Concilier RGPD et LCB-FT
Deux obligations qui semblent tirer dans des sens opposés — collecter pour l'une, minimiser pour l'autre — se réconcilient dès qu'on remet chaque durée et chaque périmètre à sa place.
Un dossier client dort dans votre armoire depuis six ans. La relation s'est éteinte au premier trimestre 2020. Le RGPD vous souffle de le détruire ; un vieux réflexe de prudence vous retient la main — on ne sait jamais. Les deux voix ont raison, mais jamais en même temps. Concilier RGPD et LCB-FT tient tout entier dans ce décalage : savoir quand la conservation est un devoir, et repérer le jour précis où elle devient une faute.
On présente volontiers les deux textes comme adversaires. D'un côté, un dispositif qui vous ordonne de collecter, vérifier, conserver. De l'autre, un règlement qui répète la même consigne : le moins possible, le moins longtemps possible. L'opposition est réelle sur le papier. Elle se dissout dès qu'on remet chaque obligation à sa place.
La LCB-FT est une base légale, pas un permis de tout garder
La lutte anti-blanchiment est une obligation légale au sens de l'article 6.1.c du RGPD. Pas besoin du consentement du client pour recueillir sa pièce d'identité, tracer l'origine des fonds ou documenter le bénéficiaire effectif. Le client ne peut pas davantage s'y opposer. La base tient.
Reste qu'elle ne dit pas ce qu'on lui fait souvent dire. Obligation légale n'est pas blanc-seing. Ce que vous collectez doit rester proportionné au risque : des données adéquates, pertinentes, limitées à ce qui nourrit votre analyse. Empiler des justificatifs « au cas où », photocopier trois fois le même passeport, capter des données de santé ou d'opinion sans lien avec le risque — rien de tout cela n'est couvert par la LCB-FT. Le régulateur attend une vigilance graduée, pas une thésaurisation de précaution.
Réf. art. 6.1.c et 5.1.c RGPD ; art. L.561-5 et L.561-6 CMF.
Cinq ans : un plancher qui devient un plafond
L'article L.561-12 du code monétaire et financier fixe la durée : cinq ans. Cinq ans pour les éléments d'identification, à compter de la fin de la relation d'affaires ou de l'opération occasionnelle ; cinq ans pour les pièces relatives aux opérations, à compter de leur exécution. Deux points de départ, un même horizon.
Ce chiffre a deux visages. C'est un plancher : détruire avant terme, c'est se priver des pièces qu'un contrôle ACPR ou une réquisition Tracfin peuvent réclamer demain. C'est aussi un plafond — et c'est là que beaucoup trébuchent. Passé cinq ans, la base légale qui justifiait la conservation s'éteint. Garder au-delà « pour être tranquille », c'est verser dans la sur-conservation, un manquement au principe de limitation. La CNIL a déjà sanctionné des acteurs dont les dossiers dormaient bien après l'échéance.
La conservation LCB-FT n'est pas « au moins cinq ans », c'est « cinq ans ». Au terme, l'obligation de conserver se retourne en obligation de purger — sauf autre base autonome (contentieux en cours, prescription applicable) que vous devez pouvoir justifier dossier par dossier.
D'où l'intérêt d'une politique de purge écrite : des dates de départ horodatées, une suppression réellement effective, pas un répertoire « archive » qu'on n'ouvre plus mais qu'on ne vide jamais. Un tableau des durées de conservation tenu à jour pèse plus lourd qu'une bonne intention.
Réf. art. L.561-12 CMF ; art. 5.1.e RGPD.
Informer sans jamais trahir un soupçon
Le RGPD impose d'informer les personnes. Votre notice doit énoncer, sans détour, que leurs données sont traitées à des fins de LCB-FT, pour combien de temps et sur quelle base. Aucune contradiction ici : on informe du dispositif, pas du contenu d'un dossier.
La ligne rouge est ailleurs. Un client peut exercer son droit d'accès. Ce droit ne peut jamais servir à découvrir qu'une déclaration de soupçon le concerne. La déclaration à Tracfin est confidentielle, et en révéler l'existence est un délit. C'est pourquoi l'accès aux données LCB-FT s'exerce de façon restreinte, par l'intermédiaire de la CNIL (art. L.561-45-1 CMF), précisément pour cloisonner ce qui doit le rester — l'article 23 du RGPD autorise l'État à borner ces droits. Un confrère qui lâcherait « oui, j'ai ouvert une vigilance renforcée à votre nom » commettrait une faute lourde. On ne confirme rien, on ne nie rien : on renvoie vers la procédure. Voir notre guide de la déclaration de soupçon.
Réf. art. L.561-18, L.561-19 et L.561-45-1 CMF ; art. 13 et 23 RGPD.
La conciliation est une discipline de dates
Tout se joue sur des périmètres et des échéances. Qui a été informé, de quoi, quand ? Quelle donnée répond à quel risque ? Quelle pièce arrive à terme ce trimestre et doit partir ? Un outil qui horodate l'entrée en relation, borne chaque durée et signale les purges à venir transforme ces questions en routine plutôt qu'en angoisse de contrôle. C'est le travail que Vigilae fait en amont : il perçoit, il calcule les échéances, il prépare le dossier. La décision, elle, reste la vôtre : conserver ou purger, et le cas échéant déclarer. L'humain tranche et signe. Pour la mécanique complète, la page comment ça marche déroule le parcours.
Article informatif à jour en juillet 2026, ne constituant pas un conseil juridique ni un substitut à l'analyse de votre situation par un professionnel.
Questions fréquentes
La LCB-FT permet-elle de collecter des données personnelles sans le consentement du client ?
Oui. La lutte anti-blanchiment est une obligation légale au sens de l'article 6.1.c du RGPD, qui dispense du consentement du client et lui interdit de s'y opposer. La collecte doit toutefois rester proportionnée au risque : seules les données utiles à la vigilance sont couvertes.
Combien de temps conserver les documents LCB-FT ?
Cinq ans, en application de l'article L.561-12 du code monétaire et financier : à compter de la fin de la relation d'affaires pour les données d'identification, de l'exécution pour les opérations. Au-delà, la conservation devient un manquement au RGPD, sauf autre base légale que l'on peut justifier dossier par dossier.
Un client peut-il, via son droit d'accès RGPD, apprendre qu'une déclaration de soupçon le vise ?
Non. La déclaration à Tracfin est confidentielle et en révéler l'existence constitue un délit (art. L.561-18 CMF). L'accès aux données LCB-FT s'exerce de façon restreinte, par l'intermédiaire de la CNIL, afin de ne jamais dévoiler un soupçon.
Où en est votre conformité LCB-FT ?
L'audit gratuit Vigilae vous donne un score sur 100 et vos 3 failles prioritaires en 2 minutes.
Lancer mon audit gratuit