Cadre réglementaire
Le Portugal a considérablement renforcé son dispositif anti-blanchiment au cours des dernières années, notamment sous l'impulsion des directives européennes et des évaluations mutuelles du GAFI. Le texte fondateur est la Lei n.º 83/2017 de 18 de agosto (loi n° 83/2017 du 18 août), qui a transposé la 4e directive européenne anti-blanchiment (AMLD4) et remplacé l'ancienne loi n° 25/2008. Cette loi a été modifiée par la Lei n.º 58/2020 pour intégrer les exigences de l'AMLD5, et par des modifications ultérieures pour la transposition de l'AMLD6.
Le Banco de Portugal est l'autorité de supervision prudentielle pour les établissements de crédit, les sociétés financières, les établissements de paiement et les établissements de monnaie électronique. Il est responsable de la supervision du respect des obligations LCB-FT dans le secteur financier et dispose de pouvoirs de contrôle et de sanction. L'ASF (Autoridade de Supervisão de Seguros e Fundos de Pensões) supervise le secteur des assurances et des fonds de pension. La CMVM (Comissão do Mercado de Valores Mobiliários) supervise les marchés de valeurs mobilières et les sociétés de gestion.
La UIF (Unidade de Informação Financeira), rattachée à la Polícia Judiciária, est la cellule de renseignement financier portugaise. Elle reçoit et analyse les communications de transactions suspectes (comunicações de operações suspeitas) transmises par les entités assujetties et décide de la transmission aux autorités judiciaires.
Le DCIAP (Departamento Central de Investigação e Ação Penal) est le département du ministère public spécialisé dans la poursuite des infractions économiques et financières, y compris le blanchiment de capitaux. Le système portugais se caractérise par une coordination étroite entre la UIF, le DCIAP et les autorités de supervision sectorielles.
Entités assujetties
L'article 4 de la Lei 83/2017 définit les entités assujetties (entidades obrigadas) :
- Établissements de crédit : banques commerciales, caisses d'épargne (caixas económicas), caisses de crédit agricole mutuel (caixas de crédito agrícola mútuo)
- Sociétés financières : sociétés de crédit spécialisé, sociétés de factoring, sociétés de leasing
- Établissements de paiement et de monnaie électronique : fintechs, opérateurs de services de paiement
- Sociétés d'assurance et de réassurance : pour les activités d'assurance-vie et de capitalisation
- Sociétés de gestion d'actifs et entreprises d'investissement : SGFIM, sociétés de capital-risque
- Prestataires de services sur actifs virtuels : plateformes d'échange de crypto-actifs enregistrées auprès du Banco de Portugal
- Professions juridiques : avocats (advogados), solicitadores, notaires (notários)
- Professions comptables : réviseurs officiels de comptes (revisores oficiais de contas), contabilistas certificados
- Agents immobiliers : mediadores imobiliários
- Marchands de biens de grande valeur : pour les transactions en espèces supérieures à 10 000 euros
- Casinos et opérateurs de jeux : casinos terrestres, opérateurs de jeux en ligne autorisés par le SRIJ
- Organizações sem fins lucrativos : fondations et associations d'utilité publique, dans certaines conditions
Le Portugal a également étendu les obligations aux prestataires de services aux sociétés et trusts (trust and company service providers), conformément à l'AMLD5.
Mesures de vigilance à l'égard de la clientèle
Vigilance standard (CDD)
Les obligations de diligence standard (dever de identificação e diligência) sont détaillées aux articles 23 à 34 de la Lei 83/2017 :
Identification du client : pour les résidents portugais, le Cartão de Cidadão (carte de citoyen, qui combine carte d'identité, carte de sécurité sociale, carte de santé et carte fiscale) est le document de référence. Pour les étrangers résidant au Portugal, le titre de résidence ou le passeport. Pour les personnes morales, l'inscription au Registo Comercial et le numéro d'identification de personne morale (NIPC).
Vérification de l'identité : la vérification doit être effectuée par des moyens fiables et indépendants. Le Banco de Portugal a émis des instructions spécifiques (Aviso n.º 2/2018) détaillant les moyens acceptables de vérification, incluant la vérification en présentiel, la vérification à distance par vidéo-identification sous conditions strictes, et l'utilisation du système Chave Móvel Digital (signature numérique mobile portugaise) pour l'identification électronique.
Identification du bénéficiaire effectif (beneficiário efetivo) : toute personne physique détenant directement ou indirectement plus de 25 % du capital ou des droits de vote, ou exerçant un contrôle effectif par tout autre moyen. Le Portugal a mis en place le RCBE (Registo Central do Beneficiário Efetivo), un registre central des bénéficiaires effectifs accessible aux entités assujetties, administré par l'IRN (Instituto dos Registos e do Notariado).
Évaluation de l'objet et de la nature de la relation d'affaires : compréhension de l'activité du client, de l'origine des fonds et de la finalité des opérations.
Surveillance continue : mise à jour régulière des informations et surveillance des transactions pour détecter toute incohérence.
Vigilance renforcée (EDD)
Les mesures de vigilance renforcée (medidas reforçadas de diligência) s'appliquent dans les situations suivantes :
- Personnes politiquement exposées (PEP — pessoas politicamente expostas) : la définition couvre les fonctions nationales, étrangères et internationales, ainsi que les membres proches de la famille et les associés connus. Approbation de la direction, clarification de l'origine du patrimoine et des fonds, surveillance renforcée.
- Pays tiers à haut risque : pays identifiés par la Commission européenne ou le GAFI.
- Correspondance bancaire avec des établissements de pays tiers : évaluation du dispositif LCB-FT de l'établissement correspondant.
- Opérations complexes ou inhabituelles : transactions dont le montant, les modalités ou les parties ne correspondent pas au profil du client.
- Programme de Golden Visa : le Portugal applique des mesures de vigilance renforcée spécifiques au programme d'autorisation de résidence pour investissement (ARI), en raison des risques identifiés de blanchiment dans ce secteur. Des contrôles supplémentaires sur l'origine des fonds et la vérification de l'identité des investisseurs sont requis.
Documents requis
Pour les personnes physiques :
- Cartão de Cidadão (résidents portugais) ou passeport/titre de résidence (étrangers)
- NIF (Número de Identificação Fiscal)
- Justificatif de domicile récent (comprovativo de morada)
- Le cas échéant, documentation sur l'origine des fonds (pour les PEP et les investisseurs du programme ARI)
Pour les personnes morales :
- NIPC (Número de Identificação de Pessoa Coletiva)
- Certidão permanente du Registo Comercial (extrait du registre du commerce en ligne)
- Pacto social (statuts) à jour
- Pièces d'identité des gerentes (gérants) ou administradores (administrateurs)
- Inscription au RCBE (Registo Central do Beneficiário Efetivo)
- Le cas échéant, procurations
Pour les entités non résidentes :
- Équivalent de l'extrait du registre du commerce du pays d'origine, apostillé ou légalisé
- Identification des bénéficiaires effectifs selon les exigences de la loi portugaise
Durée de conservation : 7 ans après la fin de la relation d'affaires ou l'exécution de la transaction (le Portugal a opté pour une durée supérieure au minimum de 5 ans prévu par la directive).
Obligations déclaratives
Communication de transactions suspectes : les entités assujetties doivent communiquer à la UIF (via le système en ligne) toute opération ou tentative d'opération dont elles savent, soupçonnent ou ont des raisons raisonnables de soupçonner qu'elle est liée au blanchiment de capitaux ou au financement du terrorisme. La communication doit intervenir immédiatement après la formation du soupçon.
Obligation de non-exécution : lorsqu'un soupçon existe, l'entité assujettie doit s'abstenir d'exécuter la transaction suspecte jusqu'à avoir communiqué à la UIF, sauf si l'abstention risque de compromettre la poursuite du client ou si la transaction ne peut raisonnablement être différée.
Communication systématique : certaines opérations doivent être communiquées au Banco de Portugal de manière systématique, notamment les transferts de fonds transfrontaliers au-delà de certains seuils et les opérations en espèces supérieures à 15 000 euros.
Interdiction d'informer (dever de não divulgação) : l'entité assujettie ne peut informer le client ni des tiers de la communication effectuée à la UIF.
En 2024, la UIF a reçu environ 8 000 communications de transactions suspectes, un volume en croissance constante reflétant la sensibilisation accrue du secteur financier portugais.
Sanctions en cas de non-conformité
Sanctions administratives :
- Infractions très graves : amende de 50 000 à 5 000 000 euros pour les personnes morales, ou jusqu'à 10 % du chiffre d'affaires annuel. Pour les personnes physiques, amende de 25 000 à 5 000 000 euros. Interdiction d'exercer des fonctions dirigeantes.
- Infractions graves : amende de 25 000 à 2 500 000 euros pour les personnes morales. Suspension temporaire d'activité.
- Infractions légères : amende de 5 000 à 500 000 euros.
Sanctions pénales :
- Le blanchiment de capitaux (article 368-A du Código Penal) est puni de 2 à 12 ans d'emprisonnement
- Le financement du terrorisme (article 5-A de la Lei 52/2003) est puni de 8 à 15 ans d'emprisonnement
- La non-communication d'une transaction suspecte peut constituer une infraction pénale
Publication des sanctions : les décisions de sanction sont publiées sur les sites des autorités de supervision, avec identification de l'entité sanctionnée.
Comment CheckFile vous accompagne
Le cadre KYC portugais présente des spécificités, notamment le Cartão de Cidadão multifonction, le registre RCBE des bénéficiaires effectifs et les exigences renforcées liées au programme Golden Visa. CheckFile offre une solution de vérification documentaire par intelligence artificielle adaptée à ces particularités.
La plateforme vérifie automatiquement l'authenticité du Cartão de Cidadão portugais, des titres de résidence et de plus de 6 000 types de documents internationaux. L'IA analyse les éléments de sécurité du document (puce, hologrammes, encres optiquement variables), extrait les données biographiques et effectue une cross-validation avec les informations déclarées. Pour les vérifications liées au programme Golden Visa, CheckFile permet une analyse renforcée des documents financiers attestant de l'origine des fonds d'investissement.
CheckFile génère une piste d'audit complète et horodatée, archivée pendant les 7 ans requis par la législation portugaise. L'intégration via API s'adapte aux systèmes bancaires portugais et aux plateformes d'onboarding, automatisant le processus de vérification tout en maintenant la qualité requise par le Banco de Portugal. Le traitement est conforme au RGPD avec hébergement européen des données.
FAQ
Quels documents sont requis pour le KYC au Portugal ?
Pour les résidents portugais, le Cartão de Cidadão est le document de référence, accompagné du NIF. Pour les étrangers, le titre de résidence ou le passeport avec le NIF sont requis. Pour les personnes morales, le NIPC, la certidão permanente du registre du commerce, les statuts, les pièces d'identité des dirigeants et l'inscription au RCBE sont nécessaires. La durée de conservation est de 7 ans après la fin de la relation d'affaires.
Quelles sont les sanctions en cas de non-conformité KYC au Portugal ?
Les sanctions pour infractions très graves peuvent atteindre 5 millions d'euros ou 10 % du chiffre d'affaires annuel. Le blanchiment est passible de 2 à 12 ans d'emprisonnement. Le financement du terrorisme est puni de 8 à 15 ans de prison. Les sanctions sont publiées avec identification de l'entité sanctionnée, entraînant un risque réputationnel important.
À quelle fréquence les vérifications KYC doivent-elles être actualisées au Portugal ?
La fréquence de mise à jour est fondée sur le risque. Les clients à haut risque (PEP, investisseurs Golden Visa, pays à haut risque) font l'objet d'une revue annuelle. Les clients à risque standard sont revus tous les 3 ans et les clients à faible risque tous les 5 ans. Les événements déclencheurs (changement de bénéficiaire effectif, opération inhabituelle, information de source externe) imposent une mise à jour immédiate du dossier.