Délibération 2025-073 du 4 septembre 2025

L’essentiel :

La CNIL considère que les dispositions du projet de loi, qui transposent la directive 2024/1640 sont conformes aux principes inscrits dans le RGPD et la loi "informatique et libertés" puisqu’elles permettent, dans certaines conditions, de limiter le nombre de personnes ayant accès aux informations qui concernent les bénéficiaires effectifs.

Elle considère, par ailleurs, que les personnes concernées devraient être préalablement informées de toute décision tendant à mettre fin à la confidentialité de leurs informations afin notamment de leur permettre de contester une telle décision, compte tenu de la possibilité pour le greffe compétent et l’administration fiscale d’y mettre fin dans certaines conditions. Elle invite le ministère à préciser le projet de loi sur ce point.

­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________

La Commission nationale de l'informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ("règlement général sur la protection des données" ou "RGPD" ;

Vu le règlement 2024/1624 du Parlement européen et du Conseil du 31 mai 2024 relatif à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ("le règlement 2024/1624").

Vu la directive (UE) 2024/1640 du Parlement européen et du Conseil du 31 mai 2024, relative aux mécanismes à mettre en place par les Etats membres pour prévenir l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant la directive (UE) 2019/1937, et modifiant et abrogeant la directive (UE) 2015/849 ("la directive 2024/1640") ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés") ;

Sur proposition de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du gouvernement.

Adopte la délibération suivante :

I. La saisine

A. Le contexte

Le règlement 2024/1624 définit les bénéficiaires effectifs comme toute personne qui, en dernier ressort, possède ou contrôle une entité juridique, un trust exprès ou une construction juridique similaire. En droit national, un bénéficiaire effectif est une personne physique qui détient directement ou indirectement plus de 25% des droits de vote ou du capital d’une société ou qui exerce, par tout autre moyen, un pouvoir de contrôle sur les organes de gestion, d’administration ou sur l’assemblée générale des associés (articles L. 233-3 du code de commerce et R. 561-1 du code monétaire et financier). Il est donc possible d’être qualifié de bénéficiaire effectif d’une société commerciale, d’une fiducie ou d’un trust.

Il n’existe pas, en France, de registre centralisé des données des bénéficiaires effectifs des sociétés commerciales. Les données issues des procédures de formalités d’entreprises sont renseignées auprès de l’INPI par le biais du guichet unique. Les données déclarées sont ensuite remontées aux greffiers des tribunaux de commerce, autorités compétentes chargées de leur validation, avant d’être intégrées dans le registre national des entreprises (RNE).

Deux niveaux d’accès aux informations relatives aux bénéficiaires effectifs peuvent être identifiés : les autorités administratives et judiciaires visées au 3° de l’article L. 561-46 du CMF ainsi que les entités assujetties dans le cadre d’une mesure de vigilance disposent d’un accès intégral et gratuit à ces informations. En revanche, conformément aux dispositions du I de l’article L. 561-46-2 du CMF, une partie seulement de ces informations est mise à disposition de personnes qui justifient d’un intérêt légitime pour la prévention ou la lutte contre le blanchiment de capitaux, ses infractions sous-jacentes ou le financement du terrorisme. L’accès à ces informations s’exerce auprès de l’INPI ou auprès des greffes des tribunaux de commerce. Cette situation résulte de la transposition des dispositions issues du droit européen sur laquelle la CNIL a rendu un avis (délibération n° 2024-051 du 20 juin 2024) et de la jurisprudence de la Cour de justice de l’Union européenne (CJUE, arrêt de grande chambre du 22 novembre 2022, affaires C-37/20 et C-601/20, WM et Sovim SA c. Luxembourg Business Registers).

La fiducie est définie à l’article 2011 du code civil comme une opération par laquelle un ou plusieurs constituants transfèrent des biens, droits ou sûretés ou un ensemble de biens, droits et sûretés, à un ou plusieurs fiduciaires qui, les tenant séparés de leur patrimoine propre, agissent dans un but déterminé au profit d’un ou plusieurs bénéficiaires. Les fiducies ne sont donc pas inscrites au RCS ou au RNE car elles sont généralement le résultat d’actes juridiques et correspondent à des activités et non à un statut ou une forme juridique. La notion de trust est quant à elle définie dans l’article 792-0bis du code général des impôts et désigne également avant tout une relation juridique. Si les notions de fiducie et de trust sont fréquemment considérées comme équivalentes bien qu’elles ne se recoupent pas totalement, l’accès aux informations relatives à leur bénéficiaires effectifs s’exerce selon les mêmes conditions.

Le décret n° 2010-219 du 2 mars 2010 relatif au traitement automatisé de données à caractère personnel dénommé registre national des fiducies, a créé un registre qui centralise les informations relatives à ces dernières. L’accès au registre est limité aux entités mentionnées à l’article L. 167 du Livre des procédures fiscales (LPF). Il nécessite d’avoir accès à une plateforme dédiée, mise à disposition par la Direction Générale des Finances Publiques.

B. L’objet de la saisine

Par une saisine rectificative en date du 1^er août 2025, la CNIL a été saisie pour avis par le ministère de l’économie, des finances et de la souveraineté industrielle et numérique, des dispositions du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne qui visent à transposer les articles 11 à 15 de la directive 2024/1640.

Ces dispositions ont pour but, d’une part, d’introduire un article L. 561-46-3 dans le CMF et, d’autre part, de modifier l’article L. 167 du LPF.

Le projet d’article L. 561-46-3 CMF, qui transpose l’article 15 de la directive, prévoit que le bénéficiaire effectif peut limiter l’accès aux informations qui le concernent par les personnes qui doivent justifier d’un intérêt légitime pour y accéder ainsi qu’aux entités assujetties à la lutte contre le blanchiment de capitaux et le financement du terrorisme.

Les modifications apportées à l’article L. 167 du LPF ont pour objet d’aligner le régime applicable aux informations qui concernent les bénéficiaires effectifs de trust et fiducies avec celui des bénéficiaires effectifs de sociétés commerciales, tant en ce qui concerne leur consultation qu’en ce qui concerne le dispositif de confidentialité décrit précédemment.

II. L’avis de la CNIL

A. Sur le renforcement de la confidentialité des informations relatives à l’ensemble des bénéficiaires effectifs

L’article 15 de la directive 2024/1640 prévoit explicitement, sous conditions, la possibilité de déroger aux règles qui permettent d’accéder à tout ou partie des informations personnelles sur le bénéficiaire effectif

Le projet d’article L. 561-46-3 du CMF ainsi que les modifications qu’il est envisagé d’apporter à l’article L. 167 du LPF, qui transposent l’article 15 de la directive, prévoient trois cas de dérogations au droit d’accès aux informations relatives aux bénéficiaires effectifs :

• Lorsqu’eut égard à des circonstances exceptionnelles précisées par décret en Conseil d’Etat, le bénéficiaire serait exposé à un risque disproportionné de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation ;
• Le bénéficiaire effectif est un mineur ;
• Le bénéficiaire effectif est autrement frappé d’incapacité

La CNIL considère que les dispositions du projet d’article L. 561-46-3 du CMF et les modifications qu’il est envisagé d’apporter à l’article L. 167 du LPF sont conformes aux principes inscrits dans le RGPD et la loi "informatique et libertés". En effet, elles permettent de limiter le nombre de personnes ayant accès aux informations qui concernent les bénéficiaires effectifs lorsque la diffusion de ces informations exposerait la personne concernée à un risque, du fait d’une situation de vulnérabilité (minorité et incapacité) ou de l’existence d’une menace pesant sur sa personne.

B. Sur le régime applicable aux informations relatives à l’ensemble des bénéficiaires effectifs

Le dernier alinéa du projet d’article L. 561-46-3 du CMF prévoit que le greffier peut mettre fin à la confidentialité sur demande de toute autre personne justifiant y avoir un intérêt, en plus des personnes assujetties à la lutte contre le blanchiment et le financement du terrorisme et de celles ayant un intérêt légitime pour la prévention ou la lutte contre le blanchiment de capitaux, ses infractions sous-jacentes ou le financement du terrorisme. Le projet d’article L. 167 du LPF prévoit également que l’administration fiscale puisse y mettre fin, d’office ou sur demande d’une personne assujettie à la lutte contre le blanchiment et le financement du terrorisme et de celles ayant un intérêt légitime pour la prévention ou la lutte contre le blanchiment de capitaux, ses infractions sous-jacentes ou le financement du terrorisme.

En premier lieu, la mention "toute autre personne justifiant y avoir un intérêt" est imprécise et ce d’autant plus que le texte ne précise ni le type d’intérêt envisagé, ni les critères d’examen appliqués à ce type de demande. Cette imprécision interroge d’autant plus que les articles L. 561-46 et L. 561-46-2 du CMF prévoient déjà un nombre significatif de personnes et situations susceptibles de conduire à une divulgation des données relatives aux bénéficiaires effectifs des sociétés commerciales. Par ailleurs, les modifications envisagées à l’article L. 167 du LPF prévoient un mécanisme similaire pour les informations relatives aux bénéficiaires effectifs de trust et fiducies sans, toutefois, que celui-ci ne soit ouvert à "toute personne justifiant y avoir un intérêt".

Le ministère a précisé que cette "mention" avait été retenue en parallélisme avec l’article L. 561-48 du CMF. Elle s’inspire d’un principe général en matière de tenue des registres de publicité légale visant à permettre à toute personne justifiant y avoir intérêt à établir ou rétablir la transparence. Il relève toutefois que les personnes qui seraient amenées à contester une telle dérogation seront celles qui auront pu constater l’existence d’une dérogation et donc les personnes qui auraient obtenu un droit d’accès aux données, à savoir les personnes mentionnées aux articles L. 561-46 et L. 561-46-2 du CMF. Le ministère s’engage donc à échanger sur ce point avec l’ensemble des administrations concernées.

En second lieu, la CNIL considère que les personnes concernées devraient, le cas échéant, préalablement en être informées, notamment afin d’avoir l’opportunité de contester une telle décision. Elle invite le ministère à préciser le projet de loi sur ce point.

La présidente,

M.-L. Denis