(Demande d’autorisation n° 1852191)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Autorité des marchés financiers d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des procédures de sanction ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° et 42 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’autorité des marchés financiers, ci-après l’« AMF », est une autorité publique indépendante chargée de veiller à la protection de l’épargne investie dans les instruments financiers ou tout autre placement qui donne lieu à offre au public, à l’information des investisseurs et au bon fonctionnement des marchés financiers.
Sur la finalité
L’AMF a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la gestion des procédures de sanction.
Le traitement comporte des données à caractère personnel relatives liées :
Il y a dès lors lieu pour la Commission de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.
à des manquements, présumés ou qualifiés, relevant de Ia compétence de l'AMF, recueillis par les enquêteurs et contrôleurs lors de missions qui ont donné lieu soit a l'ouverture d'une procédure de composition administrative, soit à l'ouverture d'une procédure de sanction devant la Commission des sanctions de l'AMF ou à la transmission du rapport d'enquête ou de contrôle au procureur de la République ;
aux accords de composition administrative, aux condamnations, que celles-ci aient été prononcées par la Commission des sanctions ou par une juridiction pénale.
Conformément à l’article 9 alinéa 1er de la loi du 6 janvier 1978 modifiée, l’AMF met en œuvre ce traitement de données relatives aux infractions en tant qu’autorité publique agissant dans le cadre de ses attributions légales : pouvoirs de contrôles, d’enquêtes, d’injonctions, de compositions administratives et de sanctions (article L 621-9 et suivants du code monétaire et financier).
Le traitement permet l’instruction et le suivi des procédures de sanctions et de leurs recours, ainsi que des procédures de composition administrative, engagées par l’AMF en application des articles 621-14-1 et suivants du code monétaire et financier. Le traitement concerne, de manière séparée et indépendante : l’autorité de poursuites ; le Collège et l’autorité de jugement ; la Commission des sanctions.
Le traitement comprend pour chaque procédure, quelles que soient les suites qui lui sont apportées (accord de composition administrative homologué, mise hors de cause, sanction), des données descriptives de la procédure, l’ensemble des pièces de procédure (dossiers d’enquête ou de contrôle, décision de la commission spécialisée, courriers et mémoires des parties, procès-verbaux d’audition, actes d’instruction complémentaire, décision de la Commission des sanctions, courriers et mémoires post-décision de la Commission des sanctions notamment dans le cadre des éventuels recours) et le cas échéant, les décisions de justice.
La Commission considère que la finalité poursuivie par le traitement est légitime, déterminée et explicite.
Sur les données traitées
Le traitement comporte les données à caractère personnel suivantes :
identité ;
situation familiale ;
formation ;
vie professionnelle ;
situation économique et financière ;
données de connexion ;
manquements administratifs, infractions et condamnations des personnes mises en cause interrogées ;
identité et vie professionnelle des conseils des personnes auditionnées dans le cadre des missions ;
identité et vie professionnelle des agents de l’AMF, des membres du collège et des membres de la commission des sanctions intervenant dans la procédure.
Sur les destinataires
Seuls sont destinataires des données les membres de la Commission des sanctions et les membres du Collège ainsi que par les agents de l'AMF apportant leur concours a ces instances conformément aux articles R.621-37-2 et suivants et R.621-38 et suivants du CMF.
Toutes ces personnes sont tenues au secret professionnel dans les conditions prévues à l’article L 642-1 du CMF.
Les données sont également communiquées aux juridictions concernées en cas de recours.
Les décisions de sanction et les accords de composition administrative homologués pouvant faire état de données issues du traitement sont, sauf décision contraire de la Commission des sanctions, rendus publics de manière non « anonymisée ».
Les modalités d'accès sont différenciées selon que la procédure est en cours ou terminée :
les données relatives aux procédures en cours ne sont consultables que par les personnes intervenant sur les procédures ;
les données relatives aux procédures terminées sont utilisées pour la recherche documentaire des personnes impliquées dans le processus de sanction ou de composition administrative.
Sur l’information et le droit d’accès
Les personnes faisant l'objet de procédures administratives devant le Collège de I'AMF ou la Commission des sanctions, ou de procédures judiciaires auxquelles I'AMF serait partie sont informées de leurs droits  via une mention sur le site Internet de l’AMF et dans les courriers qui leur sont adressés. Elles disposent d’un droit d’accès direct aux données personnelles les concernant, dans les limites du principe du contradictoire et des règles de procédure applicables.
Pour les autres personnes, non mises en cause, en application de l’article 42 de la loi du 6 janvier 1978 modifiée et au vu des règles de secret professionnel qui s’appliquent à l’AMF, les demandes de droit d’accès relatives aux données personnelles se rapportant à une enquête relèveront de la procédure de droit d’accès indirect auprès de la CNIL.
Sur les mesures de sécurité
Les mesures de sécurité décrites par l’AMF sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données traitées sont conservées pendant une durée de dix ans à compter du 31 décembre de l'année au cours de laquelle la décision est devenue définitive, ou de cinq ans à compter du 31 décembre de l'année au cours de laquelle la décision a été intégralement exécutée, si cette date est postérieure.
Cette durée permet notamment à l'AMF :
A défaut de délais de prescription légaux, il est à noter que les décisions de la Commission des sanctions sont conservées sur support informatique sans limitation de délai ; l'accès à ces décisions au-delà de la durée de conservation indiquée ci-dessus est limité aux membres de la Commission des sanctions, au secrétariat de ladite commission et aux collaborateurs de la Direction de l'instruction et du contentieux des sanctions.
de prendre en compte, le cas échéant, les sanctions antérieurement prononcées contre les mêmes personnes mises en cause lors de l'appréciation d'une nouvelle sanction ;
d'instruire les demandes des personnes sanctionnées visant à tempérer dans le temps, les effets des sanctions prises à leur encontre, telles, par exemple, les demandes visant à obtenir  l‘anonymisation d'une décision de sanction publiée sur le site internet de l'AMF, postérieurement à son prononcé ;
de traiter d'éventuels contentieux indemnitaires dans lesquels l'AMF peut être impliquée ;
de suivre le recouvrement des sanctions par le Trésor public et les fonds de garantie ;
de répondre à des demandes d'avis adressées par les autorités judiciaires ;
d'assister les ministères compétents dans les contentieux portés devant les juridictions européennes ou internationales (par exemple la Cour européenne des droits de l'homme), étant précisé que la saisine de l'AMF au cours de ces dernières procédures peut intervenir tardivement ;
le cas échéant, d'instruire les demandes de relèvement d'une sanction d'interdiction temporaire ou définitive d'exercer d'un professionnel ;
Autorise, conformément à la présente délibération, l'Autorité des marchés financiers  à mettre en œuvre le traitement susmentionné.
La présente délibération annule et remplace la délibération n° 2008-182 du 26 juin 2008.
La Présidente
I. FALQUE-PIERROTIN