L’affaire Luxembourg Business Registers II pourrait imposer une nouvelle discipline dans l’utilisation de la transparence des bénéficiaires effectifs
La transparence des bénéficiaires effectifs constitue depuis plusieurs années l’un des piliers du dispositif européen de lutte contre le blanchiment de capitaux et le financement du terrorisme. Elle permet aux autorités, aux professionnels assujettis et, sous certaines conditions, à d’autres acteurs disposant d’un intérêt légitime, d’identifier les personnes physiques qui possèdent ou contrôlent en dernier ressort une société ou une autre structure juridique.
Mais cette transparence connaît une limite de plus en plus structurante : elle ne peut conduire à exposer de manière disproportionnée une personne physique à un risque pour sa sécurité, sa vie privée ou la protection de ses données personnelles.
C’est précisément cette frontière que l’affaire C-609/26, Luxembourg Business Registers II demande à la Cour de justice de l’Union européenne de préciser.
Une clarification préalable est toutefois essentielle. Contrairement à ce que pourrait laisser entendre le titre de certains commentaires consacrés à cette affaire, la CJUE n’a pas encore rendu d’arrêt. Le 4 juin 2026 correspond à la date d’introduction devant la Cour de la demande de décision préjudicielle émanant du Tribunal d’arrondissement de Luxembourg. L’affaire demeure pendante à ce jour.
L’enjeu opérationnel n’en est pas moins considérable. Les questions posées annoncent potentiellement une nouvelle étape dans la construction du régime européen de transparence des bénéficiaires effectifs : après la transparence intégrale, puis l’accès fondé sur un intérêt légitime, l’attention se déplace désormais vers la proportionnalité de l’accès lui-même et la protection individuelle du bénéficiaire effectif.
1. De la transparence absolue à la transparence proportionnée
Le cadre européen a déjà connu une inflexion majeure avec l’arrêt de la Grande chambre de la CJUE du 22 novembre 2022 dans les affaires jointes C-37/20 et C-601/20, WM et Sovim SA v Luxembourg Business Registers.
La Cour avait alors invalidé le dispositif imposant que certaines informations relatives aux bénéficiaires effectifs soient accessibles, dans tous les cas, à tout membre du public. Elle considérait qu’un accès généralisé constituait une ingérence grave dans les droits garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, relatifs respectivement au respect de la vie privée et à la protection des données personnelles.
Le législateur européen a depuis réorganisé le dispositif.
La directive (UE) 2024/1640 conditionne désormais l’accès du public aux registres centraux à l’existence d’un intérêt légitime lié à la prévention ou à la lutte contre le blanchiment de capitaux, ses infractions sous-jacentes ou le financement du terrorisme. Certaines catégories de personnes bénéficient d’une reconnaissance particulière de cet intérêt, notamment les journalistes, certaines organisations de la société civile et, sous conditions, les personnes susceptibles d’entrer en relation avec une entité juridique.
Au Luxembourg, la loi du 23 janvier 2025 a déjà profondément réorganisé le régime d’accès au RBE. L’accès est notamment reconnu aux autorités nationales, aux professionnels dans le cadre de leurs obligations de vigilance, aux organismes d’autorégulation, aux personnes démontrant un intérêt légitime et à certaines administrations ou personnes publiques.
La logique n’est donc plus :
Beneficial Ownership Information → Public Access
mais désormais :
Beneficial Ownership Information → Legitimate Purpose → Controlled Access → Traceability → Proportionality.
Cette évolution doit être intégrée dans les dispositifs AML/CFT des établissements financiers, AIFM, sociétés de gestion, PSF, assureurs, avocats, notaires, réviseurs et autres professionnels concernés.
2. L’enjeu de Luxembourg Business Registers II : quand la transparence crée-t-elle elle-même un risque ?
L’affaire C-609/26 concerne une société constituée au Luxembourg en 2025 dont le bénéficiaire effectif avait sollicité une limitation de l’accès aux informations le concernant.
Luxembourg Business Registers aurait refusé cette demande, estimant que les éléments produits ne permettaient pas d’établir l’existence d’un risque suffisamment significatif, réel, actuel et propre à la personne concernée.
L’intéressé invoque notamment son profil international, ses fonctions politiques ou représentatives et les risques de sécurité susceptibles de résulter de la divulgation d’informations relatives à son patrimoine.
La problématique est directement liée à l’article 15 de la directive (UE) 2024/1640.
Cette disposition prévoit que, dans des circonstances exceptionnelles définies par le droit national, l’accès puisse être limité lorsque la divulgation exposerait le bénéficiaire effectif à un risque disproportionné de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ainsi que lorsque le bénéficiaire est mineur ou juridiquement incapable. Les dérogations doivent être décidées au cas par cas après une évaluation détaillée des circonstances.
Ces dispositions devaient être transposées par les États membres au plus tard le 10 juillet 2026, soit avant le calendrier général de transposition de la directive fixé au 10 juillet 2027.
Le droit luxembourgeois prévoit lui-même la possibilité de demander une telle limitation. L’article 15 de la loi RBE prévoit une analyse individuelle et exceptionnelle du risque et permet de restreindre l’accès lorsqu’existe un risque disproportionné relevant notamment de la fraude, de l’enlèvement, du chantage, de l’extorsion, du harcèlement, de la violence ou de l’intimidation. La limitation peut être accordée pour la durée des circonstances qui la justifient, avec un plafond de trois ans, sous réserve de renouvellement motivé.
Le débat devant la CJUE porte donc moins sur l’existence même de cette exception que sur son seuil d’application.
3. Première conséquence opérationnelle : le RBE ne doit jamais devenir l’unique source d’identification de l’UBO
La première conséquence pour les professionnels assujettis est fondamentale.
Une limitation de l’accès au RBE ne signifie ni que le bénéficiaire effectif cesse d’exister juridiquement, ni qu’il ne doit plus être identifié, ni qu’une institution financière peut considérer son obligation de vigilance comme impossible à satisfaire.
Le droit luxembourgeois impose aux professionnels d’identifier le bénéficiaire effectif et de prendre des mesures raisonnables afin de vérifier son identité au moyen de données ou d’informations pertinentes provenant de sources fiables et indépendantes.
Le professionnel doit également comprendre la structure de propriété et de contrôle de son client. Lorsqu’une relation est établie avec une personne morale ou une construction juridique soumise à inscription dans un registre de bénéficiaires effectifs, il doit recueillir la preuve de l’enregistrement ou un extrait du registre et comparer les informations dont il dispose avec celles du registre afin d’identifier d’éventuelles incohérences.
Le RBE constitue donc une source de corroboration particulièrement importante, mais ne doit pas être utilisé comme substitut à l’analyse de la structure de propriété et de contrôle.
Cette distinction devient essentielle lorsqu’un accès est limité.
Conséquence pratique
Les procédures KYC devraient prévoir expressément un scénario :
“RBE information unavailable / restricted / protected”.
Dans ce cas, le professionnel devrait être en mesure de reconstruire la chaîne de propriété ou de contrôle à l’aide, notamment :
- des statuts ;
- du registre des actionnaires ;
- d’un organigramme de détention daté et signé ;
- des registres de commerce concernés ;
- des shareholder agreements lorsque leur analyse est nécessaire à la détermination du contrôle ;
- des déclarations UBO ;
- des documents relatifs aux droits de nomination, révocation ou veto ;
- des documents constitutifs des fondations, trusts ou structures comparables ;
- et de toute autre source fiable et indépendante pertinente.
La bonne pratique opérationnelle devient dès lors :
RBE = corroboration, not substitution.
4. Deuxième conséquence : distinguer impérativement le “security risk” du “AML risk”
C’est probablement l’un des enseignements les plus importants de l’affaire.
La raison pour laquelle une personne demande la protection de ses données au RBE peut être précisément qu’elle présente un profil public important, qu’elle dispose d’un patrimoine significatif ou qu’elle est exposée à des risques de kidnapping, d’extorsion ou de violence.
Ces facteurs ne constituent pas automatiquement des indicateurs de blanchiment de capitaux.
Il faut donc éviter l’équation :
Restricted RBE access = Higher AML risk.
Une limitation d’accès est un mécanisme destiné à protéger une personne contre les conséquences d’une divulgation.
Le dispositif PEP répond à une logique différente : il vise à traiter le risque accru de corruption ou d’abus de fonctions publiques.
Les deux analyses peuvent concerner la même personne, mais leurs finalités juridiques sont distinctes.
La distinction peut être résumée ainsi :
PEP status → corruption exposure → AML Enhanced Due Diligence
alors que :
Personal security exposure → disclosure risk → access restriction.
Une institution ne devrait donc pas relever automatiquement le risk rating AML d’un client au seul motif que son UBO a obtenu une limitation d’accès au registre.
En revanche, les faits sous-jacents révélés dans le cadre de l’analyse peuvent naturellement constituer des facteurs de risque AML indépendants.
5. Troisième conséquence : le statut de PEP ne devrait pas devenir une présomption automatique de confidentialité
L’affaire soulève précisément la question de savoir si l’appartenance à une catégorie particulièrement exposée – notamment celle des personnes politiquement exposées – suffit à établir l’existence d’un risque disproportionné.
Une approche automatique serait problématique.
En matière AML, le statut de PEP justifie une vigilance renforcée.
En matière d’accès au registre, ce même statut pourrait démontrer une vulnérabilité particulière.
Mais les conséquences juridiques sont différentes.
Si toute PEP pouvait automatiquement obtenir une limitation d’accès, certaines des personnes pour lesquelles la transparence des structures patrimoniales présente précisément le plus grand intérêt en matière de prévention de la corruption bénéficieraient parallèlement d’une confidentialité systématique.
À l’inverse, exiger qu’une personne attende la matérialisation d’une menace avant de pouvoir bénéficier d’une protection viderait en grande partie le mécanisme préventif de son utilité.
Le futur arrêt devra probablement rechercher un équilibre entre ces deux extrêmes.
Pour les équipes Compliance, la meilleure approche consiste déjà à raisonner selon une logique :
status + circumstances + evidence + causality + proportionality.
Le simple statut ne devrait donc ni suffire automatiquement, ni être ignoré.
6. Quatrième conséquence : la qualité de la preuve devient centrale
Si la CJUE confirme qu’une limitation exige un risque réel, individualisé et suffisamment actuel, les dossiers de demande de protection devront être beaucoup plus documentés.
Une affirmation générale selon laquelle une personne serait « wealthy », « prominent » ou « politically exposed » risque de ne pas suffire.
Les éléments pertinents pourraient notamment comprendre :
- des menaces documentées ;
- des incidents antérieurs ;
- des rapports de sécurité ;
- des tentatives d’extorsion ou de kidnapping ;
- des informations émanant de services de protection ;
- un contexte géopolitique particulier ;
- des risques spécifiques concernant des membres de la famille ;
- la localisation ou la nature des actifs susceptibles d’être révélés ;
- ou la démonstration d’un lien suffisamment direct entre les informations figurant au registre et le risque invoqué.
Les entreprises concernées devraient par conséquent définir une procédure formelle de préparation et de conservation de ces dossiers.
7. Cinquième conséquence : une restriction du RBE ne peut pas devenir un “KYC blocker”
Dans la pratique, l’un des principaux risques sera opérationnel.
Une banque dépositaire, un administrator, une banque de financement, un auditeur ou une contrepartie pourrait constater qu’elle n’est pas en mesure d'obtenir directement l’information attendue depuis le RBE.
La mauvaise réaction consisterait à conclure :
“No RBE extract = KYC incomplete.”
L’analyse correcte est plus nuancée.
Le professionnel doit toujours connaître le bénéficiaire effectif, mais il doit être capable d’adapter les moyens de preuve lorsque certaines données bénéficient légitimement d’une protection.
Les procédures d’onboarding devraient donc prévoir une escalade vers Compliance permettant d’accepter, lorsqu’ils sont juridiquement et matériellement suffisants, des documents alternatifs.
Cette approche permet d’éviter deux erreurs opposées :
- accepter une structure opaque sous prétexte qu’une limitation existe ;
- ou imposer mécaniquement une impossibilité d’onboarding alors que l’identité et le contrôle peuvent être établis par d’autres moyens fiables.
8. Sixième conséquence : documenter la raison pour laquelle une information RBE n’est pas disponible
Lorsqu’un professionnel ne dispose pas d’un extrait RBE complet en raison d’une limitation légale, son dossier devrait permettre à un auditeur interne, au RC, au RR, au réviseur d’entreprises ou à la CSSF de comprendre immédiatement pourquoi.
Le dossier KYC devrait donc idéalement conserver :
RBE Search → Restriction identified → Legal basis recorded → Alternative evidence obtained → UBO independently verified → Risk assessment completed.
Cette traçabilité est essentielle pour démontrer que l’absence d’une donnée provenant du registre résulte d’une limitation légitime et non d’une faiblesse de la procédure KYC.
9. Septième conséquence : renforcer la gouvernance des données UBO
Le débat devant la CJUE concerne également indirectement un phénomène souvent sous-estimé : le risque créé par l’agrégation des données.
Une information prise isolément peut être relativement peu sensible.
Mais son rapprochement avec :
- des données immobilières ;
- des registres de sociétés étrangers ;
- des données de localisation ;
- les membres d’une famille ;
- des fonctions publiques ;
- des holdings ;
- des données de patrimoine ;
peut reconstituer une cartographie extraordinairement précise des intérêts patrimoniaux d’une personne.
L’article consacré à l’affaire souligne précisément que le risque peut résulter non pas d’une information nouvelle, mais de la possibilité de relier des informations dispersées entre plusieurs bases.
Cela devrait conduire les professionnels à appliquer plus rigoureusement plusieurs principes :
Need-to-know access
Purpose limitation
Data minimisation
Controlled external disclosure
Audit trail
Retention management.
Le droit luxembourgeois organise d’ailleurs désormais une forte traçabilité des consultations : le système doit notamment permettre de retracer la personne ayant consulté les données, les informations consultées, la date, l’heure, la référence du dossier et le motif précis de la consultation, ces données de journalisation étant conservées pendant cinq ans.
Le RBE n’est donc plus un simple outil de recherche documentaire : il devient un système d’accès réglementé à des données sensibles.
10. Huitième conséquence : revoir les pratiques de partage des extraits RBE
Dans de nombreux établissements, les extraits RBE sont téléchargés puis :
- placés dans des data rooms ;
- envoyés par courrier électronique ;
- transmis à des contreparties ;
- incorporés dans des KYC packs ;
- conservés dans différents outils internes.
Cette pratique devrait être réévaluée.
La possibilité légale d’accéder à une information n’implique pas nécessairement une liberté illimitée de la reproduire ou de la redistribuer.
Les politiques internes devraient donc distinguer :
Right to access ≠ unrestricted right to redistribute.
Avant de transmettre des données relatives à un bénéficiaire effectif, le professionnel devrait pouvoir identifier :
- la finalité du partage ;
- le destinataire ;
- sa base juridique ;
- les données strictement nécessaires ;
- les mesures de sécurité applicables.
Cette discipline sera particulièrement importante pour les structures impliquant des entrepreneurs fortunés, family offices, familles industrielles, dirigeants publics ou internationaux et autres personnes présentant un profil élevé.
11. Neuvième conséquence : les professionnels devront savoir gérer les divergences entre “confidentiality” et “transparency”
L’affaire illustre une transformation plus profonde du dispositif AML européen.
Pendant plusieurs années, le raisonnement réglementaire semblait relativement linéaire :
More transparency = better AML.
La jurisprudence européenne a progressivement montré que cette équation était juridiquement incomplète.
La nouvelle logique devient :
Sufficient Transparency + Legitimate Access + Data Protection + Security + Proportionality = Sustainable AML Framework.
Cela ne signifie nullement un recul de l’identification des bénéficiaires effectifs.
Au contraire, les informations doivent rester adéquates, exactes et actuelles.
Ce qui évolue, c’est l’organisation de leur diffusion.
Cette distinction doit impérativement apparaître dans les politiques AML/CFT.
12. Dixième conséquence : adapter les procédures AML avant même l’arrêt de la CJUE
Les professionnels luxembourgeois n’ont pas besoin d’attendre l’arrêt C-609/26 pour renforcer leur dispositif.
Plusieurs mesures peuvent déjà être mises en œuvre.
1. Introduire un scénario “restricted beneficial ownership information”
Les procédures d’onboarding et de periodic review devraient définir le traitement applicable lorsque certaines informations RBE sont protégées.
2. Créer une hiérarchie de sources alternatives
Le dispositif devrait déterminer les documents permettant de reconstruire et vérifier la chaîne de contrôle lorsqu’un registre n’est pas accessible.
3. Séparer le risque AML du risque de sécurité personnelle
Le modèle de risk rating devrait éviter qu’une limitation d’accès entraîne automatiquement une majoration du risque ML/TF.
4. Formaliser le traitement des PEP concernées
PEP screening, source of wealth, source of funds et enhanced monitoring doivent continuer à s’appliquer indépendamment de la protection accordée au titre du RBE.
5. Introduire une règle d’escalade vers Compliance
Toute impossibilité d’accéder aux informations attendues devrait faire l’objet d’une analyse documentée plutôt que d’un rejet automatique.
6. Revoir les droits d’accès internes
L’accès aux informations UBO devrait être limité aux collaborateurs ayant une nécessité professionnelle démontrable.
7. Encadrer la transmission externe des données
Les KYC packs et data rooms devraient faire l’objet d’une revue sous l’angle de la minimisation des données.
8. Documenter chaque exception
Le dossier doit permettre de comprendre la base juridique de la limitation et les mesures compensatoires appliquées.
9. Mettre à jour la formation AML
Les collaborateurs devraient comprendre qu’identification de l’UBO, accès au RBE, PEP status, AML risk et personal security risk correspondent à cinq concepts distincts.
10. Mettre C-609/26 sous Regulatory Watch
L’arrêt devrait faire l’objet d’une analyse d’impact formelle dès sa publication.
Conclusion – La fin de la transparence automatique, pas celle de la transparence AML
Luxembourg Business Registers II ne doit pas être interprétée comme une remise en cause du principe d’identification des bénéficiaires effectifs.
L’évolution est plus subtile.
Le droit européen cherche désormais à distinguer :
l’obligation de connaître le bénéficiaire effectif
de
la question de savoir qui peut consulter les informations le concernant.
La première reste au cœur du dispositif AML/CFT.
La seconde est de plus en plus encadrée par les principes de nécessité, de finalité, de sécurité et de proportionnalité.
Pour les professionnels, la conséquence est majeure : la qualité d’un dispositif KYC ne pourra plus être appréciée uniquement à sa capacité à collecter le maximum d’informations.
Elle dépendra également de sa capacité à démontrer :
pourquoi l’information est nécessaire, comment elle a été obtenue, qui peut y accéder, combien de temps elle est conservée et comment le professionnel continue à satisfaire ses obligations AML lorsque certaines données font légitimement l’objet d’une protection.
Le véritable changement de paradigme peut ainsi être résumé par une nouvelle chaîne de contrôle :
Identify → Verify → Understand → Assess → Access only where justified → Protect → Document.
C’est probablement autour de cette articulation entre transparence financière, efficacité de la lutte AML/CFT et protection proportionnée de la personne physique que se dessinera la prochaine génération de contrôles relatifs aux bénéficiaires effectifs au Luxembourg et dans l’Union européenne.
