(Demande d’autorisation n°1710721)
La Commission nationale de l'informatique et des libertés,
Saisie par ARKEA BANQUE E&I d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L 621-17-2 à L 621-17-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le règlement général de l’Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l’instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du règlement général de l’AMF ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
ARKEA BANQUE E&I (Entreprises et Institutionnels), filiale du Crédit Mutuel ARKEA qui accompagne les entreprises, les acteurs publics, les institutionnels et les professionnels de la promotion immobilière.
Sur la finalité
Ce traitement vise à détecter des opérations de transactions sur titres réalisées par des clients de ARKEA BANQUE E&I qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire ARKEA BANQUE E&I à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet.
Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Le traitement mis en œuvre doit permettre à ARKEA BANQUE E&I d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires, des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché.
Le traitement est réalisé une fois par mois sur les données du mois précédent. Les transactions ainsi détectées ont vocation à être analysées sans délai.
Sur les données traitées
Les listes d’opérations à analyser comportent les catégories de données suivantes :
Les listes ainsi constituées sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF.
la date et la nature de la détection,
le numéro de compte et la nature du compte de titres,
les caractéristiques de la valeur (code ISIN, libellé, groupe de cotation),
les caractéristiques de l’ordre détecté (type d’ordre, sens de l’opération, modalités d’exécution, montant limite du cours, date de validité, date d’exécution, date d’annulation, date de saisie, heure de saisie, quantité traitée, montant).
Elles sont ensuite archivées pendant une durée de trois ans et uniquement accessibles au Directeur du contrôle permanent et de la conformité et aux Responsables des départements conformité du Crédit Mutuel ARKEA. Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul le responsable du contrôle permanent de ARKEA BANQUE E&I peut être destinataire de ces informations.
En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux de la Direction de l’inspection générale et du contrôle périodique du Crédit Mutuel ARKEA sont également destinataires de tout ou partie des données mentionnées dans la déclaration de soupçon.
Les actions effectuées par ces destinataires sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause des conditions générales applicables au compte de titre ainsi qu’une clause des conditions générales applicables à l’ensemble des comptes.
Le droit d’accès s’exerce conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée auprès du Service clientèle de : ARKEA BANQUE Entreprises & Institutionnels, Immeuble Le Sextant, route de Saint Malo CS 21135 35011 Rennes Cedex.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères et une longueur maximale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.
L'accès à un compte d'un poste de travail est bloqué après 6  tentatives infructueuses.
Les postes de travail disposent d'un logiciel antivirus mis à jour régulièrement.
Les postes de travail disposent d'un pare-feu logiciel.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Une journalisation des opérations de consultation, création et modification du traitement est réalisée.
Les archives obsolètes sont détruites de manière sécurisée.
Les interventions de maintenance font l'objet d'une traçabilité.
Les sauvegardes sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Les services web sont sécurisés au moyen du protocole SSL.
Sur les autres caractéristiques du traitement
Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF.
La Commission constate que ce traitement de détection des alertes d’abus de marché repose sur une analyse des valeurs des titres et des volumes d’ordres. Elle prend acte que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
La Commission souligne en outre que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Autorise, conformément à la présente délibération, ARKEA BANQUE E&I à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN