Luxembourg

Art. 2-2. L’obligation d’effectuer une évaluation des risques (1) Les professionnels prennent des mesures appropriées pour identifier, évaluer et comprendre les risques de blanchiment et de financement du terrorisme auxquels ils sont exposés, en tenant compte de facteurs de risques y compris ceux liés à leurs clients, pays ou zones géographiques, produits, services, transactions ou canaux de distribution. Ces mesures sont proportionnées à la nature et à la taille des professionnels. (2) Les professionnels envisagent tous les facteurs de risques pertinents avant de déterminer le niveau de risque global et le niveau et le type de mesures appropriées à appliquer pour gérer et atténuer ces risques. Les professionnels s’assurent en outre que les informations sur les risques contenues dans l’évaluation nationale et supranationale des risques ou communiquées par les autorités de contrôle, les organismes d’autorégulation ou les autorités européennes de surveillance soient intégrées dans leur évaluation des risques. Les professionnels sont tenus de documenter, tenir à jour et de mettre à la disposition des autorités de contrôle et organismes d’autorégulation les évaluations des risques visées au paragraphe (1). Les autorités de contrôle et les organismes d’autorégulation peuvent décider que des évaluations des risques individuelles et documentées ne sont pas obligatoires si les risques spécifiques inhérents au secteur sont clairement identifiés et compris. (3) Les professionnels doivent identifier et évaluer les risques de blanchiment et de financement du terrorisme pouvant résulter du développement de nouveaux produits et de nouvelles pratiques commerciales, y compris les nouveaux mécanismes de distribution, et de l’utilisation de technologies nouvelles ou en développement en lien avec de nouveaux produits ou les produits préexistants. Les professionnels doivent : a) évaluer les risques avant le lancement ou l’utilisation de ces produits, pratiques et technologies ; et b) prendre des mesures appropriées pour gérer et atténuer ces risques.

Art. 3. Obligations de vigilance à l'égard de la clientèle (1) Les professionnels sont obligés d’appliquer des mesures de vigilance à l'égard de leur clientèle dans les cas suivants : a) lorsqu'ils nouent une relation d'affaires ; b) lorsqu’ils exécutent, à titre occasionnel, une transaction : i) d’un montant égal ou supérieur à 15.000 euros, que cette transaction soit exécutée en une seule ou en plusieurs opérations qui semblent être liées ; ii) constituant un transfert de fonds au sens de l’article 3, point 9), du règlement (UE) 2023/1113, supérieur à 1.000 euros ; ou iii) constituant un transfert de crypto-actifs supérieur à 1.000 euros ; ba) dans le cas de personnes négociant des biens, lorsqu'elles exécutent, à titre occasionnel, des transactions en espèces d'un montant égal ou supérieur à 10.000 euros, que la transaction soit exécutée en une seule ou en plusieurs opérations qui semblent être liées ; bb) dans le cas de prestataires de services de jeux d'argent et de hasard, lors de la collecte de gains, lors de l'engagement d'une mise, ou dans les deux cas, lorsqu'ils concluent une transaction d'un montant égal ou supérieur à 2.000 euros, que la transaction soit exécutée en une seule ou en plusieurs opérations qui semblent être liées ; c) lorsqu'il y a suspicion de blanchiment ou de financement du terrorisme, indépendamment de tous seuils, exemptions ou dérogations applicables ; d) lorsqu'il existe des doutes concernant la véracité ou la pertinence des données précédemment obtenues aux fins de l'identification d'un client. Un règlement grand-ducal peut modifier le montant des seuils prévus au présent paragraphe. (2) Les mesures de vigilance à l'égard de la clientèle comprennent : a) l'identification du client et la vérification de son identité, sur la base de documents, de données ou d'informations de sources fiables et indépendantes, y compris, le cas échéant, les moyens d’identification électronique et les services de confiance pertinents prévus par le règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, dénommé ci-après « règlement (UE) n° 910/2014 », ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales concernées ; b) l'identification du bénéficiaire effectif et la prise de mesures raisonnables pour vérifier son identité, à l’aide des informations ou données pertinentes obtenues d’une source fiable et indépendante, de telle manière que le professionnel ait l'assurance de connaître ledit bénéficiaire effectif, ainsi que, pour les personnes morales, les fiducies, les trusts, les sociétés, les fondations et les constructions juridiques similaires, la prise de mesures raisonnables pour comprendre la structure de propriété et de contrôle du client. Pour les clients qui sont des personnes morales, le professionnel identifie et prend des mesures raisonnables pour vérifier l’identité des bénéficiaires effectifs au moyen des informations suivantes : i) l’identité des personnes physiques, si elles existent, qui en dernier lieu détiennent une participation de contrôle au sens de l’article 1er, paragraphe (7), point a), point i), dans une personne morale ; et ii) dès lors que, après avoir appliqué le point i), il existe des doutes quant au fait de savoir si les personnes ayant une participation de contrôle sont les bénéficiaires effectifs, ou dès lors qu’aucune personne physique n’exerce de contrôle au travers d’une participation, l’identité des personnes physiques, si elles existent, exerçant le contrôle de la personne morale par d’autres moyens ; et iii) lorsqu’aucune personne physique n’est identifiée dans le cadre de la mise en œuvre des points i) et ii), l’identité de toute personne physique pertinente qui occupe la position de dirigeant principal. Les professionnels conservent les informations relatives aux mesures prises ainsi qu’à toutes difficultés rencontrées durant le processus de vérification. Pour les clients qui sont des constructions juridiques, les professionnels identifient les bénéficiaires effectifs et prennent des mesures raisonnables pour vérifier l’identité de ces personnes au moyen des informations suivantes : i) pour les fiducies et les trusts, l’identité du ou des constituants, du ou des fiduciaires ou trustees, du ou des protecteurs, le cas échéant, des bénéficiaires ou, lorsque les personnes qui seront les bénéficiaires de la construction ou de l’entité juridique n’ont pas encore été désignées, la catégorie de personnes dans l’intérêt principal de laquelle la construction ou l’entité juridique a été constituée ou opère et de toute autre personne physique exerçant le contrôle en dernier ressort sur la fiducie ou le trust par propriété directe ou indirecte ou par d’autres moyens, y compris au travers d’une chaîne de propriété ou de contrôle ; ii) pour d’autres types de constructions juridiques similaires à des fiducies ou à des trusts, l’identité de toute personne occupant des fonctions équivalentes ou similaires à celles visées au point i) ; c) l’évaluation et la compréhension de l’objet et de la nature envisagée de la relation d’affaires et, le cas échéant, l'obtention d'informations sur l'objet et la nature envisagée de la relation d'affaires ; d) l'exercice d'une vigilance constante de la relation d'affaires, notamment en examinant les transactions conclues pendant toute la durée de cette relation d'affaires et, si nécessaire, sur l'origine des fonds, de manière à vérifier que ces transactions sont cohérentes par rapport à la connaissance qu'a le professionnel de son client, de ses activités commerciales et de son profil de risque, et en s’assurant que les documents, données ou informations obtenus dans l’exercice du devoir de vigilance à l’égard de la clientèle restent à jour et pertinents. A cette fin, les professionnels examinent les éléments existants, et ceci en particulier pour les catégories de clients présentant des risques plus élevés. L’obligation d’identification et de vérification prévue à l’alinéa 1er, points a) et b), comprend également, le cas échéant : a) pour tous les clients, l’obligation de vérifier que toute personne prétendant agir au nom ou pour le compte du client est autorisée à le faire ainsi que d’identifier et de vérifier l’identité de cette personne ; b) pour les clients qui sont des personnes morales ou des constructions juridiques : i) l’obligation de comprendre la nature de leur activité ainsi que leur structure de propriété et de contrôle ; ii) l’obligation de vérifier le nom, la forme juridique et l’existence actuelle de la personne morale ou de la construction juridique, notamment en obtenant une preuve de constitution ou une preuve analogue d’établissement ou d’existence actuelle ; iii) l’obligation d’obtenir des renseignements concernant le nom du client, les noms des administrateurs de fiducies, la forme juridique, l’adresse du siège social et, si elle est différente, celle de l’un des principaux lieux d’activité, les noms des personnes pertinentes occupant des fonctions de direction de la personne morale ou de la construction juridique ainsi que les dispositions régissant le pouvoir d’engager la personne morale ou la construction juridique. Dans le cas d’une transaction immobilière, les professionnels visés à l’article 2, paragraphe (1), points 10 et 10bis, sont obligés d’appliquer des mesures de vigilance à l’égard de leur clientèle aussi bien vis-à-vis des acquéreurs que des vendeurs du bien immobilier. (2bis) Les professionnels appliquent chacune des obligations de vigilance à l’égard de la clientèle figurant au paragraphe (2). A l’exception de l’identification prévue à l’article 3, paragraphe (2), lettres a) et b), les professionnels déterminent l’étendue de ces mesures en fonction de leur appréciation des risques liés aux types de clients, aux pays ou zones géographiques et aux produits, services, transactions ou canaux de distribution particuliers. En toutes circonstances, les professionnels procèdent à l’identification du client et du bénéficiaire effectif telle que visée au paragraphe (2). Les professionnels prennent en considération, dans leur évaluation des risques de blanchiment et de financement du terrorisme, liés aux types de clients, aux pays et zones géographiques et aux produits, services, opérations ou canaux de distribution particuliers, les variables de risques liées à ces catégories de risques. Ces variables, prises en compte de manière individuelle ou combinée, peuvent augmenter ou diminuer le risque potentiel et, par conséquent, avoir une incidence sur le niveau approprié des mesures de vigilance à mettre en œuvre. Ces variables comprennent notamment les variables énoncées à l’annexe II. Les professionnels doivent être en mesure de démontrer aux autorités de contrôle ou aux organismes d’autorégulation que les mesures qu’ils appliquent conformément au présent article, aux articles 3-1, 3-2 et 3-3 et aux mesures prises pour leur exécution sont appropriées au regard des risques de blanchiment et de financement du terrorisme qui ont été identifiés. Les professionnels ne s’appuient pas exclusivement sur des registres centraux tels que ceux visés à l’article 30, paragraphe (3) et à l’article 31, paragraphe 3bis, de la directive (UE) 2015/849 pour remplir leurs obligations de vigilance à l’égard de la clientèle conformément au présent article, aux articles 3-1, 3-2 et 3-3 et aux mesures prises pour leur exécution. Les professionnels remplissent ces obligations en appliquant une approche fondée sur les risques. (2ter) Dans le cas de l'assurance vie ou d'autres types d'assurance liée à des placements, conclus ou négociés par eux, outre les mesures de vigilance requises à l'égard du client et du bénéficiaire effectif, les établissements de crédit et les établissements financiers appliquent les mesures de vigilance énoncées ciaprès à l'égard des bénéficiaires de contrats d'assurance vie et d'autres types d'assurance liée à des placements, dès que les bénéficiaires sont identifiés ou désignés : a) dans le cas de bénéficiaires qui sont des personnes ou des constructions juridiques nommément identifiées, relever leur nom ; b) dans le cas de bénéficiaires qui sont désignés par leurs caractéristiques, par catégorie ou par d'autres moyens, obtenir suffisamment d'informations sur ces bénéficiaires pour donner l'assurance aux établissements de crédit ou aux établissements financiers d'être à même d'établir l'identité du bénéficiaire au moment du versement des prestations. En ce qui concerne l’alinéa 1er, points a) et b), la vérification de l'identité des bénéficiaires intervient au moment du versement des prestations. En cas de cession partielle ou totale à un tiers d'une assurance vie ou d'un autre type d'assurance liée à des placements, les établissements de crédit et les établissements financiers ayant connaissance de cette cession identifient le bénéficiaire effectif au moment de la cession à la personne physique ou morale ou à la construction juridique qui reçoit pour son propre profit la valeur du contrat cédé. Les établissements de crédit et les établissements financiers prennent en compte le bénéficiaire d’un contrat d’assurance vie comme un facteur de risque pertinent lorsqu’ils déterminent si des mesures de vigilance renforcées sont applicables. Si un établissement de crédit ou un établissement financier établit que le bénéficiaire d’un contrat d’assurance vie qui est une personne morale ou une construction juridique présente un risque plus élevé, les mesures de vigilance renforcées devraient comprendre des mesures raisonnables pour identifier et vérifier l’identité du bénéficiaire effectif du bénéficiaire du contrat d’assurance vie au moment du versement des prestations. Ils procèdent à une déclaration d’opérations suspectes à la CRF, si les circonstances donnent lieu à un soupçon de blanchiment ou de financement du terrorisme. (2quater) Dans le cas de bénéficiaires de fiducies, de trusts ou de constructions juridiques similaires qui sont désignés par des caractéristiques ou une catégorie particulières, les professionnels recueillent suffisamment d’informations sur le bénéficiaire pour se donner l’assurance d’être à même de pouvoir identifier le bénéficiaire au moment du versement des prestations ou au moment où le bénéficiaire exerce ses droits acquis (4) La vérification de l'identité du client et du bénéficiaire effectif doit avoir lieu avant l'établissement d'une relation d'affaires ou l'exécution de la transaction. Lorsqu’ils nouent une nouvelle relation d’affaires avec une société ou une autre entité juridique, une fiducie, un trust ou une construction juridique présentant une structure ou des fonctions similaires à celles d’un trust pour lesquels des informations sur les bénéficiaires effectifs doivent être enregistrées en vertu de l’article 30 ou 31 de la directive (UE) 2015/849, les professionnels recueillent la preuve de l’enregistrement ou un extrait du registre et comparent leurs informations à celles des registres pour y déceler soit d’éventuelles données erronées ou le défaut de tout ou partie des données soit le défaut d’une inscription, d’une modification ou d’une radiation. Les professionnels procèdent de façon identique dans le cadre de l’exercice de la vigilance constante de la relation d’affaires. Toutefois la vérification de l'identité du client et du bénéficiaire effectif peut avoir lieu durant l'établissement d'une relation d'affaires s'il est nécessaire de ne pas interrompre l'exercice normal des activités et lorsqu'il y a un faible risque de blanchiment ou de financement du terrorisme. Dans de telles situations, ces mesures sont prises le plus tôt possible après le premier contact et les professionnels prennent des mesures pour gérer efficacement le risque de blanchiment et de financement du terrorisme. Par dérogation à l’alinéa 1er du présent paragraphe, l’ouverture d'un compte auprès d’un établissement de crédit ou d’un établissement financier, y compris d’un compte permettant des transactions sur des valeurs mobilières, est admise à titre exceptionnel, si cela est essentiel pour ne pas interrompre le déroulement normal des affaires et que les risques de blanchiment et de financement du terrorisme sont efficacement gérés, à condition que des garanties suffisantes soient mises en place afin de faire en sorte que des transactions ne soient pas réalisées par le client ou pour son compte avant qu'il n'ait été complètement satisfait aux obligations de vigilance à l’égard de la clientèle prévues au paragraphe (2), points a) et b) et que les mesures nécessaires pour y satisfaire soient prises dès que cela est raisonnablement possible. La tenue de comptes anonymes, de livrets d’épargne anonymes ou de coffres-forts anonymes et de comptes sous des noms manifestement fictifs est interdite. La tenue de comptes numérotés, de livrets d’épargne numérotés ou de coffres-forts numérotés est interdite. Un professionnel qui n'est pas en mesure de se conformer au paragraphe 2, points a) à c) et, le cas échéant, aux paragraphes (2ter) et (2quater), ne doit pas exécuter une transaction par compte, ni établir une relation d'affaires, ni exécuter une transaction, et doit mettre un terme à la relation d'affaires et doit envisager de transmettre une déclaration d’opération suspecte à la CRF, conformément à l'article 5. L’alinéa 4 n’est pas applicable aux professionnels visés à l’article 2, paragraphe (1), points 8, 9, 11, 11bis, 12 et 13, lettre a), à la stricte condition que ces personnes évaluent la situation juridique de leur client ou exercent leur mission de défense ou de représentation de ce client dans une procédure judiciaire ou concernant une telle procédure, y compris dans le cadre de conseils relatifs à la manière d'engager ou d'éviter une telle procédure. Les professionnels doivent également adopter des procédures de gestion des risques en ce qui concerne les conditions dans lesquelles un client pourra bénéficier de la relation d’affaires avant la vérification de l’identité. Dans les cas où les professionnels suspectent qu’une transaction se rapporte au blanchiment ou au financement du terrorisme et peuvent raisonnablement penser qu’en s’acquittant de leur devoir de vigilance ils alerteraient le client, ils peuvent choisir de ne pas accomplir cette procédure et de transmettre une déclaration d’opération suspecte à la CRF. (5) Les professionnels sont tenus d’appliquer les procédures de vigilance à l'égard de la clientèle non seulement à tous leurs nouveaux clients, mais aussi, aux moments opportuns, à la clientèle existante en fonction de leur appréciation des risques, en tenant compte de l’existence des procédures de vigilance relatives à la clientèle antérieures et du moment où elles ont été mises en œuvre, ou lorsque les éléments pertinents de la situation d’un client changent ou lorsque le professionnel, au cours de l’année civile considérée, est tenu, en raison d’une obligation légale, de contacter le client afin de réexaminer toute information pertinente en rapport avec le ou les bénéficiaires effectifs ou si cette obligation a incombé au professionnel en application de la loi modifiée du 18 décembre 2015 relative à la Norme commune de déclaration (NCD). (6) Les professionnels sont tenus de conserver et mettre rapidement à disposition les documents, données et informations ci-après aux fins de prévention et de détection d'un éventuel blanchiment ou d'un éventuel financement du terrorisme et des enquêtes en la matière menées par les autorités luxembourgeoises responsables de la lutte contre le blanchiment et contre le financement du terrorisme ou par les organismes d’autorégulation : a) en ce qui concerne les mesures de vigilance à l'égard du client, une copie des documents, des données et informations qui sont nécessaires pour se conformer aux obligations de vigilance à l'égard de la clientèle prévues aux articles 3 à 3-3, y compris, le cas échéant, les données obtenues par l’utilisation de moyens d’identification électronique, des services de confiance pertinents prévus par le règlement (UE) nº 910/2014 , ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales compétentes, les livres de comptes, la correspondance commerciale, ainsi que les résultats de toute analyse réalisée, pendant cinq ans après la fin de la relation d'affaires avec le client ou après la date de la transaction conclue à titre occasionnel ; b) les pièces justificatives et enregistrements de transactions qui sont nécessaires pour identifier ou reconstituer des transactions individuelles afin de fournir, si nécessaire, des preuves dans le cadre d’une enquête ou instruction pénale, pendant cinq ans après la fin de la relation d'affaires avec le client ou après la date de la transaction conclue à titre occasionnel. La période de conservation visée au présent paragraphe, y compris la période de conservation prolongée qui ne dépasse pas cinq années supplémentaires, s’applique également en ce qui concerne les données accessibles par l’intermédiaire des mécanismes centralisés visés à l’article 32bis de la directive (UE) 2015/849 . Les professionnels sont également tenus de conserver les informations relatives aux mesures qui ont été prises afin d’identifier les bénéficiaires effectifs au sens de l’article 1er , paragraphe (7), point a), sous-points i) et ii). Sans préjudice des délais de conservation plus longs prescrits par d’autres lois, les professionnels sont tenus d’effacer les données à caractère personnel à l'issue des périodes de conservation visées à l’alinéa 1er. Les autorités de contrôle peuvent exiger, dans des affaires spécifiques, lorsque cela est nécessaire à l’accomplissement de leurs missions au titre de la présente loi, qu’un professionnel conserve les données pendant une période supplémentaire qui ne peut excéder cinq ans. Par dérogation à l’alinéa 4, les professionnels conservent les données à caractère personnel pendant une période supplémentaire de cinq ans lorsque cette conservation est nécessaire pour la mise en œuvre efficace des mesures internes de prévention ou de détection des actes de blanchiment de capitaux ou de financement du terrorisme. (6bis) Le traitement des données à caractère personnel en vertu de la présente loi est soumis au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), dénommé ci-après règlement (UE) 2016/679 . Les données à caractère personnel ne sont traitées sur la base de la présente loi par des professionnels qu’aux fins de la prévention du blanchiment et du financement du terrorisme et ne font pas l’objet d’un traitement ultérieur d’une manière incompatible avec lesdites finalités. Le traitement des données à caractère personnel sur la base de la présente loi pour toute autre finalité est interdit. Les professionnels communiquent aux nouveaux clients les informations requises en vertu des articles 13 et 14 du règlement (UE) 2016/679 avant de nouer une relation d’affaires ou d’exécuter une transaction à titre occasionnel. Ces informations contiennent en particulier un avertissement général concernant les obligations légales des professionnels au titre de la présente loi en ce qui concerne le traitement des données à caractère personnel aux fins de la prévention du blanchiment et du financement du terrorisme. En application de l’article 5, paragraphe (5), alinéa 1er, le responsable de traitement limite ou diffère l’exercice du droit d’accès de la personne concernée aux données à caractère personnel la concernant lorsqu’une telle mesure est nécessaire et proportionnée pour : a) permettre au professionnel, à la cellule de renseignement financier, à une autorité de contrôle ou à un organisme d’autorégulation d’accomplir ses tâches comme il convient aux fins de la présente loi ou des mesures prises pour son exécution ; ou b) éviter de faire obstacle aux demandes de renseignements, analyses, enquêtes ou procédures à caractère officiel ou judiciaire, menées aux fins de la présente loi, des mesures prises pour son exécution ou de la directive (UE) 2015/849 et pour ne pas compromettre la prévention et la détection des cas de blanchiment ou de financement du terrorisme ni les enquêtes en la matière. Le traitement de données à caractère personnel sur base de la présente loi aux fins de la prévention du blanchiment et du financement du terrorisme est considéré comme une question d’intérêt public au titre du règlement (UE) 2016/679. (7) Les professionnels sont obligés d’accorder une attention particulière à toute activité leur paraissant particulièrement susceptible, par sa nature, d'être liée au blanchiment ou au financement du terrorisme, et notamment les transactions complexes ou d'un montant inhabituellement élevé, ainsi qu'à tous les types inhabituels de transactions n'ayant pas d'objet économique apparent ou d'objet licite visible.

Art. 3-1 Obligations simplifiées de vigilance à l'égard de la clientèle (1) Lorsque les professionnels identifient, en fonction de leur appréciation du risque un risque de blanchiment et de financement du terrorisme moins élevé, ils peuvent appliquer des mesures simplifiées de vigilance à l’égard de la clientèle. (2) Avant d'appliquer des mesures simplifiées de vigilance à l'égard de la clientèle, les professionnels s'assurent que la relation d'affaires ou la transaction présente un degré de risque moins élevé. Lorsqu’ils évaluent les risques de blanchiment et de financement du terrorisme liés à certains types de clients, de zones géographiques et à des produits, services, transactions ou canaux de distribution particuliers, les professionnels tiennent compte au minimum des facteurs de situations de risque potentiellement moins élevé énoncés à l’annexe III. Les professionnels exercent un contrôle suffisant des transactions et des relations d'affaires pour être en mesure de détecter toute transaction inhabituelle ou suspecte. (3) Les professionnels sont tenus de recueillir en toutes circonstances des informations suffisantes pour établir si le client remplit les conditions requises pour l’application de mesures de vigilance simplifiées, ce qui implique de disposer d’un niveau raisonnable d’informations relatives aux exigences prévues à l’article 3 paragraphe (2) et d’assurer un suivi de la relation d’affaires afin de s’assurer que les conditions d’application de l’article 3-1 restent remplies. (4) Par dérogation à l’article 3, paragraphe (2), points a), b) et c) et à l’article 3, paragraphe (4), mais sans préjudice du paragraphe (1) du présent article, sur la base d’une évaluation des risques appropriée attestant de la faiblesse du risque, les professionnels sont autorisés à ne pas appliquer certaines mesures de vigilance à l’égard de la clientèle pour la monnaie électronique si toutes les conditions d’atténuation du risque suivantes sont remplies : a) il n’est pas possible de recharger l’instrument de paiement, ou l’instrument est assorti d’une limite maximale mensuelle de 150 euros pour les opérations de paiement utilisable uniquement au Luxembourg ; b) le montant maximal stocké sur un support électronique n'excède pas 150 euros ; c) l'instrument de paiement est utilisé exclusivement pour l'achat de biens ou de services ; d) l'instrument de paiement ne peut être crédité au moyen de monnaie électronique anonyme ; e) l'émetteur exerce un contrôle suffisant des transactions ou de la relation d'affaires pour être en mesure de détecter toute transaction inhabituelle ou suspecte. La dérogation prévue à l’alinéa 1er n’est pas applicable en cas de remboursement en espèces ou de retrait d'espèces de la valeur monétaire de la monnaie électronique lorsque le montant remboursé est supérieur à 50 euros, ou en cas d’opérations de paiement à distance au sens de l’article 4, point 6), de la directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) no 1093/2010, et abrogeant la directive 2007/64/CE, dénommée ci-après « directive (UE) 2015/2366 », lorsque le montant payé est supérieur à 50 euros par transaction. Les établissements de crédit et les établissements financiers agissant comme acquéreurs acceptent uniquement les paiements effectués au moyen de cartes prépayées anonymes émises dans des pays tiers où de telles cartes répondent à des exigences équivalentes à celles énoncées aux alinéas 1er et 2. (5) En présence d’informations donnant à penser que le degré de risque n’est pas moins élevé, ou dès lors qu’il y a soupçon de blanchiment ou de financement du terrorisme ou lorsqu’il y a doute concernant la véracité ou la pertinence de données précédemment obtenues ou dans des cas spécifiques de risques plus élevés, l’application du présent régime des obligations simplifiées de vigilance n’est pas possible à ces clients, zones géographiques, produits, services, transactions ou canaux de distribution particuliers. (6) Par un règlement grand-ducal, le champ d’application et les modalités d’application du présent régime des obligations simplifiées de vigilance peuvent être modifiés ou étendus à d’autres clients, produits ou transactions non énumérés au présent article. Un règlement grand-ducal peut également restreindre ou interdire complètement l’application du présent régime des obligations simplifiées de vigilance par rapport aux clients, produits ou transactions énumérés au présent article, s’il s’avère que ce régime ne se justifie pas en raison du risque de blanchiment ou de financement du terrorisme.

Art. 3-2 Obligations renforcées de vigilance à l'égard de la clientèle (1) Les professionnels doivent appliquer, en fonction de leur appréciation du risque, des mesures de vigilance renforcées à l'égard de la clientèle, en sus des mesures visées à l’article 3, dans les situations qui présentent un risque plus élevé de blanchiment et de financement du terrorisme et, à tout le moins, dans les cas visés aux paragraphes 2, 3 et 4, afin de gérer et d’atténuer ces risques de manière adéquate. Lorsqu’ils évaluent les risques de blanchiment et de financement du terrorisme, les professionnels tiennent compte au minimum des facteurs de situations de risque potentiellement plus élevé énoncés à l’annexe IV. Des mesures de vigilance renforcées à l’égard de la clientèle ne doivent pas nécessairement être automatiquement appliquées dans les succursales ou filiales détenues majoritairement, qui sont situées dans des pays à haut risque, si ces succursales ou filiales respectent intégralement les politiques et procédures en vigueur à l’échelle du groupe conformément à l’article 4-1 ou à l’article 45 de la directive (UE) 2015/849. Les professionnels traitent ces situations en ayant recours à une approche fondée sur les risques. Les professionnels sont tenus d’examiner, dans la mesure du raisonnable, le contexte et la finalité de toute transaction qui remplit au moins une des conditions suivantes : a) il s’agit d’une transaction complexe ; b) il s’agit d’une transaction d’un montant inhabituellement élevé ; c) elle est opérée selon un schéma inhabituel ; ou d) elle n’a pas d’objet économique apparent ou d’objet licite apparent. Les professionnels renforcent notamment le degré et la nature des mesures de surveillance de la relation d'affaires, afin d'apprécier si ces transactions ou activités semblent inhabituelles ou suspectes. (2) En ce qui concerne les relations d’affaires ou les transactions impliquant des pays à haut risque, les professionnels appliquent les mesures de vigilance renforcées à l’égard de la clientèle mentionnées ci-après : a) obtenir des informations supplémentaires sur le client et sur le ou les bénéficiaires effectifs et la mise à jour plus régulière des données d’identification du client et du bénéficiaire effectif ; b) obtenir des informations supplémentaires sur la nature envisagée de la relation d’affaires ; c) obtenir des informations sur l’origine des fonds et l’origine du patrimoine du client et du ou des bénéficiaires effectifs ; d) obtenir des informations sur les raisons des transactions envisagées ou réalisées ; e) obtenir d’un membre d’un niveau élevé de leur hiérarchie l’autorisation de nouer ou de maintenir la relation d’affaires ; f) mettre en œuvre une surveillance renforcée de la relation d’affaires en augmentant le nombre et la fréquence des contrôles effectués et en déterminant les schémas de transaction qui nécessitent un examen plus approfondi. Les professionnels veillent à ce que, le cas échéant, le premier paiement soit réalisé par l’intermédiaire d’un compte ouvert au nom du client auprès d’un établissement de crédit soumis à des normes de vigilance à l’égard de la clientèle au moins aussi élevées que celles prévues par la directive (UE) 2015/849. (2bis) Outre les mesures prévues au paragraphe (2), et dans le respect des obligations internationales de l’Union européenne, les autorités de contrôle et les organismes d’autorégulation exigent que les professionnels appliquent, le cas échéant, aux personnes et entités juridiques qui exécutent des transactions impliquant des pays à haut risque une ou plusieurs contre-mesures supplémentaires. Ces mesures consistent en une ou plusieurs des mesures suivantes : a) appliquer des éléments supplémentaires de vigilance renforcée ; b) introduire des mécanismes de déclaration renforcés pertinents ou une déclaration systématique des transactions financières ; c) limiter les relations d’affaires ou les transactions avec des personnes physiques ou des entités juridiques provenant de pays à haut risque. (2ter) Outre les mesures prévues au paragraphe (2), les autorités de contrôle et les organismes d’autorégulation appliquent, le cas échéant, l’une ou plusieurs des contre-mesures suivantes à l’égard des pays à haut risque dans le respect des obligations internationales de l’Union européenne : a) refuser l’établissement de filiales, de succursales ou de bureaux de représentation de professionnels du pays concerné, ou, d’une autre manière, tenir compte du fait que le professionnel concerné est originaire d’un pays qui n’est pas doté de dispositifs satisfaisants de lutte contre le blanchiment et contre le financement du terrorisme ; b) interdire aux professionnels d’établir des succursales ou des bureaux de représentation dans le pays concerné ou, d’une autre manière, tenir compte du fait que la succursale ou le bureau de représentation en question serait établi dans un pays qui n’est pas doté de dispositifs satisfaisants de lutte contre le blanchiment et contre le financement du terrorisme ; c) imposer des obligations renforcées en matière de contrôle prudentiel ou d’audit externe pour les filiales et les succursales de professionnels situées dans le pays concerné ; d) imposer des obligations renforcées en matière d’audit externe pour les groupes financiers en ce qui concerne toutes leurs filiales et leurs succursales situées dans le pays concerné ; e) obliger les établissements de crédit et les établissements financiers à examiner et à modifier les relations de correspondant avec les établissements clients dans le pays concerné ou, si nécessaire, à y mettre fin. (2quater) Lorsqu’ils adoptent ou appliquent les mesures énoncées aux paragraphes (2bis) et (2ter), les autorités de contrôle ou, le cas échéant, les organismes d’autorégulation prennent en compte, au besoin, les évaluations et rapports établis en la matière par les organisations internationales et les instances normatives compétentes en matière de prévention du blanchiment et de lutte contre le financement du terrorisme, en ce qui concerne les risques présentés par des pays particuliers. (2quinquies) Les autorités de contrôle ou, le cas échéant, les organismes d’autorégulation informent la Commission européenne avant l’adoption ou l’application des mesures énoncées aux paragraphes (2bis) et (2ter). (3) En cas de relations transfrontalières de correspondants et autres relations similaires avec des établissements clients, les établissements de crédit, les établissements financiers et autres institutions concernées par de telles relations, doivent, outre les mesures de vigilance à l’égard de la clientèle prévues à l’article 3, paragraphe (2), au moment de nouer une relation d’affaires : a) recueillir sur l'établissement client des informations suffisantes pour comprendre pleinement la nature de ses activités et pour apprécier, sur la base d'informations accessibles au public, sa réputation et la qualité de la surveillance dont il fait l'objet, ce qui implique notamment de savoir si l’établissement client a fait l’objet d’une enquête ou de mesures de la part d’une autorité de contrôle en matière de lutte contre le blanchiment et contre le financement du terrorisme ; b) évaluer les contrôles contre le blanchiment et contre le financement du terrorisme mis en place par l'établissement client ; c) obtenir l'autorisation à un niveau élevé de leur hiérarchie avant de nouer de nouvelles relations de correspondant ; d) comprendre clairement et établir par des documents les responsabilités respectives en matière de lutte contre le blanchiment et contre le financement du terrorisme de chaque établissement ; e) en ce qui concerne les comptes « de passage » (« payable-through accounts »), s'assurer que l'établissement client a vérifié l'identité des clients ayant un accès direct aux comptes des établissements de crédit, des établissements financiers et d’autres institutions concernées par de telles relations et a mis en oeuvre à leur égard une surveillance constante, et qu'il peut fournir des données et informations pertinentes concernant ces mesures de vigilance à la demande de l'établissement correspondant. Il est interdit aux professionnels de nouer ou de maintenir une relation de correspondant avec une société bancaire écran ou avec un établissement de crédit ou établissement financier connu pour permettre à une société bancaire écran d’utiliser ses comptes. Les professionnels s’assurent que les correspondants n’autorisent pas des sociétés bancaires écran à utiliser leurs comptes. (3bis) Par dérogation au paragraphe (3), en ce qui concerne les relations transfrontalières de correspondant qui impliquent l’exécution de services sur crypto-actifs, tels qu’ils sont définis à l’article 3, paragraphe 1er, point 16), du règlement (UE) 2023/1114, à l’exception de la lettre h) dudit point, avec une entité cliente non établie dans l’Union européenne et fournissant des services similaires, y compris des transferts de cryptoactifs, les prestataires de services sur crypto-actifs, outre les mesures de vigilance à l’égard de la clientèle prévues à l’article 3, paragraphe (2), de la présente loi, au moment de nouer une relation d’affaires avec une telle entité : a) déterminent si l’entité cliente est agréée ou enregistrée ; b) recueillent sur l’entité cliente des informations suffisantes pour comprendre pleinement la nature de ses activités et pour apprécier, sur la base d’informations accessibles au public, sa réputation et la qualité de la surveillance ; c) évaluent les contrôles mis en place par l’entité cliente pour lutter contre le blanchiment de capitaux et le financement du terrorisme ; d) obtiennent l’autorisation d’un membre d’un niveau élevé de la hiérarchie avant de nouer de nouvelles relations de correspondant ; e) comprennent clairement et établissent par écrit les responsabilités respectives en matière de lutte contre le blanchiment et contre le financement du terrorisme de chaque partie à la relation de correspondant ; f) en ce qui concerne les comptes de crypto-actifs de passage (payable-through accounts), s’assurent que l’entité cliente a vérifié l’identité des clients ayant un accès direct aux comptes de l’entité correspondante et a exercé à leur égard une vigilance constante, et qu’elle peut fournir des données pertinentes concernant les mesures de vigilance à l’égard de la clientèle à la demande de l’entité correspondante. Lorsque les prestataires de services sur crypto-actifs décident de mettre fin aux relations de correspondant pour des raisons liées à la politique de lutte contre le blanchiment de capitaux et le financement du terrorisme, ils documentent et consignent leur décision. Les prestataires de services sur crypto-actifs mettent à jour les informations relatives aux mesures de vigilance se rapportant à la relation de correspondant régulièrement ou lorsque de nouveaux risques apparaissent en ce qui concerne l’entité cliente. Les prestataires de services sur crypto-actifs tiennent compte des informations visées au présent paragraphe afin de déterminer, en fonction de l’appréciation des risques, les mesures appropriées à prendre pour atténuer les risques associés à l’entité cliente. (4) En ce qui concerne les transactions ou les relations d’affaires avec des personnes politiquement exposées, qu’elles soient client, personne prétendant agir au nom et pour le compte du client, ou bénéficiaire effectif, les professionnels doivent, outre les mesures de vigilance à l’égard de la clientèle prévues à l’article 3 : a) disposer de systèmes adéquats de gestion des risques, y compris des procédures fondées sur les risques, afin de déterminer si le client, la personne prétendant agir au nom et pour le compte du client ou le bénéficiaire effectif est une personne politiquement exposée ; b) obtenir l'autorisation à un niveau élevé de la hiérarchie avant de nouer ou, s’il s’agit d’un client existant, de maintenir une relation d'affaires avec de telles personnes ; c) prendre toute mesure appropriée pour établir l'origine du patrimoine et l'origine des fonds impliqués dans la relation d'affaires ou la transactio avec de telles personnes. De surcroît, les établissements de crédit et les établissements financiers doivent prendre toute mesure appropriée pour établir l’origine du patrimoine et l’origine des fonds des clients et des bénéficiaires effectifs identifiés comme des personnes politiquement exposées ; d) assurer une surveillance continue renforcée de la relation d'affaires. Le présent paragraphe est également applicable lorsque pour un client déjà accepté, il apparaît ultérieurement que le client ou le bénéficiaire effectif est une personne politiquement exposée ou qu’il le devient. Les professionnels doivent prendre des mesures raisonnables en vue de déterminer si les bénéficiaires d'un contrat d'assurance vie ou d'un autre type d'assurance liée à des placements ou, le cas échéant, le bénéficiaire effectif du bénéficiaire sont des personnes politiquement exposées. Ces mesures sont prises au plus tard au moment du versement des prestations ou au moment de la cession, partielle ou totale, du contrat d'assurance. Lorsque des risques plus élevés sont identifiés, les professionnels, outre les mesures de vigilance à l'égard de la clientèle prévues à l’article 3, doivent : a) informer un membre d'un niveau élevé de la hiérarchie avant le paiement des produits du contrat ; b) exercer un contrôle renforcé sur l'intégralité de la relation d'affaires avec le preneur d'assurance ; et c) faire une déclaration d’opérations suspectes à la CRF ou, si le professionnel est un avocat, au bâtonnier de l’Ordre des avocats respectif, si les circonstances donnent lieu à un soupçon de blanchiment ou de financement du terrorisme. Lorsqu'une personne physique qui occupe ou s’est vu confier une fonction publique importante a cessé d'exercer une fonction publique importante pour le compte d'un État membre ou d'un pays tiers ou une fonction publique importante pour le compte d'une organisation internationale, les professionnels sont tenus de prendre en considération, pendant au moins douze mois, le risque que cette personne politiquement exposée continue de poser et d'appliquer des mesures appropriées, fondées sur l'appréciation de ce risque, jusqu’à ce que cette personne ne présente plus de risque particulier. (5) Les professionnels sont tenus d’accorder une attention particulière à toute menace de blanchiment ou de financement du terrorisme pouvant résulter de produits ou de transactions favorisant l'anonymat, et prendre des mesures, le cas échéant, pour empêcher leur utilisation à des fins de blanchiment ou de financement du terrorisme. Par un règlement grand-ducal, l’application obligatoire et les modalités d’application de mesures de vigilance renforcées peuvent être modifiées, complétées ou étendues à d’autres situations présentant un risque élevé de blanchiment ou de financement du terrorisme.

Art. 3-3 Exécution des mesures de vigilance par des tiers (1) Aux fins du présent article, on entend par « tiers » les professionnels énumérés à l'article 2, les organisations ou fédérations membres de ces professionnels, ou d'autres établissements ou personnes, situés dans un Etat membre ou un pays tiers : a) qui appliquent à l'égard des clients des mesures de vigilance et de conservation des documents et pièces qui sont compatibles avec celles qui sont prévues par la présente loi ou par la directive (UE) 2015/849 ; et b) qui sont soumis, pour ce qui concerne le respect des exigences de la présente loi, de la directive (UE) 2015/849 ou de règles équivalentes qui leur sont applicables, à une surveillance compatible avec le chapitre VI, section 2 de la directive (UE) 2015/849. Il est interdit aux professionnels de recourir à des tiers établis dans des pays à haut risque. Sont exemptées de cette interdiction, les tiers qui sont des succursales et filiales détenues majoritairement par des professionnels établis dans l'Union européenne, si ces succursales et filiales détenues majoritairement respectent intégralement les politiques et procédures à l'échelle du groupe conformément à l’article 4-1 ou à l’article 45 de la directive (UE) 2015/849. (2) Les professionnels peuvent recourir à des tiers pour l'exécution des obligations prévues à l'article 3, paragraphe 2, alinéa 1er, points a) à c) et alinéa 2, à condition que l’obtention immédiate, de la part du tiers auquel elles ont recours, des informations visées au paragraphe 3 soit assurée. Toutefois, la responsabilité finale dans l'exécution de ces obligations continue d'incomber aux professionnels qui recourent à des tiers. Les professionnels recourant à un tiers doivent prendre des mesures appropriées pour avoir l’assurance que ce tiers fournisse sans délai, sur demande, conformément au paragraphe (3), les documents nécessaires concernant les obligations de vigilance relatives à la clientèle prévues à l’article 3, paragraphe (2), alinéa 1er, points a) à c) et alinéa 2, y compris, le cas échéant, des données obtenues par l’utilisation de moyens d’identification électronique, des services de confiance concernés prévus par le règlement (UE) n° 910/2014, ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales concernées. Les professionnels recourant à un tiers doivent également s’assurer que ce tiers est soumis à une réglementation, fait l’objet d’une surveillance, et qu’il a pris des mesures visant à respecter l’obligation de vigilance relative à la clientèle et aux obligations de conservation des documents, qui sont compatibles avec celles qui sont prévues aux articles 3 à 3-2 de la présente loi. (3) Lorsqu’un tiers intervient aux fins du paragraphe 2 ci-dessus, celui-ci est tenu de mettre immédiatement à la disposition du professionnel auquel le client s’adresse, nonobstant toute règle de confidentialité ou de secret professionnel lui applicable le cas échéant, les informations demandées conformément aux obligations prévues à l’article 3, paragraphe 2, alinéa 1er, points a) à c) et alinéa 2. Dans ce cas, une copie adéquate des données d’identification et de vérification, y compris, le cas échéant, des données obtenues par l’utilisation de moyens d’identification électronique, des services de confiance concernés prévus par le règlement (UE) nº 910/2014, ou tout autre processus d’identification sécurisé, électronique ou à distance, réglementé, reconnu, approuvé ou accepté par les autorités nationales concernées, et de tout autre document pertinent concernant l’identité du client ou du bénéficiaire effectif doit être transmise sans délai, sur demande, par le tiers au professionnel auquel le client s’adresse. (4) Les exigences énoncées aux paragraphes (1) et (3) sont considérées comme respectées par les professionnels, dans le cadre de leur programme de groupe, lorsque les conditions suivantes sont remplies : a) les professionnels se fondent sur les informations fournies par un tiers qui fait partie du même groupe ; b) ce groupe applique des mesures de vigilance à l’égard de la clientèle, des règles relatives à la conservation des documents et pièces et des programmes de lutte contre le blanchiment et contre le financement du terrorisme conformément à la présente loi, à la directive (UE) 2015/849 ou à des règles équivalentes ; c) la mise en œuvre effective des obligations visées au point b) est surveillée au niveau du groupe par une autorité de contrôle, un organisme d’autorégulation ou un de leurs homologues étrangers ; d) tout risque lié à un pays à haut risque est atténué de manière satisfaisante conformément à l’article 4-1, paragraphes (3) et (4). (5) Le présent article ne s'applique pas aux relations d'externalisation ou d'agence dans le cadre desquelles le fournisseur du service externalisé ou l'agent doit être considéré, en vertu d’un contrat, comme une partie du professionnel soumis à la présente loi. (6) Un règlement grand-ducal peut restreindre ou interdire complètement la possibilité de recourir à des tiers ou à certains tiers, dans les cas où s’il s’avère que cette faculté ne se justifie pas en raison du risque de blanchiment ou de financement du terrorisme.

Art. 4. Obligations d’organisation interne adéquate (1) Les professionnels doivent mettre en place des politiques, contrôles et procédures pour atténuer et gérer efficacement les risques de blanchiment et de financement du terrorisme identifiés au niveau international, européen, national, sectoriel et du professionnel lui-même. Ces politiques, contrôles et procédures, qui prennent en compte les risques de blanchiment et de financement du terrorisme, doivent être proportionnés à la nature, aux particularités et à la taille des professionnels. Les politiques, contrôles et procédures visés à l’alinéa 1er comprennent : a) l’élaboration de politiques, de contrôles et de procédures internes, y compris les modèles en matière de gestion des risques, la vigilance à l’égard de la clientèle, la coopération, la conservation des documents et pièces, le contrôle interne, la gestion du respect des obligations, y compris la nomination, au niveau hiérarchique approprié, d'un responsable du contrôle du respect des obligations et la sélection du personnel ; b) lorsque cela est approprié eu égard à la taille et à la nature des activités et aux risques de blanchiment et de financement du terrorisme, une fonction d’audit indépendante chargée de tester les politiques, contrôles et procédures visés au point a). Les professionnels obtiennent l’autorisation d’un membre d’un niveau élevé de leur hiérarchie pour les politiques, contrôles et procédures qu’ils mettent en place et contrôlent et renforcent, s’il y a lieu, les mesures prises. Les professionnels désignent, le cas échéant, parmi les membres de leur organe de gestion ou de leur direction effective la personne responsable du respect des obligations professionnelles en matière de lutte contre le blanchiment et contre le financement du terrorisme. Le dispositif de contrôle interne, y compris la fonction d’audit interne, est convenablement doté en ressources afin de vérifier le respect, y compris par sondage, des procédures, politiques et mesures de contrôle ainsi que bénéficier de l’indépendance adéquate pour l’exercice de sa mission. Le responsable du contrôle du respect des obligations et les autres membres du personnel concerné ont accès en temps voulu aux données d’identification des clients et à d’autres renseignements relevant des mesures de vigilance, aux pièces relatives aux transactions et aux autres renseignements pertinents. Le responsable du contrôle du respect des obligations doit pouvoir agir de façon indépendante et rendre compte à la direction, sans passer par son supérieur hiérarchique immédiat, ou au conseil d’administration. Une organisation interne adéquate comprend la mise en place de procédures appropriées lors de l’embauche des employés, de façon à s’assurer qu’elle s’effectue selon des critères d’honorabilité, de compétence et d’expérience applicables. (2) Les professionnels sont tenus de prendre des mesures proportionnées à leurs risques, à leur nature et à leur taille, afin que leurs employés, y inclus les membres des organes de gestion et de la direction effective, aient connaissance des obligations professionnelles en matière de lutte contre le blanchiment et contre le financement du terrorisme, ainsi que des exigences applicables en matière de protection des données. Ces mesures comprennent la participation de leurs employés à des programmes spéciaux de formation continue visant à les tenir informés des nouvelles évolutions, y compris des informations sur le techniques, méthodes et tendances de blanchiment et de financement du terrorisme, à les aider à reconnaître les opérations susceptibles d’être liées au blanchiment ou au financement du terrorisme et à les instruire à la manière de procéder en pareil cas. Les programmes spéciaux de formation continue fournissent aux employés des explications claires sur tous les aspects des lois et obligations en matière de lutte contre le blanchiment et contre le financement du terrorisme et notamment des obligations relatives au devoir de vigilance vis-à-vis de la clientèle et de déclaration des opérations suspectes. Lorsqu’une personne physique relevant de l’une des catégories énumérées à l’article 2, paragraphe (1), exerce son activité professionnelle en tant qu’employé d’une personne morale, les obligations prévues dans la présente section s’appliquent à cette personne morale et non à la personne physique (2bis) Les autorités de contrôle, les organismes d’autorégulation et la cellule de renseignement financier veillent à ce que les professionnels aient accès à des informations à jour sur les pratiques des criminels qui commettent les infractions de blanchiment ou de financement du terrorisme et sur les indices qui permettent d’identifier les transactions suspectes. (3) Les professionnels sont tenus de disposer de systèmes leur permettant de répondre de manière rapide et complète à toute demande d'informations des autorités luxembourgeoises responsables de la lutte contre le blanchiment et contre le financement du terrorisme et des organismes d’autorégulation, tendant à déterminer s'ils entretiennent ou ont entretenu au cours des cinq années précédentes une relation d'affaires avec une personne physique ou morale donnée, et quelle est ou a été la nature de cette relation, par l'intermédiaire de canaux sécurisés et d'une manière garantissant la confidentialité totale des demandes d'informations. (4) Les professionnels doivent mettre en place des procédures appropriées, proportionnées à leur nature et à leur taille, permettant à leur personnel ou aux personnes se trouvant dans une situation comparable de signaler en interne les violations des obligations professionnelles en matière de lutte contre le blanchiment et contre le financement du terrorisme par une voie spécifique, indépendante et anonyme

Art. 4-1. Politiques et procédures à l’échelle du groupe (1) Les professionnels qui font partie d'un groupe sont tenus de mettre en œuvre des politiques et des procédures à l'échelle du groupe, notamment des politiques de protection des données, ainsi que des politiques et des procédures relatives au partage des informations au sein du groupe aux fins de la lutte contre le blanchiment et contre le financement du terrorisme. Ces politiques et procédures doivent être mises en œuvre efficacement et de manière adaptée, en tenant compte notamment des risques de blanchiment et de financement du terrorisme identifiés et de la nature, des particularités, de la taille et de l’activité des succursales et filiales, au niveau des succursales et des filiales détenues majoritairement et établies dans les États membres et dans des pays tiers. Les politiques et procédures à l’échelle du groupe incluent : a) les politiques, contrôles et procédures prévues à l’article 4, paragraphes (1) et (2) ; b) la mise à disposition, dans les conditions de l’article 5, paragraphes (5) et (6), d’informations provenant des succursales et filiales relatives aux clients, aux comptes et aux opérations, lorsqu’elles sont nécessaires, aux fins de la lutte contre le blanchiment et contre le financement du terrorisme, aux fonctions de conformité, d’audit et de lutte contre le blanchiment et contre le financement du terrorisme au niveau du groupe. Sont visées les données et analyses des transactions ou des activités qui paraissent inhabituelles, si de telles analyses ont été réalisées. Ces informations peuvent inclure les informations liées à des déclarations suspectes ou le fait qu’une telle déclaration a été transmise à la CRF. De même, lorsque cela est pertinent et approprié pour la gestion des risques, les succursales et les filiales reçoivent également ces informations de la part des fonctions de conformité du groupe ; et c) des garanties adéquates en matière de confidentialité et d’utilisation des informations échangées, y compris des garanties pour prévenir la divulgation d’informations. (2) Les professionnels qui exploitent des établissements dans un autre Etat membre veillent à ce que ces établissements respectent les dispositions nationales de cet autre Etat membre transposant la directive (UE) 2015/849. (3) Les professionnels sont tenus d’appliquer des mesures au moins équivalentes à celles prescrites par les articles 2-2 à 7, par la directive (UE) 2015/849 ou par les mesures prises pour leur exécution en matière d’évaluation des risques, de vigilance à l’égard de la clientèle, de conservation des informations et pièces, d’organisation interne adéquate et de coopération avec les autorités dans leurs succursales et filiales détenues majoritairement situées à l’étranger. Les professionnels doivent veiller plus particulièrement au respect de ce principe s’agissant de ces succursales et filiales dans les pays à haut risque. Lorsque les normes minimales en matière de lutte contre le blanchiment et contre le financement du terrorisme dans un pays dans lequel un professionnel a des succursales et filiales détenues majoritairement sont différentes de celles applicables au Luxembourg, ces succursales et filiales doivent appliquer la norme la plus rigoureuse, dans la mesure où les textes législatifs et réglementaires du pays d’accueil le permettent. Dans ce contexte, si les normes du pays dans lequel ces succursales et filiales sont situées sont moins strictes que celles prévues au Luxembourg, les règles de protection des données applicables au Luxembourg en matière de lutte contre le blanchiment et contre le financement du terrorisme doivent être respectées, dans la mesure où les textes législatifs et réglementaires du pays d’accueil le permettent. (4) Si le droit d'un pays ne permet pas de mettre en œuvre les politiques et procédures requises en application des paragraphes (1) et (3), les professionnels veillent à ce que leurs succursales et leurs filiales détenues majoritairement dans ce pays tiers appliquent des mesures supplémentaires pour traiter efficacement le risque de blanchiment et de financement du terrorisme, et en informent les autorités de contrôle et organismes d’autorégulation. Si ces mesures supplémentaires sont insuffisantes, les autorités de contrôle et organismes d’autorégulation mettent en œuvre des mesures de surveillance supplémentaires, notamment en exigeant que le groupe n'établisse pas de relations d'affaires ou qu'il y mette fin et qu'il n'effectue pas de transactions et, si nécessaire, en lui demandant de cesser ses activités dans le pays tiers concerné.

Art. 5. Obligations de coopération avec la CRF, les autorités et les organismes d’autorégulation (1) Les professionnels, leurs dirigeants et employés sont tenus de coopérer pleinement avec les autorités luxembourgeoises responsables de la lutte contre le blanchiment et contre le financement du terrorisme et les organismes d’autorégulation, en particulier dans le cadre de l’exercice de leurs pouvoirs de surveillance respectifs conférés par les articles 8-2 et 8-2bis. Sans préjudice des obligations leur incombant à l’égard des autorités de contrôle ou des organismes d’autorégulation, les professionnels, leurs dirigeants et employés sont tenus : a) d’informer sans délai, de leur propre initiative la cellule de renseignement financier lorsqu’ils savent, soupçonnent ou ont des motifs raisonnables de soupçonner qu’un blanchiment, une infraction sous-jacente associée ou un financement du terrorisme est en cours, a eu lieu, ou a été tenté, notamment en raison de la personne concernée, de son évolution, de l’origine des avoirs, de la nature, de la finalité ou des modalités de l’opération. Cette déclaration devra être accompagnée de toutes les informations et pièces qui ont motivé la déclaration. Toutes les opérations suspectes, y compris les tentatives d’opérations suspectes doivent être déclarées, quel que soit leur montant. L’obligation de déclaration des opérations suspectes s’applique sans que les déclarants qualifient l’infraction sous-jacente. b) de fournir sans délai à la cellule de renseignement financier, à sa demande, toutes les informations requises. Cette obligation comprend notamment la transmission des pièces sur lesquelles les informations sont fondées. L’identité des professionnels, des dirigeants et des employés ayant fourni les informations ci-dessus, est tenue confidentielle par les autorités susvisées, à moins que sa révélation ne soit indispensable pour assurer la régularité des poursuites en justice ou assurer la preuve des faits formant la base de ces poursuites. (1bis) Concernant la lutte contre le financement du terrorisme, l’obligation de déclaration des opérations suspectes visée au paragraphe (1) a) s’applique aussi aux fonds pour lesquels il existe des motifs raisonnables de soupçonner ou dont on soupçonne qu’ils sont liés ou en rapport avec ou qu’ils vont servir au terrorisme, à des actes terroristes, à un terroriste ou à des groupes terroristes ou à ceux qui financent le terrorisme. (2) La transmission des informations et pièces visées aux paragraphes (1) et (1bis) est effectuée normalement par la ou les personnes désignées par les professionnels conformément aux procédures prévues à l’article 4, paragraphe 1er. Les informations et pièces fournies aux autorités, autres que les autorités judiciaires, en application des paragraphes (1) et (1bis) peuvent être utilisées uniquement à des fins de lutte contre le blanchiment ou contre le financement du terrorisme. (3) Les professionnels sont tenus de s’abstenir d’exécuter toute transaction qu’ils savent, soupçonnent ou ont des motifs raisonnables de soupçonner d’être liée à un blanchiment, à une infraction sous-jacente associée, ou à un financement du terrorisme avant d’en avoir informé la Cellule de renseignement financier conformément aux paragraphes 1 er et 1bis et de s’être conformés à toute instruction particulière émanant de la Cellule de renseignement financier. La Cellule de renseignement financier peut donner l’instruction de ne pas exécuter les opérations en rapport avec la transaction ou avec le client. Lorsqu’il n’est pas possible de s’abstenir d’exécuter une transaction visée à l’alinéa 1er ou lorsque cela est susceptible d’entraver les efforts déployés pour poursuivre les bénéficiaires d’une opération suspecte, les professionnels concernés en informent ensuite sans délai la Cellule de renseignement financier. En cas d’instruction verbale, cette communication doit être suivie dans les trois jours ouvrables d’une confirmation écrite. A défaut de confirmation écrite, les effets de l’instruction cessent le troisième jour ouvrable à minuit. Le professionnel n’est pas autorisé à faire état de cette instruction à l’égard du client sans le consentement exprès préalable de la Cellule de renseignement financier. La Cellule de renseignement financier peut ordonner d’office et à tout moment la mainlevée totale ou partielle de l’ordre de ne pas exécuter des opérations en vertu du de l’alinéa 1er. (3bis) Le paragraphe (1) b) et le paragraphe (3) sont applicables même en l’absence d’une déclaration d’opération suspecte formulée par le professionnel en vertu des paragraphes (1) a) et (1bis). (4) Le secret professionnel n’est pas applicable à l’égard de la cellule de renseignement financier concernant le paragraphe (1), le paragraphe (1bis) et le paragraphe (3). La divulgation de bonne foi aux autorités luxembourgeoises responsables de la lutte contre le blanchiment et contre le financement du terrorisme, aux organismes d’autorégulation ou, si le professionnel est un avocat, au bâtonnier de l’Ordre des avocats respectif par un professionnel ou un employé ou dirigeant d’un tel professionnel des informations visées aux paragraphes ci-dessus conformément au présent article et à l’article 7 ne constitue pas une violation d’une quelconque restriction à la divulgation d’informations imposée par un contrat par un secret professionnel ou par une disposition législative, réglementaire ou administrative et n’entraîne pour le professionnel ou la personne concernée aucune responsabilité d’aucune sorte, même dans une situation où ils n’avaient pas une connaissance précise de l’infraction sous-jacente associée et ce, indépendamment du fait qu’une activité illicite s’est effectivement produite. Les personnes, y compris les employés et les représentants du professionnel ne peuvent faire l’objet de menaces, mesures de représailles ou actes hostiles, et en particulier de mesures préjudiciables ou discriminatoires en matière d’emploi pour avoir signalé à la CRF un soupçon de blanchiment ou de financement du terrorisme. Les personnes exposées à des menaces, à des mesures de représailles, à des actes hostiles ou à des mesures préjudiciables ou discriminatoires en matière d’emploi pour avoir signalé un soupçon de blanchiment ou de financement du terrorisme à la CRF ont le droit de déposer une réclamation auprès de l’autorité de contrôle ou de l’organisme d’autorégulation visés à l’article 2-1. Toute stipulation contractuelle ou tout acte contraire à l’alinéa 3 et notamment toute résiliation du contrat de travail en violation des dispositions de l’alinéa 3, est nul de plein droit. En cas de résiliation du contrat de travail, le salarié peut se prévaloir des recours prévus aux paragraphes (4) à (7) de l’article L. 271-1 du Code du travail. (4bis) Les déclarations, informations et pièces fournies par un professionnel en vertu des paragraphes (1) et (1bis) ne peuvent pas être utilisées contre ce professionnel dans le cadre d’une poursuite sur base de l’article 9. (5) Les professionnels ainsi que leurs dirigeants et employés ne peuvent pas révéler au client concerné ou à des personnes tierces que des informations sont, seront ou ont été communiquées ou fournies aux autorités en application des paragraphes (1), (1bis), (2) et (3) ou qu’une enquête de la cellule de renseignement financier sur le blanchiment ou le financement du terrorisme est en cours ou pourrait être ouverte. Cette interdiction ne s’applique pas à une divulgation aux autorités de contrôle ou, le cas échéant, aux organismes d'autorégulation respectifs des différents professionnels. L’interdiction énoncée à l’alinéa 1er ne s’applique pas à la divulgation entre les établissements de crédit et les établissements financiers des États membres, à condition que ceux-ci appartiennent à un même groupe, ni entre ces établissements et leurs succursales et leurs filiales détenues majoritairement situées dans des pays tiers, à condition que ces succursales et filiales détenues majoritairement respectent pleinement les politiques et procédures définies à l'échelle du groupe, y compris les procédures en matière de partage d'informations au sein du groupe, conformément à l’article 4-1 ou à l'article 45 de la directive (UE) 2015/849, et que les politiques et procédures définies à l'échelle du groupe respectent les exigences prévues dans la présente loi ou dans la directive (UE) 2015/849 . L’interdiction énoncée à l’alinéa 1er du présent paragraphe ne s’applique pas à la divulgation entre les professionnels visés à l'article 2 paragraphe (1) points 8, 9, 11, 12 et 13, situés sur le territoire des Etats membres ou de pays tiers qui imposent des obligations équivalentes à la présente loi ou à la directive (UE) 2015/849, qui exercent leurs activités professionnelles, qu'elles soient salariées ou non, dans la même entité juridique ou dans un réseau. Aux fins du présent alinéa, on entend par «réseau» la structure plus large à laquelle la personne appartient et qui partage une propriété, une gestion et un contrôle du respect des obligations communes. En ce qui concerne les établissements de crédit, les établissements financiers et les professionnels visés à l'article 2, paragraphe (1), points 8, 9, 11, 12 et 13, dans les cas impliquant la même personne concernée et la même transaction faisant intervenir au moins deux professionnels, l'interdiction énoncée à l’alinéa 1 er du présent paragraphe ne s’applique pas à la divulgation entre les professionnels concernés, à condition qu'ils soient situés dans un Etat membre, ou dans un pays tiers qui impose des obligations équivalentes à celles fixées dans la présente loi ou dans la directive (UE) 2015/849, qu'ils relèvent de la même catégorie professionnelle et qu'ils soient soumis à des obligations équivalentes en matière de secret professionnel et de protection des données à caractère personnel. Les informations échangées doivent être utilisées exclusivement à des fins de prévention du blanchiment et du financement du terrorisme. Par dérogation aux alinéas précédents, un règlement grand-ducal peut interdire une divulgation entre les professionnels susvisés et des établissements ou personnes situés sur le territoire d’un pays tiers, s’il s’avère qu’il y a un risque de blanchiment ou de financement du terrorisme. Lorsque les professionnels visés à l’article 2 paragraphe (1) points 8, 9, 11, 12 et 13, s'efforcent de dissuader un client de prendre part à une activité illégale, il n'y a pas de divulgation au sens de l’alinéa 1er. (6) Les informations concernant des soupçons selon lesquels des fonds proviennent d'un blanchiment, d’une infraction sous-jacente associée ou sont liés au financement du terrorisme qui ont été transmises à la CRF sont partagées au sein du groupe, sauf instruction contraire émanant de la CRF.

Art. 5-1. Signalements de la CRF Les professionnels visés à l’article 2 paragraphe 1er point 1 et point 20 peuvent solliciter la réception des signalements prévus par l’article 74-4bis de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire, en adressant à la CRF une demande par l’intermédiaire de son système informatique sécurisé. Les professionnels concernés utilisent ces signalements exclusivement dans le cadre de la lutte contre le blanchiment, les infractions sous-jacentes associées et le financement du terrorisme. L’utilisation de ces signalements se fait sous leur seule responsabilité. Les professionnels concernés ne peuvent pas révéler ces signalements au client concerné ou à des personnes tierces. Les professionnels concernés suppriment toutes les informations reçues dans le cadre des signalements opérés en vertu de l’article 74-4bis, paragraphe 4, alinéa 1er, de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire dans un délai de six mois à compter de leur réception

Art. 7-1bis. (1) Les prestataires de services sur crypto-actifs identifient et évaluent le risque de blanchiment de capitaux et de financement du terrorisme lié aux transferts de crypto-actifs effectués vers ou depuis une adresse autohébergée. À cette fin, les prestataires de services sur crypto-actifs disposent de politiques, de procédures et de contrôles internes. (2) Les prestataires de services sur crypto-actifs appliquent des mesures d’atténuation proportionnées aux risques identifiés. Ces mesures d’atténuation comprennent l’une ou plusieurs des actions suivantes : a) prendre des mesures fondées sur les risques pour identifier et vérifier l’identité de l’initiateur ou du bénéficiaire d’un transfert effectué vers ou depuis une adresse auto-hébergée ou du bénéficiaire effectif de l’initiateur ou du bénéficiaire de crypto-actifs en question, y compris en faisant appel à des tiers ; b) exiger des renseignements supplémentaires sur l’origine et la destination des crypto-actifs transférés ; c) assurer un suivi continu renforcé de ces transactions ; d) prendre toute autre mesure visant à atténuer et à gérer les risques de blanchiment de capitaux et de financement du terrorisme ainsi que le risque lié à l’absence de mise en œuvre ou au contournement des sanctions financières ciblées et des sanctions financières ciblées liées au financement de la prolifération.

Art. 7-2. (1) Les prestataires de services aux sociétés et fiducies doivent s’enregistrer auprès de l’autorité de contrôle ou l’organisme d’autorégulation dont ils relèvent en vertu de l’article 2-1. La demande d’enregistrement est accompagnée des informations suivantes : a) dans le cas d’une personne physique requérante : i) le nom et le ou les prénoms ; ii) l’adresse privée précise ou l’adresse professionnelle précise mentionnant : - pour les adresses au Grand-Duché de Luxembourg, la résidence habituelle figurant dans le registre national des personnes physiques ou, pour les adresses professionnelles, la localité, la rue et le numéro d’immeuble figurant au registre national des localités et des rues, tel que prévu par l’article 2, lettre g), de la loi modifiée du 25 juillet 2002 portant réorganisation de l’administration du cadastre et de la topographie, ainsi que le code postal ; - pour les adresses à l’étranger, la localité, la rue et le numéro d’immeuble à l’étranger, le code postal et le pays ; iii) pour les personnes inscrites au registre national des personnes physiques, le numéro d’identification tel que prévu par la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques ; iv) pour les personnes non résidentes non inscrites au registre national des personnes physiques, un numéro d’identification étranger ; v) le ou les services prestés qui correspondent à un ou plusieurs des services visés à l’article 1er, paragraphe (8). b) dans le cas d’une personne morale requérante : i) la dénomination de la personne morale et, le cas échéant, l’abréviation et l’enseigne commerciale utilisée ; ii) l’adresse précise du siège de la personne morale ; iii) s’il s’agit - d’une personne morale immatriculée auprès du registre de commerce et des sociétés de Luxembourg, le numéro d’immatriculation ; - d’une personne morale non immatriculée auprès du registre de commerce et des sociétés de Luxembourg, le cas échéant, le nom du registre auquel la personne morale est immatriculée et le numéro d’immatriculation au registre, si la législation de l’État dont elle relève prévoit un tel numéro ; iv) le ou les services prestés qui correspondent à un ou plusieurs des services visés à l’article 1er, paragraphe (8). (2) Les autorités de contrôle peuvent dispenser des obligations visées au paragraphe 1er les prestataires de services aux sociétés et fiducies qui relèvent de leur surveillance prudentielle et qui sont déjà agréés ou autorisés à exercer l’activité de prestataire de services aux sociétés et fiducies. (3) Les autorités de contrôle et les organismes d’autorégulation se coordonnent afin d’établir et de tenir à jour une liste des prestataires de services aux sociétés et fiducies pour lesquels ils sont compétents en vertu de l’article 2-1. Cette liste indique pour chaque prestataire de services aux sociétés et fiducies, l’autorité de contrôle ou l’organisme d’autorégulation concerné ainsi que toute dispense accordée en vertu du paragraphe (2). (4) En ce qui concerne les prestataires de services aux sociétés et fiducies soumis au pouvoir de surveillance d’un organisme d’autorégulation, les obligations prévues au paragraphe 1er sont considérées comme des obligations professionnelles découlant de la législation en matière de lutte contre le blanchiment et contre le financement du terrorisme au sens des articles 71, point 1bis, et 100-1 de la loi modifiée du 9 décembre 1976 relative à l’organisation du notariat, des articles 32, point 4) et 46-1 de la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice, des articles 17, 19, point 6 , et 30-1 de la loi modifiée du 10 août 1991 sur la profession d’avocat, des articles 11, lettre f), et 38-1 de la loi modifiée du 10 juin 1999 portant organisation de la profession d’expert-comptable et des articles 62, lettre d), et 78, paragraphe 1er, lettre c), de la loi modifiée du 23 juillet 2016 relative à la profession de l’audit. (5) Pour les personnes physiques qui sont soumises à la surveillance de l’AED en vertu de l’article 2-1, paragraphe (8), et qui exercent l’activité de prestataire de services aux sociétés et fiducies, l’enregistrement est subordonné à la condition que ces personnes physiques jouissent d’une honorabilité professionnelle adéquate, et adressent à l’AED les informations nécessaires pour en justifier. Pour les personnes morales qui sont soumises à la surveillance de l’AED en vertu de l’article 2-1, paragraphe (8), et qui exercent l’activité de prestataire de services aux sociétés et fiducies, l’enregistrement est subordonné à la condition que les personnes qui exercent une fonction de direction au sein de ces personnes morales et les bénéficiaires effectifs desdites personnes morales jouissent d’une honorabilité professionnelle adéquate et adressent à l’AED les informations nécessaires pour en justifier. L’honorabilité professionnelle s’apprécie sur base des antécédents judiciaires et de tous les éléments susceptibles d’établir que les personnes visées aux alinéas 1er et 2 jouissent d’une bonne réputation et présentent toutes les garanties d’une activité irréprochable. Toute modification dans le chef des personnes visées à l’alinéa 2 doit être notifiée à l’AED. L’AED peut demander tous les renseignements nécessaires sur les personnes susceptibles de devoir remplir les conditions légales d’honorabilité professionnelle. Tout prestataire de services aux sociétés et fiducies soumis à la surveillance de l’AED en vertu de l’article 2-1, paragraphe (8), qui cesse ses activités doit en notifier l’AED.

Art. 8-1. Exercice des pouvoirs de surveillance par les autorités de contrôle et organismes d’autorégulation (1) Les autorités de contrôle et organismes d’autorégulation assurent un suivi effectif du respect par les professionnels de leurs obligations professionnelles en matière de lutte contre le blanchiment et contre le financement du terrorisme et prennent les mesures nécessaires à cet effet. (1bis) Les autorités de contrôle et les organismes d’autorégulation fournissent aux professionnels des informations sur les pays qui n’appliquent pas ou appliquent insuffisamment les mesures de lutte contre le blanchiment et contre le financement du terrorisme et notamment sur les préoccupations suscitées par les défaillances des dispositifs de lutte contre le blanchiment et contre le financement du terrorisme des pays concernés. Les autorités de contrôle peuvent imposer aux établissements de crédit et aux établissements financiers d’adopter une ou plusieurs des mesures de vigilance renforcées et proportionnées aux risques énoncées à l’article 3-2, paragraphe (2) à (2quater), dans le cadre de relations d’affaires et de transactions avec des personnes physiques ou des entités juridiques impliquant de tels pays. (2) Lorsqu’un professionnel ayant son siège social dans un autre Etat membre exploite des établissements au Luxembourg, les autorités de contrôle et organismes d’autorégulation surveillent le respect par les établissements exploités au Luxembourg des obligations prévues par les articles 2-2, 3, 3-1, 3-2, 3-3, 4, 4-1, 5, 7 et 8-3, paragraphe (3) ou par les mesures prises pour leur exécution. Les autorités de contrôle et organismes d’autorégulation coopèrent avec leur homologue respectif de l’Etat membre dans lequel se trouve le siège social du professionnel afin d’assurer une surveillance efficace du respect des exigences de la présente loi, des mesures prises pour son exécution et de la directive (UE) 2015/84 . Dans le cas d’établissements de crédit et de personnes visées à l’article 1er, paragraphe (3bis), lettres a) à e) et g) établis dans d’autres Etats membres qui font partie d’un groupe dont la société mère est établie au Luxembourg, la CSSF et le CAA coopèrent avec leurs homologues des Etats membres dans lesquels les établissements qui font partie du groupe sont établis afin d’assurer le respect par ces établissements des dispositions nationales de l’Etat membre en question transposant la directive (UE) 2015/849. Dans les cas visés à l’alinéa 3, la CSSF et le CAA surveillent la mise en œuvre effective des politiques et procédures à l’échelle du groupe visées à l’article 4-1, paragraphe (1). Dans le cas d’établissements de crédit et de personnes visées à l’article 1er, paragraphe (3bis), lettres a) à e) et g) établis au Luxembourg qui font partie d’un groupe dont la société mère est établie dans un autre Etat membre, la CSSF et le CAA coopèrent avec leur homologue de l’Etat membre dans lequel la société mère est établie aux fins de la surveillance de la mise en œuvre effective des politiques et procédures à l’échelle du groupe visées à l’article 45, paragraphe 1, de la directive (UE) 2015/849. (3) Dans le cas des émetteurs de monnaie électronique au sens de l’article 2, point 3), de la directive 2009/110/CE du Parlement européen et du Conseil du 16 septembre 2009 concernant l’accès à l’activité des établissements de monnaie électronique et son exercice ainsi que la surveillance prudentielle de ces établissements, modifiant les directives 2005/60/CE et 2006/48/CE et abrogeant la directive 2000/46/CE, dénommée ci-après « directive 2009/110/CE », et des prestataires de services de paiement au sens de l’article 4, point 11), de la directive (UE) 2015/2366, qui sont établis au Luxembourg sous une forme autre que celle de la succursale et dont le siège social est situé dans un autre Etat membre, la surveillance visée au paragraphe (2), alinéa 1er, peut comporter l’adoption de mesures appropriées et proportionnées sur la base de l’article 8-4 afin de remédier aux manquements graves nécessitant une intervention immédiate. Ces mesures sont temporaires et prennent fin lorsqu’il a été remédié aux manquements relevés, y compris avec l’aide des autorités de contrôle de l’Etat membre dans lequel le professionnel a son siège social ou en collaboration avec celles-ci. Les émetteurs de monnaie électronique au sens de l’article 2, point 3), de la directive 2009/110/CE, les prestataires de services de paiement au sens de l’article 4, point 11), de la directive (UE) 2015/2366 et les prestataires de services sur crypto-actifs, qui sont établis au Luxembourg sous une forme autre que celle de la succursale et dont le siège social est situé dans un autre Etat membre et qui remplissent au moins un des critères prévus par les mesures prises pour l’exécution de l’article 45 (9) de la directive (UE) 2015/849, nomment un point de contact central au Luxembourg afin de veiller, au nom de l’entité exerçant ses activités sur une base transfrontière, au respect des règles en matière de lutte contre le blanchiment et contre le financement du terrorisme, et de faciliter la surveillance de la part de la CSSF. Le point de contact central au Luxembourg fournit à la CSSF, à sa demande, tout document et toute information nécessaires à l’exercice de ses fonctions dans les limites définies par la présente loi. (4) Les autorités de contrôle et organismes d’autorégulation mettent en œuvre une approche de surveillance fondée sur les risques. Dans la mise en œuvre de cette approche, les autorités de contrôle et organismes d’autorégulation : a) veillent à ce qu’elles aient une bonne compréhension des risques de blanchiment et de financement du terrorisme existant au Luxembourg ; b) ont accès sur site et hors site à toutes les informations pertinentes relatives aux risques nationaux et internationaux spécifiquement liés aux clients, aux produits et aux services des professionnels ; et c) fondent la fréquence et l’intensité de la surveillance sur site et hors site des professionnels sur : i) les risques de blanchiment ou de financement du terrorisme et les politiques, les contrôles et procédures internes du professionnel ou du groupe auquel il appartient, tels qu’identifiés dans le cadre de l’évaluation du profil de risque du professionnel ou du groupe réalisée par l’autorité de contrôle ou l’organisme d’autorégulation ; ii) les caractéristiques des professionnels soumis à la présente loi et de leurs groupes financiers, notamment la diversité et le nombre des professionnels et le degré de discrétion qui leur est accordé en vertu de l’approche fondée sur les risques ; et iii) les risques de blanchiment et de financement du terrorisme existant au Luxembourg. Lorsqu’ils évaluent les risques de blanchiment de capitaux et de financement du terrorisme, les autorités de contrôle et les organismes d’autorégulation tiennent compte des facteurs de situations de risque potentiellement plus élevé énoncés à l’annexe IV. (5) L'évaluation du profil des professionnels en termes de risques de blanchiment et de financement du terrorisme, y compris les risques de non-respect, est réexaminée par les autorités de contrôle et organismes d’autorégulation à la fois de façon périodique et lorsqu'interviennent des évènements ou des changements majeurs dans leur gestion et leurs activités. (6) Les autorités de contrôle et organismes d’autorégulation prennent en compte la marge d'appréciation laissée au professionnel, et examinent de manière appropriée les évaluations de risques sous-tendant ce pouvoir d'appréciation, ainsi que l'adéquation et la mise en œuvre des politiques, contrôles et procédures internes.

« Art.4 (1) L’identification, l’évaluation et la compréhension des risques par le professionnel, telles que prévues par l’article 2-2 de la Loi, doivent permettre à celui- ci de déterminer quelles mesures de vigilance seront à appliquer à la relation d’affaires sur base de la matérialité du risque. A cette fin, le professionnel doit intégrer différentes sources dans ses procédures de gestion des risques, incluant: - Le rapport supranational de la Commission européenne sur les risques de blanchiment et de financement du terrorisme (« Supra National Risk Assessment ») ; - L’évaluation nationale des risques en matière de blanchiment de capitaux et de financement du terrorisme (« National Risk Assessment ») ; - Les évaluations de risques BC/FT sous-sectorielles (« sub-sector Risk Assessments ») ; - Les Orientations conjointes émises par les 3 autorités européennes de surveillance (ESMA, EBA et EIOPA) (ci-après « autorités européennes de surveillance ») sur les facteurs de risque de blanchiment de capitaux et de financement du terrorisme (« Risk factor Joint Guidelines ») ; - les publications de la CSSF y relatives. (2) Les professionnels doivent disposer de moyens de communication leur permettant de fournir les informations sur leur évaluation des risques à la CSSF. (3) Les professionnels doivent être organisés de manière à pouvoir remplir annuellement, de manière correcte et exhaustive, le questionnaire de la CSSF relatif à la collecte d’informations en matière de risques de blanchiment et de financement du terrorisme et à pouvoir le lui soumettre dans les délais requis et via les canaux qu’elle détermine. (4) La détermination par le professionnel de son « approche fondée sur le risque » est obligatoirement basée sur la définition de l’appétit pour le risque BC/FT, telle qu’approuvée par le conseil d’administration et transposée par la direction autorisée. La stratégie doit être en cohérence avec cette approche. Les politiques, procédures et contrôles en matière de LBC/FT mis en place au sein du professionnel doivent être cohérents avec l’appétit pour le risque préalablement défini. Cette définition et stratégie doivent être communiquées de manière précise, claire et compréhensible à l’ensemble du personnel concerné. »

« Art.5 (1) Pour les besoins de l’article 3 paragraphe 2bis de la Loi, les professionnels classent l’ensemble de leur clientèle selon différents niveaux de risque par rapport au blanchiment et au financement du terrorisme. Ces risques doivent faire l’objet d’une identification et d’une évaluation basée sur la compréhension par le professionnel de la nature et du type de ses relations d’affaires ainsi que l’objet d’une revue périodique. En dehors des cas où le niveau de risque est à considérer comme élevé en vertu de la Loi, du Règlement grand-ducal ou du présent règlement, ce niveau est évalué suivant une combinaison cohérente de facteurs de risque définis par chaque professionnel en fonction de l’activité qu’il exerce et qui sont inhérents aux catégories de risques suivants : - types de clients (incluant le client, mandataire, bénéficiaire effectif) ; - pays et zones géographiques ; - produits, services, et transactions ou ; - canaux de distribution. (2) Afin de déterminer s’il est dans une situation qui présente un risque plus élevé, et mis à part les cas prévus explicitement à l’article 3-2 de la Loi ou les mesures prises pour son exécution, le professionnel se base sur la liste non exhaustive des facteurs et types d’éléments de risque prévue à l’Annexe IV de la Loi. Comme la liste reprise à l’Annexe IV de la Loi est une liste de minimis de situations de risques potentiellement plus élevées, le professionnel doit également tenir compte de tous les autres facteurs de risques qu’il jugerait pertinents afin de déterminer si une relation d’affaires requiert l’application de mesures de vigilance renforcées. Afin de déterminer s’il est dans une situation qui présente un risque plus faible, le professionnel se base sur la liste non exhaustive des facteurs et types d’éléments de risque prévue à l’Annexe III de la Loi. La liste reprise à l’Annexe III de la Loi est une liste de minimis. Le professionnel peut également tenir compte d’autres facteurs de risques plus faibles qu’il jugerait pertinents avant de déterminer si la relation d’affaires peut être considérée pour l’application de mesures de vigilance simplifiées. L’application de mesures de vigilance simplifiées doit pouvoir être justifiée et démontrée aux autorités luxembourgeoises responsables de la LBC/FT. (3) L’évaluation du niveau de risque ne doit en aucun cas permettre de déroger à l’application des mesures de vigilance renforcées dans les cas prévus par la Loi, le Règlement grand-ducal ou le présent règlement. » (4) L’évaluation du niveau de risque à attribuer à un client doit être préalable à l’acceptation du client par le professionnel. Lors du suivi de la relation d’affaires, le professionnel veille à l’évolution des risques et adapte son évaluation en fonction de toute modification significative les affectant ou de tout nouveau risque. (5) Les professionnels doivent disposer de mécanismes adaptés pour communiquer les informations sur leur évaluation des risques à la CSSF.

Art.6 (1) Les professionnels doivent disposer de politiques, de contrôles et de procédures leur permettant de gérer et d’atténuer efficacement les risques de blanchiment et de financement du terrorisme auxquels ils sont exposés. « Ces politiques doivent être approuvées par le conseil d’administration du professionnel. Les procédures y relatives doivent être approuvées par la direction autorisée, ou par le conseil d’administration pour les fonds d’investissement sous la surveillance de la CSSF. » (2) Conformément à « l’article 3 paragraphe 2bis de la Loi, » les professionnels déterminent l’étendue des mesures de vigilance énoncées à l’article 3 paragraphe 2 de la Loi en fonction du niveau de risque attribué à chaque client conformément à la section 1 du présent chapitre. Lorsque des mesures de vigilance renforcées sont requises en vertu de la Loi, (…) du Règlement grand-ducal « ou du présent règlement », toutes ces mesures doivent être appliquées, mais l’étendue de celles- ci peut varier en fonction du niveau spécifique de risque déterminé par le professionnel. (3) L’adaptation de l’étendue des mesures de vigilance au niveau de risque s’effectuera dès le stade de l’identification et de la vérification de l’identité au sens de l’article 3 paragraphe 2 « , alinéa 1, » points a) à c) de la Loi et sera « exposée ultérieurement », dans le cadre de la vigilance constante au sens de l’article 3 paragraphe 2 « , alinéa 1, » point d) de la Loi.

Art.7 (1) Pour les besoins de l’application des articles 3-1 et 3-3 « , de l’Annexe III » de la Loi et des articles 4 et 5 du présent règlement, il appartient à chaque professionnel d’apprécier si un Etat membre ou un pays tiers imposent des obligations équivalentes à celles prévues par la Loi ou la directive « (UE) 2015/849 ». Les raisons menant à la conclusion qu’un Etat membre ou un pays tiers impose des obligations équivalentes doivent être documentées au moment de la prise de décision et doivent se baser sur des informations pertinentes et à jour. Les obligations imposées par un Etat membre sont présumées être équivalentes, excepté dans le cas où des informations pertinentes laissent à penser que cette présomption ne peut pas être maintenue. La conclusion que des obligations sont équivalentes doit régulièrement faire l’objet d’une révision, notamment lorsque de nouvelles informations pertinentes sont disponibles sur le pays concerné. (2) La conclusion qu’un Etat membre ou un pays tiers impose des obligations équivalentes à celles prévues par la Loi ou la directive « (UE) 2015/849 » ne dispense pas le professionnel d’effectuer une évaluation des risques conformément au présent chapitre lors de l’acceptation du client et ne dispense notamment pas le professionnel de l’obligation d’appliquer des mesures de vigilance renforcées dans les situations qui par leur nature peuvent présenter un risque élevé de blanchiment ou de financement du terrorisme.

Art.8 Les professionnels arrêtent et mettent en œuvre une politique d’acceptation des clients appropriée aux activités qu’ils exercent, permettant de soumettre l’entrée en relation d’affaires avec les clients à « une identification, » une évaluation « et une compréhension » préalable des risques telle que prévue à la section 1 du chapitre 3 du présent règlement.

Art.9 « (1) » Sans préjudice des obligations prévues par l’article 3-2 paragraphes « 2 », 3 et 4 de la Loi et par l’article 3 paragraphes « 1, » 3 et 4 du Règlement grand-ducal « et le présent règlement », l’acceptation d’un nouveau client doit être soumise pour autorisation écrite à un supérieur ou à un organe du professionnel spécifiquement habilité à cet effet en prévoyant un niveau hiérarchique de décision adéquat ainsi que, le cas échéant, « pour les clients présentant un niveau de risque plus élevé, au moins l’intervention systématique » (…) du responsable du contrôle (…). « (2) L’acceptation d’un nouveau client présentant un faible risque en matière de BC/FT, suivant l’approche fondée sur les risques telle que mise en place par le professionnel, peut être effectuée sur base d’un processus d’acceptation automatisé n’impliquant pas l’intervention d’une personne physique du côté du professionnel, de manière à constituer une alternative efficace et fiable à la validation par une personne physique du professionnel. Ce processus doit avoir été configuré et testé préalablement et revu régulièrement par le professionnel de manière à analyser la robustesse de celui-ci. Ce processus doit être en ligne avec les politiques et procédures LBC/FT du professionnel et des instructions à émettre par la CSSF. »

Art.10 (1) La politique d’acceptation des clients (…) doit prévoir un examen « et une procédure d’acceptation spécifiques » (…) pour (…) des clients susceptibles de présenter des niveaux élevés de risque de blanchiment ou de financement du terrorisme. (2) L’acceptation d’un client qui sollicite l’ouverture d’un compte numéroté tel que visé à l’article 5 du Règlement grand-ducal est subordonnée à la justification par celui-ci de la nécessité d’un tel compte. Cette justification doit être consignée par écrit « et l’ouverture d’un tel compte est soumise pour autorisation écrite au moins au responsable du respect. L’ouverture d’un compte, d’un livret d’épargne ou d’un coffre- fort anonyme ou sous un nom fictif est interdite ». « (3) L’ouverture d’un coffre-fort est assimilée à une relation d’affaires et à ce titre, le professionnel doit effectuer toutes les mesures de vigilance y relatives. »

Art. 11 (1) La politique d’acceptation des clients doit exiger la documentation de toute entrée en contact, quelle que soit sa forme, et doit prévoir, notamment, un questionnaire client adapté à la nature du contact et de la relation d’affaires. (2) La politique d’acceptation des clients doit également prévoir les procédures à suivre lors d’un soupçon ou « de motifs raisonnables de soupçon » de blanchiment « , d’une infraction sous-jacente associée » ou de financement du terrorisme en cas de non aboutissement d’une entrée en contact avec un client potentiel. Les raisons d’un refus de la part du client ou du professionnel de nouer une relation d’affaires ou d’effectuer une transaction doivent être documentées « et conservées selon les modalités prévues à l’article 25 du présent règlement », et ce, même si le refus de la part du professionnel ne découle pas de la constatation d’un indice de blanchiment ou de financement du terrorisme.

Art.12 « En conformité avec l’alinéa 3 de l’article 3 paragraphe 4 de la Loi qui déroge à l’alinéa 1 de l’article 3 paragraphe 4 de la Loi, et sans préjudice de l’article 3, paragraphe 2bis, alinéa 1 de la Loi, les professionnels peuvent entreprendre une relation d’affaires, ouvrir un compte client ou effectuer une transaction pour un client occasionnel avant ou pendant que l’identité du client et du bénéficiaire effectif est vérifiée conformément à l’article 3 paragraphe 2, alinéa 1, points a) et b) et alinéa 2 de la Loi, pour autant que les conditions suivantes soient réunies : » - le risque de blanchiment et de financement du terrorisme est faible « et efficacement géré » ; - « il est nécessaire de ne pas interrompre le déroulement normal des affaires ; » - la vérification de l’identité est effectuée dans les plus brefs délais après le premier contact avec le client. L’impossibilité de vérifier l’identité « du client et du bénéficiaire effectif » dans le délai prescrit par les règles internes doit faire l’objet d’un rapport interne qui sera transmis au responsable du contrôle (…) aux fins requises ; - des mesures suffisantes sont mises en place afin qu’aucune sortie d’actifs au départ du compte ne puisse être réalisée avant l’achèvement de ladite vérification.

Art.14 (1) « Lorsqu’ » une transaction à titre occasionnel d’un montant supérieur ou égal à 15.000 euros au sens de l’article 3 paragraphe 1 point b) « i) » de la Loi « est exécutée, le professionnel » doit appliquer les mesures d’identification et de vérification de l’identité requises en vertu de l’article 3 paragraphe 2 « , alinéa 1 et alinéa 2 » de la Loi avant l’exécution de la transaction et selon les mêmes modalités que lors de l’établissement d’une relation d’affaires. (2) Lorsqu’une transaction au sens de l’article 3 paragraphe 1 point b) « i) » de la Loi est effectuée en plusieurs opérations, le professionnel appliquera les mesures de vigilance au plus tard au moment où il aura connaissance que le volume total des opérations atteint le seuil mentionné au paragraphe 1 ci-dessus. Les professionnels doivent se doter de procédures ou systèmes leur permettant de détecter que ledit seuil a été atteint le cas échéant.

« Art.15 (1) En application du Règlement (UE) 2015/847, de l’article 39 paragraphe 2 de la loi du 5 avril 1993 relative au secteur financier et de l’article 3 paragraphe 1, point b) ii) de la Loi, lorsque le professionnel conclut une transaction à titre occasionnel sous forme d’un transfert de fonds au sens de l’article 3, point 9) du Règlement (UE) 2015/847, il doit appliquer les mesures d’identification requises par l’article 3 paragraphe 2, alinéa 1, point a) de la Loi avant d’effectuer le transfert, selon les mêmes modalités que pour des clients en relation d’affaires. Il doit faire en sorte que le transfert de fonds soit accompagné des informations sur le donneur d’ordre et sur le bénéficiaire en conformité avec les articles 4 à 6 du Règlement (UE) 2015/847. Conformément à l’article 4, paragraphe 4 du Règlement (UE) 2015/847, avant de transférer les fonds, le prestataire de services de paiement du donneur d'ordre vérifie l'exactitude des informations sur le donneur d’ordre pour les transferts de fonds au sein de l’Union européenne supérieur à 1.000 euros. (2) Dans le cadre de la détection d’informations manquantes ou incomplètes sur le donneur d’ordre ou sur le bénéficiaire telle que mentionnée à l’article 7 du Règlement (UE) 2015/847, lorsque le transfert de fonds au sein de l’Union européenne est supérieur à 1.000 euros, le professionnel prestataire de services de paiement du bénéficiaire vérifie, avant de créditer le compte de paiement du bénéficiaire ou de mettre les fonds à sa disposition, l'exactitude des informations sur le bénéficiaire. Lorsque le prestataire de services de paiement du bénéficiaire détecte des informations manquantes ou incomplètes sur le donneur d’ordre ou sur le bénéficiaire, il va, en fonction de son appréciation du risque, soit rejeter le transfert de fonds, soit demander les informations manquantes au prestataire de services de paiement du donneur d’ordre. A cette fin, le prestataire de services de paiement du donneur d'ordre met à disposition, dans les trois jours ouvrables à compter de la réception de la demande d'informations du prestataire de services de paiement du bénéficiaire ou du prestataire de services de paiement intermédiaire, les informations mentionnées à l’article 5 paragraphe 2 a) et b) du Règlement (UE) 2015/847. Pour les transferts de fonds pour lesquels le prestataire de services de paiement du bénéficiaire est établi en dehors de l'Union européenne et nonobstant le paragraphe 3 ci-dessous, le prestataire de services de paiement du donneur d’ordre n’est pas tenu de procéder à la vérification des informations sur le donneur d’ordre pour les transferts de fonds dont le montant n’excède pas 1.000 euros. (3) Conformément à l’article 5 paragraphe 3 et à l’article 6 paragraphe 2, dernier alinéa du Règlement (UE) 2015/847, des mesures d’identification et de vérification de l’identité à l’égard du donneur d’ordre s’appliquent en ce qui concerne le professionnel prestataire de services de paiement du donneur d’ordre lorsqu’il a reçu les fonds à transférer en espèces ou sous forme de monnaie électronique anonyme ou lorsqu’il a des motifs raisonnables de suspecter des actes de blanchiment de capitaux ou de financement du terrorisme et ce, indépendamment de tout seuil. (4) Conformément à l’article 7 paragraphe 4 du Règlement (UE) 2015/847, des mesures d’identification et de vérification de l’exactitude des informations sur le bénéficiaire s’appliquent en ce qui concerne le professionnel prestataire de services de paiement du bénéficiaire lorsqu’il effectue le versement des fonds en espèces ou sous la forme de monnaie électronique anonyme ; ou lorsqu’il y a des motifs raisonnables de suspecter des actes de blanchiment de capitaux ou de financement du terrorisme et ce, indépendamment de tout seuil. (5) Le professionnel qui fournit des services de transfert de fonds et de valeur doit respecter toutes les obligations applicables en matière de virements électroniques dans les pays dans lesquels il exerce son activité, directement ou via des agents. Lorsque ce professionnel contrôle à la fois la passation d’ordre et la réception d’un virement électronique, il est tenu de prendre en compte toutes les informations émanant du donneur d’ordre et du bénéficiaire afin de décider s’il est confronté à une opération suspecte exigeant une déclaration de soupçon. (6) Les professionnels doivent appliquer les orientations communes des autorités européennes de surveillance, prises en application de l’article 25 du Règlement (UE) 2015/847, relatives aux mesures que les prestataires de services de paiement doivent prendre pour détecter des informations manquantes ou incomplètes sur le donneur d'ordre ou le bénéficiaire, ainsi que les procédures devant être mises en place pour gérer un transfert de fonds qui n'est pas accompagné des informations requises telles que communiquées par voie de circulaire CSSF. »

Art.16 Aux fins de l’identification des clients conformément à l’article 3 paragraphe 2 « alinéa 1, » point a) « et alinéa 2 » de la Loi, les professionnels doivent recueillir et enregistrer au minimum les informations suivantes : 1. en ce qui concerne les clients qui sont des personnes physiques : - nom« (s) » et prénom« (s) » ; - lieu et date de naissance ; - nationalité« (s) » ; - adresse « postale complète de la résidence principale du client »; - le cas échéant, « le » numéro d’identification national officiel. 2. en ce qui concerne les clients qui sont des personnes morales ou des constructions juridiques : - dénomination ; - forme juridique ; - adresse du siège social, « ainsi que », si elle est différente, celle « du principal lieu » d’activité ; - le cas échéant, « un » numéro d’identification national officiel ; - « le nom des » dirigeants (pour les personnes morales) et administrateurs ou personnes exerçant des positions similaires (pour les constructions juridiques) « et intervenant dans le cadre de la relation d’affaires avec le professionnel »; - dispositions régissant le pouvoir d’engager la personne morale ou la construction juridique ; - autorisation d’entrer en relation. « 3. Les informations énumérées au point 1 ci-dessus sont à recueillir et à enregistrer également pour les initiateurs, promoteurs qui sont à la base du lancement d’un fonds d’investissement sous la surveillance de la CSSF qui sera le client du professionnel. »

Art.17 Au moment de l’identification des clients, et en vue des obligations d’identification et de vérification du bénéficiaire effectif prévues dans la section 5 de ce chapitre, les professionnels doivent déterminer si les clients agissent pour leur propre compte ou, le cas échéant, pour le compte d’autres personnes conformément à « l’article 3 paragraphe 2, alinéa 1, point b) et alinéa 2 de la Loi ». Les clients sont tenus de signer une déclaration explicite à cet égard et doivent s’engager à communiquer tout changement ultérieur « du bénéficiaire effectif » sans délai au professionnel. « Le professionnel doit s’assurer de la crédibilité de cette déclaration. »