La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 9-1° et 25-I-3° ;
Vu le code de procédure pénale, notamment son article R.79 ;
Vu le code monétaire et financier, notamment ses articles L. 621-9 et suivants et L. 631-1 ;
Vu le code des assurances, notamment ses articles L. 143-3, L. 310-12 et suivants, L. 321-1 et suivants, L. 323-1 et suivants, L. 325-1, L. 334-16, L. 413-1 et suivants, et A. 321-2 ;
Vu le code de la mutualité, notamment ses articles L. 212-7-16 et L. 510-1 et suivants ;
Vu le code de la sécurité sociale, notamment ses articles L. 933-4-13 et L. 951-1 et suivants ;
Vu l’article 152 de la loi n° 2008-776 du 4 août 2008 de modernisation de l’économie ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié par le décret n° 2007-451 du 25 mars 2007, pris pour l’application de la loi n° 78-17 du 6 janvier 1978 précitée ;
Vu la décision du 29 novembre 2001 du président du Comité des établissements de crédit et des entreprises d'investissement relative au fichier des dirigeants et actionnaires des établissements de crédit et des entreprises d’investissement (FIDEC) ;
Vu le dossier déposé par le Comité des établissements de crédit et des entreprises d'investissement relatif à la modification d’un traitement automatisé de données personnelles dénommé FIDEC, et les réponses apportées par le Comité des entreprises d’assurance et l’Autorité de contrôle des assurances et des mutuelles ;
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le Comité des établissements de crédit et des entreprises d'investissement (CECEI) a saisi la Commission d'une demande d'autorisation relative à la modification des conditions de mise en oeuvre du traitement automatisé, à ce jour dénommé "FIDEC", dont la finalité est actuellement de centraliser les informations susceptibles de permettre d'apprécier l'expérience, la compétence et l'honorabilité des dirigeants et actionnaires personnes physiques des établissements de crédit et des entreprises d'investissement.
Ce traitement permet au CECEI de vérifier l'honorabilité, la compétence et l'expérience des dirigeants des établissements de crédit et des entreprises d'investissement qui lui ont adressé la demande d’agrément préalable à l’exercice de telles activités, ainsi que la qualité des actionnaires directs ou indirects qui y détiennent une participation qualifiée au regard de la nécessité de garantir une gestion saine et prudente. Le FIDEC n’est qu’un système d’alerte et non une base documentaire exhaustive.
Le traitement est consulté et enrichi par le Secrétariat général de la Commission bancaire et l’Autorités des marchés financiers (AMF) qui participent également, chacun dans son domaine de compétence (par exemple, pour l’AMF, les sociétés de gestion de portefeuille), si nécessaire en collaboration avec le CECEI, à la surveillance et au contrôle des mêmes organismes et de leurs dirigeants.
Les modifications qu’il est envisagé d’apporter au traitement visent, d’une part, à autoriser les deux autorités de régulation des entreprises d’assurance, le Comité des entreprises d’assurance (CEA) et l’Autorité de contrôle des assurances et des mutuelles (ACAM), à consulter et enrichir le FIDEC, d’autre part, à modifier les conditions de consultation du casier judiciaire.
Sur l’application au traitement de la procédure d’autorisation par la CNIL
Les modifications apportées au traitement influent sur les conditions de collecte et d’utilisation des informations enregistrées qui se rapportent aux condamnations inscrites au casier judiciaire ou qui concernent les décisions de justice rendues par la Commission des sanctions de l’AMF et la Commission bancaire.
La Commission rappelle, à cet égard, que le 1° de l'article 9 de la loi du 6 janvier 1978 autorise notamment les autorités publiques, lorsqu’elles agissent dans le cadre de leurs attributions légales, à mettre en œuvre des traitements de données à caractère personnel relatives aux infractions et condamnations.
Elle considère, dans ces conditions, qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation de la CNIL les traitements qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur les conséquences de l’extension du fichier FIDEC au secteur de l’assurance
La Commission constate, en premier lieu, que le CEA et l’ACAM exercent, à l’égard des dirigeants des entreprises d’assurance et de réassurance, des compétences analogues à celles du CECEI et de la Commission bancaire pour les établissements de crédit et les entreprises d’investissement.
Outre les entreprises d’assurance et de réassurance, entrent dans le nouveau champ d’application du traitement, du fait du contrôle qu’exercent à leur égard le CEA ou l’ACAM, les intermédiaires d’assurance, les mutuelles, unions et fédérations régies par le code de la mutualité, les institutions de prévoyance, les institutions de retraite supplémentaire et les institutions de gestion de retraite supplémentaire du code de la sécurité sociale et du code rural.
Les dirigeants des entreprises susmentionnées, au même titre que les dirigeants des établissements de crédit et des entreprises d'investissement, sont en particulier soumis à une surveillance particulière du fait des responsabilités spécifiques qu’ils exercent tant vis-à-vis de leurs clients que de la place financière française.
En deuxième lieu, si cette surveillance est actuellement exercée par des autorités distinctes pour les secteurs bancaire et de l’assurance, les articles L. 631-1 du code monétaire et financier et L. 310-20 du code des assurances demandent au CECEI, à la Commission bancaire, à l'ACAM, au CEA et à l'AMF de coopérer entre eux et, à cette fin, de se communiquer les renseignements utiles à l'accomplissement de leurs missions respectives.
En troisième lieu, l’article 152 de la loi susvisée du 4 août 2008 autorise le Gouvernement à prendre par voie d'ordonnance les mesures relevant du domaine de la loi qui sont nécessaires pour redéfinir les missions, l'organisation, les moyens, les ressources, la composition et les règles de fonctionnement et de coopération des autorités d'agrément et de contrôle du secteur bancaire et de l'assurance en prévoyant notamment le rapprochement de tout ou partie de ces autorités.
Dès lors, l’extension de la finalité du fichier FIDEC correspond à un objectif d’intérêt public arrêté par le Législateur.
Il est prévu, par voie de conséquence, d’enregistrer de nouvelles catégories de données dans FIDEC :
- les nom, prénoms, sexe, date et lieu de naissance, nationalité, adresse personnelle, identité des parents (pour les personnes nées à l’étranger ou dans les territoires d’outre-mer), formations, diplômes et carrières professionnelle des dirigeants des entreprises d’assurance et de réassurance, des intermédiaires d’assurance, des mutuelles, unions et fédérations, des institutions de prévoyance, des institutions de retraite supplémentaire et des institutions de gestion de retraite supplémentaire : présidents des conseils d’administration, directeurs généraux et directeurs généraux délégués, présidents des directoires et leurs membres portant le titre de directeur général, autres personnes appelées à exercer en fait des fonctions équivalentes,
- les références des dossiers, courriers et questionnaires transmis et documents relatifs aux personnes physiques ou morales inscrites,
- les refus d’agrément des entreprises d’assurance ou de réassurance,
- les retraits de candidature d’un dirigeant et retraits de dossier d’agrément,
- la constatation de la transmission de renseignements inexacts par un dirigeant,
- les mesures de police et sanctions administratives et disciplinaires prononcées à l’encontre des catégories de personnes morales susmentionnées, de leurs dirigeants, des associés et des tiers ayant un pouvoir de gestion ou d’administration : décisions de placement sous administration provisoire, avertissements, blâmes, limitations dans l’exercice de l’activité, suspensions temporaires et démissions d’office de dirigeants, retraits d’agrément et radiations du registre, interdictions de pratiquer, transferts d’office de tout ou partie du portefeuille de contrats, sanctions pécuniaires.
Ces informations paraissent pertinentes au regard de l’extension de finalité du traitement. La Commission note cependant qu’il ne sera procédé à aucune inscription rétroactive de mesures de police ou de sanctions, que seules des sanctions ou décisions défavorables non amnistiées sont conservées dans la base et que les recours dont font l’objet les sanctions sont également mentionnés.
S'agissant des données collectées directement auprès des personnes concernées, celles-ci seront informées, par le questionnaire de demande d'agrément, du fondement juridique de la collecte, du caractère obligatoire des réponses à fournir, des organismes destinataires, de la possibilité d'exercer leur droit d'accès et de rectification auprès du CECEI.
Les notifications de décision prise par l’ACAM mentionneront l’inscription des données au FIDEC, l’identité du responsable de ce traitement, les catégories de destinataires du fichier, les circuits d’informations mis en place pour la consultation du casier judiciaire, du fichier bancaire des entreprises (FIBEN) de la Banque de France et de la base de données des agents financiers (BAFI) du CECEI, ainsi que les modalités d’exercice des droits d’accès et de rectification.
La consultation du FIDEC est réservée à certains agents du CEA et de l’ACAM munis d’une carte personnelle d’accès. L’ensemble des membres et agents habilités de ces organismes pourront, par leur intermédiaire, avoir communication des informations qui y sont enregistrées.
Ces modifications du traitement FIDEC sont adéquates, pertinentes et non excessives au regard des finalités du traitement et n’appellent pas d’autres observations au regard de la loi du 6 janvier 1978.
Sur la modification des conditions d’accès automatisé au bulletin B2 du casier judiciaire des personnes
Afin de pouvoir disposer de l'ensemble des éléments et documents permettant d'apprécier l'honorabilité des dirigeants et la qualité des actionnaires des établissements de crédit et des entreprises d'investissement, ainsi que l’honorabilité des dirigeants des entreprises d’assurance et de réassurance, des intermédiaires d’assurance, des mutuelles, unions et fédérations,  des institutions de prévoyance, des institutions de retraite supplémentaire et des institutions de gestion de retraite supplémentaire, le CECEI et les autres autorités associées au FIDEC souhaitent compléter les conditions de communication du bulletin n° 2 du casier judiciaire en prévoyant :
- une interrogation ponctuelle concernant les dirigeants ou actionnaires significatifs actuels susmentionnés, lorsque des renseignements négatifs ont été portés à la connaissance de l’une des autorités utilisatrices du fichier ;
- une interrogation systématique, au moins tous les six mois, portant sur les dirigeants des organismes en fonction, afin de vérifier qu’ils continuent de satisfaire aux conditions requises d’honorabilité.
Seule la réponse électronique du casier judiciaire est conservée dans FIDEC sous la forme "néant au bulletin n° 2", "inscription au bulletin n° 2" ou "erreur dans la demande". Ces réponses ne sont pas conservées plus de deux mois dans la base lorsqu’elles concernent des personnes physiques qui ne sont plus recensées dans le fichier au titre d’une activité dans un établissement assujetti.
Ces nouvelles modalités de consultation du casier judiciaire sont adéquates, pertinentes et non excessives au regard des finalités du traitement.
La Commission rappelle cependant que les modalités de délivrance à des autorités publiques du bulletin n° 2 du casier judiciaire sont définies par les articles 776 et R.79 et suivants du code de procédure pénale. Elle constate que ces dispositions ne prévoient pas, en l’état, l’interrogation du service du casier judiciaire par le CECEI pour le compte de ses partenaires au sein du FIDEC, ni la mise en commun entre les services utilisateurs du FIDEC des données ainsi recueillies.
Elle prend acte que le projet de décret dont la CNIL avait été saisie en 2001 par le ministère de la Justice pour modifier l’article R. 79 du code de procédure pénale afin que le CECEI et, par l’intermédiaire de la base FIDEC, le CMF, la COB et la CB, aient accès aux informations obtenues, n’a jamais été signé.
En conséquence, la Commission constate que l’article R. 79 précité doit être complété afin de prévoir la délivrance du bulletin n° 2 au Comité des établissements de crédit et des entreprises d'investissement, à l’Autorité des marchés financiers, à la Commission bancaire, au Comité des entreprises d’assurance et à l’Autorité de contrôle des assurances et des mutuelles, séparément ou par le biais de tout traitement automatisé qui leur sera commun.
Dans l’attente de la modification de l’article R.79 précité, la Commission n’autorise pas, en l’état, le CECEI à modifier les conditions de mise en œuvre du traitement FIDEC.