombre de dossiers réellement concernés demeurant indéterminable. De même, dans la décision n° 2017-10 du 10 janvier 2019, l’établissement contestait jusqu’à la construction de l’échantillon, en faisant valoir que l’identité de nom, de prénom et de date de naissance ne suffit pas toujours à établir que deux opérations émanent du même client — objection qui dit assez combien les données d’état civil de l’article R. 561-5 sont l’ossature de tout le dispositif. La charge de la preuve des diligences pèse sur l’établissement ; la charge de la preuve du fait reproché pèse sur la poursuite.

2) L’échelle des sanctions disciplinaires

L’article L. 612-39 du Code monétaire et financier gradue les sanctions de l’avertissement à la radiation, en passant par le blâme, l’interdiction d’effectuer certaines opérations, la suspension ou la démission d’office des dirigeants et le retrait partiel ou total d’agrément. À cette échelle disciplinaire s’ajoute, cumulativement, une sanction pécuniaire qui peut atteindre, en matière de lutte contre le blanchiment, cent millions d’euros ou dix pour cent du chiffre d’affaires annuel net. Le quantum se détermine au regard de la gravité et de la durée des manquements, de la situation financière de l’établissement et de la qualité de sa coopération.

La remédiation entreprise après le contrôle n’efface pas le manquement : elle en tempère la sanction. La décision n° 2021-01 du 1^er mars 2022 rendue à l’égard de la société W-HA le montre clairement, la Commission ayant refusé d’y voir une cause d’exonération tout en acceptant d’en tenir compte au stade de la détermination de la peine. À l’inverse, la répétition aggrave : dans la décision n° 2018-06 du 11 juillet 2019 prononcée à l’égard de l’établissement A, l’insuffisance du périmètre du contrôle périodique avait déjà été signalée dans une lettre de suite antérieure de plusieurs années. Quant à l’ampleur des carences, la décision n° 2016-05 du 30 mars 2017 rendue à l’égard de la société Lemon Way en offre l’illustration la plus complète, l’ensemble de la chaîne — identification, vérification, connaissance de la clientèle, détection des personnes politiquement exposées, classification des risques, suivi des opérations, déclaration de soupçon — ayant été jugée défaillante à l’égard d’une clientèle opérant sur des actifs numériques. Et l’exigence ne s’arrête pas aux seuls organismes bancaires : la décision n° 2022-06 du 13 novembre 2023 rendue à l’égard de la Mutuelle de Poitiers Assurances sanctionne un dispositif de filtrage qui, pour près de la moitié des personnes listées, laissait échapper des correspondances alors même que les nom, prénom et date de naissance concordaient.

3) La publicité de la décision

La sanction la plus redoutée n’est pas toujours la plus chiffrée. La décision est en principe publiée sous forme nominative au registre de l’Autorité, la publicité participant à la fois de la dissuasion et de la pédagogie du contrôle. La Commission peut néanmoins décider d’une publication anonymisée lorsque la désignation de l’établissement risquerait de perturber gravement les marchés financiers ou de lui causer un préjudice disproportionné — d’où ces décisions rendues « à l’égard de l’établissement A » dont la lecture reste parfaitement instructive. L’anonymat protège l’assujetti ; il ne dérobe pas le précédent, et la règle dégagée demeure lisible pour tous.

B) La responsabilité civile de l’établissement

Le juge civil connaît, lui, d’une tout autre question : non pas la conformité du dispositif, mais la réparation d’un dommage.

1) Le préjudice du client usurpé

Celui dont l’identité a servi à ouvrir un compte subit un préjudice immédiat et durable : inscription aux fichiers d’incidents, mise en demeure de payer des dettes qu’il n’a pas contractées, temps et frais consacrés à démontrer qu’il n’est pas celui que la banque a cru voir. La faute de l’établissement se mesure ici à l’aune du standard déjà exposé : il n’est pas expert en faux documentaires, mais il répond des anomalies qu’un professionnel normalement attentif aurait décelées. Et c’est à lui qu’il revient d’établir qu’il a vérifié — la solution rendue le 11 janvier 2000, déjà rapportée, garde toute sa portée.

2) Le préjudice du tiers victime de la fraude

La situation du tiers est plus délicate. Celui qui a viré des fonds sur un compte ouvert sous une identité d’emprunt n’est lié à la banque par aucun contrat ; il agit sur le terrain délictuel et doit prouver la faute, le dommage et le lien de causalité. Le dernier terme est le plus rétif : le dommage procède d’abord de l’escroquerie, la carence de la banque n’ayant fait que la rendre possible. Le juge se montre exigeant, et la réparation prend souvent la forme d’une perte de chance d’éviter le versement plutôt que celle du montant détourné.

3) L’inopposabilité des textes LCB-FT au tiers

Une difficulté plus radicale l’attend. Les obligations de vigilance sont instituées dans un but d’intérêt général, aux fins de protéger le système financier ; il est jugé de manière constante qu’elles ne créent pas de droit au profit des particuliers et que leur méconnaissance ne peut, à elle seule, fonder l’action d’un tiers en réparation. Le demandeur ne peut donc se prévaloir du seul manquement à l’article L. 561-5 : il lui faut se replacer sur le terrain du droit commun et démontrer une anomalie apparente que le banquier aurait dû relever. Le même fait est ainsi fautif devant l’Autorité et indifférent devant le juge, non par incohérence, mais parce que les deux ordres poursuivent des fins distinctes — et il en résulte, symétriquement, qu’une sanction disciplinaire ne lie pas le juge civil, pas davantage qu’une relaxe administrative n’exonère du devoir de vigilance.

C) Les prolongements pénaux

1) L’immunité attachée à la déclaration de soupçon

L’article L. 561-22 du Code monétaire et financier protège celui qui déclare de bonne foi : aucune poursuite fondée sur la violation du secret professionnel, aucune action en responsabilité civile, aucune sanction professionnelle ne peut lui être opposée du chef de la déclaration. Mieux, lorsque l’opération a été déclarée à Tracfin, les dirigeants et préposés sont à l’abri des poursuites pour blanchiment, sauf concertation frauduleuse avec le propriétaire des sommes. L’immunité couvre la déclaration ; elle ne rachète pas la vigilance. La décision n° 2014-08 du 19 juin 2015 rendue à l’égard de la société A le montre avec netteté : la déclaration avait bien été établie, mais le dossier demeurait vide de tout élément sur l’objet et la nature de la relation d’affaires comme sur la justification économique du versement, et le manquement subsistait entier. Déclarer ne dispense ni de connaître ni de vérifier — et l’article L. 561-18 interdit par ailleurs d’informer le client de la démarche entreprise.

2) Le risque de complicité de blanchiment

Le blanchiment de l’article 324-1 du Code pénal suppose la connaissance de l’origine frauduleuse des fonds ; il n’existe pas, en droit français, de blanchiment par imprudence. Le professionnel qui a simplement mal vérifié une identité ne tombe donc pas sous le coup de la loi pénale, fût-il lourdement sanctionné par l’Autorité. Le seuil est franchi lorsque, informé, il persiste à prêter son concours : la négligence se mue alors en participation, et la complicité de l’article 121-7 devient concevable. C’est précisément cet élément intentionnel qui explique la rareté du contentieux répressif et la place prépondérante qu’occupe, en cette matière, la répression administrative.

D) La clôture de la relation d’affaires

1) L’impossibilité de vérifier l’identité

Lorsque la vérification échoue, l’article L. 561-8 ne laisse aucune latitude : l’établissement n’exécute aucune opération, n’entre pas en relation et, si la relation est déjà nouée, y met fin. La même conséquence s’attache à l’échec de l’actualisation : la doctrine administrative relative au droit au compte enseigne que l’organisme qui ne parvient pas à mettre à jour la connaissance qu’il a de son client — changement de titulaire, de sources de revenus, de nature des opérations — refuse l’exécution et procède à la clôture. Encore la rupture n’est-elle pas un réflexe : les lignes directrices conjointes de l’ACPR et de Tracfin invitent à ne pas interrompre la relation tant que l’analyse approfondie n’est pas achevée, la responsabilité de l’organisme demeurant engagée durant cet intervalle, et une rupture précipitée risquant de priver la cellule de renseignement de la traçabilité qu’elle recherche. Avant d’en arriver là, la vigilance commande aussi d’adapter l’exigence documentaire à la situation du client, un titre périmé n’étant pas, en toute hypothèse, une impasse.

2) L’articulation avec le droit au compte

Reste la tension la plus vive. L’article L. 312-1 garantit à toute personne dépourvue de compte le droit d’en ouvrir un auprès d’un établissement désigné par la Banque de France. L’établissement désigné ne saurait pour autant s’affranchir de l’article L. 561-5 : la doctrine administrative de l’Autorité rappelle qu’il applique l’approche par les risques de droit commun, sans que la désignation constitue en elle-même un facteur de risque, et que l’impossibilité de vérifier l’identité emporte refus puis clôture, assortie le cas échéant d’une déclaration de soupçon. La conciliation est en réalité limpide : le droit au compte garantit l’accès au service bancaire, non l’anonymat de son bénéficiaire. Ce que la loi ouvre, c’est un droit à être identifié et servi ; ce n’est pas une dispense de l’être.

Ce dispositif, enfin, vit ses dernières années sous sa forme actuelle. Le paquet européen adopté le 31 mai 2024 substituera au jeu combiné des directives et de leur transposition un règlement directement applicable, dont l’article 90 fixe l’entrée en application au 10 juillet 2027 — au 10 juillet 2029 pour les seules entités visées aux points n) et o) du 3) de son article 3. Seul le règlement instituant l’Autorité européenne de lutte contre le blanchiment, applicable depuis le 1^er juillet 2025, produit d’ores et déjà ses effets. Jusqu’à ces échéances, c’est le Code monétaire et financier, et lui seul, qui gouverne la matière.

Au terme de ce parcours, la sanction révèle la nature de l’obligation. Si le manquement à la vérification de l’identité expose à la fois au retrait d’agrément, à la réparation d’un préjudice et, dans ses formes aggravées, à la loi pénale, c’est que le législateur n’y a jamais vu une formalité d’ouverture de compte. La vérification est le point où l’établissement cesse de croire sur parole ; tout le dispositif de vigilance repose sur elle, et rien de ce qui est bâti au-dessus ne tient si ce premier appui manque.