La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L. 621-17-2 à L. 621-17-7 ;
Vu le règlement général de l'Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l'instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d'opérations suspectes prise en application de l'article 315-42 du règlement général de l'AMF ;
Vu la demande d'autorisation présentée par la société EXOE relative à un traitement automatisé de données à caractère personnel ayant pour finalité la détection des alertes potentielles d'abus de marché ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de
Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La société EXOE a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation d'un traitement automatisé de données à caractère personnel permettant de détecter des opérations susceptibles de constituer des abus de marché.
Sur la procédure suivie auprès de la Commission
Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par les clients de la société EXOE susceptibles de constituer des opérations d'abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, ou un travail d'analyse non automatisé, donner lieu à l'envoi d'une déclaration de soupçon à l'Autorité des Marchés Financiers (AMF).
L'identification de telles opérations peut conduire la société EXOE à souhaiter pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l'objet. Ce traitement peut ainsi, du fait de sa portée, conduire à l'exclusion de personnes du bénéfice d'un contrat en l'absence de toute disposition légale le prévoyant.
Dès lors, il relève des dispositions du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les finalités et les caractéristiques du traitement
Les critères d'alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du Règlement général de l'AMF.
Le dispositif de détection d'opérations susceptibles d'être suspectées d'abus de marché repose sur une analyse mensuelle des opérations, a posteriori, à partir du carnet d'ordre et des portefeuilles.
La Commission souligne que ce traitement ne permet pas la constitution d'une  liste noire  de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Sur les données traitées et la durée de conservation
Les listes d'opérations à analyser comportent les catégories de données suivantes :
•-         les nom et prénom ou la raison sociale du détenteur du compte,
•-         le numéro SIREN,
•-         l'adresse,
•-         la date de détection,
•-         la date et la nature de la détection,
•-         les caractéristiques de la valeur (code ISIN, libellé, marché, place et mode de cotation),
•-         les caractéristiques de l'ordre détecté (achat ou vente, type d'ordre, prix, quantité, origine, date, etc.)
•-         les caractéristiques de l'ordre exécuté (achat ou vente, type d'ordre, prix, quantité, origine, date, etc.)
Le traitement est réalisé une fois par mois sur les données du mois précédent. Les listes ainsi constituées sont conservées pendant une durée maximum de 30 jours, avant d'être archivées pendant une période de trois ans.
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n'appellent pas d'observations particulières.
Sur les destinataires du traitement
Les destinataires de tout ou partie des données sont :
•-         le responsable de la conformité des services d'investissement de la société EXOE et les agents habilités placés sous leur responsabilité,
•-         En cas d'envoi d'une déclaration de soupçon à l'AMF, les agents habilités de cette autorité ainsi que ceux de la direction générale de l'établissement concerné.
Ces règles n'appellent pas d'observations particulières.
Sur les modalités d'information et d'exercice des droits des personnes physiques
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée par une clause de la convention d'instruments financiers.
Le droit d'accès s'exerce auprès du responsable de la conformité de la société EXOE conformément aux dispositions de l'article 39 de la loi susvisée.
Dans ces conditions, la Commission autorise, la société EXOE à mettre en œuvre un traitement automatisé de données à caractère personnel de détection des opérations susceptibles de constituer des abus de marché.
Le Président