Conservation des données AML en Belgique : durée 10 ans, format et articulation RGPD

En bref

L'article 60 de la loi du 18 septembre 2017 impose à toutes les professions assujetties belges de conserver les données AML pendant 10 ans à partir de la fin de la relation d'affaires (et non depuis l'ouverture du dossier). Le format recommandé est PDF/A avec horodatage TSA pour garantir l'intégrité. La conservation constitue une obligation légale au sens de l'article 6.1.c du RGPD, ce qui justifie le refus du droit à l'effacement pendant toute la durée de rétention.

L'obligation de conservation en 1 minute

L'article 60 de la loi du 18 septembre 2017 impose à toute profession assujettie de conserver pendant 10 ans :

• Les documents d'identification du client et de ses UBO

• Les analyses internes (notes d'AMLCO, évaluations de risque)

• Les pièces de chaque opération significative

• Les alertes générées par le monitoring (déclarées ou non)

• Les déclarations CTIF et leurs accusés de réception

• Les non-déclarations motivées (point fréquemment oublié)

• Les échanges avec le client sur les aspects AML

• Le registre des décisions AMLCO

• Les formations dispensées (programme, attestations, scores)

Pour le contenu détaillé du dossier KYC à conserver, voir notre article dédié.

Point de départ du décompte

C'est ici que beaucoup se trompent. Les 10 ans démarrent à :

• La fin de la relation d'affaires pour les KYC et les analyses globales

• La date de la dernière opération significative pour les pièces transactionnelles

• La date de la déclaration CTIF pour les pièces liées à cette déclaration

Exemple : un client entré en relation le 1er janvier 2010, sorti le 30 juin 2026. Le décompte démarre le 30 juin 2026. Vous devez conserver l'intégralité jusqu'au 30 juin 2036 — soit en réalité 26 ans depuis l'ouverture du dossier.

Format admissible

La loi ne prescrit pas un format précis, mais exige :

Critère 1 — Lisibilité

Le document doit pouvoir être lu sur toute la durée. Évitez :

• Formats propriétaires (DOCX vieux, fichiers spécifiques à un logiciel obsolète)

• Supports magnétiques (disquettes, cassettes)

• Conservation papier sur thermique (s'efface)

Privilégiez PDF/A (norme ISO 19005), reconnu pour l'archivage long terme.

Critère 2 — Intégrité

Aucune modification après création. Si modification, historique tracé :

• Horodatage TSA (Time Stamping Authority) au moment de l'archivage

• Hash cryptographique stocké séparément

• Signature électronique qualifiée eIDAS si la pièce nécessite signature

Critère 3 — Authenticité

Vous devez pouvoir prouver qu'un document est celui collecté à l'époque. Méthode :

• Métadonnées de création (auteur, date, source)

• Chaîne de garde (qui a manipulé, quand)

• Signature électronique de l'AMLCO pour les pièces internes

Critère 4 — Accessibilité

Extractible sur demande des autorités sous 48 heures. Si votre archivage est sur des bandes hors site, le délai sera tendu.

Format pratique recommandé

Articulation avec le RGPD

L'AML et le RGPD peuvent sembler contradictoires :

• AML exige conservation 10 ans

• RGPD exige conservation limitée à la finalité

La solution : la conservation AML est une obligation légale au sens de l'article 6.1.c du RGPD. Elle prime sur le droit à l'effacement.

À documenter dans votre registre des traitements RGPD :

• Base légale : article 6.1.c du RGPD (obligation légale) + article 60 de la loi 18/09/2017

• Finalité : conformité AML/CTF

• Catégories de personnes concernées : clients, UBO, dirigeants, mandataires

• Catégories de données : identité, adresse, photo (ID), informations financières

• Destinataires : autorités (CTIF, SPF Économie, BNB, FSMA), prestataires (RegTech, hébergeur)

• Durée : 10 ans après fin de relation

• Mesures de sécurité : chiffrement AES-256, accès limité aux personnes autorisées, journal d'accès

Droits limités du client

Le client garde ses droits RGPD mais limités :

• ✅ Accès : il peut demander quelles données vous avez sur lui

• ❌ Effacement : refusé tant que l'obligation AML s'applique

• ❌ Limitation : refusée pour les données utiles à l'enquête

• ✅ Rectification : possible pour les erreurs factuelles

• ❌ Information sur déclaration CTIF : interdiction de tipping-off

Notice d'information

Le client doit être informé au moment du KYC :

• De la finalité AML de la collecte

• De la durée 10 ans

• De ses droits limités

• De la possibilité de déclaration CTIF (mention non-spécifique)

Format : intégré dans le contrat de domiciliation ou notice annexée.

Suppression contrôlée au terme

Au bout des 10 ans, la suppression est obligatoire (sauf litige en cours). Méthode :

Identification des dossiers en fin de rétention (script trimestriel)

Vérification qu'aucun litige, contrôle ou demande d'autorité n'est en cours

Suppression sécurisée (effacement cryptographique pour le numérique, broyage pour le papier)

Traçabilité : ce qui a été supprimé, quand, par qui, sur quelle base

Mise à jour du registre des traitements RGPD

Si litige : conservation prolongée jusqu'à résolution + 5 ans de marge.

Que conserver précisément

Voici la liste exhaustive par catégorie :

Identification

• Copies pièces d'identité (recto-verso)

• Extraits BCE/KBO datés

• Statuts de société

• Pouvoirs de représentation

• Cascade UBO documentée

• Comparaison registre UBO belge

Évaluation des risques

• Matrice utilisée (versionnée)

• Note de risque par dossier signée AMLCO

• Justification écrite des critères

Monitoring

• Liste des alertes générées

• Analyses internes

• Décisions (déclarer ou non, motivation)

CTIF

• Copie déclaration goAML (XML)

• Accusé de réception CTIF

• Pièces de contexte transmises

Surveillance continue

• Journal des révisions annuelles

• Événements signalés (changement UBO, dirigeant, sanction)

• Échanges écrits avec le client (limités à l'aspect AML)

Gouvernance et formation

• Politique AML versionnée

• PV de nomination AMLCO

• Programme de formation + attestations

• Rapports d'audit annuels

Erreurs fréquentes

10 ans depuis l'ouverture au lieu de "depuis fin de relation"

Conservation papier sans numérisation : illisible à 10 ans pour les thermiques

Pas d'horodatage : intégrité non démontrable

Pas de chiffrement : violation RGPD en cas de breach

Pas de journal d'accès : impossible de prouver qui a consulté quoi

Pas de notice RGPD au client

Suppression non documentée au terme

Pas de procédure pour les litiges (conservation prolongée)

Mélange archivage AML et autres (RH, comptabilité) : durées différentes

Hébergement hors UE sans clauses contractuelles types

Comment Company Belgium gère la conservation

Le module archivage de Company Belgium :

• PDF/A automatique pour chaque pièce critique

• Horodatage TSA sur les documents AMLCO

• Chiffrement AES-256 au repos, TLS 1.3 en transit

• Hébergement EU (GDPR-conforme)

• Journal d'accès par utilisateur, pièce, date

• Décompte automatique des 10 ans à partir de la fin de relation

• Suppression contrôlée au terme avec preuve

• Articulation RGPD intégrée : notice client, registre des traitements

• Export complet sur demande des autorités en < 48 heures

Voir aussi notre panorama RegTech et l'accompagnement Company Belgium.

En résumé

La conservation des données AML repose sur 3 piliers : 10 ans à partir de la fin de relation, format PDF/A horodaté, articulation avec le RGPD via l'article 6.1.c (obligation légale).

Le piège classique : croire que le décompte démarre à l'ouverture du dossier (alors qu'il démarre à la fermeture). Le bon réflexe : automatiser le décompte dans votre outil RegTech, documenter chaque suppression au terme, et garder la notice client à jour.