(autorisation n°1245717)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 9-1°, 25-I-3°, 40, 41 et 42 ;
Vu le code monétaire et financier, notamment ses articles L. 621-9 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié par le décret n° 2007-451 du 25 mars 2007, pris pour l’application de la loi n° 78-17 du 6 janvier 1978 précitée ;
Vu le dossier déposé par l’Autorité des marchés financiers relatif à un traitement automatisé de données personnelles ayant pour finalité la gestion documentaire des enquêtes de la direction des enquêtes et de la surveillance des marchés ;
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’Autorité des marchés financiers (AMF), autorité administrative indépendante, est chargée de veiller à la protection de l'épargne investie dans les instruments financiers ou tout autre placement qui donne lieu à appel public à l'épargne, à l'information des investisseurs et au bon fonctionnement des marchés d'instruments financiers.
Aux termes des articles L. 621-9 et suivants du Code monétaire et financier (CMF), l’AMF dispose notamment, pour l’exercice de ses missions, du pouvoir de mener des enquêtes, le plus souvent au vu de constatations faites dans le cadre de la surveillance des marchés, du suivi de la vie des sociétés cotées ou des plaintes reçues par ses services (art. L. 621-19 du CMF).
Dans ce contexte, l’AMF a saisi la CNIL d’une demande d’autorisation concernant la création d’une base de données sur les enquêtes menées par sa direction des enquêtes et de la surveillance des marchés (DESM) et sur les suites administratives ou judiciaires qui leur ont été apportées.
Le traitement a pour objet de faciliter la gestion administrative de l'enquête, l’établissement de statistiques, ainsi que la recherche documentaire sur les enquêtes clôturées. Il doit ainsi aider à prévenir les manquements administratifs et les infractions pénales qui relèvent de la compétence de l’AMF.
Le traitement doit comprendre pour chaque enquête, quelles que soient les suites qui lui sont apportées (classement sans suite, simple lettre d’observations, notification de griefs), une « fiche signalétique » donnant une idée précise du contenu du rapport d’enquête et l’ensemble des pièces de procédure (rapport d'enquête, décisions des commissions spécialisées, tous courriers post-enquêtes, lettre de suites, notification de griefs, décision de la commission des sanctions) et des décisions de justice la concernant.
Sur l’application au traitement de la procédure d’autorisation par la CNIL
Le traitement doit notamment comporter des données personnelles qui se rapportent :
à des infractions, soupçonnées ou qualifiées, qui relèvent de la compétence de l’AMF, que celles-ci aient donné lieu à l’ouverture d’une procédure de sanction devant la Commission des sanctions de l’AMF ou à la transmission du rapport d’enquête au procureur de la République ;
aux condamnations afférentes, que celles-ci aient été prononcées par la Commission des sanctions ou par une juridiction pénale.
La Commission rappelle que le 1° de l'article 9 de la loi du 6 janvier 1978 autorise notamment les autorités publiques, lorsqu’elles agissent dans le cadre de leurs attributions légales, à mettre en œuvre des traitements de données à caractère personnel relatives aux infractions et condamnations.
Elle considère, dans ces conditions, qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation de la CNIL les traitements qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur les caractéristiques du traitement
Les fiches signalétiques incluses dans l’application ne contiennent aucune donnée directement nominative. De telles données ne sont conservées dans la base que pour autant qu’elles apparaissent dans les pièces de procédure et décisions de justice qui sont associées aux fiches signalétiques sous la forme de fichiers-image annexés.
Les catégories de données personnelles susceptibles d’être traitées concernent l’identité, la situation familiale, la formation, la vie professionnelle, la situation économique et financière ainsi que les infractions et condamnations qui entrent dans le domaine de compétence de l’AMF.
Les critères d’interrogation de la base ne se réfèrent qu’au contenu des fiches signalétiques :
- les caractéristiques du dossier (sous la forme des mots-clé susmentionnés),
- les dispositions légales relatives aux manquements administratifs et infractions pénales associés à l’enquête,
- le type d’enquête,
- le numéro de l’enquête,
- le nom de l’enquête.
Ces caractéristiques du traitement sont adéquates, pertinentes et non excessives au regard des finalités du traitement et n’appellent, en conséquence, aucune observation au regard de la loi du 6 janvier 1978.
L’AMF souhaite fixer à 30 ans à compter de la saisie des données leur durée maximale de conservation dès lors que :
- cette durée répond aux besoins de la finalité de recherche documentaire, afin de répondre à toutes les requêtes des autorités judiciaires ;
- aucune donnée directement personnelle ne peut être utilisée comme critère d’interrogation de la base ;
- la base de données n’est ouverte qu’à la consultation interne, au sein de l’AMF ;
- les pièces de procédure qui y figurent restent soumises au secret professionnel.
La base est consultable par les seuls agents habilités de la DESM suivant des modalités différenciées selon que l’enquête est en cours ou terminée :
- les données relatives aux enquêtes en cours ne sont consultables que par la direction de la DESM, les chefs de service « Enquêtes » et « Surveillance », et les secrétaires ;
- les données de la partie historique, sur les enquêtes terminées, sont utilisées pour la recherche documentaire des enquêteurs, de la Direction de la DESM, des chefs de service "Enquêtes" et "Surveillance" et de la cellule documentation.
Ces règles n’appellent pas d’observation de la part de la Commission.
Sur les modalités d’information et d’exercice des droits des personnes physiques
En application de l’article 42 de la loi susvisée du 6 janvier 1978 et au vu des règles de secret professionnel qui s’appliquent à l’AMF, les demandes de droit d’accès relatives aux données personnelles se rapportant à une enquête particulière relèveront de la procédure de droit d’accès indirect, en l’absence de notification de griefs à l’encontre du requérant.
Dans le cas contraire, la demande sera traitée en application du dernier alinéa de l’article 41 de la loi du 6 janvier 1978.
Les informations relatives aux modalités d’exercice du droit d’accès figureront :
- sur le site Internet de l’AMF,
- dans une brochure qui est transmise à toute personne mise en cause dans le courrier qui en demande l’audition devant la commission des sanctions de l’AMF.
Dans ces conditions, la Commission autorise l’Autorité des marchés financiers à mettre en œuvre le traitement de données à caractère personnel ayant pour finalité la gestion documentaire des enquêtes de la direction des enquêtes et de la surveillance des marchés.