Protection des données et obligations de lutte contre le blanchiment

Lire l’édition PDF (3 pages)

Le conflit le plus aigu en pratique oppose les obligations de limitation de la conservation et de limitation des finalités, d'une part, et les obligations de lutte contre le blanchiment (LBC), d'autre part. La MAS Notice PSN02 impose à un prestataire de services de digital payment tokens (jetons de paiement numériques) de conserver les dossiers de vigilance à l'égard de la clientèle pendant au moins cinq ans après la fin de la relation et de filtrer ses clients au regard des sanctions et des informations défavorables dans les médias. Il doit transmettre les informations sur le donneur d'ordre et le bénéficiaire avec les transferts de valeur et déclarer les transactions suspectes sans en informer le client.¹ Chacune de ces opérations constitue une utilisation ou une communication de données personnelles. La loi les admet par le biais des exceptions relatives à l'utilisation et à la communication exigées par la loi et en reconnaissant que la conservation est permise lorsqu'elle est requise à une fin juridique.² En revanche, la loi n'autorise pas l'utilisation de données LBC à des fins commerciales sans rapport, comme un marketing fondé sur les schémas de transactions, sans consentement distinct. Elle n'autorise pas non plus le partage de déclarations de transactions suspectes au sein d'un groupe au-delà de ce que permettent les règles sur l'interdiction d'informer (tipping-off). Sur ce point, l'analyse sous l'angle de la protection des données et celle sous l'angle de la LBC coïncident.

La travel rule mérite une mention particulière. Un prestataire singapourien qui effectue un transfert vers un prestataire suisse doit transmettre le nom du donneur d'ordre, son numéro de compte et son adresse ou son numéro d'identification. Le prestataire suisse doit vérifier le bénéficiaire.³ Le transfert de ces données de Singapour vers la Suisse constitue un transfert transfrontalier au sens de la section 26 de la loi. Sa base est l'exigence légale, mais le prestataire émetteur doit néanmoins s'assurer que le destinataire protégera les données. Le secteur y a répondu par les clauses de protection des données des protocoles de messagerie dédiés à la travel rule.

Notes

1. MAS Notice PSN02 on Prevention of Money Laundering and Countering the Financing of Terrorism – Digital Payment Token Service, telle que modifiée. La partie L, chapitres II à IV, décrit les obligations. ↩
2. Personal Data Protection Act 2012, section 25 (limitation de la conservation, sous réserve de finalités juridiques ou commerciales) et exceptions de la First Schedule. ↩
3. MAS Notice PSN02, exigences relatives aux transferts de valeur, et, côté suisse, art. 10 OBA-FINMA. La partie F, chapitre IV, et la partie L, chapitre III, traitent de la travel rule. ↩

À titre d’information générale uniquement. Cet article ne constitue pas un conseil juridique ou fiscal, ne remplace pas un conseil adapté à votre situation et ne crée aucune relation avocat-client. Il reflète l’état du droit en octobre 2026.