Binance, la Russie et les données des utilisateurs : ce que l'affaire Belenkiy signifie pour la conformité AML et KYC

Binance aurait fourni aux enquêteurs russes des dossiers personnels détaillés sur un client qui a ensuite été inculpé de financement du terrorisme pour avoir fait don de petites sommes à des groupes ukrainiens. L'affaire, rapportée par Reuters et couverte par CoinDesk, n'est pas simplement une histoire géopolitique. C'est un test de résistance en matière de conformité pour chaque cabinet comptable, auditeur et directeur financier dont les clients détiennent des comptes sur des plateformes centralisées, partout où un gouvernement avec des normes juridiques contestées peut soumettre une demande de données et recevoir une réponse.

Ce que montrent les documents

Selon le reportage de Reuters, qui a examiné des documents d'application de la loi obtenus par The First Department, une organisation russe qui soutient les accusés dans des affaires politiques, Binance a répondu au moins deux fois aux demandes du comité d'enquête russe. Les documents provenaient d'un proche du sujet, Yuri Belenkiy, un spécialiste russe de l'informatique.

Les données personnelles divulguées

Les données prétendument fournies allaient bien au-delà des enregistrements de transactions. Les enquêteurs auraient reçu la date de naissance de Belenkiy, son adresse personnelle, son numéro de téléphone et son numéro de passeport, ainsi que des copies de son passeport russe et de son permis de séjour bulgare. Binance l'a également identifié comme l'initiateur de transferts totalisant plus de 700 $, selon Reuters.

L'allégation sous-jacente

Les autorités russes allèguent que Belenkiy a effectué des paiements entre janvier 2023 et mars 2024 suite à un appel d'Arkady Babchenko, un critique du Kremlin en exil. Les fonds auraient été dirigés vers l'armée ukrainienne et un groupe lié à la brigade Azov. Moscou classe la brigade Azov comme une organisation terroriste, une désignation non reconnue par l'UE, les États-Unis ou la plupart des juridictions occidentales. L'accusation de financement du terrorisme contre Belenkiy découle directement de cette classification nationale.

La correspondance avec Binance aurait été envoyée à case@binanceholdings.ru, une adresse que le site Web de Binance avait répertoriée pour les organismes d'application de la loi russes et biélorusses.

La position de Binance et la sortie de Russie en 2023

Binance a vendu son activité russe en septembre 2023, déclarant publiquement que son exploitation là-bas n'était plus conforme à sa stratégie de conformité. La plateforme avait alors déclaré qu'elle ne conserverait aucun accord de partage des revenus ni option de rachat de l'activité. Cette sortie a été largement interprétée comme un effort délibéré pour réduire les risques de sanctions et de lutte contre le blanchiment d'argent (AML).

L'écart entre la sortie et la conservation des données

La chronologie de Belenkiy complique ce récit. Les transferts présumés ont eu lieu entre janvier 2023 et mars 2024, ce qui signifie que certaines activités ont eu lieu avant et après la sortie de Russie. Les demandes de données des enquêteurs russes et les réponses présumées de Binance couvrent donc la période de transition, soulevant des questions sur les données que Binance a continué à détenir après la sortie, sous quel cadre juridique ces données ont été conservées, et quelle juridiction régissait les obligations de la plateforme lorsque les enquêteurs russes ont soumis leurs demandes.

Binance a déclaré publiquement qu'elle coopère avec les demandes légitimes des forces de l'ordre, sous réserve des exigences légales, de confidentialité et réglementaires applicables. La plateforme a refusé de commenter spécifiquement l'affaire Belenkiy ou de confirmer si les divulgations pouvaient avoir violé les règles européennes de protection des données. CoinDesk a rapporté qu'elle n'avait pas reçu de réponse de Binance au moment de la publication.

Pourquoi c'est un problème AML et KYC, pas seulement un problème de relations publiques

Les cabinets comptables et les directeurs financiers pourraient être tentés de considérer cela comme un problème de réputation pour Binance et de passer à autre chose. Ce serait une erreur. L'affaire expose des tensions structurelles dans les cadres de partage de données qui sous-tendent la conformité KYC et AML pour toute entité utilisant des plateformes centralisées dans son infrastructure d'actifs numériques.

Quelle « demande légitime » prévaut ?

La question fondamentale de conformité ici est définitionnelle. Lorsque Binance dit qu'elle répond aux demandes « légitimes », le mot « légitime » fait un travail considérable. Une demande du comité d'enquête russe peut être légale selon le droit national russe. Elle peut également être incompatible avec le règlement général sur la protection des données (RGPD) de l'UE si le sujet a la résidence européenne, comme Belenkiy l'avait via son permis bulgare. Elle peut en outre entrer en conflit avec l'esprit, sinon la lettre, de la politique de sanctions occidentale si la poursuite est motivée politiquement et que l'infraction alléguée ne constituerait pas un crime dans aucune juridiction de l'UE ou du G7.

Pour les entreprises qui comptent sur les plateformes pour servir de première ligne de défense KYC, cette affaire rappelle que la définition de la plateforme d'une demande légitime et celle de votre juridiction peuvent ne pas se recouper. Cet écart est une responsabilité de conformité, pas une abstraction.

Exposition au RGPD pour les personnes concernées liées à l'UE

Belenkiy détenait la résidence bulgare, ce qui le place dans le champ d'application territorial du RGPD. L'article 48 du RGPD restreint le transfert de données personnelles aux autorités d'un pays tiers sans décision d'adéquation, garanties appropriées ou dérogation reconnue. La Russie ne dispose pas de décision d'adéquation de l'UE. Si Binance a traité et divulgué ses données sans base juridique valide en vertu du droit de l'UE, la plateforme est potentiellement exposée aux mécanismes d'application du RGPD, et toute entreprise qui partage des données clients avec des plateformes opérant sous des politiques similaires hérite d'une dimension de réputation et de diligence raisonnable de ce risque.

L'asymétrie de classification du terrorisme

La désignation de Moscou de la brigade Azov comme organisation terroriste n'est pas reflétée par l'UE, les États-Unis ou le Royaume-Uni. Cette asymétrie est très importante pour le dépistage AML. Les entreprises utilisant un logiciel de comptabilité crypto ou un logiciel de comptabilité d'actifs numériques qui s'appuie sur les listes de sanctions et de financement du terrorisme doivent s'assurer que ces listes reflètent les désignations de leur juridiction d'origine, et non celles des gouvernements de pays tiers. Ne pas le faire peut produire des faux positifs qui gèlent des transactions légitimes ou, pire, créer une piste de conformité qui suggère l'approbation d'une norme de classification étrangère.

Ce que les cabinets comptables et les directeurs financiers devraient faire maintenant

Cette affaire n'exige pas que les entreprises cessent d'utiliser des plateformes centralisées. Elle exige qu'elles traitent les relations avec les plateformes comme une catégorie de risque de conformité, et non comme un choix opérationnel neutre. Les étapes suivantes sont fondées sur les faits de cette affaire et sur les attentes réglementaires existantes en vertu des directives AML de l'UE et du RGPD.

Examiner les politiques de partage de données des plateformes dans le cadre de la diligence raisonnable des fournisseurs

La plupart des entreprises effectuent des vérifications KYC sur leurs propres clients mais n'appliquent pas la même rigueur aux plateformes que ces clients utilisent. Un examen de base de la diligence raisonnable des fournisseurs d'une plateforme majeure devrait maintenant inclure sa politique publiée de réponse aux forces de l'ordre : à quelles juridictions elle répond, quel seuil juridique elle applique avant de divulguer des données personnelles, et si sa politique déclarée a été testée devant les tribunaux ou par les régulateurs. Si une plateforme répertorie une adresse e-mail dédiée pour les demandes des forces de l'ordre russes ou biélorusses, c'est une information importante.

Cartographier l'exposition des clients aux juridictions ayant des normes juridiques divergentes

Les clients ayant une double résidence, des comptes offshore ou des opérations commerciales dans des juridictions qui entrent en conflit avec le droit de l'UE ou du Royaume-Uni présentent un profil de risque élevé. L'affaire Belenkiy est une illustration concrète de la façon dont un permis de séjour bulgare et un passeport russe, combinés à un compte crypto sur une plateforme mondiale, peuvent recouper l'application de la loi russe d'une manière qu'aucun cadre de conformité occidental n'avait anticipé. Les entreprises qui exécutent un logiciel de tenue de livres crypto pour des clients multi-juridictionnels devraient signaler cette combinaison et documenter leur évaluation.

Séparer les listes de dépistage AML par juridiction

Si votre processus AML ou de surveillance des transactions intègre une liste tierce qui inclut des désignations d'autorités non-UE, non-RU ou non-USA, auditez-le maintenant. L'accusation de financement du terrorisme contre Belenkiy n'existerait pas en vertu du droit occidental. Tout outil de dépistage qui traite la désignation d'Azov par Moscou comme équivalente à une inscription de l'ONU ou de l'OFAC importe une norme juridique qui entre en conflit avec les obligations de votre juridiction d'origine et pourrait exposer votre entreprise à un risque de réputation et réglementaire.

Documenter la dimension géopolitique dans votre déclaration d'appétit pour le risque

Les règles AML de l'UE, y compris celles qui seront renforcées dans le cadre de la prochaine Autorité de lutte contre le blanchiment d'argent (AMLA), exigent que les entreprises articulent leur appétit pour le risque et appliquent une diligence raisonnable renforcée lorsque un risque plus élevé est identifié. L'affaire Binance-Russie sur les données est maintenant un fait de notoriété publique. Ne pas reconnaître le risque d'application de la loi à motivation géopolitique dans votre appétit pour le risque documenté, en particulier pour les clients ayant des liens russes ou biélorusses, serait difficile à défendre lors d'un examen de supervision.

Pour plus de contexte sur la façon dont les flux de crypto liés à la Russie ont recoupé l'évasion des sanctions, voir notre couverture précédente de ce que les fuites de stablecoin A7 ont révélé sur l'évasion des sanctions russes et les lacunes AML. Sur les outils analytiques disponibles pour les équipes de conformité, notre article sur comment les outils d'analyse de la blockchain redéfinissent la conformité AML pour les cabinets comptables expose l'état actuel de la surveillance en chaîne.

Le signal plus large pour l'industrie

L'affaire Belenkiy ne sera probablement pas la dernière de son genre. Alors que l'adoption de la crypto s'étend dans des juridictions dotées de systèmes juridiques autoritaires, la tension entre l'obligation d'une plateforme mondiale de coopérer avec les forces de l'ordre locales et ses obligations en vertu du droit de l'UE, des États-Unis ou du Royaume-Uni se reproduira. L'affaire met également en évidence une caractéristique structurelle des plateformes centralisées qui est souvent sous-pondérée dans les discussions de conformité : elles sont des référentiels de données personnelles hautement sensibles, et ces données ne disparaissent pas lorsqu'une plateforme quitte un marché.

Pour les cabinets comptables et les directeurs financiers utilisant toute forme de logiciel de comptabilité crypto pour gérer des positions en actifs numériques, la question pertinente n'est pas de savoir si votre plateforme a été impliquée dans cette affaire spécifique. La question est de savoir si vous avez examiné les politiques de divulgation aux forces de l'ordre de chaque plateforme que vos clients utilisent, et si ces politiques sont compatibles avec les obligations de protection des données et AML de votre juridiction. Si cet examen n'a pas eu lieu, cette affaire vous donne les motifs et l'urgence de l'initier.

Questions fréquemment posées

Binance a-t-elle enfreint le droit de l'UE en partageant les données de Belenkiy avec les autorités russes ?

Cela reste non confirmé et dépend probablement de la base juridique spécifique sur laquelle Binance s'est appuyée. L'article 48 du RGPD restreint les transferts de données personnelles aux autorités étrangères sans motifs juridiques adéquats. La Russie ne dispose pas de décision d'adéquation de l'UE. Binance n'a pas confirmé publiquement la base juridique qu'elle a appliquée, et aucun régulateur de l'UE n'a encore annoncé d'enquête. La question est vivante et non résolue.

Cela affecte-t-il les entreprises qui n'utilisent pas directement Binance ?

Oui, indirectement. L'affaire établit un précédent documenté selon lequel les grandes plateformes répondront aux demandes des forces de l'ordre de juridictions ayant des normes juridiques et politiques divergentes. Toute entreprise dont les clients utilisent des plateformes centralisées est confrontée à la même exposition structurelle, quelle que soit la plateforme impliquée, si cette plateforme opère dans ou conserve des données liées à des juridictions politiquement sensibles.

Est-ce que faire un don à des groupes ukrainiens est une infraction pénale en vertu du droit international ?

Non, selon le droit de l'UE, des États-Unis ou du Royaume-Uni. L'accusation contre Belenkiy est fondée sur la classification nationale de la brigade Azov par la Russie comme organisation terroriste, une désignation non reconnue par les gouvernements occidentaux ou les organismes internationaux. Les cadres AML occidentaux ne signaleraient pas ces dons comme du financement du terrorisme.

Que devraient faire les entreprises si un client détient des comptes sur une plateforme qui répertorie une adresse de contact des forces de l'ordre russes ou biélorusses ?

Traitez cela comme un indicateur de risque élevé dans votre processus de diligence raisonnable des fournisseurs. Documentez votre évaluation, envisagez si une diligence raisonnable renforcée s'applique à cette relation client et examinez les obligations de votre entreprise en vertu des règles applicables en matière de protection des données et AML. Si le client est résident de l'UE ou domicilié dans l'UE, la dimension RGPD est particulièrement pertinente.

Comment cette affaire interagit-elle avec le futur cadre AMLA de l'UE ?

La nouvelle Autorité de lutte contre le blanchiment d'argent de l'UE devrait introduire des normes de supervision plus fortes pour les prestataires de services de crypto-actifs opérant dans les États membres, y compris des exigences en matière de gouvernance des données et de coopération avec les forces de l'ordre. L'affaire Belenkiy illustre exactement le type de conflit juridictionnel que les règles de l'ère AMLA sont conçues pour traiter. Les entreprises devraient surveiller les orientations de l'AMLA à mesure qu'elles se développent et s'assurer que leurs politiques internes peuvent s'adapter à des normes plus strictes sur les transferts de données vers des pays tiers.

Source : CoinDesk