(Demande d’autorisation n° 2062799)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse Régionale du Crédit Agricole Mutuel de Paris et d’Ile de France  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le règlement (UE) n° 596/2014 du Parlement Européen et du Conseil du 16 avril 2014, notamment son article 16 ;
Vu le règlement délégué (UE) n°2016/957 de la Commission du 9 mars 2016, notamment son article 2 ;
Vu l’article 2.3 du règlement d’exécution (UE) n°2016/347 de la Commission du 10 mars 2016 ;
Vu le code monétaire et financier, notamment ses articles L.621-15 et L.621-17-2 à L. 621-7-7 ;
Vu le code monétaire et financier, notamment l’article L.511-34 relatif à la communication d’informations au sein d’un groupe ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumises au contrôle de l’Autorité de contrôle prudentiel et de résolution ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse Régionale du Crédit Agricole Mutuel de Paris et d’Ile de France.
Sur la finalité
La Caisse Régionale du Crédit Agricole Mutuel de Paris et d’Ile de France  a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché.
Le traitement concerne les opérations de transactions sur les instruments financiers réalisés par ou pour des clients du réseau banque de détail France du groupe Crédit agricole et celles effectuées par la banque du réseau pour son propre compte.
Les opérations détectées par le traitement et susceptibles de constituer des abus de marché, doivent, le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire l’établissement bancaire à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toutes dispositions légales ou réglementaires le prévoyant.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Le traitement est mis en œuvre pour répondre aux exigences des articles L. 621-17-2 à L. 621-17-7 du code monétaire et financier ainsi qu’aux articles 315-42 a 315-44 du livre III du règlement général de l’autorité des marchés financiers relatifs aux déclarations d’opérations suspectes et aux dispositions du règlement (UE) n° 596/2014 du Parlement européen et du Conseil du 16 avril 2014.
La mise en œuvre de ce contrôle est effectuée, soit au moyen d’un outil de contrôle automatisé, soit manuellement.
Si la banque n’a pas d’accès aux comptes titres des collaborateurs, il appartient à ces derniers de déclarer leurs transactions personnelles puisqu’ils sont qualifiés de « personnes sensibles » au sens de la règlementation.  Le contrôle manuel opéré par la banque est alors effectué sur la déclaration de ces transactions personnelles.
Dans le cas contraire et si la banque détient les comptes titres des collaborateurs, le collaborateur qualifié de « personne sensible » délivre à l’entité bancaire une autorisation permanente d’effectuer le contrôle automatisé qui porte sur la détention ou pas d’une information privilégiée à partir des opérations que le collaborateur réalise sur son compte titres. Le collaborateur doit ainsi notifier à la banque les comptes titres qu’il détient.
Le dispositif de détection génère des alertes déclenchées à partir d’une typologie d’ordres et de transactions pouvant donner lieu à des manipulations de marché (par ex : donner des indications fausses ou trompeuses, fixer les cours à un niveau anormal ou artificiel, recourir à des procédés fictifs ou à toute autre forme de tromperie ou d’artifice).
Cette typologie d’opérations suspectes et la liste des indicateurs sont établies, en amont, par la Fédération bancaire française (FBF) et tiennent compte de la règlementation européenne. Les indicateurs filtrent un ensemble de données (données relatives aux ordres, aux transactions, au marché,  aux clients, etc.) qui génèrent les alertes.
Le dispositif de détection d’opérations susceptibles d’être considérées comme des abus de marché repose sur une analyse journalière et manuelle des opérations. Les transactions ainsi détectées ont vocation à être analysées sans délai.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Il convient de préciser que le traitement ayant pour seul objet le respect de la règlementation. Il n’est prévu aucune gestion de « liste noire » de personnes ayant fait l’objet de signalements, ni même d’un fichier des signalements déjà traités. Les situations détectées par le traitement automatisé ont, en effet, vocation à être analysées sans délai.
Par ailleurs, le dispositif permet le contrôle de l’application des règles déontologiques et des procédures internes relatives aux transactions personnelles des collaborateurs et personnes ayant accès à des informations privilégiées au sens des articles 7 à 10  du règlement (UE) n° 596/2014 du Parlement européen et du Conseil du 16 avril 2014 du fait de leur fonction. Tout collaborateur soumis à ce dispositif est qualifié d’initié et est, à ce titre soumis à des obligations déclaratives de ses transactions personnelles.
Sont considérées, conformément aux articles 8.4 et 19 du règlement (UE) n° 596/2014, comme des personnes possédant une information privilégiée :
les personnes membres des organes d’administration, de gestion ou de surveillance de l’émetteur ou du participant au marché des quotas d’émission ;
les personnes détenant une participation dans le capital de l’émetteur ou du participant au marché des quotas d’émission ;
les personnes ayant accès aux informations en raison de l’exercice de tâches résultant d’un emploi, d’une profession ou de fonctions ; ou
toute personne qui possède une information privilégiée dans des circonstances autres que celles visées (recommander à un tiers d’effectuer ou l’inciter à effectuer une opération d’initié ou à utiliser ces recommandations ou ces incitations).
Les transactions personnelles des personnes précitées font l’objet d’un contrôle pour détecter toute transaction qui pourrait  aboutir à une déclaration de soupçon auprès de l’AMF.
Sur les données traitées
Les listes des éléments à analyser et à transmettre, le cas échéant, à l’AMF, dans le cadre du traitement des abus de marché comportent les données suivantes :
données d’identification : nom, prénom et numéro de référence (numéro de la relation client) ;
données relatives à la situation professionnelle (fonction financière ou fonction au sein d’une société cotée du client, le nom de son employeur et les fonctions exercées par le client chez son employeur) ;
la nature et le montant de la transaction financière ;
nombre de détections sur une période glissante inférieure à 3 mois et la date de la dernière détection ;
numéro de relation auquel sont rattachés les comptes du client ;
code ISIN comme identifiant de la valeur ;
caractéristiques de l’ordre détecté (nature, prix, quantité, montant, date) ;
caractéristiques de l’ordre exécuté (nature, prix, quantité, montant, date) ;
données relatives aux liens familiaux avec une personne déjà considérée comme potentiellement initiée.
Selon l’article 313-9 du règlement général de l’AMF, la notion de personne ayant des liens familiaux avec une personne concernée renvoie aux personnes suivantes :
le conjoint de la personne concernée non séparé de corps ou le partenaire avec lequel elle est liée par un pacte civil de solidarité ;
les enfants sur lesquels la personne concernée exerce l’autorité parentale, ou résidant chez elle habituellement ou en alternance, ou dont elle a la charge effective et permanente ;
tout autre parent ou allié de la personne concernée résidant à son domicile depuis au moins un an à la date de la transaction personnelle concernée.
La Commission considère que ces informations ne peuvent être traitées que dans la mesure ou l’établissement financier est tenu, au regard de ses obligations réglementaires, de recueillir les informations liées à l’entourage familial du client ou dès lors que ce dernier consent à la collecte de ces informations dans le cadre de la gestion de son compte et de la souscription de produits et services.
Par ailleurs, la notification des transactions auprès de l’AMF comporte les informations suivantes :
le nom de la personne ;
le motif de la notification ;
le nom de l’émetteur ou du participant au marché des quotas d’émission concerné ;
la description et l’identifiant de l’instrument financier ;
la nature de la ou des transactions (par exemple acquisition ou cession), en indiquant si elles sont liées à l’exercice de programmes d’options sur actions ou aux exemples spécifiques énoncés au règlement ;
la date et le lieu de la ou des transactions ;
le prix et le volume de la ou des transactions. Dans le cas d’un gage dont les conditions prévoient un changement de valeur, cette information devrait être divulguée en même temps que sa valeur à la date du gage.
Ces données sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Les données ainsi collectées sont nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF, elles sont traitées dans le délai de trois mois. En effet, les transactions détectées ont vocation à être analysées sans délai.
Les alertes ainsi que les déclarations d’opérations suspectes effectuées auprès de l’AMF sont conservées pendant une durée de cinq ans.
Sur les destinataires
Seuls ont accès aux données :
le responsable conformité de Crédit Agricole Titres et de Crédit Agricole SA ;
les personnes habilitées du service intégrité des marchés de Crédit Agricole SA et leurs responsables  hiérarchiques ;
les responsables gestion titres de l'entité ;
en cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux de  la direction générale.
Les informations communicables sont celles qui figurent dans la déclaration de soupçon visée par le règlement délégué, telles que rappelées dans la présente délibération.
Les destinataires des données sont astreints aux obligations de  confidentialité et de secret professionnel.
Sur l’information et le droit d’accès
Les personnes sont informées de la mise en œuvre de ce traitement et de la manière d’exercer leurs droits d’accès, de rectification et d’opposition, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention dans les conditions générales de compte de titres.
Les droits d’accès, de rectification et d’opposition s’exercent à l’adresse suivante : 26, quai de la Rapée - 75012 PARIS.
Sur les mesures de sécurité
Des mesures de sécurité, tant physiques que logiques, notamment en termes d’habilitation d’accès et de cloisonnement du traitement, sont mises en place.
Les personnes accédant au traitement sont soumises contractuellement à une obligation de confidentialité renforcée.
Les actions effectuées par le personnel spécifiquement habilité sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les autres caractéristiques du traitement
La Commission observe que chaque entité du groupe Crédit Agricole SA du réseau banque de détail France doit mettre en œuvre et appliquer un dispositif permettant de détecter les opérations d’initiés ou de manipulation de cours, conformément aux dispositions de l’article L. 511-34 du CMF et de l’arrêté du 3 novembre 2014.
Par conséquent, d’une part, la société mère Crédit Agricole SA, communiquera auprès des entités du groupe Crédit Agricole les informations nécessaires à la détection des abus de marchés.
D’autre part, les entités du groupe qui seront concernées par des informations pertinentes, devront communiquer ces informations à la société mère.
Les informations communicables sont celles qui figurent dans la déclaration de soupçon visée par le règlement délégué (UE) n° 2016/957 de la Commission du 9 mars 2016.
Elles sont communiquées au cas par cas aux responsables conformité des entités du groupe Crédit Agricole selon des critères de pertinence adaptés aux circonstances et au cas d’espèce (même typologie d’abus de marché, même client, même instrument financier, même période, etc.).
Autorise, conformément à la présente délibération, la Caisse Régionale du Crédit Agricole Mutuel de Paris et d’Ile de France à mettre en œuvre le traitement susmentionné.
Pour la PrésidenteLe Vice-Président délégué
Marie-France MAZARS