AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par l’Autorité des marchés financiers d’une demande d’autorisation concernant la mise en œuvre d’un arrangement administratif visant à encadrer les transferts des données à caractère personnel avec ses homologues en dehors de l’Espace économique européen ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, notamment son article 46.3.b ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’accord multilatéral portant sur la consultation, la coopération et l’échange d’informations de l’Organisation internationale des Commissions de valeurs mobilières de mai 2002 ;
Vu l’avis 4/2019 sur le projet d'arrangement administratif pour le transfert de données à caractère personnel entre les autorités des marchés financière de l'EEE et les autorités de marchés financiers non membres de l'EEE du Comité européen de la protection des données ;
Après avoir entendu M. Philippe Pierre CABOURDIN, commissaire, en son rapport, et Mme Nacima Belkacem, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par l’AMF d’une demande d’autorisation pour la mise en œuvre d’un arrangement administratif visant à encadrer les transferts des données à caractère personnel avec ses homologues en dehors de l’Espace économique européen (EEE).
En effet, en vertu de l’article 46 du Règlement général sur la protection des données (ci-après, RGPD ), en l’absence de décision d’adéquation de la Commission européenne (article 45 du RGPD), un transfert de données à caractère personnel vers un pays tiers ne peut avoir lieu que si des garanties appropriées ont été prévues par l’exportateur de données et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives.
Sous réserve de l’autorisation de la Commission nationale de l’informatique et des libertés, les garanties appropriées visées ci-dessus peuvent être fournies par des dispositions à intégrer dans des arrangements administratifs entre autorités publiques qui prévoient des droits opposables et effectifs pour les personnes concernées (article 46.3.b du RGPD).
L'AMF, en qualité de membre de l'Organisation internationale des commissions de valeurs (OICV), est partie à l'accord multilatéral portant sur la consultation, la coopération et l'échange d'informations (ci-après Multilateral Memorandum of Understanding, ou MMOU) signé en 2002. L'OICV est une organisation internationale qui regroupe les régulateurs de marchés financiers dans le monde.
Le MMOU ne traite pas spécifiquement de la question de la protection des données personnelles et ne contient pas de garanties pour l’encadrement des transferts de données personnelles en dehors de l’Union européenne.
Afin de se conformer aux exigences du RGPD mentionnées ci-dessus, les régulateurs des marchés financiers EEE, dont l’AMF, ont entamé des négociations avec leurs homologues hors EEE pour l’élaboration d’un outil de transfert – un arrangement administratif – selon l’article 46.3.b du RGPD, en vue d’encadrer leurs transferts des données personnelles en dehors de l’EEE.
L’Autorité européenne des marchés financiers (ESMA), agissant en tant que facilitateur pour le compte des régulateurs des marchés financiers de l'EEE, a soumis en premier cet accord cadre pour avis formel au CEPD, le 7 janvier 2019.
Cet arrangement administratif sera utilisé par toutes les autorités de marchés financiers EEE pour l’encadrement de leurs transferts de données à caractère personnel hors EEE.
Le CEPD a rendu un avis favorable sur cet arrangement administratif le 12 février 2019 et a considéré que les exigences prévues par l’article 46.3.b du RGPD étaient satisfaites.
Eléments de contexte sur les traitements opérés dans le cadre de l’arrangement administratif
La coopération entre l’AMF et ses homologues relevant d’un Etat non membre de l’EEE est organisée sur le fondement de l’article L. 632-7 du code monétaire et financier (CMF), qui permet à l’AMF de conclure des accords de coopération prévoyant notamment l’échange d’informations avec des autorités homologues relevant d’Etats tiers (non UE et non parties à l’EEE). Les échanges d’informations avec les pays tiers se font dans le cadre des accords multilatéraux ou bilatéraux portant sur la consultation, la coopération et l’échange d’informations.
Cette coopération est encadrée, les informations étant communiquées et demandées selon le principe de proportionnalité ; l’utilisation des informations échangées, et donc des données personnelles, est limitée au cadre strict de la demande pour l’accomplissement des missions respectives des régulateurs de marché.
La coopération internationale instaurée par l’AMF avec ses homologues bénéficie autant à celle-ci qu’à ses homologues étrangers.
Conformément au registre des traitements Informatique et Libertés de l’AMF, le traitement ayant pour finalité la réponse aux demandes d’informations des homologues hors EEE permet les transferts de données personnelles à l'étranger dans le cadre de la coopération internationale de l’AMF avec ses homologues, afin de renseigner une autorité requérante quant à l'honorabilité d'une personne physique dans le cadre d'une procédure d'agrément, d'autorisation ou de délivrance d’une carte professionnelle et de traiter des demandes d'informations qui supposent de mener des investigations approfondies (enquêtes en matière d'abus de marché, notamment).
Les données pouvant être transférées sont notamment des données d’identification des bénéficiaires économiques (nom, prénom, adresse, numéro de téléphone) suspectés d’abus de marché, des informations d’ordre économique et financier (des données bancaires) ou, plus rarement, des données relatives à d’éventuelles infractions ou condamnations. Les personnes concernées par le transfert dans le cadre de l’arrangement administratif sont des personnes physiques suspectées d’abus de marché ou d’autres manquements à la règlementation boursière et/ou des personnes exerçant ou devant exercer des fonctions au sein d’entités agréées.
Sur les garanties inclues dans l’arrangement administratif 
Limitation de finalité
L'AMF ne pourra accepter de transférer les données à caractère personnel demandées que dans le cadre des mandats et responsabilités des autorités des marchés financiers définies conformément aux fondements juridiques et finalités exposés dans la demande reçue. Les autorités des marchés financiers non-EEE, ne seront pas autorisées à traiter ultérieurement les données à caractère personnel transférées d’une manière incompatible avec ces mandats et responsabilités. Le mécanisme de supervision constitué au niveau de l'OICV assurera le contrôle de cette garantie lors des revues périodiques prévu par l’arrangement administratif. L’arrangement reprend ainsi le principe énoncé à l’article 5 (b) du RGPD.
Exactitude et minimisation des données
L’AMF ne transfèrera que des données à caractère personnel qui sont exactes, à jour, adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont transférées. Les autorités des marchés financiers assureront que toute donnée inexacte sera effacée ou rectifiée selon le cas en l’espèce. L’arrangement reprend ainsi les principes énoncés à l’article 5 (c) et (d) du RGPD.
Transparence
Une notice d’information générale à destination des personnes concernées avec des éléments sur le traitement de leurs données personnelles sera publiée sur le site web de chaque autorité des marchés financiers avant tout transfert. L’arrangement administratif en question sera également publié. En outre, une notification individuelle sera fournie aux personnes concernées par l’AMF, conformément aux dispositions du RGPD. La personne concernée pourrait s’opposer à ce traitement en vertu des droits prévus par l’arrangement administratif. L’arrangement reprend ainsi les principes énoncés aux articles 13 et 14 du RGPD.
Limitation de la conservation des données
Les données à caractère personnel transférées seront conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. L’arrangement reprend ainsi le principe énoncé à l’article 5 (e) du RGPD.
Sécurité et confidentialité
Les autorités des marchés financiers non-EEE mettront en place des mesures techniques et organisationnelles (par exemple : marquage des informations permettant de les identifier comme données à caractère personnel) afin de garantir une sécurité appropriée. Toute violation de données à caractère personnel sera notifiée à l’AMF dans les meilleurs délais et des moyens appropries seront mis en place afin de remédier la violation en question. Le mécanisme de supervision constitué au niveau de l'OICV assurera le contrôle de cette garantie lors des revues périodiques prévu par l’arrangement administratif. L’arrangement reprend ainsi les principes énoncés aux articles 5 (f) et 32 du RGPD.
Définitions des droits des personnes
Les définitions des principes clés et des droits des personnes inclues dans l’arrangement administratif sont conformes aux définitions de l’article 4 du RGPD.
Droits des personnes
En vertu de l’arrangement administratif, les personnes concernées ont le droit d’obtenir confirmation du traitement de leurs données personnelles ainsi qu’un accès à ces données. Les personnes concernées ont également le droit de demander l’effacement, la rectification et la limitation de leurs données personnelles et de s’opposer au traitement de leurs données personnelles. Les éventuelles limitations à ces droits doivent être prévues par la loi et sont applicables pour autant que nécessaire afin de respecter les obligations légales en question (par exemple : secret professionnel). Le mécanisme de supervision constitué au niveau OICV, assurera le contrôle de cette garantie lors des revues périodiques prévu par l’arrangement administratif. L’arrangement reprend ainsi les principes énoncés aux articles 15, 16, 17, 18, 19 et 21 du RGPD.
Par ailleurs, une des conditions de la mise en œuvre de l’arrangement administratif en vertu de l’article 46.3.b du RGPD est l’existence de droits opposables et effectifs pour les personnes concernées. Afin de remplir cette condition et permettre aux personnes concernées d’exercer leurs droits de manière effective, l’arrangement administratif sera rendu public sur le site web de chacune des autorités des marchés financiers, signataires de l’arrangement administratif.
Transferts ultérieurs
Les transferts ultérieurs à un tiers, dans un pays tiers, non couverts par une décision d'adéquation de la Commission européenne, ne peuvent avoir lieu qu'avec le consentement écrit préalable de l’AMF et si la partie tierce fournit des assurances compatibles avec l’arrangement administratif.
Les mêmes garanties sont envisagées pour le partage de données personnelles avec un tiers, établi dans le pays de l’autorité des marchés financiers destinataire, à moins que, dans des cas exceptionnels, ce tiers ne puisse fournir les assurances susmentionnées. Dans ce cas, le transfert ne peut avoir lieu que :
(i) si la communication est nécessaire pour des raisons importantes d’intérêt public et qui doit être reconnu comme tel par l’Union européenne ou par la France ;
(ii) si la finalité pour laquelle les données personnelles sont partagées puis traitées est conforme à celle pour laquelle les données ont été initialement transférées et si le partage est nécessaire pour remplir le mandat et les responsabilités de l'autorité des marchés financiers destinataire et/ou de la tierce partie ;
(iii) lorsque le partage de données personnelles fait suite à une demande légalement exécutoire ou est requis par la loi. Dans ce cas-là, l’autorité de marchés financiers destinataire doit notifier le partage de données personnelles à l’AMF avant le partage de ces données.
L’arrangement reprend ainsi le principe énoncé à l’article 44 du RGPD.
Mécanisme de recours et de supervision
Un mécanisme de recours est prévu afin de garantir aux personnes concernées le droit d’obtenir réparation et, le cas échéant, une indemnisation. Le recours peut être exercée devant l’organe compétent (par exemple : un tribunal) dans le pays dans lequel la violation est commise. Un mécanisme de recours en quatre étapes, défini dans la Section III (8) de l’arrangement administratif, peut également être utilisé.
Un mécanisme de supervision est prévu afin d’assurer la bonne exécution des garanties de l’arrangement administratif. L’organe de supervision interne à l’OICV ( Groupe d’évaluation ) réalisera des revues périodiques des engagements de l’arrangement administratif et, si besoin, émettra des recommandations auprès de l’autorité concernée, qui seront notifiées à l’ensemble des autorités des marchés financiers. Les signataires de cet arrangement administratif réaliseront également des revues périodiques de leurs propres procédures, dont les résultats devront être notifiés au Groupe d’évaluation.
En conclusion, au regard de ces éléments et de l’avis favorable du CEPD, la Commission relève que les dispositions de l’arrangement administratif, en l’espèce, apportent des garanties appropriées conformes au RGPD. Dans ces conditions, la Commission autorise l’arrangement administratif visant à encadrer les transferts des données à caractère personnel entre l’AMF et ses homologues en dehors de l’EEE.
La présente décision et l’arrangement administratif de l’AMF seront publiés sur le site web de la CNIL.
Cette autorisation est délivrée sous réserve de la signature de l’arrangement administratif par les autorités des marchés financiers concernées.
L’AMF devra notifier à la CNIL toute suspension des transferts de données personnelles selon les sections III (8) et IV de l’arrangement administratif ainsi que toute modification ou interruption de participation à l’arrangement administratif.
La Commission prend acte que l’AMF tiendra un registre avec les éléments suivants concernant l’arrangement administratif :
informations concernant la durée de conservation de données personnelles transférées dans le cadre de l’arrangement administratif ;
informations sur les notifications reçues par l’AMF concernant les violations de données à caractère personnel en vue de la section III (4) de l’arrangement administratif ;
informations sur les résultats des revues périodiques du Groupe d’évaluation, notamment en ce qui concerne la section III (6.2.3) de l’arrangement administratif ;
informations sur les notifications reçues par l’AMF conformément à la section III (6.2.4) de l’arrangement administratif ;
nombre de demandes de résolution de litiges reçues par l’AMF ou concernant les données à caractère personnelle transférées par l’AMF ;
informations détaillées concernant les cas soumis aux mécanismes de règlement de litiges envisagés par l’arrangement administratif ;
informations détaillées sur les cas non résolus par les mécanismes de règlement des litiges envisagés et action prise par l’AMF ;
informations sur les recommandations du Groupe d’évaluation aux autorités de marchés financiers suite aux revues périodiques.
La CNIL se réserve le droit de demander ces informations à l’AMF dans l'objectif d’assurer le contrôle de la mise en œuvre pratique de cet arrangement administratif.
La CNIL se réserve le droit de retirer cette autorisation si l'arrangement administratif est modifié et ne présente plus les garanties appropriées au sens de l'article 46.3.b du RGPD.
La Présidente
 
Marie–Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des solidarités et de la santé d’une demande d’avis concernant un projet de décret en Conseil d’Etat modifiant le décret n° 2018-383 du 23 mai 2018 autorisant les traitements de données à caractère personnel relatifs au suivi des personnes en soins psychiatriques sans consentement ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2016-680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code de procédure pénale, notamment son article 706-135 ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 3212-1, L. 3213-1, L. 3213-7, L. 3214-3
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret du 5 mars 2015 portant création d’un traitement automatisé de données à caractère personnel dénommé Fichier de traitement des signalements pour la prévention de la radicalisation à caractère terroriste (FSPRT) ;
Vu le décret n° 2018-383 du 23 mai 2018 autorisant les traitements de données à caractère personnel relatifs au suivi des personnes en soins psychiatriques sans consentement ;
Vu l’instruction n° SG/2016/14 du 8 janvier 2016 relative au cadre d’intervention des agences régionales de santé s’agissant des phénomènes de radicalisation ;
Vu l’instruction n° SG/2016/377 du 2 décembre 2016 relative à la déclinaison de la stratégie territoriale du ministère des affaires sociales et de la santé par les ARS dans le cadre de la prévention et de la prise en charge de la radicalisation ;
Vu la délibération n° 2018-152 du 3 mai 2018 portant avis sur un projet de décret autorisant les traitements de données à caractère personnel relatifs au suivi des personnes en soins psychiatriques sans consentement ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par la ministre des solidarités et de la santé d’une demande d’avis modifiant le décret n° 2018-383 du 23 mai 2018 autorisant les traitements de données à caractère personnel relatifs au suivi des personnes en soins psychiatriques sans consentement. Ces traitements, dénommés HOPSYWEB et gérés par les agences régionales de santé (ARS), ont pour finalité d’assurer au niveau départemental le suivi des personnes en soins psychiatriques sans consentement prises en charge en application des articles L. 3212-1, L. 3213-1, L. 3213-7, L. 3214-3 du code de la santé publique et de l’article 706-135 du code de procédure pénale.
Les modifications projetées visent à mettre en relation les traitements HOPSYWEB avec le FSPRT et ainsi permettre notamment aux préfets de département et, à Paris, au préfet de police du lieu d’hospitalisation d’être informés, aux fins de prévention de la radicalisation, de l’éventuelle hospitalisation sans consentement d’une personne qui serait également enregistrée dans le FSPRT.
Si l’interconnexion projetée doit permettre, dans un contexte général de prévention des risques liés à la radicalisation des personnes atteintes de troubles psychiatriques, d’améliorer les modalités de transmission aux préfets des informations relatives aux admissions en soins psychiatriques sans consentement, la Commission souligne la différence profonde d’objet entre les deux fichiers en présence, l’un faisant état d’antécédents psychiatriques d’une certaine gravité, l’autre ayant la nature d’un fichier de renseignement. Une telle mise en relation ne peut être envisagée qu’avec une vigilance particulière.
Elle rappelle par ailleurs que dans la mesure où certaines informations contenues dans HOPSYWEB sont couvertes par le secret médical, des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données personnelles doivent être mises en œuvre. La Commission estime à cet égard que des mesures juridiques et techniques adaptées doivent être prévues afin d'assurer un haut niveau de protection des données.
Sur la nouvelle finalité des traitements HOPSYWEB et le régime juridique applicable :
La Commission rappelle que les traitements HOPSYWEB, sur lesquels elle s’est déjà prononcée, visent à assurer le suivi des personnes faisant l'objet de soins psychiatriques sans consentement en permettant la gestion administrative des mesures associées. Elle indique que cette gestion est confiée aux ARS dans le cadre des protocoles départementaux établis avec les préfets de département et, à Paris, avec le préfet de police.
Or, la Commission relève que le projet de décret vise à modifier les finalités poursuivies par les traitements HOPSYWEB en ajoutant une finalité nouvelle de prévention de la radicalisation. En effet, l’article 1er du décret n° 2018-383 du 23 mai 2018 est ainsi complété : ces traitements de données à caractère personnel ont pour finalité le suivi des personnes faisant l’objet de soins psychiatriques sans consentement en permettant (…) l’information du représentant de l’Etat sur l’admission des personnes en soins psychiatriques sans consentement nécessaire aux fins de prévention de la radicalisation, dans les conditions prévues au livre II de la troisième partie du code de la santé publique susvisé et de l’article 706-135 du code de procédure pénale . Cette nouvelle finalité se traduit par une interconnexion, prévue par le projet de décret selon les modalités décrites ci-après, entre les traitements HOPSYWEB et le FSPRT
Dans le cadre notamment de la mise en œuvre du plan national pour la radicalisation, le ministère estime en effet que cette information doit permettre au préfet de département et, à Paris, au préfet de police, de savoir de manière rapide et certaine qu’une personne suivie au titre de la radicalisation, y compris dans un autre département, fait l’objet ou a fait l’objet d’une hospitalisation sans consentement dans le ressort départemental dont il a la charge dans un contexte de risque terroriste élevé.
La Commission observe, qu’en pratique, les préfets pourront ainsi être en mesure d’identifier les personnes susceptibles de présenter, en raison d’une pathologie psychiatrique préexistante ayant donné lieu à une mesure d’hospitalisation sans consentement, des risques potentiels d’atteinte à la sûreté des personnes ou à l’ordre public. A ce titre, le ministère a en effet précisé que si cette information vise à améliorer la prévention des risques liés à la radicalisation des personnes atteintes de troubles psychiatriques en assurant un meilleur suivi de ces dernières, elle doit également leur permettre de décider de la mise en place d’actions appropriées à mener au regard des informations déjà enregistrées dans le FSPRT.