(demande d’autorisation n°1500187)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L. 621-17-2 à L. 621-17-7 ;
Vu le règlement général de l’Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l’instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du règlement général de l’AMF ;
Vu la demande d’autorisation présentée par la banque ROTHSCHILD & CIE relative à un traitement automatisé de données à caractère personnel ayant pour finalité la détection des alertes potentielles d’abus de marché ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La société ROTHSCHILD & CIE a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel permettant de détecter des opérations susceptibles de constituer des abus de marché.
Sur la procédure suivie auprès de la Commission
Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par les clients ou les salariés de la banque ROTHSCHILD & CIE susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, ou un travail d’analyse non automatisé, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire la banque ROTHSCHILD & CIE à souhaiter pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients ou des salariés qui en font l’objet. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale le prévoyant.
Dès lors, il relève des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les finalités et les caractéristiques du traitement
Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du Règlement général de l’AMF.
Le dispositif de détection d’opérations susceptibles d’être suspectées d’abus de marché repose sur une analyse quotidienne ou semestrielle des opérations, a posteriori, à partir du carnet d’ordre et des portefeuilles.
Les transactions ainsi détectées ont vocation à être analysées sans délai. La Commission constate que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
La Commission souligne en outre que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Sur les données traitées et la durée de conservation
Les listes d’opérations à analyser comportent les catégories de données suivantes :
les nom, prénom ou la raison sociale du détenteur du compte,
la date de détection,
la date et la nature de la détection,
le nombre de détection sur une période glissante (allant de 5 à 10 jours ouvrés),
le numéro du compte titre et du compte numéraire associé,
le type de compte (joint ou non),
les caractéristiques de la valeur,
les caractéristiques de l’ordre détecté,
les caractéristiques de l’ordre effectué.
Ces données sont conservées pendant une durée de 5 ans.
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Sur les destinataires du traitement
Les destinataires de tout ou partie des données sont :
le responsable de la conformité des services d’investissement de la société la banque ROTHSCHILD & CIE et les agents habilités placés sous leur responsabilité,
En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux de la direction générale de l’établissement concerné.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les modalités d’information et d’exercice des droits des personnes physiques
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause de la convention d’instruments financiers.
Le droit d’accès s’exerce auprès des agences de la banque ROTHSCHILD & CIE conformément aux dispositions de l’article 39 de la loi susvisée.
Dans ces conditions, la Commission autorise, banque ROTHSCHILD & CIE à mettre en œuvre un traitement automatisé de données à caractère personnel de détection des opérations susceptibles de constituer des abus de marché.