(demande d’autorisation n° 1401460)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L 621-17-2 à L 621-7-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le règlement général de l’Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l’instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du règlement général de l’AMF ;
Vu la demande d’autorisation déposée par la Fédération de Crédit Mutuel Nord Europe relative à un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du Gouvernement; en ses observations,
Formule les observations suivantes
La Fédération de Crédit Mutuel Nord Europe a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel permettant de détecter des opérations susceptibles de constituer des abus de marché.
Sur la procédure suivie auprès de la Commission
Ce traitement vise à détecter des opérations de transactions sur titres susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, ou un travail non automatisé, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire la Fédération de Crédit Mutuel Nord Europe à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec les personnes qui en font l’objet.
Il peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toutes dispositions légales ou réglementaires le prévoyant. Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les finalités et les caractéristiques du traitement
Le traitement mis en œuvre doit permettre à la Fédération de Crédit Mutuel Nord Europe d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché. Il permet en outre de contrôler l’application des règles déontologiques et des procédures internes relatives aux transactions personnelles des collaborateurs ayant accès à des informations privilégiées au sens des articles 621-1 à 621-3 du règlement général de l’AMF du fait de leur fonction.
Le dispositif de détection des opérations susceptibles d’être qualifiées d’abus de marché repose sur une analyse mensuelle des opérations réalisées par les clients et les collaborateurs ayant accès à des informations privilégiées à partir du carnet d’ordre, du portefeuille et des déclarations effectuées par les collaborateurs concernés.
Les critères retenus visent à détecter diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF. Certaines opérations susceptibles de constituer des abus de marché sont détectées automatiquement à l’aide de requêtes informatiques appliquées au système d’information de la Fédération de Crédit Mutuel Nord Europe. L’ensemble des transactions détectées sont analysées sans délai par le service du contrôle des services d’investissement qui peut décider de procéder à une déclaration de soupçon auprès de l’AMF.
La Commission souligne que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
La Commission constate que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Sur les données collectées
Les listes d’opérations à analyser comportent les catégories de données suivantes :
Sur les personnes concernées par les alertes au titre des ordres qu’elles ont émis ou des transactions qu’elles ont effectuées : les nom et prénoms,
Sur les opérations : le sens, les modalités de l’ordre, la limite, la quantité de titres vendus ou achetés, le montant, la date de validité de l’ordre, la date et l’heure de saisie, la date d’exécution, le total en nombre d’opérations sur une valeur ainsi qu’en montant pour les clients, le cas échéant la date et l’heure de saisie de l’annulation, la date d’annulation, le montant de la plus value ou de la perte réalisée, le nombre d’achats saisis non exécutés.
Une liste des collaborateurs ayant accès à des informations privilégiées est constituée. Celle-ci comporte l’identité de la personne et sa ou ses fonctions.
Les clients ayant un lien avec un émetteur côté sont également identifiés. Cette seconde liste comporte l’identité du client, les références du ou des comptes ouverts auprès de la Fédération du Crédit Mutuel Nord Europe, l’émetteur concerné, la description du lien avec l’émetteur, le nom de la caisse teneur de compte, l’identité du chargé de clientèle et du Directeur de la Caisse. S’agissant de ces clients, le traitement mis en œuvre repose exclusivement sur une analyse manuelle.
Les listes d’opérations à analyser sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF. Elles sont ensuite archivées pendant une durée de trois ans et uniquement accessible au personnel habilité des Directions du contrôle de la conformité et du Contrôle permanent.
Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans.
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Sur les destinataires des informations
Les alertes sont uniquement accessibles aux personnels habilités de la Direction du contrôle de la conformité et du contrôle permanent.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité sont également destinataires de tout ou partie des données mentionnées dans la déclaration de soupçon.
Sur l’information des personnes
Les clients sont informés de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause de la convention d’instruments financiers.
Les collaborateurs ayant accès à des informations privilégiées sont informés de la mise en œuvre de ce traitement par courrier.
Le droit d’accès s’exerce auprès de la Fédération de Crédit Mutuel Nord Europe du conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée.
Autorise, dans les conditions, prévues par la présente délibération, la Fédération de Crédit Mutuel Nord Europe à mettre en œuvre un traitement automatisé de données à caractère personnel de détection des opérations susceptibles de constituer des abus de marché.
Isabelle FALQUE-PIERROTIN