AgentPublic/cnil huggingface dataset:
L’autorité des marchés financiers, ci-après l’« AMF », est une autorité publique indépendante chargée de veiller à la protection de l’épargne investie dans les instruments financiers ou tout autre placement qui donne lieu à offre au public, à l’information des investisseurs et au bon fonctionnement des marchés financiers.
Sur la finalité
L’AMF a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la gestion des procédures de sanction. 
Le traitement comporte des données à caractère personnel relatives liées :
à des manquements, présumés ou qualifiés, relevant de Ia compétence de l'AMF, recueillis par les enquêteurs et contrôleurs lors de missions qui ont donné lieu soit a l'ouverture d'une procédure de composition administrative, soit à l'ouverture d'une procédure de sanction devant la Commission des sanctions de l'AMF ou à la transmission du rapport d'enquête ou de contrôle au procureur de la République ; 
aux accords de composition administrative, aux condamnations, que celles-ci aient été prononcées par la Commission des sanctions ou par une juridiction pénale.
Il y a dès lors lieu pour la Commission de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Conformément à l’article 9 alinéa 1er de la loi du 6 janvier 1978 modifiée, l’AMF met en œuvre ce traitement de données relatives aux infractions en tant qu’autorité publique agissant dans le cadre de ses attributions légales : pouvoirs de contrôles, d’enquêtes, d’injonctions, de compositions administratives et de sanctions (article L 621-9 et suivants du code monétaire et financier).
Le traitement permet l’instruction et le suivi des procédures de sanctions et de leurs recours, ainsi que des procédures de composition administrative, engagées par l’AMF en application des articles 621-14-1 et suivants du code monétaire et financier. Le traitement concerne, de manière séparée et indépendante : l’autorité de poursuites ; le Collège et l’autorité de jugement ; la Commission des sanctions.  
Le traitement comprend pour chaque procédure, quelles que soient les suites qui lui sont apportées (accord de composition administrative homologué, mise hors de cause, sanction), des données descriptives de la procédure, l’ensemble des pièces de procédure (dossiers d’enquête ou de contrôle, décision de la commission spécialisée, courriers et mémoires des parties, procès-verbaux d’audition, actes d’instruction complémentaire, décision de la Commission des sanctions, courriers et mémoires post-décision de la Commission des sanctions notamment dans le cadre des éventuels recours) et le cas échéant, les décisions de justice.
La Commission considère que la finalité poursuivie par le traitement est légitime, déterminée et explicite. 
Sur les données traitées
Le traitement comporte les données à caractère personnel suivantes :
identité ;
situation familiale ; 
formation ;
vie professionnelle ;
situation économique et financière ;
données de connexion ;
manquements administratifs, infractions et condamnations des personnes mises en cause interrogées ;
identité et vie professionnelle des conseils des personnes auditionnées dans le cadre des missions ;
identité et vie professionnelle des agents de l’AMF, des membres du collège et des membres de la commission des sanctions intervenant dans la procédure. 
Sur les destinataires
Seuls sont destinataires des données les membres de la Commission des sanctions et les membres du Collège ainsi que par les agents de l'AMF apportant leur concours a ces instances conformément aux articles R.621-37-2 et suivants et R.621-38 et suivants du CMF. 
Toutes ces personnes sont tenues au secret professionnel dans les conditions prévues à l’article L 642-1 du CMF.
Les données sont également communiquées aux juridictions concernées en cas de recours.
Les décisions de sanction et les accords de composition administrative homologués pouvant faire état de données issues du traitement sont, sauf décision contraire de la Commission des sanctions, rendus publics de manière non « anonymisée ».
Les modalités d'accès sont différenciées selon que la procédure est en cours ou terminée :
les données relatives aux procédures en cours ne sont consultables que par les personnes intervenant sur les procédures ;
les données relatives aux procédures terminées sont utilisées pour la recherche documentaire des personnes impliquées dans le processus de sanction ou de composition administrative.
Sur l’information et le droit d’accès 
Les personnes faisant l'objet de procédures administratives devant le Collège de I'AMF ou la Commission des sanctions, ou de procédures judiciaires auxquelles I'AMF serait partie sont informées de leurs droits  via une mention sur le site Internet de l’AMF et dans les courriers qui leur sont adressés. Elles disposent d’un droit d’accès direct aux données personnelles les concernant, dans les limites du principe du contradictoire et des règles de procédure applicables.Pour les autres personnes, non mises en cause, en application de l’article 42 de la loi du 6 janvier 1978 modifiée et au vu des règles de secret professionnel qui s’appliquent à l’AMF, les demandes de droit d’accès relatives aux données personnelles se rapportant à une enquête relèveront de la procédure de droit d’accès indirect auprès de la CNIL.
Sur les mesures de sécurité
Les mesures de sécurité décrites par l’AMF sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données traitées sont conservées pendant une durée de dix ans à compter du 31 décembre de l'année au cours de laquelle la décision est devenue définitive, ou de cinq ans à compter du 31 décembre de l'année au cours de laquelle la décision a été intégralement exécutée, si cette date est postérieure. 
Cette durée permet notamment à l'AMF :
de prendre en compte, le cas échéant, les sanctions antérieurement prononcées contre les mêmes personnes mises en cause lors de l'appréciation d'une nouvelle sanction ;
d'instruire les demandes des personnes sanctionnées visant à tempérer dans le temps, les effets des sanctions prises à leur encontre, telles, par exemple, les demandes visant à obtenir  l‘anonymisation d'une décision de sanction publiée sur le site internet de l'AMF, postérieurement à son prononcé ;
de traiter d'éventuels contentieux indemnitaires dans lesquels l'AMF peut être impliquée ;
de suivre le recouvrement des sanctions par le Trésor public et les fonds de garantie ;
de répondre à des demandes d'avis adressées par les autorités judiciaires ; 
d'assister les ministères compétents dans les contentieux portés devant les juridictions européennes ou internationales (par exemple la Cour européenne des droits de l'homme), étant précisé que la saisine de l'AMF au cours de ces dernières procédures peut intervenir tardivement ;
le cas échéant, d'instruire les demandes de relèvement d'une sanction d'interdiction temporaire ou définitive d'exercer d'un professionnel ;
A défaut de délais de prescription légaux, il est à noter que les décisions de la Commission des sanctions sont conservées sur support informatique sans limitation de délai ; l'accès à ces décisions au-delà de la durée de conservation indiquée ci-dessus est limité aux membres de la Commission des sanctions, au secrétariat de ladite commission et aux collaborateurs de la Direction de l'instruction et du contentieux des sanctions.
Autorise, conformément à la présente délibération, l'Autorité des marchés financiers  à mettre en œuvre le traitement susmentionné.
La présente délibération annule et remplace la délibération n° 2008-182 du 26 juin 2008. 
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1852193)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Autorité des marchés financiers d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion administrative et documentaire des enquêtes et des contrôles;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° et 42 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’AMF a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la gestion administrative des enquêtes et des contrôles. Ce traitement a fait l’objet d’un examen initial par la Commission, par délibérations du 26 juin 2008 (n°2008-182) autorisant l’AMF à mettre en œuvre une base de données sur les enquêtes en cours ou terminées et sur leurs suites et par délibération du 16 décembre 2010 (n°2010-467) autorisant l’AMF à mettre en œuvre un traitement automatisé de données à caractère personnel destiné à la gestion administrative et documentaire de ses contrôles.L’AMF souhaite apporter à ces traitements plusieurs modifications relatives tant à la finalité du traitement qu’aux données traitées compte tenu de la nouvelle organisation des activités mise en place au sein de l’AMF : les missions d’enquête relatives aux abus de marché et les missions de contrôle portant sur le respect des obligations professionnelles des prestataires de services d’investissement et des autres assujettis relèvent désormais d’une seule direction, la direction des enquêtes et des contrôles, ci-après  la « DEC ». Les procédures et les prérogatives des deux activités sont en phase d’harmonisation afin de favoriser un meilleur exercice de leurs missions respectives.Il y a, dès lors, lieu pour la Commission de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, qui portent
sur des données relatives aux infractions, condamnations ou mesures de sûreté.Conformément à l’article 9 alinéa 1er de la loi du 6 janvier 1978 modifiée, l’AMF met en œuvre ce traitement de données relatives aux infractions en tant qu’autorité publique agissant dans le cadre de ses attributions légales : pouvoirs de contrôles, d’enquêtes, d’injonctions, de compositions administratives et de sanctions (article L.621-9 et suivants du code monétaire et financier).Le traitement permet de suivre les missions d’enquête ou de contrôle à toutes leurs étapes, de la décision de réaliser une mission jusqu’à sa clôture, et d’effectuer une recherche documentaire sur les missions clôturées, afin d’aider à prévenir les manquements administratifs qui relèvent de la compétence de l’AMF.Le traitement comprend pour chaque mission les données descriptives de la mission, une fiche signalétique résumant le contenu du rapport de mission, et l’ensemble des pièces de la procédure (rapport, décision de la commission spécialisée, courriers post-mission, lettre de suites, notifications de griefs, décision de la commission des sanctions). Elle comprend également les éventuelles décisions de justice et de jurisprudence subséquente dans le cadre des recours exercés par les différentes parties.Les fiches signalétiques incluses dans l’application ne contiennent aucune donnée directement nominative. De telles données ne sont conservées dans la base que pour autant qu’elles apparaissent dans les pièces de
procédure et décisions de justice qui sont associées aux fiches signalétiques.Aucune donnée relative à l’identité des personnes concernées, aux présomptions ou manquements qualifiés ne peut être utilisée comme critère d’interrogation.La Commission considère que la finalité poursuivie par le traitement est légitime, déterminée et explicite.
Sur les données traitées
Le traitement comporte les données à caractère personnel suivantes :
identité, 
situation familiale, 
formation,
vie professionnelle ;
situation économique et financière ;
données de connexion ;
manquements administratifs, infractions et condamnations des personnes interrogées, auditionnées ou faisant l’objet d’une investigation particulière ;
identité et vie professionnelle des conseils des personnes auditionnées dans le cadre des missions ;
identité et vie professionnelle des agents de l’AMF en charge de la mission, des personnes auxquelles l’AMF a délégué ses missions conformément à l’article L621-9-2 du code monétaire et financier.
Sur les destinataires
Les destinataires des données sont les personnels habilités de la direction des enquêtes et des contrôles, de la direction des affaires juridiques, les membres de la direction et du collège, et également, pour les seuls contrôles, les agents habilités des directions en charge du suivi des prestataires de services d’investissement. Ces personnes sont tenues par le secret professionnel dans les conditions prévues à l’article L642-1 du code monétaire et financier.
Sur l’information et le droit d’accès
La prise en compte des dispositions légales relatives aux enquêtes et aux contrôles de l’AMF conduit à soumettre à la procédure de l’article 42 de la loi du 6 janvier 1978 modifiée les demandes de droit d’accès et de rectification relatives aux données personnelles s’y rapportant, à partir de la remise de l’ordre de mission jusqu’à l’envoi du rapport aux personnes concernées.A compter de l’envoi du rapport,, les droits d’accès et de rectification s’exerceront conformément aux dispositions de l’article 39 de la loi précitée, auprès la Direction des Enquêtes et des Contrôles de l’AMF.Les personnes sont informées de leurs droits par une mention figurant dans les chartes des enquêtes et des contrôles, ainsi que dans les courriers, lettres de suites et notification de griefs qui leur sont adressés.
Sur les mesures de sécurité
Les mesures de sécurité décrites par l’AMF sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données traitées sont conservées pendant une durée de quinze ans à compter de la date de clôture de la mission ou, si la mission a donné lieu à une procédure administrative ou judiciaire, à compter du 31 décembre de l’année au cours de laquelle la décision est devenue définitive. Cette durée répond aux besoins de la recherche documentaire sur les missions clôturées, afin d’aider à prévenir les manquements administratifs qui relèvent de la compétence de l’AMF.
Autorise, conformément à la présente délibération, l’Autorité des marchés financiers à mettre en œuvre le traitement susmentionné.
La présente délibération annule et remplace les délibérations n°2008-182 du 26 juin 2008 et n°2010-467 du 16 décembre 2010. 
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1704639)
La Commission nationale de l'informatique et des libertés,
Saisie par la société ENGIE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention du risque de corruption ;
Vu la convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société GDF SUEZ désormais dénommée ENGIE.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société ENGIE d’une demande d’autorisation relative à un traitement ayant pour finalités la détection et la prévention de la corruption et la maîtrise de la relation commerciale avec les consultants commerciaux. Elle entend ainsi se conformer aux législations anti-corruption américaine et britannique ainsi qu’au code pénal français en matière de corruption.
La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées. 
La société ENGIE se prévaut à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain (ci-après FCPA) en date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA et des articles 435-3 et suivants du code pénal français.
Le renforcement des législations européennes et internationales en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics, conduit des sociétés telles qu’ENGIE à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption. Les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA. 
La société ENGIE (groupe) est soumise aux lois anti-corruption notamment du fait de l’existence de filiales anglaises et américaines du groupe, d’activités directes du groupe sur le territoire britannique, de clauses contractuelles, de demandes de partenaires, banques et investisseurs soumis eux-mêmes à ces dispositions légales. 
Afin d’assurer la conformité du groupe à ces dispositions, la société ENGIE a mis en place une politique et des procédures internes encadrant les relations avec les consultants commerciaux et applicables à toutes les sociétés du groupe.
Le consultant commercial désigne toute personne notamment un prestataire de services, un agent, un fournisseur, un sous-traitant qui agit pour le compte d’une société du groupe, en établissant, à minima, des contrats avec des agents publics ou des personnes privées pour le développement, la conclusion, la pérennisation ou la conduite à terme des affaires de la société du groupe.
Le traitement envisagé par la société ENGIE vise à identifier les transactions présentant un risque de corruption, par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. La société souhaite vérifier l’intégrité des consultants commerciaux en leur soumettant notamment une demande de renseignements contractuels.
Dans le cadre de la procédure de vérification, l’étendue des vérifications effectuées à l’égard de chaque consultant commercial est graduée au travers d’une approche par les risques.
Le consultant commercial indique notamment s’il a parmi ses parents proches et alliés (conjoint, père et mère,  frères et sœurs ainsi que grands-parents, beaux-parents, petits-enfants, oncles et tantes, cousins, neveux) des personnes politiquement exposées (ci-après « PPE » au sens de l’article R. 561-18 du code monétaire et financier). En fonction de ses réponses et de l’analyse des risques réalisée par l’opérationnel, il est procédé à des vérifications sur les personnes identifiées comme PPE par le consultant commercial, ou les personnes qui de notoriété publique sont PPE afin d’éviter les conflits d’intérêts entre un consultant commercial et un donneur d’ordre, potentiellement générateurs d’actes de corruption. 
la liste des Pays et Territoires non coopératifs arrêtée par le GAFI ;
le répertoire interne des consultants commerciaux (répertoire centralisé et tenu à jour par la direction éthique et compliance d’ENGIE) ;
la recherche sur Internet et la consultation des bases de données ;
les entretiens préliminaires éventuels avec le consultant commercial ; 
les échanges avec le consultant commercial concernant la demande de renseignements contractuels. 
L’analyse du risque se fait à l’aide des outils suivants :
Le consultant commercial indique notamment s’il a parmi ses parents proches et alliés (conjoint, père et mère,  frères et sœurs ainsi que grands-parents, beaux-parents, petits-enfants, oncles et tantes, cousins, neveux) des personnes politiquement exposées (ci-après « PPE » au sens de l’article R. 561-18 du code monétaire et financier). En fonction de ses réponses et de l’analyse des risques réalisée par l’opérationnel, il est procédé à des vérifications sur les personnes identifiées comme PPE par le consultant commercial, ou les personnes qui de notoriété publique sont PPE afin d’éviter les conflits d’intérêts entre un consultant commercial et un donneur d’ordre, potentiellement générateurs d’actes de corruption. 
la liste des Pays et Territoires non coopératifs arrêtée par le GAFI ;
le répertoire interne des consultants commerciaux (répertoire centralisé et tenu à jour par la direction éthique et compliance d’ENGIE) ;
la recherche sur Internet et la consultation des bases de données ;
les entretiens préliminaires éventuels avec le consultant commercial ; 
les échanges avec le consultant commercial concernant la demande de renseignements contractuels.
Cette évaluation est menée par l’opérationnel qui doit se faire assister par un conseil juridique. Elle peut être complétée, en fonction du risque identifié, par une deuxième étape dite de « diligence » par laquelle la société ENGIE procède à des vérifications complémentaires approfondies en ayant recours à des sources externes : « agences de diligences », cabinets d’avocats, chambre de commerce. Cette étape se matérialise par la production d’un « rapport de diligence » portant sur les caractéristiques du consultant commercial.
Le rapport de diligence du consultant commercial est validé par la direction juridique et/ou la direction générale en fonction de son importance.
A défaut de validation, le recours au consultant est rejeté et le contrat ne sera pas signé. 
La société ENGIE a recours à des bases de données informationnelles, notamment celles proposées par des prestataires externes spécialisés dans la gestion des programmes de conformité.
L’accès à ces bases de données est configuré de telle sorte que la société ENGIE ne puisse disposer que des informations spécifiques à la lutte contre la corruption.