Comprendre la conformité en matière d'identité numérique

Pourquoi la conformité compte

Les contrôles d'identité s'inscrivent souvent dans des parcours réglementés : ouverture de compte, contrôle de l'âge, paiements et services financiers. Dans ces parcours, le contrôle n'est pas seulement un outil contre la fraude. Il prouve aussi que l'entreprise a respecté une obligation, et cette preuve doit parfois tenir des mois ou des années plus tard, lors d'un audit ou d'un examen par l'autorité de surveillance.

Les exigences varient selon les marchés. Un même produit peut être soumis à des règles différentes à Zurich, Berlin et Lisbonne, et à d'autres encore selon qu'il dispose d'une licence financière, vend des produits soumis à une limite d'âge ou souhaite simplement écarter les faux comptes. Le travail de conformité commence par savoir laquelle de ces situations vous concerne.

Cet article donne une vue d'ensemble générale. Il ne constitue pas un avis juridique, et le détail de vos obligations dépend de votre licence, de votre secteur et des marchés que vous servez. Faites-les confirmer par votre service juridique ou votre équipe compliance.

Les obligations de diligence en termes généraux

Dans les secteurs réglementés, la plupart des obligations en matière d'identité découlent des règles de lutte contre le blanchiment d'argent. On parle généralement de KYC, et le processus sous-jacent correspond aux obligations de diligence envers la clientèle. Dans les grandes lignes, une entreprise doit :

• Identifier le client. Recueillir son nom, sa date de naissance et d'autres données d'identification.
• Vérifier cette identité. Contrôler ces données auprès d'une source fiable, en général une pièce d'identité, et confirmer que la personne qui la présente en est bien le titulaire.
• Comprendre la relation. Savoir à quoi sert le compte et, pour les sociétés, qui en sont les ayants droit économiques.
• Surveiller dans la durée. Tenir les informations à jour et réagir lorsque l'activité ne correspond plus au profil.

La profondeur de chaque étape est censée varier selon le risque. Un compte de faible valeur peut se contenter de contrôles simplifiés, alors qu'un client ou une juridiction à risque élevé appelle une diligence renforcée. C'est cette approche fondée sur les risques qui permet à une entreprise d'alléger ses parcours lorsque c'est justifié et de les renforcer lorsque c'est nécessaire. Le cadre AML fixe le résultat à atteindre ; la conception du parcours vous appartient en grande partie.

Suisse

En Suisse, deux ensembles de règles comptent particulièrement pour la vérification d'identité.

La loi fédérale révisée sur la protection des données (nLPD) est en vigueur depuis le 1er septembre 2023. Elle a rapproché le droit suisse du RGPD dans sa structure, avec des principes comme la limitation des finalités, la proportionnalité, la protection des données dès la conception et par défaut. Les données biométriques qui identifient une personne de manière univoque sont considérées comme des données personnelles sensibles, ce qui relève les exigences sur la manière de les traiter, de l'expliquer aux utilisateurs et de les protéger. Une comparaison faciale servant à confirmer le titulaire d'un document entre dans cette catégorie.

Les règles de lutte contre le blanchiment d'argent s'appliquent aux intermédiaires financiers, comme les banques, les prestataires de paiement, les gestionnaires de fortune et de nombreuses entreprises crypto. Ces règles, complétées par les directives de l'autorité de surveillance et des organismes d'autorégulation, définissent la manière dont les clients doivent être identifiés, y compris les exigences applicables à l'onboarding à distance. Les règles précises dépendent de la licence et du mode de surveillance de l'entreprise. Notre page de couverture pour la Suisse liste les documents pris en charge sur le marché suisse.

Union européenne

Dans l'UE, le RGPD régit le traitement des données personnelles. Les données biométriques utilisées pour identifier une personne de manière unique relèvent d'une catégorie particulière de données. Une entreprise a donc besoin à la fois d'une base légale et d'une condition applicable pour les traiter, en plus des exigences habituelles de transparence, de sécurité et de respect des droits des personnes concernées.

En matière de lutte contre le blanchiment, l'UE a adopté un paquet qui remplace en grande partie l'ancienne approche fondée sur des directives par un règlement directement applicable, l'AMLR, en vigueur à partir de juillet 2027. Un corpus de règles unique devrait réduire les écarts entre États membres, mais les entreprises devront revoir leurs procédures de vigilance à l'égard de la clientèle à cette aune avant cette date.

eIDAS 2.0 introduit le portefeuille européen d'identité numérique, que les États membres sont tenus de proposer à leurs citoyens. À terme, ces portefeuilles pourraient devenir un moyen reconnu de partager des attributs vérifiés, comme une preuve de l'âge ou de l'identité, sans remettre l'image complète d'un document. Il vaut la peine de concevoir votre parcours de manière à pouvoir y ajouter plus tard une nouvelle source de preuve sans tout reconstruire.

Enjeux transfrontaliers

La localisation des données, leur durée de conservation et ce que vous conservez après un contrôle varient selon la juridiction. Planifiez votre infrastructure avant de passer à l'échelle.

Trois questions reviennent dans presque tous les déploiements transfrontaliers :

1. Où les données sont-elles traitées et stockées ? Les transferts hors de Suisse ou de l'UE nécessitent une base légale, et certains clients ou autorités attendent que les données restent dans un pays précis. Consultez l'entrée de notre glossaire sur la localisation des données.
2. Quels sous-traitants ultérieurs ont accès aux données ? Vous répondez de toute votre chaîne de prestataires. Demandez une liste à jour, comme notre page des sous-traitants, et comparez-la à votre registre des activités de traitement.
3. Quels documents sont acceptés ? La prise en charge des passeports, cartes d'identité et titres de séjour diffère selon les pays, et certains documents comportent une puce NFC alors que d'autres non.

Conservation et piste d'audit

Deux obligations tirent dans des directions opposées. Les règles de lutte contre le blanchiment imposent souvent de conserver les documents d'identification pendant une durée définie après la fin de la relation. Les règles de protection des données imposent de ne rien conserver plus longtemps que nécessaire.

La réponse pratique consiste à séparer ce que vous conservez de ce que vous supprimez :

Quoi que vous conserviez, faites en sorte de pouvoir reconstituer le déroulement. Un auditeur doit pouvoir voir quels contrôles ont été exécutés, quelle version du parcours a été utilisée, quel a été le résultat et qui a examiné chaque cas manuel.

Points pratiques à retenir

Choisissez des contrôles adaptés à votre risque et à vos obligations. La vérification doit soutenir la conformité sans devenir le goulet d'étranglement de votre produit.

Une courte liste de contrôle avant le lancement :

• Associez chaque marché aux règles applicables à votre licence et à votre secteur.
• Définissez des niveaux de risque et les contrôles requis pour chacun.
• Documentez votre base légale pour le traitement des données biométriques.
• Fixez des durées de conservation par type de données et automatisez la suppression.
• Vérifiez où les données sont hébergées et quels sous-traitants ultérieurs interviennent.
• Assurez-vous que chaque décision laisse une trace d'audit.

secuveri est conçu pour ce type de configuration. Les données sont traitées et stockées en Suisse, un déploiement on-premise est possible, et vous choisissez les contrôles exécutés dans chaque parcours. Si vous souhaitez parler d'un marché en particulier, réservez un appel.