La Commission nationale de l'informatique et des libertés,
Saisie par l'Autorité des marchés financiers d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le transfert de données à caractère personnel vers ses homologues étrangers dans le cadre de requêtes d'assistance ou de demandes d'informations ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 68 et 69;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'accord multilatéral portant sur la consultation, la coopération et l'échange d'informations de l'Organisation internationale des Commissions de Valeurs mobilières de mai 2002 ;
Vu la délibération n° 2013-118 du 16 mai 2013 autorisant l'autorité des marchés financiers (AMF) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la tenue d'un fichier des personnes rencontrées ayant fait l'objet d'une suite à l'issue d'une enquête ou d'un contrôle ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Sur le contexte :
La Commission a adopté le 16 mai 2013 une délibération n°2013-118 autorisant l'AMF à mettre en œuvre un traitement ayant pour finalité la tenue d'un fichier des personnes rencontrées ayant fait l'objet d'une suite à l'issue d'une enquête ou d'un contrôle. A l'occasion de ce dossier, la question de l'encadrement des transferts de données de l'AMF à destination de ses homologues situés hors de l'Union européenne a été abordée.
Dans cette précédente délibération, la Commission a rappelé que l'exception de l'alinéa 2° de l'article 69 de la loi du 6 janvier 1978 modifiée qui permet aux responsables de traitement d'invoquer la sauvegarde de l'intérêt public pour transférer des données à caractère personnel vers un pays ne disposant pas d'un niveau de protection suffisant au sens de l'article 68, devait être interprétée de manière restrictive.
L'AMF a saisi la Commission, le 5 décembre 2013, d'une demande d'autorisation spécifique relative à ces transferts, sur le fondement de l'avant dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée.  Par courrier du 21 mars 2014 l'AMF a fait valoir des éléments nouveaux propres aux circonstances de l'espèce, dont la Commission ne disposait pas lors de l'examen de sa précédente délibération.
Dans ces conditions, prenant en compte l'ensemble des circonstances de l'espèce, il appartient à la Commission de se prononcer de manière définitive sur la question de savoir si les dispositions du 2° de l'article 69 de la loi du 6 janvier 1978 modifiée peuvent trouver à s'appliquer en l'espèce.
Sur l'intérêt public attaché aux transferts de données de l'AMF vers ses homologues étrangers
De manière générale, s'agissant du transfert de données hors Union européenne, le groupe européen de l'article 29 (G29) et la Commission considèrent que le champ d'application des exceptions de l'article 69 (alinéas 1 à 6) doit être limité à des cas ponctuels et exceptionnels. Tant le G29 que la Commission recommandent, en particulier, que les transferts répétitifs, massifs ou structurels de données personnelles ou dont l'importance ou la régularité justifient qu'ils soient encadrés de manière précise, fassent l'objet d'un encadrement juridique spécifique et ne reposent donc pas sur les dérogations prévues par la loi.
De même, le G29 considère que la dérogation ne peut être invoquée que si le transfert présente un intérêt pour les autorités d'un État membre de l'UE elles-mêmes, et non pas seulement pour une ou plusieurs autorités publiques du pays tiers.
Créée par la loi de sécurité financière du 1er août 2003, l'AMF est une autorité publique indépendante dotée d'un pouvoir réglementaire propre et chargée  par la loi d'assurer dans son champ de compétence, la prévention et la répression de la délinquance financière.
Dans un contexte de forte intégration des marchés financiers, l'AMF apporte son concours à la régulation européenne et mondiale en participant aux instances internationales et en coopérant avec ses homologues européens et étrangers. A ce titre, elle est membre de l'Organisation internationale des commissions de valeurs (OICV), du Conseil de stabilité financière (CSF) et du  Joint Forum .
La coopération internationale de l'AMF avec les autorités ou personnes relevant d'un Etat non membre de l'Union européenne, ni partie à l'accord sur l'espace économique européen, est autorisée dans les conditions prévues par les articles L.632-7 et L.632-16 du code monétaire et financier (CMF) et par dérogation à la loi n°68-678 du 26 juillet 1968, dite de  blocage .
La coopération n'est autorisée de manière générale, qu'avec des autorités homologues ou les personnes limitativement énumérées par les articles L. 632-7 du CMF  ainsi qu'avec des entités auxquelles ces autorités ont délégué le contrôle de leurs obligations, dès lors qu'elles sont astreintes aux mêmes obligations de secret professionnel.
Les informations ne peuvent être communiquées par l'AMF que dans la mesure où cette communication est destinée à l'exécution de ses missions, sous réserve que les informations bénéficient de garanties de secret professionnel au moins équivalentes à celles auxquelles l'AMF est soumise et sous condition de réciprocité.
Le code monétaire et financier prévoit en son article L.632-7 la possibilité pour l'AMF de conclure des accords de coopération prévoyant ces échanges d'informations.
En outre, la Commission relève que l'AMF lui a apporté des informations précises dans le cadre de l'instruction de cette demande, attestant que la coopération internationale instaurée par l'AMF avec ses homologues bénéficie autant à celle-ci qu'à ses homologues étrangers.
Sur l'encadrement des transferts de données hors Union européenne
L'AMF, en qualité de membre de l'organisation internationale des commissions de valeurs mobilières (OICV), est partie à  l'accord multilatéral portant sur la consultation, la coopération et l'échange d'informations  (ci-après Multilateral Memorandum of Understanding  MMOU ). L'OICV est une organisation internationale qui regroupe les régulateurs de marchés financiers dans le monde. Elle a pour mission d'élaborer des standards internationaux permettant d'assurer le bon fonctionnement, la transparence, l'intégrité des marchés financiers et la protection de l'investisseur. L'un des objectifs de l'OICV est notamment d'assurer l'échange d'informations et une meilleure coopération internationale en matière de supervision des marchés et des intermédiaires.
Le MMOU, signé en mai 2002 et qui comprend, à ce jour, 101 autorités financières signataires, correspond à une volonté d'harmonisation au plan international des règles en matière d'échanges d'informations. Il vient encadrer l'assistance mutuelle à laquelle s'engage chaque signataire de la convention en précisant leurs conditions et modalités de mise en œuvre en vue de garantir le respect des lois et réglementations en vigueur dans les juridictions respectives de chaque autorité concernée.
La Commission observe que d'autres accords bilatéraux relatifs aux échanges d'informations ont été signés par l'AMF et comportent des stipulations similaires. Ces accords sont majoritairement antérieurs au MMOU.
La Commission, après avoir procédé à l'analyse du MMOU et des règles de procédure interne fournis par l'AMF, relève les éléments suivants.
Garanties sur le champ d'application des transferts
La coopération internationale de l'AMF concerne les activités d'enquête, de contrôle et de surveillance et est, pour l'essentiel, mise en œuvre par des demandes d'informations émanant des homologues étrangers et réciproquement des requêtes d'assistance adressées par l'AMF.
Deux grandes catégories de demandes peuvent être adressées à l'AMF. Il s'agit, d'une part, des demandes destinées à renseigner l'autorité requérante quant à l'honorabilité et la compétence d'une personne physique dans le cadre d'une procédure d'agrément, d'autorisation ou de délivrance de carte professionnelle  d'autre part, des demandes d'informations qui supposent de mener des investigations approfondies (enquêtes en matière d'abus de marché, etc.).
De même, des auditions peuvent également être organisées par l'AMF pour le compte d'homologues étrangers notamment dans le cadre de recherches relatives à un délit d'initié pour déterminer les liens personnels de la personne concernée avec d'autres protagonistes ou pour connaître les motivations qui ont conduit à la réalisation de la transaction litigieuse. L'AMF procède alors, en amont, au contrôle de l'adéquation, de la pertinence et du caractère proportionné des questions que son homologue étranger souhaite poser par l'intermédiaire de l'AMF. Des représentants de l'autorité requérante peuvent être présents lors de l'audition réalisée par l'AMF. Celle-ci est menée par les enquêteurs de l'AMF, en conformité avec les dispositions procédurales du code monétaire et financier relatives aux auditions (article R. 621-35). Le procès-verbal d'audition est ensuite transmis au régulateur étranger.
Les demandes d'assistance sont adressées au service compétent de l'AMF et doivent être dûment motivées. Elles doivent notamment comporter les éléments suivants :
-	une description des faits sur lesquels repose l'enquête faisant l'objet de la demande et les raisons pour lesquelles l'assistance est demandée ;
-	une description de l'assistance souhaitée par l'autorité requérante et les raisons pour lesquelles les informations demandées lui  seront utiles ;
-	toute information qui pourrait aider l'autorité requérante à identifier les personnes susceptibles de posséder les informations demandées, les documents recherchée ou encore les entités auprès desquelles ces informations pourraient être obtenues ;
-	les éventuelles précautions particulières qui devraient être prises dans le cadre du recueil des informations en raison de considérations liées à l'enquête et notamment du caractère sensible desdites informations ;
-	la désignation des lois et réglementations qui ont pu être enfreintes et qui concernent l'objet de la demande.
L'AMF procède à un examen au cas par cas de chaque demande d'assistance afin de déterminer si elle est en mesure d'y répondre. Le cas échéant, elle peut demander des précisions complémentaires à l'autorité requérante.
Elle vérifie la compatibilité de chaque demande reçue ou à destination de l'étranger avec les stipulations de l'accord concerné auquel il doit être expressément fait référence dans la demande. Elle décide alors si les informations demandées peuvent ou non être communiquées. Le cas échéant, l'AMF opère une sélection des informations pour ne transmettre que celles strictement nécessaires.
Garanties sur la pertinence des données communiquées
Les informations susceptibles d'être transférées ne pourront se rapporter qu'à des questions relevant de l'exécution des missions respectives des autorités homologues.
Dans le cadre des requêtes d'assistance portant sur l'honorabilité et la compétence des personnes, l'AMF sera amenée à communiquer  des données à caractère personnel suivantes : nom, prénom, date de naissance, adresse ou coordonnées téléphoniques, éléments d'informations relatifs à l'expérience professionnelle et aux fonctions actuelles et passées de la personne concernée et des données d'infractions, le cas échéant (sanctions émises par l'AMF, transmission d'un dossier au procureur de la République, etc.).
Les autres requêtes d'assistance peuvent conduire au transfert de données à caractère personnel permettant d'identifier la personne physique objet de la demande (nom, prénom, date de naissance, adresse, ou coordonnées téléphoniques) ainsi qu'à des informations relatives aux transactions réalisées sur les instruments financiers, à ses comptes titres ou à ses portefeuilles (document bancaire d'ouverture de compte, relevé de compte titres, relevé de transactions, détail de portefeuille) ou à ses activités professionnelles (formation, fonctions, identification des clients).
A l'issue des investigations, seules les informations et les documents strictement utiles sont transmis à l'autorité requérante. A cet égard, l'AMF opère un tri sélectif et ne transfère pas d'éléments concernant des tiers qui ne seraient pas strictement en lien avec l'objet de l'assistance demandée.
Garanties concernant le traitement et les transferts ultérieurs des informations communiquées par l'AMF à ses homologues étrangers
Les accords bilatéraux et le MMOU limitent, de manière générale, l'utilisation permise des informations échangées. L'autorité requérante ne pourra utiliser les informations que pour répondre aux objectifs présentés dans la demande d'assistance.
Les données ne peuvent être utilisées que pour assurer le respect des lois et réglementations en rapport avec la demande et répondre à un objectif entrant dans le cadre général de l'utilisation mentionnée dans la demande d'assistance, notamment la conduite d'une procédure civile ou administrative, la participation aux activités de surveillance d'un organisme d'autorégulation. A ce titre, les données peuvent être transmises aux autorités judiciaires pénales et aux organismes d'autorégulation à condition qu'elles répondent à la finalité initiale présentée dans la requête.
Toute autre utilisation, y compris la communication à des tiers est soumise à l'accord de l''AMF qui en précise, au cas par cas, les conditions et limites. Ces transmissions d'informations ne peuvent avoir pour finalité que la poursuite de manquements à la réglementation boursière à l'exclusion de tout autre domaine.

La Commission relève que les personnes dont les données sont susceptibles d'être transférées vers les homologues étrangers de l'Autorité ne sont pas dépourvues de toute protection car, si le MMOU ne traite pas spécifiquement de la question de la protection des données personnelles et n'inclut pas l'ensemble des exigences de la loi du 6 janvier 1978 modifiée, certaines de ses dispositions, couplées à la procédure interne mise en place par l'AMF, sont de nature à entourer les transferts de certaines garanties telles que décrites ci-dessus.
La Commission considère toutefois que compte tenu de l'internationalisation de l'activité financière et du développement de la coopération entre l'AMF et ses homologues étrangers, l'assistance que l'autorité et ses homologues se prêtent mutuellement s'inscrit dans un cadre pérenne justifiant, à terme, qu'un encadrement spécifique soit mis en place pour les transferts de données à caractère personnel opéré dans ce contexte.
A cet égard, l'AMF s'engage à faire valoir, lors des prochaines négociations qui porteront sur le MMOU, la nécessité d'y intégrer, de manière explicite, les exigences imposées par la réglementation française et européenne en matière de protection des données.
Les exigences portent sur la nécessité de faire figurer dans le MMOU, a minima, les principes suivants de protection des données :
-	Les transferts répétés et structurels vers les autorités homologues doivent être effectués sur la base d'un cadre juridique spécifique contraignant.
-	Les principes de proportionnalité et de minimisation des données collectés doivent être particulièrement respectés.
-	Les modalités de mise en œuvre effective des droits d'accès, de rectification et d'opposition des personnes concernées doivent être prévues, sauf dispositions législatives visant à limiter la portée de ses droits en application de l'article 13 (1) de la Directive 95/46.
-	Les modalités de conservation et d'archivage des données auprès de l'autorité requérante doivent être définies.
-	Des mesures techniques et organisationnelles de sécurité et de confidentialité des données doivent être prises afin de protéger les données de tout accès, destruction, perte, altération et divulgation accidentels ou illégaux.
-	Un droit à réparation doit être prévu en cas de violation des droits des personnes concernées par le transfert de leurs données.
La Commission envisage de lancer des travaux au niveau du groupe des autorités européennes de protection des données (G29) afin qu'une approche européenne juridiquement établie, durable et harmonisée soit retenue pour tous les accords de coopération bilatérale ou multilatérale mettant en œuvre des transferts de données à caractère personnel.
Au vu des observations qui précèdent et de l'engagement pris par l'AMF concernant les négociations en cours sur le MMOU, la Commission considère, qu'à titre transitoire, il n'y a pas lieu pour l'AMF de demander une autorisation préalable mais de faire application de l'exception prévue à l'alinéa 2 de l'article 69 relatif à l'intérêt public pour les transferts de données à caractère personnel tels qu'envisagés dans le cadre décrit ci-dessus.
La Présidente
Isabelle FALQUE-PIERROTIN