Traitement de données au sujet de l’ayant droit économique 1. Terminologie

a. Données personnelles

La LPD distingue entre les notions de “données personnelles”, de “données [personnelles] sensibles” et de “profil de la personnalité”.

La notion de “données personnelles” est définie à l’art. 3 lit. a LPD et comprend toutes les informations qui se rapportent à une personne identi-fiée ou identifiable. La notion est très large de sorte que presque toutes les données peuvent être mises en relation avec une personne et être qualifiées comme des données personnelles au sens de la loi ⁵¹. Les données peuvent être des données objectives (nom, prénom, domicile, activité profession-nelle, condamnation pénale, état d’un compte bancaire) ou des données subjectives (jugements de valeur, appréciation du travail fourni, pronostic d’un comportement contractuel etc.).

Pour qu’une donnée soit personnelle, il faut qu’elle fasse référence à une personne physique ou morale ⁵². Cette référence peut être directe, à savoir lorsque le contenu de l’information se rapporte à une personne, ou indirecte, soit lorsque “l’information se rapporte comme telle à une chose, un événement, à un processus ou à un endroit mais qu’en raison du contexte ou d’informations complémentaires elle permet d’obtenir des indications sur une personne également” ⁵³.

Conformément à l’art. 3 lit. i LPD, tout ensemble de données person-nelles dont la structure permet de rechercher les données par personne concernée constitue un fichier au sens de l’art. 3 lit. g LPD. Le maître du fichier est la personne privée ou l’organe fédéral qui décide du but et du contenu du fichier (art. 3 lit. i LPD).

Parmi les données personnelles, le législateur a identifié une catégorie des données méritant une protection accrue, à savoir les “données sensibles”.

Il s’agit en vertu de l’art. 3 lit. c LPD, des données personnelles sur :

“1. les opinions ou activités religieuses, philosophiques, politiques ou syndicales,

2. la santé, la sphère intime ou l’appartenance à une race,

51 Meier, N 422 ; HK DSG-Rudin, Art. 3 N 4.

52 Meier, N 424 ; BSK DSG-Blechta, Art. 3 N 7.

53 Meier, N 426. Voir aussi BSK DSG-Blechta, Art. 3 N 8.

3. des mesures d’aide sociale,

4. des poursuites ou sanctions pénales ou administratives”.

Les données sensibles sont une sous-catégorie des données personnelles.

Là où la loi se réfère à des données personnelles, elle comprend également les données sensibles ⁵⁴. Demeurent réservées les règles spéciales concernant les données sensibles.

Dans le P-LPD, la définition des données personnelles est modifiée, dans la mesure où la loi ne s’applique plus aux personnes morales ⁵⁵. La notion de “fichier” est abrogée, alors que la notion de “maître de fichier” est remplacée par la notion de “responsable de traitement” (art. 4 lit. i P-LDP), sans pourtant entraîner des changements matériels dans la définition.

La notion de “données sensibles”, quant à elle, est élargie. Sont désor-mais comprises dans la définition : les données sur l’origine ethnique (art. 4 let. c ch. 2 P-LPD) ; les données génétiques (art. 4 let. c ch. 3 P-LPD) ainsi que les données biométriques identifiant une personne physique de façon unique (art. 4 let. c ch. 4 P-LPD).

b. Profil de personnalité

La notion de profil de la personnalité s’étend à “un assemblage de données qui permet d’apprécier les caractéristiques essentielles de la personnalité d’une personne physique” ⁵⁶. Comme Meier le constate à juste titre, “il faut que la combinaison de données donne une image complète de la personne ou une image partielle mais qui porte sur ses caractéristiques essentielles, d’un point de vue qualitatif et quantitatif […]” ⁵⁷.

Tout comme les données sensibles, les données qualifiées de “profils de la personnalité” bénéficient d’une protection accrue par la loi.

Dans le P-LPD, la notion de profil de la personnalité est remplacée par la notion de profilage. Conformément à l’art. 4 let. f P-LPD, le profilage est défini comme “toute évaluation de certaines caractéristiques d’une per-sonne sur la base de données perper-sonnelles traitées de manière automa-tisée afin notamment d’analyser ou de prédire son rendement au travail, sa situation économique, sa santé, son comportement, ses préférences, sa

54 HK DSG-Rudin, Art. 3 N 19.

55 Cf. Art. 4 lit. a LPD ; Message (Révision totale LPD), p. 6639.

56 Art. 3 lit. d LPD.

57 Meier, N 514.

localisation ou ses déplacements”. La simple accumulation des données n’est pas constitutive d’un profilage. Il faudrait une évaluation automatisée des données, à savoir toute évaluation fondée sur des techniques d’analyse informatisées ⁵⁸. Les données issues du profilage sont en principe des don-nées personnelles ⁵⁹.

c. Traitement

Le traitement des données est défini à l’art. 3 lit. e comme “toute opération relative à des données personnelles – quels que soient les moyens et pro-cédés utilisés – notamment la collecte, la conservation, l’exploitation la modification, la communication, l’archivage ou la destruction de données”.

Cette notion est volontairement très large afin de couvrir toute opération portant sur les données personnelles ⁶⁰.

La définition de “traitement” n’est pas modifiée dans l’art. 4 let. d LPD.

Elle est simplement complétée par les termes “enregistrement” et “efface-ment” dans le but de se rapprocher des textes européens ⁶¹.

2. In casu

a. Données objectives

Le cocontractant indique à la banque au moyen d’une déclaration écrite l’ayant droit économique de la relation d’affaires. Cette déclaration doit avoir lieu dans les hypothèses de l’art. 4 al. 2 lit. a à c LBA et 4 al. 3 LBA. La CDB 20 institue plusieurs formulaires afin de faciliter la mise en œuvre de l’obligation du cocontractant ⁶².

Le cocontractant doit indiquer dans le formulaire applicable des données liées à l’identification de l’ayant droit économique. Ces données comprennent le nom (la raison sociale), le prénom, la date de naissance, la nationalité et l’adresse effective de l’ayant droit économique. S’agissant des

58 Message (Révision totale LPD), p. 6642.

59 Ibidem.

60 Meier, N 521 ; BSK DSG-Maurer-Lambrou / Kunz Art. 2 N 3.

61 Message (Révision totale LPD), p. 6641.

62 Voir supra chapitre 1 / I / D / 2, pp. 33 s.

formulaires S et T, il faudra indiquer également le pays et le cas échéant la date de décès. Après la signature du cocontractant, le formulaire est conservé par la banque. La signature de l’ayant droit économique n’est pas requise.

Les données liées à l’identification de l’ayant droit économique consti-tuent des données personnelles au sens de l’art. 3 lit. a LPD, respectivement art. 4 lit. a P-LPD. Elles se rapportent à une personne identifiée, à savoir la personne désignée comme ayant droit économique.

S’agissant des données des personnes morales (raison sociale et siège), celles-ci n’entrent pas dans le champ d’application du P-LPD. En revanche, les données du détenteur de contrôle (personne physique), enregistrées dans le formulaire K, constituent des données personnelles au sens de l’art. 4 lit. a P-LPD.

b. Compte bancaire

La banque conserve des données relatives au compte bancaire. Il s’agit des indications sur le compte (numéro de compte ou à défaut son équivalent fonctionnel) et des indications financières relatives au compte à l’instar du solde du compte ⁶³. Elles constituent également des données personnelles au sens de l’art. 3 lit. a LPD ⁶⁴ et 4 lit. a P-LPD.

Ces données se rapportent certes au cocontractant de la banque. Elles se rapportent toutefois également à l’ayant droit économique. En effet, l’identification de l’ayant droit économique intervient en rapport avec le compte bancaire et son nom figure au-dessous de la rubrique “no de compte” dans le formulaire A.

Un autre élément qui penche pour un rapport entre le compte bancaire et son ayant droit économique est le mécanisme de l’obligation de commu-nication prévue par la LBA. En effet, la banque doit informer immédiate-ment le Bureau de communication en matière de blanchiimmédiate-ment d’argent si les conditions de l’art. 9 LBA sont remplies. L’objet de cette communica-tion est le compte bancaire. Tant le nom du titulaire du compte que celui de l’ayant droit économique vont apparaître sur cette communication. Ainsi, le compte bancaire a clairement des effets sur la situation juridique de

63 Cf. Bovet / Richa, p. 156.

64 Ibidem.

l’ayant droit économique. En d’autres termes, lorsqu’il est question d’une communication au sens de l’art. 9 LBA, le compte bancaire (y compris ses indications financières) est non seulement associé au cocontractant mais également à l’ayant droit économique. Rappelons que la notion de “données personnelles” doit être interprétée de manière large ⁶⁵.

c. Autres données

Les données concernant l’ayant droit économique ne se limitent pas uni-quement aux données indiquées sur les formulaires prévus par la CDB 20.

La banque doit en outre se renseigner sur l’objet et le but de la relation d’affaires souhaitée par le cocontractant (art. 6 al. 1, 1^ère phrase LBA) et, à certaines conditions, clarifier l’arrière-plan économique et le but d’une transaction ou d’une relation d’affaires (art. 6 al. 2 LBA). Afin de se confor-mer à ces obligations, la banque est amenée à collecter des informations sur le cocontractant et le cas échéant sur l’ayant droit économique.

L’étendue des informations à collecter est fonction du risque que représentent le cocontractant et l’ayant droit économique (art. 6 al. 1, 2^e phrase LBA) ⁶⁶. C’est à la banque elle-même de fixer des critères signalant la présence de risques accrus (art. 13 al. 1 OBA-FINMA). La FINMA prévoit néanmoins une liste non exhaustive de critères qui servent à apprécier s’il y a ou non des risques accrus ⁶⁷.

En cas des risques accrus, la banque doit entreprendre des clarifications complémentaires (art. 15 OBA-FINMA) en utilisant les moyens de clarifi-cation prévus à l’art. 16 OBA-FINMA.

L’obligation de la banque de fixer des critères signalant la présence des risques accrus amène celle-ci à collecter des données supplémentaires au sujet de l’ayant droit économique ⁶⁸. Elle doit ainsi établir son profil, notamment sous l’angle de son activité professionnelle, de son pays de provenance, de l’origine de sa fortune, de ses sources de revenu, de son environnement familial et privé, etc. ⁶⁹. Ce n’est qu’en établissant ce profil

65 BSK DSG-Blechta, Art. 3 N 7.

66 Voir aussi Althaus Stämpfli, p. 75.

67 Cf. Art. 13 al. 2 et 14 al. 2 OBA-FINMA.

68 Althaus Stämpfli, p. 76.

69 Cassani (in : Bovet, Finanzmarktaufsicht), B N 301 ; Althaus Stämpfli, p. 126 ; Graber / Oberholzer (Das neue GwG), Art. 6 N 2.

que la banque serait en mesure de qualifier des relations d’affaires comme présentant des risques accrus.

En outre, des données personnelles sur des sanctions pénales peuvent également s’avérer utiles afin d’apprécier les risques représentés par l’ayant droit économique ⁷⁰. Ce dernier peut en effet être condamné peu avant l’ouverture du compte (ou faire l’objet d’une enquête actuelle) pour une infraction préalable au blanchiment d’argent. Or dans ce cas, les valeurs patrimoniales dont il est l’ayant droit économique peuvent provenir de cette infraction préalable. C’est pourquoi il est primordial pour la banque de savoir également si l’ayant droit économique a fait (ou fait) l’objet des sanctions pénales.

De même, l’art. 15 al. 2 OBA-FINMA oblige la banque de collecter des données au sujet de l’ayant droit économique en cas de risques accrus. Elle doit établir notamment l’origine de sa fortune (lit. e), son activité profes-sionnelle (lit. f) ou s’il est une personne politiquement exposée (lit. g) ⁷¹.

Les données collectées en vertu de l’art. 6 LBA (et de ses dispositions d’exécution) constituent des données personnelles au sens de l’art. 3 lit. a LPD, respectivement art. 4 lit. a P-LPD. Elles ne sont en principe pas des données sensibles, faute de figurer dans le catalogue de l’art. 3 lit. c LPD, respectivement art.  4 lit. c P-LPD. L’énumération dans ce catalogue est exhaustive ⁷². Demeurent toutefois réservées les données personnelles sur les sanctions pénales et administratives. Elles sont des données sensibles, conformément à l’art. 3 lit. c ch. 4 LPD, respectivement art. 3 lit.c ch. 5 P-LPD.

Lorsque la banque examine si l’ayant droit économique est une per-sonne politiquement exposée, elle risque de collecter des données sur les opinions ou activités politiques de l’ayant droit économique. Il n’est ainsi pas à exclure que la banque conserve dans ses livres des données sen-sibles (art. 3 lit. c ch. 1 LPD ; 4 lit. c ch. 1 P-LPD) au sujet de l’ayant droit économique.

Enfin, l’assemblage des données que la banque conserve au sujet de l’ayant droit économique (son profil) constitue un profil de la personnalité au sens de l’art. 3 lit. d LPD ⁷³. En effet, des données se rapportant à

l’acti-70 Voir aussi Althaus / Stämpfli, p. 89.

71 Voir infra chapitre 3 / III / A / 2 / d, pp. 97 s.

72 TF 1P_79/2000 du 28 mai 2001, consid. 2d dd.

73 Voir aussi Althaus Stämpfli, pp. 125 ss ; contra Margiotta, p. 75.

vité personnelle de l’ayant droit économique, à l’origine de sa fortune, à ses sources de revenus et à son environnement familial et privé ⁷⁴ permettent d’apprécier les caractéristiques essentielles de la personnalité de l’ayant droit économique. La combinaison de ces données donne certes une image partielle, mais qui porte au moins sur les caractéristiques essentielles de l’ayant droit économique.

On est également en présence d’un profilage (art. 4 let. f P-LPD) lorsque la banque établit un profil de l’ayant droit économique. En effet, cette der-nière procède à une évaluation automatisée de ses données personnelles, afin de pouvoir évaluer ses caractéristiques telles que sa situation écono-mique ou sa classe de risques.

d. Personnes politiquement exposées

La notion de personne politiquement exposée (ci-après PEP) est définie à l’art. 2a al. 1 LBA. Elle inclut les personnes qui sont ou ont été chargées de fonctions publiques dirigeantes à l’étranger (lit. a), ainsi que les personnes qui sont ou ont été chargées de fonctions publiques dirigeantes au niveau national en Suisse (lit. b), voire dans une organisation intergouvernemen-tale ou au sein de fédérations sportives internationales (lit. c). Les relations d’affaires avec des PEP étrangères et leurs proches sont réputées comporter toujours un risque accru (art. 6 al. 3 LBA) et déclenchent ainsi l’obligation d’entreprendre des clarifications complémentaires (art. 15 OBA-FINMA).

En revanche, les relations d’affaires avec des PEP en Suisse et avec des PEP exerçant des fonctions dirigeantes au sein d’organisations internationales ou au sein de fédérations sportives internationales, ainsi que leurs proches, ne comportent un risque accru qu’en relation avec un ou plusieurs autres critères de risque (art. 6 al. 4 LBA).

L’ayant droit économique peut être qualifié de PEP s’il remplit les conditions de l’art. 2a al. 1 LBA. Dans ce cas, la banque conserve dans sa documentation des données se rapportant à des opinions et à des activités politiques de la personne en question. Ces données seront qualifiées de

“sensibles”, conformément aux art. 3 lit. c ch. 1 LPD et 4 lit. c ch. 1 P-LPD.

Le profil établi constituera en outre un profil de la personnalité au sens

74 Cf. Althaus Stämpfli, p. 126.

de l’art. 3 lit. d LPD, respectivement un profilage en vertu de l’art. 4 lit. f P-LPD.