Anonymiser les données transmises dans le cadre d'une COSI pour revue de procédure – Anonymisation conforme au RGPD selon CMF art. L561-15-1
L'article L561-15-1 du Code monétaire et financier institue la communication systématique d'informations (COSI) : certains assujettis transmettent à TRACFIN des informations de manière systématique selon un protocole défini. Ces flux contiennent des données transactionnelles identifiantes. anonym.legal pseudonymise les données COSI pour permettre un contrôle qualité interne du protocole sans exposer les clients.
Quand cela s'applique
Ce flux s'applique lorsque le service conformité doit auditer le paramétrage ou la qualité des transmissions COSI déjà réalisées, afin de vérifier que les seuils et critères déclencheurs sont correctement appliqués, sans pour autant manipuler des données nominatives en dehors du système sécurisé.
Comment anonym.legal s'en occupe
- Exportez un échantillon anonymisable des transmissions COSI depuis le système de reporting (format CSV ou XML).
- Téléversez l'échantillon sur anonym.legal dans une session à accès restreint.
- Le moteur identifie et pseudonymise les identifiants clients, numéros de compte, IBAN et noms des contreparties.
- Les données transactionnelles (montant, devise, date, type d'opération, critère déclencheur) sont préservées pour permettre l'évaluation du paramétrage.
- Un rapport de pseudonymisation est généré avec la liste des champs traités et le taux de couverture.
- Exportez l'échantillon pseudonymisé pour la revue du protocole COSI ; les données originales restent dans le système réglementaire.
Ce que vous fournissez
- Échantillon de transmissions COSI exporté du système de reporting (CSV ou XML)
- Documentation du protocole COSI en vigueur (critères déclencheurs, seuils)
Limites & précautions
- Les transmissions COSI originales ne doivent pas être modifiées ; seul un échantillon exporté pour revue fait l'objet de ce flux.
- anonym.legal ne valide pas la conformité du protocole COSI avec les exigences de TRACFIN — ce point relève du responsable déclarant.
- La pseudonymisation des données COSI ne dispense pas l'établissement de ses obligations de conservation au titre de l'article L561-32 du CMF.
FAQ
La COSI est-elle distincte de la déclaration de soupçon classique ?
Oui. La COSI (art. L561-15-1 CMF) est une transmission automatique et systématique d'informations à TRACFIN selon un protocole préétabli, indépendamment de tout soupçon individuel. La déclaration de soupçon (art. L561-15 CMF) est déclenchée par un professionnel sur la base d'un soupçon qualifié sur une opération ou un client spécifique.
Quel est le risque RGPD lié au traitement d'un échantillon COSI en dehors du système réglementaire ?
Tout traitement d'un échantillon COSI hors du système réglementaire constitue un traitement de données personnelles soumis au RGPD (base légale art. 6(1)(c)). L'établissement doit s'assurer que ce traitement annexe est documenté dans son registre de traitement (art. 30 RGPD) et que les mesures de sécurité appropriées sont en place (art. 32 RGPD).