(Demande d’autorisation n° 1637441)
La Commission nationale de l’informatique et des libertés ;
Saisie par l’autorité des marchés financiers (AMF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la tenue d’un fichier des personnes auditionnées ayant fait l’objet d’une suite à l’issue d’une enquête ou d’un contrôle;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le code monétaire et financier ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles, 9-1°, 25-I-3° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°01.009 du 22 février 2001 portant avis sur le projet de décision portant création d’un fichier des enquêtes au sein du service de l’inspection de la commission des opérations boursières ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’AMF a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative au traitement des personnes auditionnées. Ce traitement a fait l’objet d’un examen initial par la Commission, par délibération du 22 février 2001, lors de sa saisine par  la Commission des opérations de bourse pour la création d’un fichier recensant les données à caractère personnel sur des personnes auditionnées en cours d’enquêtes ou ayant fait l’objet de suites après enquête intitulé « fichier des enquêtes ». Ce fichier est désormais géré par l’AMF qui souhaite y apporter plusieurs modifications relatives tant à la finalité du traitement qu’aux données traitées.
Il y a dès lors lieu pour la Commission de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Conformément à l’article 9 alinéa 1er de la loi du 6 janvier 1978 modifiée, l’AMF met en œuvre ce traitement de données relatives aux infractions en tant qu’autorité publique agissant dans le cadre de ses attributions légales.
Sur la finalité du traitement :
Le traitement initialement déclaré a pour finalité la conservation et la gestion des informations utiles à la constatation des infractions et des manquements administratifs que l’autorité publique a pour mission de rechercher, conformément aux dispositions du code monétaire et financier (CMF).
Les principales modifications apportées au fichier initial sont les suivantes :
le périmètre du fichier est réduit aux seules personnes qui ont fait l’objet d’une suite après avoir été entendues à l’occasion d’une enquête. Les dossiers ayant fait l’objet d’un classement ne figureront plus dans ce traitement.
Le traitement comprend également les personnes qui ont fait l’objet d’une suite après avoir été entendues dans le cadre d’un contrôle (le fichier inclut désormais les personnes rencontrées lors des enquêtes et des contrôles).
le traitement a pour finalité la conservation et la gestion des informations dans le cadre de la recherche d’infractions et de manquements administratifs. Il permet également d’apprécier l’honorabilité de certaines personnes et leur capacité à garantir une gestion saine et prudente.
le traitement peut permettre un rapprochement avec les bases de données sur les enquêtes en cours ou terminées et sur leurs suites (fichier « ARES ») ainsi que sur la base « contrôles ». Si une personne est identifiée dans le fichier, le nom ou le numéro de l’enquête ou du contrôle, contenu dans celui-ci, permet à l’AMF, dans un deuxième temps, d’accéder aux informations et pièces contenues dans les bases de données « ARES » et « contrôles ».
La Commission estime que les modifications apportées à la finalité du traitement correspondent aux missions poursuivies par l’AMF, telles qu’elles résultent de l’application du CMF et du Règlement général de l’AMF, et qu’elles sont dès lors  légitimes.
Sur la nature des données traitées :
Les informations à caractère personnel recensées dans ce traitement sont :  l’identité des personnes physiques concernées (nom, prénoms, date et lieu de naissance), leurs fonctions au moment de l’enquête ou du contrôle, l’identité de leur employeur et de la personne morale dans laquelle l’intéressé occupe, le cas échéant, une fonction de dirigeant, le lieu de commission des faits (département ou ville), les noms et numéros de l’enquête ou du contrôle et, enfin, la suite donnée, qu’il s’agisse d’une  lettre d’observation de l’Autorité des marchés financiers, de l’ouverture d’une procédure de sanction administrative, de la  transmission au parquet, à l’Autorité des contrôle prudentiel, à la Compagnie nationale des commissaires aux comptes, à une autorité étrangère ou au Haut Conseil du commissariat aux comptes.
Ces données apparaissent pertinentes au regard de la finalité du traitement.
Sur la durée de conservation des données :
Les données seront conservées pendant une durée de 10 ans afin de répondre aux besoins documentaires des enquêteurs, des personnes chargées des contrôles et de l’appréciation de l’honorabilité ou de la capacité de certaines personnes à garantir une gestion saine et prudente.
Cette durée est identique à celle précédemment examinée et n’appelle pas d’observation de la Commission.
Sur les destinataires des données :
Depuis 2011, une nouvelle organisation des services a été mise en place au sein de l’AMF. Les missions d’enquêtes relatives aux abus de marché et les missions de contrôle portant sur le respect des obligations professionnelles relèvent désormais d’une seule direction : la direction des enquêtes et des contrôles (DEC). Les procédures et les prérogatives des deux services sont désormais harmonisées afin de favoriser un meilleur exercice de leurs missions respectives.
L’accès aux informations contenues dans le fichier s’effectue exclusivement par l’intermédiaire des deux collaborateurs de la DEC, seuls habilités à y accéder directement.
Sont destinataires des informations les collaborateurs de la direction des enquêtes et des contrôles (DEC) et les agents de la direction de la gestion d’actifs et des marchés (DGAM), afin de mener à bien le contrôle de l’honorabilité des personnes qui sollicitent une approbation pour exercer le service d’investissement de gestion de portefeuille.
La liste de ces destinataires n’appelle pas d’observation de la part de la Commission.
Sur les transferts de données hors Union européenne
Dans un contexte de forte intégration des marchés financiers, l’AMF apporte également son concours à la régulation européenne et mondiale en participant aux instances internationales et en coopérant avec ses homologues étrangers. Dans ce cadre, des données à caractère personnel pourront être transférées vers un Etat n’appartenant pas à la Communauté européenne et n’assurant pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard des traitements de données à caractère personnel mis en oeuvre.  Au titre de l’article 69 alinéa 2 de la loi du 6 janvier 1978 modifiée, le transfert peut toutefois avoir lieu s’il s’avère nécessaire à la sauvegarde de l’intérêt public.
La coopération internationale de l’AMF avec les autorités ou personnes relevant d’un Etat non membre de la communauté européenne, ni partie à l’accord sur l’espace économique européen, est autorisée dans les conditions prévues par les articles L.632-16 du CMF. Les informations ne peuvent être communiquées que dans la mesure où cette communication est destinée à l’exécution des missions des homologues étrangers, sous réserve que les informations bénéficient de garanties de secret professionnel au moins équivalentes à celles auxquelles l’AMF est soumise et sous condition de réciprocité.
La Commission considère que l’application des exceptions de l’article 69 de la loi du 6 janvier 1978 modifiée doit être limitée à des cas ponctuels et exceptionnels. L’AMF a précisé qu’il ne s’agit pas de communication massive d’informations mais de transferts ponctuels, chaque demande devant être motivée et étant gérée au cas par cas par le service de coopération de l’AMF. Les informations qui seront susceptibles d’être communiquées aux tiers le seront sous le contrôle du directeur du pôle expertise juridique et internationale.
La Commission considère toutefois que, compte tenu de l’internationalisation de l’activité financière et du développement de la coopération entre l’AMF et ses homologues étrangers, l’assistance mutuelle s’inscrit dans un cadre pérenne et impliquera nécessairement des échanges répétitifs de données. En l’espèce, les chiffres indiqués par l’AMF pour les années 2010 et 2011 confirment cette tendance.
La Commission considère donc que l’article 69 alinéa 2 ne saurait trouver application.
Les transferts de données contenues dans les bases de données de l’AMF vers ses homologues étrangers devront faire l’objet d’un encadrement spécifique garantissant la protection des données à caractère personnel en raison de clauses contractuelles ou de règles internes, sur le fondement de l’article 69 avant-dernier alinéa qui prévoit qu’il peut être fait exception au principe d'interdiction, par décision d'autorisation de la Commission, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes.
Dès lors, il appartient à l’AMF de saisir la Commission d’une demande d’autorisation en application de l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée.
Sur l'information des personnes :
La Commission prend acte que l’AMF souhaite se prévaloir de l’article 32 VI de la loi du 6 janvier 1978 modifiée qui exclut de l’application des  dispositions de l’article 32 les traitements de données ayant pour objet la prévention, la recherche, la constatation ou la poursuite d’infractions pénales.
L’AMF prévoit toutefois d’informer les personnes concernées de leurs droits par une mention figurant dans les chartes des enquêtes et contrôles, ainsi que dans les courriers et notifications de griefs qui leur seront adressés.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès de l’AMF à l’adresse suivante : accesdopers@amf-france.org.
Sur la sécurité des données et la traçabilité des actions :
Les agents de la DEC ayant accès au traitement, sont authentifiés au moyen d’un mot de passe ayant un niveau de complexité suffisant.
Des profils d'habilitation sont prévus afin de gérer les accès aux données contenues dans le fichier.
Le réseau de l’entreprise fait l’objet de mesures de filtrage ayant pour objet de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
Les données mises à disposition de destinataires extérieurs à l’AMF sont communiquées au moyen d’un outil de transmission de fichier assurant l’authentification des destinataires, le chiffrement des transmissions ainsi qu’une gestion des habilitations permettant d’attribuer les accès aux seules données nécessaires aux destinataires.
La base de données centrale est intégralement chiffrée. La gestion des clés de chiffrement est assurée par l’officier de sécurité de l’organisme, qui est hiérarchiquement indépendant du service informatique, seul service habilité à accéder aux infrastructures utilisées par le traitement. Ces mesures permettent de garantir que seules les personnes habilitées peuvent avoir accès aux données.
Seuls les accès à l’application sont journalisés, ce qui est acceptable compte tenu du nombre très réduit de personnes ayant accès au traitement.
Dans ces conditions, la Commission autorise l’AMF à mettre en œuvre son traitement de données à caractère personnel ayant pour finalité la tenue d’un fichier des personnes entendues ayant fait l’objet d’une suite à l’issue d’une enquête ou d’un contrôle, et demande à ce que les transferts de données à caractère personnel à ses homologues étrangers fassent l’objet d’une demande d’autorisation sur le fondement du dernier alinéa de l’article 69 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN