La Commission nationale de l'informatique et des libertés,
Saisie par l’Autorité des marchés financiers d’une demande d’autorisation concernant la mise en œuvre d’un arrangement administratif visant à encadrer les transferts des données à caractère personnel avec ses homologues en dehors de l’Espace économique européen ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, notamment son article 46.3.b ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’accord multilatéral portant sur la consultation, la coopération et l’échange d’informations de l’Organisation internationale des Commissions de valeurs mobilières de mai 2002 ;
Vu l’avis 4/2019 sur le projet d'arrangement administratif pour le transfert de données à caractère personnel entre les autorités des marchés financière de l'EEE et les autorités de marchés financiers non membres de l'EEE du Comité européen de la protection des données ;
Après avoir entendu M. Philippe Pierre CABOURDIN, commissaire, en son rapport, et Mme Nacima Belkacem, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par l’AMF d’une demande d’autorisation pour la mise en œuvre d’un arrangement administratif visant à encadrer les transferts des données à caractère personnel avec ses homologues en dehors de l’Espace économique européen (EEE).
En effet, en vertu de l’article 46 du Règlement général sur la protection des données (ci-après, RGPD ), en l’absence de décision d’adéquation de la Commission européenne (article 45 du RGPD), un transfert de données à caractère personnel vers un pays tiers ne peut avoir lieu que si des garanties appropriées ont été prévues par l’exportateur de données et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives.
Sous réserve de l’autorisation de la Commission nationale de l’informatique et des libertés, les garanties appropriées visées ci-dessus peuvent être fournies par des dispositions à intégrer dans des arrangements administratifs entre autorités publiques qui prévoient des droits opposables et effectifs pour les personnes concernées (article 46.3.b du RGPD).
L'AMF, en qualité de membre de l'Organisation internationale des commissions de valeurs (OICV), est partie à l'accord multilatéral portant sur la consultation, la coopération et l'échange d'informations (ci-après
Multilateral Memorandum of Understanding
Le MMOU ne traite pas spécifiquement de la question de la protection des données personnelles et ne contient pas de garanties pour l’encadrement des transferts de données personnelles en dehors de l’Union européenne.
Afin de se conformer aux exigences du RGPD mentionnées ci-dessus, les régulateurs des marchés financiers EEE, dont l’AMF, ont entamé des négociations avec leurs homologues hors EEE pour l’élaboration d’un outil de transfert – un arrangement administratif – selon l’article 46.3.b du RGPD, en vue d’encadrer leurs transferts des données personnelles en dehors de l’EEE.
L’Autorité européenne des marchés financiers (ESMA), agissant en tant que facilitateur pour le compte des régulateurs des marchés financiers de l'EEE, a soumis en premier cet accord cadre pour avis formel au CEPD, le 7 janvier 2019.
Cet arrangement administratif sera utilisé par toutes les autorités de marchés financiers EEE pour l’encadrement de leurs transferts de données à caractère personnel hors EEE.
Le CEPD a rendu un avis favorable sur cet arrangement administratif le 12 février 2019 et a considéré que les exigences prévues par l’article 46.3.b du RGPD étaient satisfaites.
Eléments de contexte sur les traitements opérés dans le cadre de l’arrangement administratif
La coopération entre l’AMF et ses homologues relevant d’un Etat non membre de l’EEE est organisée sur le fondement de l’article L. 632-7 du code monétaire et financier (CMF), qui permet à l’AMF de conclure des accords de coopération prévoyant notamment l’échange d’informations avec des autorités homologues relevant d’Etats tiers (non UE et non parties à l’EEE). Les échanges d’informations avec les pays tiers se font dans le cadre des accords multilatéraux ou bilatéraux portant sur la consultation, la coopération et l’échange d’informations.
Cette coopération est encadrée, les informations étant communiquées et demandées selon le principe de proportionnalité ; l’utilisation des informations échangées, et donc des données personnelles, est limitée au cadre strict de la demande pour l’accomplissement des missions respectives des régulateurs de marché.
La coopération internationale instaurée par l’AMF avec ses homologues bénéficie autant à celle-ci qu’à ses homologues étrangers.
Conformément au registre des traitements Informatique et Libertés de l’AMF, le traitement ayant pour finalité la réponse aux demandes d’informations des homologues hors EEE permet les transferts de données personnelles à l'étranger dans le cadre de la coopération internationale de l’AMF avec ses homologues, afin de renseigner une autorité requérante quant à l'honorabilité d'une personne physique dans le cadre d'une procédure d'agrément, d'autorisation ou de délivrance d’une carte professionnelle et de traiter des demandes d'informations qui supposent de mener des investigations approfondies (enquêtes en matière d'abus de marché, notamment).
Les données pouvant être transférées sont notamment des données d’identification des bénéficiaires économiques (nom, prénom, adresse, numéro de téléphone) suspectés d’abus de marché, des informations d’ordre économique et financier (des données bancaires) ou, plus rarement, des données relatives à d’éventuelles infractions ou condamnations. Les personnes concernées par le transfert dans le cadre de l’arrangement administratif sont des personnes physiques suspectées d’abus de marché ou d’autres manquements à la règlementation boursière et/ou des personnes exerçant ou devant exercer des fonctions au sein d’entités agréées.
Sur les garanties inclues dans l’arrangement administratif
Limitation de finalité
L'AMF ne pourra accepter de transférer les données à caractère personnel demandées que dans le cadre des mandats et responsabilités des autorités des marchés financiers définies conformément aux fondements juridiques et finalités exposés dans la demande reçue. Les autorités des marchés financiers non-EEE, ne seront pas autorisées à traiter ultérieurement les données à caractère personnel transférées d’une manière incompatible avec ces mandats et responsabilités.
Le mécanisme de supervision constitué au niveau de l'OICV assurera le contrôle de cette garantie lors des revues périodiques prévu par l’arrangement administratif.
Exactitude et minimisation des données
L’AMF ne transfèrera que des données à caractère personnel qui sont exactes, à jour, adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont transférées. Les autorités des marchés financiers assureront que toute donnée inexacte sera effacée ou rectifiée selon le cas en l’espèce. L’arrangement reprend ainsi les principes énoncés à l’article 5 (c) et (d) du RGPD.
Transparence
Une notice d’information générale à destination des personnes concernées avec des éléments sur le traitement de leurs données personnelles sera publiée sur le site web de chaque autorité des marchés financiers avant tout transfert. L’arrangement administratif en question sera également publié. En outre, une notification individuelle sera fournie aux personnes concernées par l’AMF, conformément aux dispositions du RGPD. La personne concernée pourrait s’opposer à ce traitement en vertu des droits prévus par l’arrangement administratif. L’arrangement reprend ainsi les principes énoncés aux articles 13 et 14 du RGPD.
Limitation de la conservation des données
Les données à caractère personnel transférées seront conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. L’arrangement reprend ainsi le principe énoncé à l’article 5 (e) du RGPD.
Sécurité et confidentialité
Les autorités des marchés financiers non-EEE mettront en place des mesures techniques et organisationnelles (par exemple : marquage des informations permettant de les identifier comme données à caractère personnel) afin de garantir une sécurité appropriée. Toute violation de données à caractère personnel sera notifiée à l’AMF dans les meilleurs délais et des moyens appropries seront mis en place afin de remédier la violation en question. Le mécanisme de supervision constitué au niveau de l'OICV assurera le contrôle de cette garantie lors des revues périodiques prévu par l’arrangement administratif. L’arrangement reprend ainsi les principes énoncés aux articles 5 (f) et 32 du RGPD.
Définitions des droits des personnes
Les définitions des principes clés et des droits des personnes inclues dans l’arrangement administratif sont conformes aux définitions de l’article 4 du RGPD.
Droits des personnes
En vertu de l’arrangement administratif, les personnes concernées ont le droit d’obtenir confirmation du traitement de leurs données personnelles ainsi qu’un accès à ces données. Les personnes concernées ont également le droit de demander l’effacement, la rectification et la limitation de leurs données personnelles et de s’opposer au traitement de leurs données personnelles. Les éventuelles limitations à ces droits doivent être prévues par la loi et sont applicables pour autant que nécessaire afin de respecter les obligations légales en question (par exemple : secret professionnel). Le mécanisme de supervision constitué au niveau OICV, assurera le contrôle de cette garantie lors des revues périodiques prévu par l’arrangement administratif.
L’arrangement reprend ainsi les principes énoncés aux articles 15, 16, 17, 18, 19 et 21 du RGPD.
Par ailleurs, une des conditions de la mise en œuvre de l’arrangement administratif en vertu de l’article 46.3.b du RGPD est l’existence de droits opposables et effectifs pour les personnes concernées. Afin de remplir cette condition et permettre aux personnes concernées d’exercer leurs droits de manière effective, l’arrangement administratif sera rendu public sur le site web de chacune des autorités des marchés financiers, signataires de l’arrangement administratif.
Transferts ultérieurs
Les transferts ultérieurs à un tiers, dans un pays tiers, non couverts par une décision d'adéquation de la Commission européenne, ne peuvent avoir lieu qu'avec le consentement écrit préalable de l’AMF et si la partie tierce fournit des assurances compatibles avec l’arrangement administratif.
Les mêmes garanties sont envisagées pour le partage de données personnelles avec un tiers, établi dans le pays de l’autorité des marchés financiers destinataire, à moins que, dans des cas exceptionnels, ce tiers ne puisse fournir les assurances susmentionnées. Dans ce cas, le transfert ne peut avoir lieu que :
(i) si la communication est nécessaire pour des raisons importantes d’intérêt public et qui doit être reconnu comme tel par l’Union européenne ou par la France ;
(ii) si la finalité pour laquelle les données personnelles sont partagées puis traitées est conforme à celle pour laquelle les données ont été initialement transférées et si le partage est nécessaire pour remplir le mandat et les responsabilités de l'autorité des marchés financiers destinataire et/ou de la tierce partie ;
(iii) lorsque le partage de données personnelles fait suite à une demande légalement exécutoire ou est requis par la loi. Dans ce cas-là, l’autorité de marchés financiers destinataire doit notifier le partage de données personnelles à l’AMF avant le partage de ces données.
L’arrangement reprend ainsi le principe énoncé à l’article 44 du RGPD.
Mécanisme de recours et de supervision
Un mécanisme de recours est prévu afin de garantir aux personnes concernées le droit d’obtenir réparation et, le cas échéant, une indemnisation. Le recours peut être exercée devant l’organe compétent (par exemple : un tribunal) dans le pays dans lequel la violation est commise. Un mécanisme de recours en quatre étapes, défini dans la Section III (8) de l’arrangement administratif, peut également être utilisé.
Un mécanisme de supervision est prévu afin d’assurer la bonne exécution des garanties de l’arrangement administratif. L’organe de supervision interne à l’OICV ( Groupe d’évaluation ) réalisera des revues périodiques des engagements de l’arrangement administratif et, si besoin, émettra des recommandations auprès de l’autorité concernée, qui seront notifiées à l’ensemble des autorités des marchés financiers. Les signataires de cet arrangement administratif réaliseront également des revues périodiques de leurs propres procédures, dont les résultats devront être notifiés au Groupe d’évaluation.
En conclusion, au regard de ces éléments et de l’avis favorable du CEPD, la Commission relève que les dispositions de l’arrangement administratif, en l’espèce, apportent des garanties appropriées conformes au RGPD. Dans ces conditions, la Commission autorise l’arrangement administratif visant à encadrer les transferts des données à caractère personnel entre l’AMF et ses homologues en dehors de l’EEE.
La présente décision et l’arrangement administratif de l’AMF seront publiés sur le site web de la CNIL.
Cette autorisation est délivrée sous réserve de la signature de l’arrangement administratif par les autorités des marchés financiers concernées.
L’AMF devra notifier à la CNIL toute suspension des transferts de données personnelles selon les sections III (8) et IV de l’arrangement administratif ainsi que toute modification ou interruption de participation à l’arrangement administratif.
La Commission prend acte que l’AMF tiendra un registre avec les éléments suivants concernant l’arrangement administratif :
informations concernant la durée de conservation de données personnelles transférées dans le cadre de l’arrangement administratif ;
informations sur les notifications reçues par l’AMF concernant les violations de données à caractère personnel en vue de la section III (4) de l’arrangement administratif ;
informations sur les résultats des revues périodiques du Groupe d’évaluation, notamment en ce qui concerne la section III (6.2.3) de l’arrangement administratif ;
informations sur les notifications reçues par l’AMF conformément à la section III (6.2.4) de l’arrangement administratif ;
nombre de demandes de résolution de litiges reçues par l’AMF ou concernant les données à caractère personnelle transférées par l’AMF ;
informations détaillées concernant les cas soumis aux mécanismes de règlement de litiges envisagés par l’arrangement administratif ;
informations détaillées sur les cas non résolus par les mécanismes de règlement des litiges envisagés et action prise par l’AMF ;
informations sur les recommandations du Groupe d’évaluation aux autorités de marchés financiers suite aux revues périodiques.
La CNIL se réserve le droit de demander ces informations à l’AMF dans l'objectif d’assurer le contrôle de la mise en œuvre pratique de cet arrangement administratif.
La CNIL se réserve le droit de retirer cette autorisation si l'arrangement administratif est modifié et ne présente plus les garanties appropriées au sens de l'article 46.3.b du RGPD.
La Présidente
Marie–Laure DENIS