L'Avocat général de la Cour de justice de l'Union européenne a clarifié le cadre juridique applicable au traitement des données par les cellules de renseignement financier et les conditions de restriction du droit d'accès des personnes concernées.

Cette affaire fait suite à un renvoi préjudiciel de la Cour suprême estonienne concernant un litige entre un particulier et la cellule de renseignement financier estonienne (RAB). Cette dernière a refusé à plusieurs reprises de communiquer les informations détenues sur le demandeur, invoquant la nécessité de préserver la confidentialité pour protéger le système financier estonien, et ce malgré des décisions contraires des tribunaux nationaux et de l'autorité de protection des données estonienne (AKI). La Cour suprême a donc interrogé la Cour de justice sur le régime de protection des données applicable et les circonstances dans lesquelles une telle restriction d'accès est légale.

Dans ses conclusions, l'Avocat général estime que le traitement de données par les cellules de renseignement financier (CRF) relève de la Directive 2016/680, et non du RGPD, car elles remplissent deux conditions cumulatives : être une autorité compétente pour la prévention et la détection d'infractions pénales, et traiter les données à ces fins. Elle précise que cette qualification ne dépend pas de leur structure organisationnelle. Concernant le droit d'accès, elle considère qu'une interdiction totale peut être compatible avec l'obligation de confidentialité des CRF, à condition que cette restriction respecte le principe de proportionnalité et soit limitée dans sa portée et sa durée à ce qui est strictement nécessaire pour atteindre l'objectif légitime poursuivi.