Le 8 janvier 2026, la Cour suprême d’Estonie, dans l’affaire no 3-23-125, a déclaré illégale une directive générale émise par la Financial Intelligence Unit estonienne (FIU ou Rahapesu Andmebüroo) qui, fin 2022, avait demandé un volume considérable d’informations à l’ensemble des prestataires agréés de services aux trusts et aux sociétés (TCSPs) proposant des services de création de sociétés et de domiciliation en Estonie.
Cette décision est devenue une jurisprudence majeure pour l’ensemble du système de supervision AML (Anti-Money Laundering) et a délimité les contours de l’ingérence admissible de l’État dans les activités des entreprises légitimes. La position de la Cour suprême d’Estonie a également bénéficié d’une large couverture dans les médias estoniens, notamment dans Postimees et ERR, soulignant son importance non seulement pour les professionnels, mais aussi pour le débat juridique au sein du grand public.
Ühinenud Õigusbürood OÜ, société mère d’Eesti Firma OÜ, a été l’une des parties à l’origine de la procédure judiciaire ayant abouti à cette décision historique de la Cour suprême d’Estonie en janvier 2026. La saisine de la justice visait à obtenir une sécurité juridique quant aux limites admissibles des pouvoirs de supervision dans le domaine AML/KYC (Anti-Money Laundering / Know Your Customer), ainsi qu’à faire respecter le principe de proportionnalité dans les relations entre le régulateur et les entreprises agréées.
Supervision AML et demande massive de données
En décembre 2022, la FIU a adressé une directive unique à 322 TCSPs agréés, leur demandant de répondre à un questionnaire de 44 questions. La demande couvrait un large éventail de sujets : des procédures internes AML/KYC à la structure de la clientèle, en passant par la portée géographique des activités, les indicateurs financiers et l’application des mesures de sanctions.
Le régulateur a justifié son action par la nécessité d’acquérir une compréhension globale des risques du secteur et de mettre en place une supervision AML fondée sur les risques. Toutefois, la demande n’était liée à aucun soupçon précis, aucune infraction ni aucun contrôle individuel. Elle revêtait un caractère préventif et s’appliquait de manière identique à tous les acteurs du marché, indépendamment de leur taille, de leur modèle économique ou de leur profil de risque.
C’est précisément cette approche qui a fait l’objet du litige. Plusieurs entreprises qui s’étaient déjà conformées à la directive ont soulevé la question de la frontière entre une supervision AML légitime et une charge administrative excessive, ainsi que celle de savoir si le régulateur pouvait, dans le cadre d’une évaluation abstraite des risques, exiger des entreprises des informations aussi étendues et complexes sur le plan analytique.
Principales conclusions juridiques de la Cour suprême
Lors de l’examen de l’affaire no 3-23-125, la Cour suprême n’a pas remis en question l’importance des mesures AML/KYC (Anti-Money Laundering / Know Your Customer) en tant qu’outils de protection du système financier. Elle s’est plutôt concentrée sur la régularité de la procédure et le fondement juridique des actions de l’autorité de supervision.
Distinction entre les fonctions de la FIU
La Cour a souligné que la FIU estonienne cumule deux rôles distincts. D’une part, elle agit en tant que Financial Intelligence Unit (FIU), chargée d’analyser les transactions suspectes. D’autre part, elle est une autorité de supervision qui contrôle le respect des exigences AML/KYC par les entités assujetties.
Ces rôles sont de nature juridique différente et reposent sur des dispositions légales distinctes. Les pouvoirs conférés à la FIU pour accomplir ses missions de renseignement financier ne peuvent pas être automatiquement utilisés dans le cadre de la supervision exercée par l’État. Lorsqu’il mène des activités de supervision, le régulateur doit s’en tenir strictement aux instruments expressément prévus à cette fin.
Un fondement juridique erroné comme erreur déterminante
La Cour a conclu que la FIU s’était fondée sur une disposition légale qui n’était pas destinée aux demandes massives d’informations adressées à des entreprises privées dans le cadre d’une supervision préventive. Le recours à un fondement juridique erroné a été considéré comme une violation substantielle rendant la directive illégale, indépendamment de l’objectif invoqué.
Il convient de souligner que la Cour n’a pas affirmé que la collecte d’informations était intrinsèquement inadmissible. Elle a précisé que, même dans le domaine AML/KYC, les mesures de supervision doivent reposer sur une justification juridique claire, précise et appropriée.
Principe « les registres d’abord, puis les entreprises »
La Cour a accordé une attention particulière aux sources d’information. Dans le contexte de la supervision AML préventive, le régulateur est tenu d’utiliser en premier lieu les données déjà détenues par l’État ou accessibles par l’intermédiaire des registres officiels.
Il n’est pas permis d’exiger des entreprises des informations pouvant être obtenues sans leur intervention. Une telle approche n’est pas conforme au principe de proportionnalité et transfère de manière injustifiée aux entreprises le travail analytique du régulateur.
Frontière entre les données et les « nouveaux rapports »
L’un des enseignements les plus concrets de la décision est qu’une demande d’informations ne doit pas se transformer en obligation, pour les entreprises, de créer de nouveaux documents ou de nouvelles synthèses analytiques lorsqu’un tel niveau de détail n’était pas préalablement exigé par la loi.
Les entreprises disposent naturellement de données primaires sur leurs activités. Toutefois, l’existence de ces données n’équivaut pas à une obligation de disposer de rapports prêts à l’emploi pour chaque ventilation susceptible d’intéresser l’autorité de supervision. La Cour a souligné que la supervision AML ne pouvait pas imposer aux entreprises de produire rétroactivement des analyses complexes dans le seul but de faciliter le travail du régulateur.
La proportionnalité comme élément obligatoire de la supervision AML
Tout en reconnaissant la légitimité de l’objectif — évaluer les risques du secteur —, la Cour a relevé le caractère disproportionné de l’instrument choisi. Une demande identique comportant 44 questions, adressée à tous les acteurs du marché sans tenir compte de leurs caractéristiques individuelles, a été jugée excessive par son étendue et son degré d’intrusion. Selon la Cour, la supervision AML doit être ciblée et limitée au strict nécessaire, plutôt qu’universelle et excessive.
Portée pratique de la décision pour les TCSPs et la FinTech
Pour les TCSPs, ainsi que pour les entreprises FinTech soumises à la réglementation AML/KYC, cette décision a d’importantes implications pratiques. **Premièrement**, elle renforce la prévisibilité des pratiques de supervision. Les entreprises sont en droit d’attendre que les demandes d’informations soient justifiées, proportionnées et juridiquement fondées.
Deuxièmement, la décision encourage une meilleure organisation interne des processus de compliance. Il devient essentiel, dans les relations avec les régulateurs, de comprendre quelles données une entreprise est légalement tenue de conserver et lesquelles sont produites exclusivement à des fins de gestion interne.
Troisièmement, pour les autorités de supervision elles-mêmes, la décision définit un cadre dans lequel la supervision AML demeure tout aussi efficace, tout en devenant juridiquement plus solide. Des contrôles ciblés, une justification claire des demandes et l’utilisation des sources d’information publiques disponibles réduisent le risque de litiges ultérieurs et renforcent la confiance générale dans le système.
Conclusion
La décision rendue le 8 janvier 2026 par la Cour suprême d’Estonie n’affaiblit pas le système AML/KYC. Au contraire, elle le rend plus mature. La Cour a clairement indiqué que la lutte contre le blanchiment d’argent devait être menée dans le respect du cadre légal, du principe de proportionnalité et des garanties procédurales accordées aux entreprises.
Pour les TCSPs agréés, cette décision a confirmé que la sécurité juridique et une supervision efficace ne sont pas incompatibles. Pour le régulateur, elle a rappelé que les pouvoirs réglementaires ont des limites, même dans les domaines sensibles relevant de l’intérêt public. C’est précisément cet équilibre qui crée en Estonie un environnement stable, prévisible et fondé sur la confiance pour le développement des entreprises.
