Conservation des données LCB-FT : durées et bonnes pratiques

Une société de domiciliation doit conserver les documents et informations de vigilance pendant cinq ans à compter de la cessation de la relation d’affaires, conformément à l’article L. 561-12 du Code monétaire et financier. Ce délai vaut quel que soit le support, papier ou numérique. Il n’autorise pas pour autant à tout garder sans limite : passé le délai, le RGPD vous demande de supprimer ou d’anonymiser. Cet article détaille ce qu’il faut garder, depuis quand, comment articuler les deux textes et comment l’organiser concrètement.

En bref

• Cinq ans : c’est la durée de conservation des documents de vigilance et des opérations, à compter de la clôture des comptes ou de la fin de la relation d’affaires (article L. 561-12 du CMF).
• Le point de départ est la fin du contrat de domiciliation, pas la date de collecte du document : un dossier ouvert depuis six ans reste intégralement à conserver tant que le client est actif.
• Le RGPD s’applique aussi : au-delà du délai légal, les données personnelles doivent être effacées ou anonymisées, et la durée retenue doit être documentée.
• Une purge organisée (base active, archivage intermédiaire, suppression) est plus sûre qu’un classement « au cas où », surtout avant un contrôle.

Table des matières

• Ce que dit exactement le Code monétaire et financier
• Que faut-il conserver dans un dossier de domiciliation ?
• À partir de quand compter les cinq ans ?
• Concilier cinq ans de conservation et RGPD
• Format, sécurité et accès : ce qu’un contrôleur regardera
• Un calendrier de purge en cinq étapes
• Les erreurs de conservation qui coûtent cher
• Notre point de vue : la conservation se règle à l’entrée, pas à la sortie
• Outiller la conservation avec Adryo
• Questions fréquentes
• Sources

Ce que dit exactement le Code monétaire et financier

L’article L. 561-12 du CMF s’applique aux personnes mentionnées à l’article L. 561-2, dont les sociétés de domiciliation. Il fixe un délai de cinq ans, avec deux points de départ selon la nature de l’information :

• pour les documents relatifs à l’identité du client et aux mesures de vigilance, le délai court à compter de la clôture des comptes ou de la cessation de la relation d’affaires ;
• pour les documents relatifs aux opérations réalisées, le délai court à compter de leur exécution.

Le texte précise qu’il s’applique « sous réserve de dispositions plus contraignantes ». Si un autre texte impose une durée plus longue pour un document donné (une pièce comptable, par exemple), c’est la durée la plus longue qui prévaut pour ce document. Le texte de référence, dans sa version en vigueur, est consultable sur Légifrance.

Que faut-il conserver dans un dossier de domiciliation ?

La notion de « documents et informations relatifs aux mesures de vigilance » est large. Pour un domiciliataire, elle recouvre en pratique l’ensemble de la preuve que vous avez bien identifié et surveillé le client. Tracfin rappelle que la vigilance porte sur le client mais aussi sur ses bénéficiaires effectifs, dès l’entrée en relation.

Les pièces d’identification

• pièce d’identité du représentant légal et des bénéficiaires effectifs ;
• extrait Kbis ou équivalent, statuts, justificatif de l’activité ;
• justificatifs corroborant les déclarations pour les clients à risque élevé : pour ces clients, de simples informations déclaratives ne suffisent pas.

Les traces de l’analyse de risque

La vigilance est modulée selon le risque : normale, allégée ou renforcée. Cette approche est admise à condition d’être rigoureusement documentée et justifiée, faute de quoi elle n’est pas opposable en contrôle. Conservez donc le niveau de risque retenu, sa date, les critères qui l’ont motivé et chaque réévaluation. Notre article sur la vigilance renforcée en domiciliation détaille les cas qui l’imposent, et celui sur la vigilance simplifiée ce que la loi autorise réellement.

Les résultats des contrôles

Screening PPE, contrôle des sanctions, vérification des listes du GAFI : la capture de chaque résultat, avec sa date, fait partie de la preuve. Un contrôle réalisé mais non tracé ne vous protège pas.

Les bénéficiaires effectifs

Le bénéficiaire effectif est la personne physique qui détient, directement ou indirectement, plus de 25 % du capital ou des droits de vote, ou qui exerce un pouvoir de contrôle par d’autres moyens. Côté société, toute modification des informations déclarées doit être notifiée au greffe sous 30 jours. Gardez l’historique des versions, pas seulement la dernière en date.

Les déclarations et échanges avec Tracfin

Les déclarations de soupçon transmises sur la plateforme ERMES et les analyses qui les ont précédées relèvent de la même logique de traçabilité. Ces documents sont par nature confidentiels : limitez strictement les accès. Tracfin encourage fortement ERMES, mais les professionnels non financiers, dont les domiciliataires, conservent à ce jour la possibilité de déclarer sur papier, sous réserve d’évolutions. Dans ce cas, conservez aussi l’accusé de dépôt et la copie transmise.

Les contrats, le registre et la facturation

Le contrat de domiciliation, ses avenants, le registre des mandats, les justificatifs de remise du courrier à un mandataire et les factures documentent la relation d’affaires. Ils servent à dater la fin de la relation, donc le début du délai de cinq ans.

À partir de quand compter les cinq ans ?

C’est la source d’erreurs la plus fréquente. Le délai ne court pas depuis la date de collecte, mais depuis la fin de la relation d’affaires pour les éléments de vigilance. Trois exemples :

Deux conséquences pratiques. D’abord, la date de fin de contrat doit être saisie de façon fiable : si elle est floue, tout le calendrier de purge l’est aussi. Ensuite, les versions successives d’une pièce (ancienne carte d’identité, ancien Kbis) restent attachées au dossier et suivent le même sort que lui. Ne supprimez pas les anciennes versions pendant la relation sous prétexte qu’elles sont périmées : elles prouvent ce que vous saviez à telle date.

Concilier cinq ans de conservation et RGPD

Les données de vigilance sont presque toutes des données personnelles : identité, adresse, situation patrimoniale, éventuel statut de personne politiquement exposée. Le RGPD s’applique donc, et son principe de limitation de la conservation pose la contrainte inverse : ne garder que le temps nécessaire.

La CNIL rappelle que les données ne peuvent être conservées indéfiniment et que la durée doit être déterminée par le responsable de traitement en fonction de l’objectif de la collecte. Quand un texte fixe la durée, comme ici l’article L. 561-12, vous vous appuyez sur lui. Quand ce n’est pas le cas, vous devez fixer vous-même une durée proportionnée, faute de quoi il faut effacer ou anonymiser.

Cela donne une règle de travail simple :

1. Ce qui relève de la LCB-FT : cinq ans après la fin de la relation, puis suppression ou anonymisation.
2. Ce qui n’en relève pas (données commerciales, échanges de prospection, photos de courrier non utiles à la preuve) : une durée plus courte, que vous justifiez dans votre registre des traitements.
3. Ce qui est imposé par un autre texte (pièces comptables, par exemple) : la durée de ce texte, sur ce périmètre seulement.

La CNIL recommande de raisonner par cycle de vie : base active pendant la relation, archivage intermédiaire pendant le délai légal avec accès restreint, puis suppression ou archivage définitif lorsqu’il se justifie. Pour un domiciliataire, l’archivage intermédiaire est le bon cadre des cinq ans après résiliation : le dossier sort de l’usage courant, n’est plus consultable par tous, mais reste disponible pour une demande de l’administration.

Si vous manquez de ressources pour documenter ce volet, vous pouvez vous faire épauler ponctuellement par des étudiants freelance en soutien RGPD afin de cartographier vos durées et de rédiger votre registre. La responsabilité de la décision reste la vôtre. Pour le cadre général, voyez aussi notre guide sur la protection des données en domiciliation.

Format, sécurité et accès : ce qu’un contrôleur regardera

L’obligation vise les documents quel que soit le support. Un dossier papier est donc valable, mais difficile à purger à date précise et à retrouver rapidement. Un contrôle de la préfecture, du greffe ou de Tracfin se prépare sur trois points.

Retrouver une pièce vite

Une demande d’un agent de contrôle porte souvent sur un client précis, parfois radié depuis plusieurs années. Si le dossier est éclaté entre un tableur, une boîte mail, un classeur et un outil de signature, la reconstitution prend des jours. Un dossier unique par client, avec ses pièces, ses décisions de risque et ses contrôles datés, change la nature de l’échange.

Prouver que rien n’a été modifié après coup

Une piste d’audit horodatée montre qui a modifié quoi et quand. Sans elle, un document remonté tardivement peut être perçu comme une régularisation de dernière minute plutôt que comme une preuve.

Limiter les accès

Les dossiers archivés ne doivent pas rester accessibles à toute l’équipe. Réservez-les au responsable conformité et à la direction, et conservez la trace des consultations. Pour les réseaux multi-agences, définissez qui, au siège ou en agence, voit quel dossier.

Un calendrier de purge en cinq étapes

Plutôt que de purger « quand on a le temps », fixez une routine.

1. Dater la fin de chaque relation : résiliation, radiation, non-renouvellement. Une date de sortie renseignée dans chaque dossier clos.
2. Calculer l’échéance : date de fin plus cinq ans, inscrite dans le dossier lui-même et non dans un agenda parallèle.
3. Lister chaque trimestre les dossiers arrivés à échéance, après vérification qu’aucune procédure, demande d’une autorité ou obligation comptable plus longue ne les concerne.
4. Supprimer ou anonymiser les données personnelles, en conservant si besoin des statistiques non identifiantes.
5. Tracer la purge : date, périmètre, personne qui a validé. La suppression elle-même doit pouvoir être prouvée.

Cette routine s’intègre naturellement à la revue annuelle de votre dispositif. Votre programme de conformité LCB-FT devrait mentionner la durée retenue, le responsable de la purge et la fréquence. Elle complète aussi la vérification triennale, qui contrôle que les dossiers sont complets et à jour avant d’être archivés, et la cartographie des risques.

Les erreurs de conservation qui coûtent cher

• Supprimer trop tôt : effacer un dossier dès la résiliation du contrat prive de preuve en cas de contrôle ultérieur. Cinq ans de conservation, c’est une obligation, pas une option.
• Ne jamais supprimer : garder dix ans par prudence expose à un grief de conservation excessive au titre du RGPD. La CNIL sanctionne ce manquement : dans une délibération de décembre 2023, elle a relevé qu’une durée définie sur le papier n’était pas appliquée dans les faits.
• Confondre durée de la relation et durée de conservation : un client actif depuis huit ans a huit ans de dossier à garder, pas cinq.
• Compter à partir de la collecte : voir plus haut, le point de départ est la fin de la relation.
• Stocker sans cloisonner : pièces d’identité dans une messagerie partagée ou un dossier réseau ouvert, en infraction avec les exigences de sécurité du RGPD.
• Se reposer sur un registre sectoriel : certains secteurs ont leurs propres registres réglementaires, mais ils ne remplissent généralement pas, par défaut, les exigences de conservation de l’article L. 561-12 et nécessitent souvent des extractions spécifiques du logiciel métier. Le constat de l’ACPR concerne le secteur des métaux précieux, mais la leçon vaut pour tout registre métier : vérifiez ce qu’il couvre réellement.

Notre point de vue : la conservation se règle à l’entrée, pas à la sortie

Nous voyons le même schéma chez les domiciliataires qui nous consultent : le sujet de la conservation n’est traité qu’à l’approche d’un contrôle. À ce moment, les pièces sont dans un tableur, un dossier partagé, des mails et un outil de signature, et personne ne sait dire avec certitude quels dossiers sont purgeables.

Notre conviction est que la durée de conservation se décide à l’ouverture du dossier. Si la date de fin de contrat est renseignée proprement, si chaque pièce est rattachée au bon client et si chaque action est horodatée, l’échéance de cinq ans se calcule seule, la purge devient une liste et la réponse à un contrôle devient un export. C’est la raison pour laquelle nous avons conçu Adryo comme une source de vérité unique plutôt que comme un module de plus : CRM des domiciliés, dossier de vigilance, contrats signés, registre des mandats, courrier et facturation dans le même espace, avec une piste d’audit exportable à tout moment, hébergée en France.

Nous gardons aussi une réserve : un outil n’a jamais remplacé la culture de conformité. Tracfin le dit à sa manière, le respect des obligations repose avant tout sur la culture de conformité interne des professionnels. Un logiciel rend la discipline plus facile à tenir et à prouver, il ne décide pas à votre place de la durée que vous retenez ni de ce que vous jugez suspect.

— Aimen

Outiller la conservation avec Adryo

Si vos dossiers sont encore répartis entre plusieurs outils, Adryo regroupe le suivi des domiciliés, la conformité LCB-FT, les contrats avec signature électronique eIDAS, le registre des mandats et la génération de l’état semestriel pour le greffe. Vous retrouvez un dossier complet et sa piste d’audit sans ressaisie. Vous pouvez parcourir le détail des fonctionnalités ou consulter les tarifs, établis au dossier et dégressifs.

Questions fréquentes

Quelle est la durée de conservation des données LCB-FT pour une société de domiciliation ?

Elle est de cinq ans, selon l’article L. 561-12 du CMF. Pour les documents d’identification et de vigilance, le délai court à partir de la clôture des comptes ou de la fin de la relation d’affaires. Ce délai s’applique quel que soit le support utilisé.

Peut-on conserver les données plus de cinq ans ?

Seulement si un autre texte l’impose pour un document précis, ou si une procédure ou une demande d’une autorité le justifie. Sinon, le RGPD impose de ne pas garder les données personnelles au-delà de ce qui est nécessaire. Une conservation systématique plus longue « par précaution » est donc difficile à justifier.

Que faire des données à l’issue des cinq ans ?

Supprimez-les ou anonymisez-les, et gardez la trace de l’opération. La CNIL demande que la durée soit documentée selon le cycle de vie de la donnée. Vérifiez au préalable qu’aucune autre obligation, comptable par exemple, ne s’applique encore aux pièces concernées.

Les déclarations Tracfin sont-elles soumises à la même durée ?

Les documents relatifs aux vigilances et aux opérations suivent la logique de l’article L. 561-12. Pour les déclarations de soupçon elles-mêmes, leur confidentialité impose de restreindre fortement les accès. En cas de doute sur la durée applicable à un document précis, rapprochez-vous de votre responsable conformité ou de votre conseil.

Sources

• Article L561-12 du Code monétaire et financier, Légifrance
• Les durées de conservation des données, CNIL (Linc)
• Dois-je fixer une durée de conservation des données dans mon fichier ?, CNIL
• Délibération SAN-2023-023 du 29 décembre 2023, Légifrance
• Les obligations de vigilance, economie.gouv.fr
• Guide utilisateurs ERMES, Tracfin
• Plaquette Domiciliation, Tracfin (janvier 2026)
• Notice du formulaire de déclaration des bénéficiaires effectifs, service-public.fr
• Principes d’application sectoriels ACPR et DGDDI, métaux précieux

Recommandations

• Programme de conformité LCB-FT : ce qu’il doit contenir en F
• Suivi des échéances LCB-FT : le calendrier centralisé qui vo
• Vérification triennale LCB-FT : ce que doit vérifier un resp
• Formation LCB-FT du personnel de domiciliation : ce que dit