(Demande d’autorisation n° 1852191)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Autorité des marchés financiers d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des déclarations d’opérations suspectes;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° et 42 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’autorité des marchés financiers, ci-après l’« AMF » est une autorité publique indépendante chargée de veiller à la protection de l’épargne investie dans les instruments financiers ou tout autre placement qui donne lieu à offre au public, à l’information des investisseurs et au bon fonctionnement des marchés financiers.
Sur la finalité
L’AMF a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la gestion des déclarations d’opérations suspectes.
Aux termes des articles L621-17-2 et suivants du Code monétaire et financier, ci-après CMF, les établissements de crédit, les entreprises d'investissement et les membres des marchés réglementés non prestataires de services d'investissement sont tenus de déclarer sans délai a I'AMF toute opération sur des instruments financiers ou des actifs mentionnés au II de l'article L. 421-1, effectuée pour compte propre ou pour compte de tiers, dont ils ont des raisons de suspecter qu'elle pourrait constituer une opération d'initié ou une manipulation de cours au sens des dispositions du règlement général de I'AMF (articles 315-42 a 315-44 du livre III du règlement général de l'autorité des marches financiers relatifs aux déclarations d'opérations suspectes).
L'article L621-17-4 du CMF précise que la déclaration doit contenir :
1° une description des opérations, en particulier du type d'ordre et du mode de négociation utilisés ;
2° les raisons conduisant à soupçonner que les opérations déclarées constituent une opération d'initié ou une manipulation de cours ;
3° les moyens d'identification des personnes pour le compte de qui les opérations ont été réalisées et de toute autre personne impliquée dans ces opérations ;
4° l'indication que les opérations ont été effectuées pour compte propre ou pour compte de tiers ;
5° toute autre information pertinente concernant les opérations déclarées.
Jusqu'a récemment, ces déclarations étaient principalement transmises sous forme papier ; de plus en plus, elles sont désormais transmises par voie électronique, nécessitant la mise en œuvre d'un traitement automatisé.
Le traitement automatisé est susceptible de comporter des données a caractère personnel relatives à des manquements présumés relevant de Ia compétence de I'AMF.
Il y a, dès, lors lieu pour la Commission de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Conformément à l’article 9 alinéa 1er de la loi du 6 janvier 1978 modifiée, l’AMF met en œuvre ce traitement de données relatives aux infractions en tant qu’autorité publique agissant dans le cadre de ses attributions légales : pouvoirs de contrôles, d’enquêtes, d’injonctions, de compositions administratives et de sanctions (article L621-9 et suivants du code monétaire et financier).
Le traitement permet de gérer les déclarations d'opérations que les intermédiaires de marché sont tenus de déclarer sans délai à I'AMF dès lors qu'ils suspectent que ces opérations pourraient constituer une opération d'initié ou une manipulation de cours au sens des dispositions du règlement général de I'AMF.
Le traitement comprend pour chaque déclaration, le détail des données de Ia déclaration, son analyse par les experts AMF et les suites qui lui sont apportées (classement sans suite, mise sous surveillance, demande d'ouverture d'une enquête).
La Commission considère que la finalité poursuivie par le traitement est légitime, déterminée et explicite.
Sur les données traitées
Le traitement comporte les données à caractère personnel suivantes :

situation familiale,
formation,
vie professionnelle ;
situation économique et financière ;
les infractions et condamnations des personnes citées dans les déclarations ;
identité et vie professionnelle des agents de l’AMF intervenant dans la procédure.
Sur les destinataires
Seuls sont destinataires des données les agents habilités de Ia direction de la surveillance, et, en cas d'ouverture d'une enquête, par les agents habilités de la direction des enquêtes et des contrôles.
Ces personnes sont tenues au secret professionnel dans les conditions prévues à l'article L 642-1 du CMF.
Les modalités d'accès sont différenciées selon qu'une enquête est ouverte ou non :
si aucune enquête n'est ouverte ou jusqu'a cette ouverture, les données ne sont consultables que par les agents de la direction de la surveillance ;
lorsqu'une enquête est ouverte, Ia déclaration peut être mise à disposition des agents en charge de ladite enquête.
Sur l’information et le droit d’accès
En application de l’article 42 de la loi susvisée du 6 janvier 1978 et au vu des règles de secret professionnel qui s’appliquent à l’AMF, les demandes de droit d’accès relatives aux données personnelles se rapportant à une déclaration d’opération suspecte relèveront de la procédure de droit d’accès indirect.
Dans le cas contraire, la demande sera traitée en application du dernier alinéa de l’article 41 de la loi du 6 janvier 1978.
Les informations relatives aux modalités d’exercice du droit d’accès figureront sur le site Internet de l’AMF.
Sur les mesures de sécurité
Les mesures de sécurité décrites par l’AMF sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données traitées sont conservées pendant une durée de cinq ans. Cette durée répond aux besoins de la recherche de répétitions de soupçons et à l'analyse du respect de l'obligation de déclaration pour les professionnels qui y sont soumis.
Autorise, conformément à la présente délibération, l'Autorité des marchés financiers à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN