(Demande d’autorisation n° 1686403)
La Commission nationale de l'informatique et des libertés,
Saisie par PROCAPITAL d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L 621-17-2 à L 621-17-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le règlement général de l’Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l’instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du règlement général de l’AMF ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
PROCAPITAL, est une société anonyme filiale du Groupe Crédit Mutuel Arkéa, prestataire de services titres à destination des établissements financiers.
Sur la finalité
Ce traitement vise à détecter des opérations de transactions sur titres réalisées par des clients de PROCAPITAL qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire PROCAPITAL à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet.
Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Le traitement mis en œuvre doit permettre à PROCAPITAL d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires, des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché.
Le traitement est réalisé quotidiennement sur les données du jour précédent. Les transactions ainsi détectées sont analysées sans délai.
Sur les données traitées
Les listes d’opérations à analyser comportent les catégories de données suivantes :
Les listes ainsi constituées sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF.
la date et la nature de la détection,
le numéro de compte et la nature du compte de titres,
les caractéristiques de la valeur (code ISIN, libellé, groupe de cotation, libellé du compte, la référence d’une opération sur un instrument financier, la devise de règlement, les modalités de transmission, les heures de pré-ouverture et de post-clôture d’un marché).
les caractéristiques de l’ordre détecté (type d’ordre, sens de l’opération, modalités d’exécution, montant limite du cours, date de validité, date d’exécution, date d’annulation, date de saisie, heure de saisie, quantité traitée, montant).
Elles sont ensuite archivées pendant une durée de trois ans et uniquement accessibles aux collaborateurs du service du contrôle permanent, au responsable de la conformité, ainsi qu’aux agents en charge du contrôle périodique. Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les établissements financiers signataires d’une convention avec PROCAPITAL  peuvent être destinataires de ces informations.
En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux mentionnés dans la convention de prestation conclut entre l’établissement financier et PROCAPITAL sont également destinataires de tout ou partie des données mentionnées dans la déclaration de soupçon.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause des conditions générales applicables au compte de titre ainsi qu’une clause des conditions générales applicables à l’ensemble des comptes.
Le droit d’accès s’exerce conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée auprès du Service Conformité de PROCAPITAL – Tour Ariane, La Défense, 5 Place de la Pyramide, 92088 La Défense Cedex.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission relève que le responsable de traitement s’engage à mettre en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.
Par ailleurs, chaque utilisateur dispose d'un identifiant qui lui est propre et il existe des profils d'habilitation pour gérer les accès aux données.
Les postes de travail disposent d'un pare-feu logiciel et d’un antivirus régulièrement mis à jour.
Des sauvegardes quotidiennes sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Les interventions de maintenance font l'objet d'une traçabilité. Le matériel remisé est nettoyé de toute donnée à caractère personnel.
L'accès aux locaux est sécurisé et contrôlé par un moyen d'authentification personnel.
Il existe une journalisation des opérations de consultation, de création et de modification du traitement.
Les mesures de sécurité décrites par PROCAPITAL sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF.
La Commission constate que ce traitement de détection des alertes d’abus de marché repose sur une analyse des valeurs des titres et des volumes d’ordres. Elle prend acte que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
La Commission souligne en outre que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
En cas de détection d'un risque d’abus de marché sur un client (déclaration d'opérations suspectes déjà réalisées pour ce client) ou bien lors d'une enquête d'une autorité de tutelle portant sur une typologie de clientèle ou un client particulier, des extractions spécifiques sur des opérations précises et concernant un client peuvent être réalisées.
Autorise, conformément à la présente délibération, PROCAPITAL à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN