(Demande d’autorisation n° 1651951)
La Commission nationale de l'informatique et des libertés,
Saisie par la société FEDERAL FINANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
FEDERAL FINANCE est une filiale du Crédit Mutuel ARKEA.
Sur la finalité
La société FEDERAL FINANCE a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel permettant de détecter des opérations susceptibles de constituer des abus de marché.
Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par des clients de la société FEDERAL FINANCE qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire FEDERAL FINANCE à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toutes dispositions légales ou réglementaires le prévoyant.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Le traitement mis en œuvre doit permettre à la société FEDERAL FINANCE d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché.
Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF.
Le traitement est réalisé une fois par mois sur les données du mois précédent. Les transactions ainsi détectées ont vocation à être analysées sans délai.
La Commission constate que ce traitement de détection des alertes d’abus de marché repose sur une analyse des valeurs des titres et des volumes d’ordres. Elle prend acte que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
La Commission souligne en outre que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Sur les données traitées
Les listes d’opérations à analyser comportent les catégories de données suivantes :
Les listes ainsi constituées sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF.
la date et la nature de la détection,
le numéro de compte et la nature du compte de titres,
les caractéristiques de la valeur (code ISIN, libellé, groupe de cotation),
les caractéristiques de l’ordre détecté (type d’ordre, sens de l’opération, modalités d’exécution, montant limite du cours, date de validité, date d’exécution, date d’annulation, date de saisie, heure de saisie, quantité traitée, montant).
Elles sont ensuite archivées pendant une durée de trois ans et uniquement accessibles au Directeur du contrôle permanent et de la conformité et aux Responsables des départements conformité de la société FEDERAL FINANCE. Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans.
La Commission relève que la durée de conservation des données pendant 3 ans est issue du Guide de AMAFI – FBF « de mise en œuvre des procédures de déclaration de soupçon d’abus de marché ».
Les données sont conservées sur une clef USB chiffrée dans un coffre-fort.
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Sur les destinataires
Seul le Directeur du contrôle permanent et de la conformité et les Responsables des départements conformité de la société FEDERAL FINANCE peuvent être destinataires de ces informations.
En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux de la Direction de l’inspection générale et du contrôle périodique de la société FEDERAL FINANCE sont également destinataires de tout ou partie des données mentionnées dans la déclaration de soupçon.
Les actions effectuées par ces destinataires sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur l’information et le droit d’accès
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention dans les conditions générales de compte de titres.
Le droit d’accès s’exerce conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée auprès de la FEDERAL FINANCE, 1 rue Louis Lichou, 29 480 Le Relecq-Kerkhuon.
Sur les mesures de sécurité
Les actions effectuées par ces destinataires sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisées.
Afin de dissocier les données du système d'informations, les requêtes, et le cas échéant le dossier constitué à raison d’une déclaration de soupçon, seront conservés sur une clé USB chiffrée mise dans un lieu sécurisé (armoire fermée à clef).
Ces mesures de sécurités n’appellent pas d’observations.
Autorise, conformément à la présente délibération, la société FEDERAL FINANCE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN