La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004, notamment son article 25-I-4° ;
Vu le code monétaire et financier notamment ses articles L 621-15 et L 621-17-2 à L 621-17-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le Règlement général de l’Autorité des marchés financiers notamment ses articles 611-1 et suivants et 631-2 et 631-3 ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Banque Neuflize OBC a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel de détection des alertes potentielles d’abus de marché.
Sur la procédure suivie auprès de la Commission
Ce traitement vise à détecter des opérations de transaction sur titres, réalisées par les clients de la Banque Neuflize OBC qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires ou un travail d’analyse non automatisé, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des marchés financiers (AMF).
L’identification de telles opérations, pour une large part sur la base de critères intégrés dans les traitements automatisés de la Banque Neuflize OBC, peut conduire cette dernière à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un droit en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004 et doit, à ce titre, être autorisé par la CNIL.
Sur les finalités
Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF.
Le dispositif de détection d'opérations susceptibles d'être suspectées d'abus de marché repose sur une analyse journalière des opérations, a posteriori, à partir du carnet d'ordre et des portefeuilles.
Les transactions ainsi détectées ont vocation à être analysées sans délai. La commission souligne que le traitement ne permet pas la constitution d'une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Les données enregistrées peuvent également faire l'objet d'une exploitation statistique pour mettre à jour le paramétrage du système d'émission automatique d'alertes.
Sur les catégories de données enregistrées et la durée de conservation
Les listes d’opérations à analyser ainsi obtenues comportent les catégories suivantes :
les nom, prénom, ou la raison sociale du détenteur du compte
le numéro SIREN,
en ce qui concerne le détenteur du compte, sa qualité de personne en relation avec une société cotée et le type de relation considérée,
la date et la nature de la détection,
le nombre de détections sur une période glissante et la date de la dernière détection,
le numéro du compte-titre et du compte numéraire associé,
le type de compte,
les caractéristiques de la valeur (code ISIN, libellé, marché, place et mode de cotation, admissible ou non au système de règlement différé),
les caractéristiques de l’ordre détecté (achat ou vente, type d’ordre, prix, quantité, origine, date, etc.),
les caractéristiques de l’ordre exécuté (achat ou vente, type d’ordre, prix, quantité, origine, date, etc.),
le pourcentage d’exécutions et d’annulations,
le volume d’exécutions par rapport à la volumétrie du marché,
les allers-retours
En cas d’alerte, les opérations réalisées par le client au cours des douze mois précédents peuvent être analysées afin d’étudier la pertinence de l’alerte.
La durée de traitement des alertes est de 3 mois maximum. Les alertes donnant lieu à rapport ou à déclaration de soupçons auprès de l’Autorité des marchés financiers sont conservées sous forme d’archives pendant une durée de 5 ans.
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n'appellent pas d'observations particulières.
Sur les destinataires des informations
Seuls ont accès à ce traitement les responsables de la conformité des services d’investissement, les collaborateurs placés sous leur responsabilité, ainsi que les personnes de la Direction des Services Informatiques.
Sur les modalités d’information et d’exercice des droits des personnes
Le droit d’accès s’exerce auprès de la Direction de la conformité de la Banque Neuflize.
Une clause de la convention d’instruments financiers informe les clients de la finalité du traitement ainsi que des modalités d’exercice du droit d’accès.
Dans ces conditions, la Commission autorise, la Banque Neuflize OBC à mettre en œuvre un traitement automatisé de détection des opérations susceptibles de constituer des abus de marché.
Le Président
Alex TURK