Le Registre de transparence suisse doit entrer en vigueur le 1er octobre 2026 et recenser les bénéficiaires effectifs d'environ 600 000 entités juridiques. Mais une cyberattaque visant le système presque identique du Liechtenstein voisin a conduit les gérants de fortune suisses à s'interroger sur un éventuel report du lancement.

Des hackers ont pénétré le Registre des bénéficiaires effectifs du Liechtenstein, connu sous le nom de VwbP, dans la nuit du 29 au 30 juillet, et extrait des données personnelles liées à environ 31 000 entités juridiques. Les informations compromises comprenaient les noms, dates de naissance, nationalités et pays de résidence des personnes se trouvant derrière des sociétés, fondations et trusts. Aucune donnée financière n'a été consultée.

Ce qui s'est passé au Liechtenstein

Le Liechtenstein a lancé son VwbP en 2021 pour se conformer aux directives européennes de lutte contre le blanchiment d'argent. Les autorités ont détecté des irrégularités dans le registre le 30 juillet, mettant fin à sa période d'exploitation sécurisée. Le gouvernement liechtensteinois a réagi rapidement, mettant la base de données hors ligne et créant une cellule de crise dirigée par la Première ministre Brigitte Haas et le ministre de la Justice Emanuel Schädler. Les responsables ont été officiellement informés entre le 31 juillet et le 1er août. Des déclarations publiques confirmant l'ampleur de la violation ont suivi entre le 2 et le 4 août.

Pourquoi les gérants de fortune suisses s'inquiètent

La Suisse et le Liechtenstein sont étroitement imbriqués en matière de gestion de fortune. De nombreux clients suisses utilisent des entités domiciliées au Liechtenstein, notamment des fondations et des trusts, dans le cadre de leur structuration patrimoniale. La violation ne touche donc pas seulement les personnes à Vaduz ; elle affecte également des clients de l'autre côté de la frontière, à Zurich, Genève et dans les autres centres de banque privée.

Le propre Registre de transparence suisse fonctionnerait selon des modalités similaires au VwbP du Liechtenstein, en collectant des données sur les bénéficiaires effectifs des entités juridiques du pays. Son ampleur est toutefois nettement supérieure, avec environ 600 000 entités couvertes contre 31 000 pour le Liechtenstein — soit une surface d'attaque environ 20 fois plus grande, un point que les intermédiaires financiers suisses soulignent désormais avec urgence.

L'argument des gérants de fortune n'est pas que la transparence soit une mauvaise chose. Ils soutiennent plutôt que lancer une vaste base de données centralisée d'informations personnelles sensibles sans une cybersécurité infaillible serait imprudent. À leurs yeux, la violation subie par le Liechtenstein constitue une démonstration grandeur nature du type d'attaque qui pourrait viser le registre suisse à une échelle bien plus grande.

Ce débat s'inscrit dans une remise en question européenne plus large : qui devrait pouvoir consulter les données sur les bénéficiaires effectifs ? En novembre 2022, la Cour de justice de l'Union européenne a jugé que l'accès public généralisé à ces registres violait le droit à la vie privée, en réservant l'accès aux personnes ayant un intérêt légitime. Cette décision a remodelé le fonctionnement des registres des États membres de l'UE — et des pays de l'EEE comme le Liechtenstein — et elle encadre la discussion actuelle en Suisse sur la limitation de l'accès au Registre de transparence une fois celui-ci lancé.

La tension entre transparence et sécurité

Les registres des bénéficiaires effectifs répondent à un objectif politique simple : rendre le blanchiment d'argent plus difficile en imposant la divulgation de qui contrôle réellement les entités juridiques. Le Liechtenstein, bien que non membre de l'UE, a adopté ce cadre dans le cadre de son adhésion à l'Espace économique européen. Ces registres s'inscrivent dans un effort international plus vaste mené par des instances telles que le Groupe d'action financière (FATF) et le G20 pour lever l'anonymat que les sociétés écrans peuvent procurer.

Les données liechtensteinoises dérobées, bien qu'elles ne contiennent ni soldes de compte ni historiques de transactions, sont loin d'être inoffensives. Les noms et dates de naissance des bénéficiaires effectifs, combinés à leurs nationalités et pays de résidence, fournissent suffisamment d'informations pour mener des attaques d'ingénierie sociale sophistiquées, des vols d'identité, voire des menaces physiques contre des personnes fortunées.

La réponse des autorités suisses aux préoccupations des gérants de fortune à l'approche du lancement d'octobre 2026 — qu'il s'agisse de règles d'accès ajustées, d'exigences de sécurité renforcées ou d'un report — indiquera comment le pays entend concilier ses engagements en matière de lutte contre le blanchiment avec les attentes en matière de protection des données de son secteur de la banque privée.