Criblage et gel des avoirs : obligations et RGPD 2026

Le 16 mars 2026, la Direction générale du Trésor et l’ACPR ont adopté la deuxième mise à jour de leurs lignes directrices conjointes sur la mise en œuvre des mesures de gel des avoirs. Un message y revient à chaque section : le gel est une obligation de résultat, pas une approche par les risques. Or le dispositif qui permet de l’exécuter — le criblage des listes de sanctions — est l’un des traitements de données personnelles les plus intrusifs qu’une entreprise puisse mettre en œuvre, et l’un des plus mal documentés.

L’essentiel. L’obligation de geler sans délai pèse sur toute personne physique ou morale présente sur le territoire national (art. L. 562-4 du code monétaire et financier), pas seulement sur les banques. Le criblage qui la rend possible traite des données relevant des articles 9 et 10 du RGPD, sur la base légale de l’obligation légale — art. 6(1)©. Le vrai risque juridique n’est pas le faux négatif, mais le faux positif mal traité : blocage automatisé non encadré, absence de traçabilité, refus d’exercer le droit de rectification. Depuis le 9 janvier 2025, les prestataires de services de paiement criblent leur base clients au moins une fois par jour au lieu de filtrer chaque virement instantané (art. 5d du règlement (UE) n° 260/2012 modifié).

Le criblage n’est pas une obligation réservée aux banques

C’est l’erreur de périmètre la plus fréquente, et la plus coûteuse. L’article L. 562-4 du code monétaire et financier impose l’application sans délai des mesures de gel et des interdictions de mise à disposition à toute personne physique — nationale ou étrangère — se trouvant sur le territoire national, ainsi qu’à toute personne morale qui y est établie. Aucune condition de secteur, de taille ou d’assujettissement LCB-FT.

Concrètement, un exportateur de machines-outils, un cabinet d’architectes, une plateforme SaaS ou une association qui reçoit des dons sont, chacun pour ce qui le concerne, tenus de ne pas mettre de fonds ou de ressources économiques à disposition d’une personne désignée. La différence avec les organismes financiers ne porte pas sur l’obligation elle-même, mais sur l’intensité du dispositif interne attendu : l’arrêté du 6 janvier 2021 impose aux entités supervisées par l’ACPR un dispositif de contrôle interne formalisé, et les lignes directrices de mars 2026 en précisent les attentes. Une PME industrielle n’y est pas soumise ; elle reste néanmoins pénalement exposée si elle paie un fournisseur désigné.

Trois sources de désignation, un point d’entrée unique

Origine de la mesure	Fondement	Où la consulter
Nations unies	Résolutions du Conseil de sécurité	Reprises par les règlements de l’UE
Union européenne	Règlements de sanctions (ex. règlement (UE) n° 269/2014)	JOUE + liste consolidée de l’UE
France, à titre national	Arrêtés ministériels de gel (art. L. 562-2 et s. CMF)	Registre national des gels

Le registre national des gels, tenu et mis à jour par la DG Trésor, recense l’ensemble des personnes, entités et navires visés par une mesure en vigueur sur le territoire français, quelle que soit son origine. Il est accessible en ligne et exposé via une API, ce qui permet de l’intégrer directement dans un système d’information. C’est la source de référence à retenir : consulter uniquement la liste consolidée de l’UE laisse de côté les désignations nationales.

Or ces désignations nationales se sont multipliées. Au dispositif historique de lutte contre le terrorisme se sont ajoutés, en deux ans, un régime de gel visant à prévenir les actes d’ingérence étrangère (loi n° 2024-850 du 25 juillet 2024) et un régime de gel dirigé contre le narcotrafic (loi n° 2025-532 du 13 juin 2025). Un dispositif de criblage calibré en 2023 sur le seul terrorisme est aujourd’hui incomplet.

Gel des avoirs et LCB-FT : deux logiques à ne pas confondre

Les lignes directrices de mars 2026 insistent sur cette distinction, et elle a des conséquences très pratiques sur l’architecture du traitement.

Les obligations de vigilance LCB-FT reposent sur une approche par les risques : vous modulez l’intensité des vérifications selon le profil du client, le produit, le canal de distribution et la zone géographique. Une relation d’affaires à faible risque justifie des mesures de vigilance simplifiées.

Le gel des avoirs, non. C’est une mesure de sanction économique et financière qui crée une obligation de résultat : soit vous avez gelé les fonds de la personne désignée dès l’entrée en vigueur de la mesure, soit vous ne l’avez pas fait. Aucun argument de proportionnalité, de faible risque ou de coût disproportionné n’est opposable.

Un segment de clientèle ne peut donc pas être exclu du criblage au motif d’un faible risque, ni les portefeuilles dormants faire l’objet de contrôles espacés.

Cette asymétrie explique une erreur d’architecture fréquente : brancher le criblage sanctions sur le moteur de scoring LCB-FT, avec les mêmes seuils et la même périodicité pilotée par le risque. Le résultat est un dispositif conforme sur le papier et défaillant sur le fond. En pratique, le criblage sanctions gagne à être exhaustif et déclenché par l’événement (mise à jour de liste, entrée en relation, opération), là où la vigilance KYC est modulable.

Ce que change la mise à jour du 18 mars 2026

La nouvelle version — adoptée le 16 mars 2026, datée du 18 mars et mise en ligne par l’ACPR le 7 avril 2026 — remplace celle du 16 juin 2021. Elle intègre plusieurs textes dont l’effet combiné est de resserrer les délais et de formaliser les contrôles.

Texte	Ce qu’il impose	Depuis
Règlement (UE) 2024/886 (virements instantanés)	Criblage de la base clients au moins une fois par jour calendaire et immédiatement après toute nouvelle mesure ; interdiction du filtrage transactionnel des virements instantanés en euros au titre des sanctions de l’Union	9 janvier 2025
Règlement (UE) 2023/1113 (transferts de fonds et de crypto-actifs)	Extension des obligations d’information et de filtrage aux transferts de crypto-actifs	30 décembre 2024
Orientations EBA/GL/2024/14 et EBA/GL/2024/15	Gouvernance, politiques et contrôles internes dédiés aux mesures restrictives ; le second jeu vise spécifiquement les PSP et les PSCA	30 décembre 2025
Directive (UE) 2024/1226	Harmonisation des infractions pénales et des sanctions en cas de violation des mesures restrictives de l’Union	Transposition attendue depuis le 20 mai 2025
Arrêté du 6 janvier 2021	Dispositif et contrôle interne en matière de LCB-FT et de gel des avoirs	2021

Deux points méritent d’être soulignés.

Le basculement du filtrage transactionnel vers le criblage de base. L’article 5d du règlement (UE) n° 260/2012, tel que modifié par le règlement (UE) 2024/886, interdit aux prestataires de services de paiement de filtrer les virements instantanés en euros, transaction par transaction, au titre des mesures restrictives de l’Union. En contrepartie, ils doivent vérifier l’ensemble de leur base clients au moins une fois par jour calendaire, et immédiatement après l’entrée en vigueur de toute nouvelle mesure. C’est un changement de nature du traitement, pas un simple ajustement de fréquence : la population concernée passe des parties à une opération à la totalité de la clientèle. Le registre des activités de traitement et l’analyse d’impact doivent être révisés en conséquence — beaucoup ne l’ont pas été.

Le retard français sur la directive (UE) 2024/1226. Le délai de transposition a expiré le 20 mai 2025. Une proposition de loi a été déposée le 3 mars 2026. En attendant, la répression repose sur deux fondements distincts, souvent confondus.

L’article L. 574-3 du code monétaire et financier punit de cinq ans d’emprisonnement et de 375 000 euros d’amende — quintuplée pour les personnes morales — le fait, pour les personnes mentionnées à l’article L. 562-4, leurs dirigeants ou préposés, ainsi que pour la personne visée par la mesure, de se soustraire aux obligations de gel ou d’en entraver la mise en œuvre. L’article 459 du code des douanes réprime, quant à lui, la violation ou la tentative de violation des mesures de restriction des relations économiques et financières : cinq ans d’emprisonnement, confiscation des biens, fonds et ressources économiques concernés ainsi que des moyens de transport utilisés, et amende au moins égale à la somme sur laquelle a porté l’infraction et au plus égale au double de cette somme. En l’absence d’intention et de négligence grave, l’amende est de 3 000 euros.

La qualification RGPD du criblage : ce qu’il faut écrire noir sur blanc

Le criblage est un traitement de données personnelles à part entière. Il doit être qualifié pour lui-même, et non absorbé dans une fiche « LCB-FT » générique.

Finalité et base légale

La finalité est le respect des mesures de gel des avoirs et d’interdiction de mise à disposition. La base légale est l’obligation légale de l’article 6(1)© du RGPD, l’obligation étant clairement identifiable : article L. 562-4 du CMF, règlements de sanctions de l’Union, arrêtés nationaux de gel. C’est l’un des rares cas où la base légale ne se discute pas.

Attention toutefois à ne pas étendre cette base légale par contagion. Un dispositif de criblage industriel couvre en général trois blocs qui n’ont pas le même fondement :

Bloc criblé	Base légale	Commentaire
Listes de gel (ONU, UE, national)	Art. 6(1)© — obligation légale	Périmètre non négociable
Personnes politiquement exposées	Art. 6(1)© pour les assujettis LCB-FT (art. L. 561-10 CMF)	Hors assujettissement, la base légale est fragile
Presse défavorable, listes de risque commerciales	Art. 6(1)(f) — intérêt légitime	Exige un triple test documenté

Le troisième bloc est celui qui expose le plus. Les bases commerciales de type adverse media agrègent des articles de presse, des procédures en cours, parfois des rumeurs. Les traiter revient à constituer un fichier d’appréciation défavorable sur des personnes physiques, souvent alimenté par des données relatives à des condamnations et infractions au sens de l’article 10 du RGPD, dont le traitement est réservé aux cas prévus par le droit. Si votre entreprise n’est pas assujettie LCB-FT, cribler la presse défavorable de ses clients n’a aucun fondement dans l’obligation de gel.

Catégories particulières et données pénales

Le criblage des personnes politiquement exposées est plus délicat qu’il n’y paraît. En soi, l’exercice d’une fonction publique n’est pas une opinion politique. Mais l’agrégation des fonctions exercées, des mandats et des affiliations partisanes qui figurent dans ces bases est de nature à révéler les opinions politiques de la personne — catégorie particulière au sens de l’article 9(1). La lecture prudente consiste à traiter ce bloc comme relevant de l’article 9, en s’appuyant pour les assujettis LCB-FT sur l’article 9(2)(g), motif d’intérêt public important prévu par le droit national. Les données de désignation, elles, sont publiques : leur publication au JOUE ou au registre national ne les fait pas sortir du champ du RGPD, mais elle réduit considérablement la sensibilité de leur simple consultation.

Les données relatives aux infractions et condamnations relèvent de l’article 10 du RGPD, qui n’autorise leur traitement que sous le contrôle de l’autorité publique ou lorsque le droit d’un État membre le prévoit avec des garanties appropriées. En droit français, l’article 46 de la loi Informatique et Libertés énumère limitativement les personnes autorisées à traiter ces données, et cette liste ne mentionne pas expressément les assujettis LCB-FT. L’habilitation invoquée en pratique se construit donc par combinaison de l’article 10 du RGPD et des dispositions du code monétaire et financier qui imposent ces vérifications — une lecture défendable, mais qui n’a pas été validée par la CNIL ni par un juge à ma connaissance. Elle mérite d’être documentée comme un choix motivé, pas présentée comme une évidence. Pour les entités non assujetties, la marge est étroite : mieux vaut s’en tenir strictement aux listes officielles de gel.

Sous-traitance, registre et analyse d’impact

Trois formalités sont systématiquement à jour dans les dispositifs matures, et systématiquement absentes dans les autres.

Le fournisseur d’outil de criblage est un sous-traitant au sens de l’article 28, sauf lorsqu’il agit en responsable de traitement pour la constitution de sa propre base — configuration fréquente qui appelle une analyse de qualification explicite plutôt qu’une clause standard. Le contrat doit couvrir les sous-traitants ultérieurs, la localisation des traitements et les mesures de sécurité de l’article 32.

Le registre des traitements doit décrire le criblage comme un traitement distinct, avec sa fréquence, ses sources de listes, ses destinataires internes et sa durée de conservation, conformément à l’article 30.

L’analyse d’impact est, en pratique, difficile à éviter. Un dispositif de criblage industriel réunit plusieurs des critères du groupe de travail « article 29 » repris par la CNIL : évaluation de personnes, données sensibles ou à caractère hautement personnel, traitement à grande échelle, croisement de jeux de données, et conséquences juridiques directes pour les intéressés. Dès que le périmètre inclut les personnes politiquement exposées ou la presse défavorable, l’article 35(3)(b) — traitement à grande échelle de données des articles 9 et 10 — devient également mobilisable. La liste des traitements soumis à AIPD arrêtée par la CNIL (délibération n° 2018-327) vise par ailleurs les interconnexions de fichiers poursuivant des finalités différentes et les traitements de profilage produisant des effets juridiques : un criblage adossé à des bases commerciales entre dans cette logique. Un criblage strictement limité aux listes officielles de gel, sans enrichissement, se discute davantage — mais l’analyse doit alors être formalisée pour justifier de ne pas conduire d’AIPD. C’est ce type de documentation — fiche de registre, AIPD, cartographie des sources — que des outils comme Legiscope permettent de maintenir à jour sans repartir d’une page blanche à chaque évolution réglementaire.

Les faux positifs : le vrai point de contentieux

Un dispositif de criblage produit un volume de correspondances erronées considérable. Homonymies, translittérations depuis l’arabe, le russe ou le mandarin, dates de naissance absentes des listes, entités portant le même nom commercial : les praticiens rapportent couramment des taux de faux positifs supérieurs à 90 % des alertes brutes sur les portefeuilles de particuliers. C’est là que le risque RGPD se matérialise.

Le principe d’exactitude n’est pas décoratif

L’article 5(1)(d) impose que les données soient exactes et, si nécessaire, tenues à jour. Une alerte non levée qui reste attachée au dossier d’un client homonyme est une donnée inexacte au sens du RGPD : elle affirme implicitement une correspondance qui n’existe pas. Chaque levée de faux positif doit donc être écrite, motivée et horodatée, avec l’élément discriminant retenu (date de naissance, nationalité, adresse, numéro de pièce d’identité).

Le blocage automatique et l’article 22

Question récurrente : le blocage automatique d’une opération à la suite d’une alerte de criblage constitue-t-il une décision individuelle automatisée au sens de l’article 22 ?

Deux lectures coexistent, et elles convergent sur le résultat pratique. Selon la première, la suspension technique immédiate d’une opération, dans l’attente d’une revue humaine, n’est pas une « décision fondée exclusivement sur un traitement automatisé » au sens de l’article 22(1) : elle n’est qu’une mesure conservatoire préalable à une décision humaine. Selon la seconde, plus prudente depuis que la Cour de justice a retenu une conception large de la notion de décision dans l’arrêt SCHUFA (CJUE, 7 décembre 2023, C-634/21), la suspension constitue bien une décision au sens de l’article 22, mais relève de l’exception de l’article 22(2)(b), étant autorisée par le droit de l’Union et de l’État membre. Dans les deux cas, la même exigence en découle : une intervention humaine effective et un canal de contestation. Retenir la seconde lecture et documenter les garanties correspondantes est la position la plus sûre.

En revanche, les décisions durables ne peuvent pas rester automatisées : refus d’entrée en relation, clôture de compte, résiliation d’un contrat, radiation d’un fournisseur. Elles produisent des effets juridiques ou affectent significativement la personne, et doivent être prises par un opérateur habilité, sur dossier documenté. Un paramétrage qui clôture automatiquement une relation sur simple correspondance de nom est indéfendable — et, dans le cas d’un faux positif, doublement fautif. Le régime général est détaillé dans notre analyse des décisions automatisées et du profilage.

Grille de traitement des correspondances

Type de correspondance	Action attendue	Trace à conserver
Correspondance exacte sur identifiants forts (nom, date de naissance, nationalité)	Gel immédiat, information de la DG Trésor	Décision de gel, date et heure, périmètre des avoirs
Correspondance partielle, doute persistant	Maintien de la suspension, demande de précisions au client, saisine de la DG Trésor si nécessaire	Échanges, analyse, décision finale motivée
Correspondance écartée (homonymie établie)	Levée de l’alerte, déblocage, inscription en liste de faux positifs confirmés	Élément discriminant, identité du valideur, horodatage
Alerte technique (bruit de l’algorithme)	Réglage du moteur, pas de conservation nominative durable	Journal technique agrégé

Deux recommandations issues de la pratique. D’abord, documentez formellement les seuils de similarité de votre moteur de rapprochement approximatif : un seuil trop haut manque des désignations, un seuil trop bas noie l’équipe et dégrade la qualité des revues. Ce paramétrage est un choix de conformité, il doit être justifié et revu périodiquement. Ensuite, appliquez une double validation aux levées d’alerte sur les listes de gel : l’obligation de résultat interdit de faire reposer un déblocage sur une seule paire d’yeux.

La liste de faux positifs confirmés — la « liste blanche » — mérite une attention particulière. C’est un traitement à part entière, qui conserve une information défavorable par nature (« cette personne a été rapprochée d’une personne désignée »). Elle doit être limitée aux données strictement nécessaires au rapprochement, purgée à la fin de la relation d’affaires, et intégralement revue à chaque modification de la liste source : un homonyme écarté hier peut être désigné demain.

Droits des personnes : ce qui est dû, ce qui peut être refusé

C’est le volet le plus mal maîtrisé, notamment parce que le régime du gel des avoirs n’est pas celui de la LCB-FT.

L’article L. 561-45 du CMF instaure un droit d’accès indirect, exercé auprès de la CNIL, pour les données traitées aux seules fins d’appliquer les articles L. 561-5 à L. 561-23 — soit la vigilance et la déclaration de soupçon. Un membre de la CNIL issu du Conseil d’État, de la Cour de cassation ou de la Cour des comptes mène les investigations, et les données ne sont communiquées que si cela ne risque pas de révéler l’existence d’une déclaration à Tracfin ni de nuire à la lutte contre le blanchiment.

Ce mécanisme ne couvre pas, par ses termes, les traitements mis en œuvre au titre du gel des avoirs (articles L. 562-1 et suivants). Pour ces derniers, le droit d’accès s’exerce selon le régime de droit commun de l’article 15, sous réserve des limitations admises par l’article 23. En pratique, cette distinction est rarement opérée, et des organismes répondent par un renvoi systématique à la CNIL là où une réponse directe était due.

Droit	Applicable au criblage sanctions ?	Point de vigilance
Accès — art. 15	Oui, régime de droit commun pour le gel ; indirect via la CNIL pour la vigilance LCB-FT	Ne pas confondre les deux périmètres ; voir notre guide sur la réponse à une demande d’accès
Rectification — art. 16	Oui, pleinement	Levier central du traitement des faux positifs ; refus difficilement défendable
Effacement — art. 17	Non	Exclu par l’art. 17(3)(b) : obligation légale
Opposition — art. 21	Non	Inapplicable à un traitement fondé sur l’art. 6(1)©
Information — art. 13 et art. 14	Oui	Art. 13 pour les données recueillies auprès de la personne (clients, prospects) ; art. 14 pour celles issues des listes et des bénéficiaires effectifs
Limitation — art. 18	Restreinte	Ne peut faire obstacle à l’exécution d’une mesure de gel

Deux réflexes à installer. D’une part, mentionner explicitement le criblage des listes de sanctions dans l’information délivrée aux clients, prospects, fournisseurs et bénéficiaires effectifs : l’omission est un manquement autonome, indépendant de la qualité du dispositif de gel. D’autre part, traiter les demandes de rectification comme prioritaires : une personne qui conteste une correspondance erronée exerce un droit dont l’exercice améliore la qualité de votre propre dispositif.

Durées de conservation

C’est le point de tension classique entre exigences sectorielles et principe de minimisation.

Donnée	Durée	Fondement
Documents et informations de vigilance (identification, actualisation)	5 ans à compter de la fin de la relation d’affaires ou de l’opération	Art. L. 561-12 CMF
Décisions de gel et pièces d’exécution	Durée de la mesure, puis conservation probatoire après sa levée	Obligation de rendre compte à la DG Trésor et à l’ACPR
Dossiers de levée de faux positifs	Durée de la relation d’affaires, revue à chaque mise à jour de liste	Art. 5(1)(e) du RGPD + besoin de traçabilité
Journaux techniques du moteur de criblage	6 à 12 mois, sous forme agrégée dès que possible	Art. 5(1)© et art. 32

La durée de cinq ans de l’article L. 561-12 est souvent appliquée par défaut à l’ensemble du dispositif, y compris aux alertes techniques et aux journaux de rapprochement. Rien ne le justifie : ces éléments ne sont pas des documents de vigilance. Un tableau de durées de conservation différencié par catégorie de donnée est la manière la plus simple de démontrer la maîtrise du sujet lors d’un contrôle, qu’il émane de la CNIL ou de l’ACPR. La tension générale entre exigences anti-blanchiment et minimisation est traitée plus largement dans notre analyse des données personnelles en matière de LCB-FT.

Transferts hors Union européenne et choix de l’outil

La plupart des bases de criblage commerciales sont éditées par des groupes britanniques ou américains, et exploitées depuis des infrastructures réparties sur plusieurs juridictions. Deux vérifications s’imposent avant tout déploiement.

D’abord, cartographier les flux : où la requête de criblage est-elle exécutée ? Les données de vos clients sont-elles transmises à l’éditeur, ou la liste est-elle rapatriée chez vous pour un rapprochement local ? Le second modèle est nettement plus sobre du point de vue de la protection des données, et il est techniquement accessible pour le registre national des gels, exposé via une API. Ensuite, identifier l’outil de transfert mobilisé — décision d’adéquation, clauses contractuelles types accompagnées d’une analyse d’impact des transferts — et vérifier qu’il couvre bien les sous-traitants ultérieurs de l’éditeur. Notre guide des transferts de données hors UE détaille la méthode.

Ce raisonnement rejoint celui applicable à l’externalisation informatique dans le secteur financier, où le règlement DORA impose sa propre grille de diligences contractuelles : tout accord conclu avec un prestataire tiers de services TIC doit figurer au registre d’informations prévu par son article 28(3), le régime se durcissant lorsque le service soutient une fonction critique ou importante.

Sept étapes pour mettre le dispositif en conformité

1. Recenser les régimes applicables. ONU, UE, et les trois dispositifs nationaux français (terrorisme, ingérence, narcotrafic). Vérifier que la source utilisée est bien le registre national des gels, et pas seulement la liste consolidée de l’UE.
2. Séparer criblage sanctions et vigilance LCB-FT. Deux traitements, deux fiches de registre, deux logiques — obligation de résultat contre approche par les risques.
3. Qualifier chaque bloc criblé. Listes de gel, PPE, presse défavorable : base légale distincte pour chacun, et suppression du bloc adverse media si aucun fondement ne le soutient.
4. Formaliser le paramétrage. Seuils de similarité, fréquence de rafraîchissement des listes, déclenchement immédiat après publication d’une nouvelle mesure, périmètre des populations criblées.
5. Écrire la procédure de traitement des alertes. Qui suspend, qui analyse, qui valide la levée, dans quel délai, avec quelle trace, et qui saisit la DG Trésor en cas de doute.
6. Mettre à jour registre, AIPD et notices d’information. En particulier si vous êtes PSP : le passage au criblage quotidien de la base clients a changé la nature du traitement.
7. Tester. Un jeu d’essai avec des désignations réelles, des homonymes construits et des translittérations permet de mesurer le taux de détection et le taux de faux positifs. Sans test, vous ne savez pas si votre dispositif fonctionne.

Ce qu’il faut retenir

• L’obligation de geler sans délai s’impose à toute personne physique ou morale sur le territoire national (art. L. 562-4 CMF) : le criblage n’est pas un sujet réservé aux banques et aux assurances.
• Le gel des avoirs est une obligation de résultat, distincte de l’approche par les risques de la LCB-FT. Aucun segment de clientèle ne peut être exclu du criblage au motif d’un faible risque.
• La base légale du criblage des listes de gel est l’obligation légale de l’art. 6(1)© du RGPD. Elle ne couvre pas le criblage de presse défavorable, qui exige un intérêt légitime documenté — ou doit être abandonné.
• Le risque juridique principal réside dans les faux positifs : exactitude (art. 5(1)(d)), encadrement des décisions automatisées (art. 22), et traitement effectif des demandes de rectification.
• Les mesures durables — refus d’entrée en relation, clôture de compte, radiation d’un fournisseur — ne peuvent pas être prises automatiquement sur simple correspondance de nom.
• La répression repose sur deux fondements distincts : l’art. L. 574-3 CMF (5 ans, 375 000 €, quintuplé pour les personnes morales) et l’art. 459 du code des douanes (5 ans, confiscations, amende de 1 à 2 fois la somme en cause).
• Depuis le 9 janvier 2025, les PSP criblent leur base clients au moins quotidiennement plutôt que chaque virement instantané : registre des traitements et AIPD doivent avoir été révisés en conséquence.
• Les orientations EBA/GL/2024/14 et 15 s’appliquent depuis le 30 décembre 2025, et les lignes directrices conjointes DG Trésor-ACPR du 18 mars 2026 fixent les attentes du superviseur français.

Vous suivez l’articulation entre conformité financière, gel des avoirs et RGPD dans votre organisation ? Recevez nos analyses de conformité chaque semaine : décryptages réglementaires, positions des autorités et points pratiques, directement dans votre boîte mail.

FAQ

Mon entreprise n’est pas une banque : dois-je vraiment cribler les listes de sanctions ?

L’obligation de ne pas mettre de fonds ou de ressources économiques à disposition d’une personne désignée s’applique à toute personne physique ou morale sur le territoire national (art. L. 562-4 CMF). Une entreprise non financière n’est pas soumise au dispositif de contrôle interne formalisé de l’arrêté du 6 janvier 2021, réservé aux entités supervisées par l’ACPR, mais elle reste pénalement exposée si elle paie un fournisseur ou encaisse un client désigné. Pour une entreprise non financière, une vérification au registre national des gels à l’entrée en relation et lors des paiements significatifs constitue un minimum raisonnable, à documenter comme les autres traitements de votre organisation.

Un blocage automatique de virement est-il interdit par l’article 22 du RGPD ?

Non, à condition d’être conçu comme une mesure conservatoire. La suspension immédiate d’une opération dans l’attente d’une revue humaine relève de l’exception de l’article 22(2)(b), la décision étant autorisée par le droit de l’Union et le droit national, sous réserve de garanties appropriées : intervention humaine effective et canal de contestation. Ce qui n’est pas admissible, c’est la décision durable prise sans intervention humaine — clôture de compte, refus d’entrée en relation ou résiliation sur simple correspondance de nom.

Combien de temps conserver le dossier d’un faux positif écarté ?

Aucun texte ne fixe de durée propre. Deux besoins s’opposent : éviter de rejouer indéfiniment la même alerte, et ne pas conserver une information défavorable sans limite. La pratique raisonnable consiste à conserver l’élément discriminant et la décision de levée pendant la durée de la relation d’affaires, en purgeant à sa fin, et en réexaminant systématiquement l’inscription à chaque mise à jour de la liste source. La durée de cinq ans de l’article L. 561-12 du CMF vise les documents de vigilance, pas les journaux d’alerte du moteur de criblage.

Puis-je opposer le droit d’accès indirect à un client qui demande ses données de criblage ?

Pas systématiquement. Le droit d’accès indirect exercé auprès de la CNIL, prévu par l’article L. 561-45 du CMF, concerne les traitements mis en œuvre aux seules fins d’appliquer les articles L. 561-5 à L. 561-23, soit la vigilance et la déclaration de soupçon. Les traitements relevant du gel des avoirs (art. L. 562-1 et s.) n’entrent pas dans ce périmètre : le droit d’accès s’y exerce selon le régime de droit commun de l’article 15 du RGPD, sous réserve des limitations de l’article 23. Un renvoi automatique à la CNIL pour toute demande liée au criblage expose à un manquement.

Quelle sanction en cas de violation d’une mesure de gel ?

Deux fondements pénaux coexistent en droit français. L’article L. 574-3 du code monétaire et financier punit de cinq ans d’emprisonnement et de 375 000 euros d’amende — quintuplée pour les personnes morales — le fait de se soustraire aux obligations de gel ou d’en entraver la mise en œuvre. L’article 459 du code des douanes réprime la violation ou la tentative de violation des mesures de restriction des relations économiques et financières : cinq ans d’emprisonnement, confiscations, et amende au moins égale à la somme sur laquelle a porté l’infraction et au plus égale au double de cette somme, ramenée à 3 000 euros en l’absence d’intention et de négligence grave. S’y ajoutent, pour les entités supervisées, les mesures disciplinaires de l’ACPR, dont la logique procédurale est comparable à celle décrite dans notre analyse de la procédure de sanction côté CNIL. La directive (UE) 2024/1226, dont la transposition en France est encore en cours, harmonisera ces infractions au niveau européen.

Un outil de criblage suffit-il à démontrer ma conformité ?

Non. Un contrôle porte moins sur l’outil que sur ce qui l’entoure : la justification du périmètre criblé, le paramétrage des seuils, la procédure de traitement des alertes, la traçabilité des levées, la formation des opérateurs et la mise à jour du registre des traitements. Les orientations EBA/GL/2024/14 sont explicites sur ce point : ce sont les politiques, procédures et contrôles internes qui sont évalués, pas la seule présence d’une solution technique.

---

Sources : ACPR, « Mise à jour des lignes directrices conjointes de la Direction générale du Trésor et de l’ACPR sur la mise en œuvre des mesures de gel des avoirs », 7 avril 2026 — Lignes directrices conjointes DG Trésor-ACPR sur la mise en œuvre des mesures de gel des avoirs, 18 mars 2026 (PDF) — DG Trésor, registre national des gels — DG Trésor, « Registre national des gels — foire aux questions » — Article L. 561-45 du code monétaire et financier (Légifrance) — Article L. 574-3 du code monétaire et financier — Article 459 du code des douanes (Légifrance) — Chapitre II du CMF : dispositions relatives au gel des avoirs et à l’interdiction de mise à disposition (art. L. 562-1 à L. 562-15) — LOI n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic — LOI n° 2024-850 du 25 juillet 2024 visant à prévenir les ingérences étrangères en France — AMF, « Guide sur le gel des avoirs », juillet 2020 (PDF) — ABE, orientations sur les politiques, procédures et contrôles internes visant à garantir la mise en œuvre des mesures restrictives (EBA/GL/2024/14 et EBA/GL/2024/15) — Directive (UE) 2024/1226 du 24 avril 2024 (EUR-Lex) — Règlement (UE) 2024/886 du 13 mars 2024 (EUR-Lex)

Thiébaut Devergranne est docteur en droit (Paris II) et conseille les organisations en protection des données depuis plus de vingt ans, dont six passées au service du Premier ministre. Cet article présente une analyse juridique générale et ne constitue pas un conseil juridique individualisé.