(Demande d’autorisation n° 1575917)
La Commission nationale de l’informatique et des libertés,
Saisie par la SOCIETE GENERALE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L 621-17-2 à L 621-17-7 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25, I, 4° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le règlement général de l'Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l'instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d'opérations suspectes prise en application de l'article 315-42 du règlement général de l'AMF ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
SOCIETE GENERALE
Sur la finalité
Le traitement vise à détecter des opérations de transactions sur titres susceptibles de constituer des opérations d’abus de marché qui doivent, le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF). Il s’agit des opérations réalisées par la SOCIETE GENERALE au nom de ses clients ou par ses collaborateurs pour son compte.
L’identification de telles opérations peut conduire la SOCIETE GENERALE à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet.
Il y a lieu de faire application des dispositions prévues à l’article 25.I.4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation de la Commission les traitements susceptibles d’exclure une personne du bénéfice d’un contrat en l’absence de toutes dispositions législatives et réglementaires le prévoyant.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données analysées afin de détecter des alertes d’abus de marché sont les suivantes :
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
La date de l’opération, le numéro du compte titre, le sens, la valeur, la quantité, le montant, les références de l’opération, l’historique des mouvements sur les trois derniers jours ;
Les informations d’horodatage : heure de saisie, de transmission au marché, d’exécution et d’entrée en portefeuille ;
S’agissant des collaborateurs : la localisation et la fonction (sous la forme opérateur agissant pour le compte propre de la banque ou commercial en lien avec un client.
Les données relatives aux opérations sont conservées pendant une durée de six mois maximum en base active et archivées pendant une durée de un an.
Les alertes et les opérations correspondantes sont conservées en base active le temps de l’analyse et archivées ensuite pendant une durée de cinq ans.
Sur les destinataires
Sont destinataires des informations figurant dans ce traitement les contrôleurs et les responsables conformité, la Direction générale de l’entité concernée et le cas échéant, les personnes habilités des services audit, contentieux et juridique.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur le transfert de données hors Union Européenne
La finalité du transfert des données en Inde est la maintenance, le développement, le support informatique et l’assistance technique.
Les catégories de données ci-dessus sont transmises au personnel habilité de la Société Générale Globale Solution, Bangalore.
Le transfert est encadré par un contrat de transfert de données hors Union Européenne de responsable de traitement à sous-traitant sur le modèle des clauses contractuelles types de la Commission européenne.
Ce transfert n’appelle pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les clients sont informés par une mention figurant dans la convention de compte et les salariés par un courrier personnalisé et une mention sur l’intranet de la SOCIETE GENERALE.
Les droits d’accès, de rectification et d’opposition s’exercent par voie postale auprès de la Direction de la conformité SEGL/CFT, 17 cours Valmy, 75 886 PARIS cedex 18.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Les autres mesures de sécurité n’appellent pas d’observations de la part de la Commission.
Sur les autres caractéristiques du traitement
Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF.
Ce traitement de détection des alertes d’abus de marché repose sur une analyse des valeurs des titres et des volumes d’ordre. L’ensemble des opérations détectées font l’objet d’une analyse manuelle sans délai. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Ce traitement de détection des alertes d’abus de marché repose sur une analyse des valeurs des titres et des volumes d’ordres. Il ne permet pas la constitution d’une liste d’exclusion de personnes ou de comptes titres ayant déjà fait l’objet d’une ou plusieurs alertes.
Autorise, conformément à la présente délibération, la SOCIETE GENERALE à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN