(demande d’autorisation n° 1412986)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le code monétaire et financier, notamment ses articles L 621-9 et suivants, L 621-15 et suivants et R 621-38 et suivants ;
Vu le règlement général de l’Autorité des marchés financiers, notamment ses articles 143-1 et suivants ;
Vu le dossier déposé par l’Autorité des marchés financiers relatif à un traitement de données à caractère personnel destiné au suivi de ses contrôles ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
L’Autorité des Marchés Financiers (AMF), autorité administrative indépendante, est chargée de veiller à la protection de l’épargne investie dans les instruments financiers, à l’information des investisseurs et au bon fonctionnement des marchés d’instruments financiers. Aux termes des articles L 621-9 et suivants du Code monétaire et financier (CMF), l’AMF dispose pour l’exercice de ses missions du pouvoir de mener des enquêtes et de réaliser des contrôles, le plus souvent à partir d’informations recueillies dans le cadre de la surveillance des marchés, du suivi de la vie des sociétés côtées ou dans le cadre de plaintes.
Dans ce contexte, l’AMF a saisi la CNIL d’une demande d’autorisation concernant la création d’une base de données ayant pour finalités la gestion administrative et documentaire des contrôles de l’AMF.
Sur la procédure suivie auprès de la Commission
Le traitement automatisé est susceptible de comporter des données à caractère personnel relatives à des infractions, soupçonnées ou qualifiées, relevant de la compétence de l’AMF, recueillies par les agents du Service des contrôles des prestataires et des infrastructures de marché (CPIM) lors de leurs missions de contrôle, que celles-ci aient donné lieu ou non à l’ouverture d’une procédure de sanction devant la Commission des sanctions de l’AMF ou à la transmission du rapport d’enquête au procureur de la République.
Le 1° de l’article 9 de la loi du 6 janvier 1978 modifiée autorise les autorités publiques, lorsqu’elles agissent dans le cadre de leurs attributions légales, à mettre en œuvre des traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté. L’AMF, en tant qu’autorité administrative indépendante, entre dans le champ de cette disposition.
Dans ces conditions, il y a lieu de faire application des dispositions du 3° de l'article 25 de la loi susmentionnée qui soumet à autorisation de la CNIL les traitements, automatisés ou non, qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté, notamment lorsqu’ils sont mis en œuvre par des autorités publiques agissant dans le cadre de leurs attributions légales.
Sur les finalités et les caractéristiques  du traitement
Le traitement a pour finalités la gestion administrative et documentaire des contrôles menés par les agents du CPIM. Il permet de suivre les procédures de contrôle à toutes leurs étapes, de la décision de réaliser une mission de contrôle jusqu’à sa clôture, et d’effectuer une recherche documentaire sur les contrôles clôturés.
Pour chaque contrôle enregistré dans l’application, des champs correspondants aux différentes étapes de la procédure sont référencés. Les pièces de procédure y sont annexées sous forme de fichiers images (lettre de mission, rapport de contrôle, lettre de suite, classement sans suites, etc.).
Les critères d’interrogation du traitement sont les suivants :
le numéro de dossier,
le type de dossier (en l’occurrence, dossier de contrôle),
le type de contrôle (sur pièces, sur place, délégué ou délégué à l’Autorité de contrôle prudentiel (ACP),
l’identité des agents de l’AMF, instructeur ou coordinateur,
le statut du dossier (mission non commencée, mission en cours, rapport en circulation, attente des observations, rédaction de la lettre de suivi, lettre de suivi en circulation, affectation du suivi, suite des suites, dossier clôturé),
la date de clôture,
le nom de l’entité contrôlée.
Aucune donnée relative à l’identité des personnes concernées par les contrôles, à l’exception de l’identité des personnels de l’AMF, ni aucune donnée d’infractions, qualifiées ou soupçonnées, ne peut être utilisée comme critère d’interrogation de la base. Ces données ne sont conservées dans le traitement qu’au titre de leur mention sur les pièces de procédure annexées sous la forme de fichiers-image.
Sur les données traitées et la durée de conservation :
Les catégories de données à caractère personnel collectées concernent
l’identité et la vie professionnelle des agents de l’AMF (instructeurs et coordinateurs), des personnes ou entités à qui l’AMF a délégué ses contrôles conformément à l’article L 621-9-2 du CMF, des correspondants AMF au sein des organismes contrôlés, des personnes mentionnées dans les rapports de contrôle, des destinataires des notifications de griefs,
les éléments relatifs aux contrôles engagés,
les infractions, concernant des personnes morales ou physiques et qui entrent dans le champ de compétence de l’AMF.
L’ensemble des données traitées sont conservées pendant une durée de dix ans à compter de la date de clôture du contrôle. Cette durée répond aux besoins de la finalité de recherche documentaire sur les contrôles clôturés.
Ces caractéristiques sont adéquates, pertinentes et non excessives au regard des finalités du traitement et n’appellent, en conséquence, aucune observation au regard de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données traitées
Seuls les agents habilités de la Direction des prestataires, de la gestion et de l’épargne sont destinataires des données traitées. Ils sont tenus au secret professionnel dans les conditions prévues à l’article L 642-1 du CMF.
Sur les modalités d’information et d’exercice des droits des personnes physiques
La prise en compte des dispositions légales relatives aux contrôles de l’AMF conduit à soumettre à procédure de l’article 42 de la loi du 6 janvier 1978 modifiée les demandes de droit d’accès et de rectification relatives aux données personnelles se rapportant à un contrôle, à partir de la remise de l’ordre de mission jusqu’à l’envoi du rapport de contrôle aux personnes concernées.
A compter de l’envoi du rapport de contrôle, les droits d’accès et de rectification s’exerceront conformément aux dispositions de l’article 39 de la loi précitée, auprès du CPIM de l’AMF.
Les informations relatives à la mise en œuvre du traitement et aux modalités d’exercice des droits d’accès et de rectification figurent dans la charte de conduite d’une mission de contrôle sur place adoptée par le collège de l’AMF et remise lors du déroulement de ces contrôles et disponible sur le site internet de l’AMF.
Autorise, dans les conditions prévues par la présente délibération, l’Autorité des marchés financiers à mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion administrative et documentaire de ses contrôles.