(Demande d’autorisation n° 1852193)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Autorité des marchés financiers d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion administrative et documentaire des enquêtes et des contrôles;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° et 42 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’autorité des marchés financiers, ci-après l’« AMF » est une autorité publique indépendante chargée de veiller à la protection de l’épargne investie dans les instruments financiers ou tout autre placement qui donne lieu à offre au public, à l’information des investisseurs et au bon fonctionnement des marchés financiers.
Sur la finalité
L’AMF a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la gestion administrative des enquêtes et des contrôles. Ce traitement a fait l’objet d’un examen initial par la Commission, par délibérations du 26 juin 2008 (n°2008-182) autorisant l’AMF à mettre en œuvre une base de données sur les enquêtes en cours ou terminées et sur leurs suites et par délibération du 16 décembre 2010 (n°2010-467) autorisant l’AMF à mettre en œuvre un traitement automatisé de données à caractère personnel destiné à la gestion administrative et documentaire de ses contrôles.
L’AMF souhaite apporter à ces traitements plusieurs modifications relatives tant à la finalité du traitement qu’aux données traitées compte tenu de la nouvelle organisation des activités mise en place au sein de l’AMF : les missions d’enquête relatives aux abus de marché et les missions de contrôle portant sur le respect des obligations professionnelles des prestataires de services d’investissement et des autres assujettis relèvent désormais d’une seule direction, la direction des enquêtes et des contrôles, ci-après  la « DEC ». Les procédures et les prérogatives des deux activités sont en phase d’harmonisation afin de favoriser un meilleur exercice de leurs missions respectives.
Il y a, dès lors, lieu pour la Commission de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Conformément à l’article 9 alinéa 1er de la loi du 6 janvier 1978 modifiée, l’AMF met en œuvre ce traitement de données relatives aux infractions en tant qu’autorité publique agissant dans le cadre de ses attributions légales : pouvoirs de contrôles, d’enquêtes, d’injonctions, de compositions administratives et de sanctions (article L.621-9 et suivants du code monétaire et financier).
Le traitement permet de suivre les missions d’enquête ou de contrôle à toutes leurs étapes, de la décision de réaliser une mission jusqu’à sa clôture, et d’effectuer une recherche documentaire sur les missions clôturées, afin d’aider à prévenir les manquements administratifs qui relèvent de la compétence de l’AMF.
Le traitement comprend pour chaque mission les données descriptives de la mission, une fiche signalétique résumant le contenu du rapport de mission, et l’ensemble des pièces de la procédure (rapport, décision de la commission spécialisée, courriers post-mission, lettre de suites, notifications de griefs, décision de la commission des sanctions). Elle comprend également les éventuelles décisions de justice et de jurisprudence subséquente dans le cadre des recours exercés par les différentes parties.
Les fiches signalétiques incluses dans l’application ne contiennent aucune donnée directement nominative. De telles données ne sont conservées dans la base que pour autant qu’elles apparaissent dans les pièces de procédure et décisions de justice qui sont associées aux fiches signalétiques.
Aucune donnée relative à l’identité des personnes concernées, aux présomptions ou manquements qualifiés ne peut être utilisée comme critère d’interrogation.
La Commission considère que la finalité poursuivie par le traitement est légitime, déterminée et explicite.
Sur les données traitées
Le traitement comporte les données à caractère personnel suivantes :

situation familiale,
formation,
vie professionnelle ;
situation économique et financière ;
données de connexion ;
manquements administratifs, infractions et condamnations des personnes interrogées, auditionnées ou faisant l’objet d’une investigation particulière ;
identité et vie professionnelle des conseils des personnes auditionnées dans le cadre des missions ;
identité et vie professionnelle des agents de l’AMF en charge de la mission, des personnes auxquelles l’AMF a délégué ses missions conformément à l’article L621-9-2 du code monétaire et financier.
Sur les destinataires
Les destinataires des données sont les personnels habilités de la direction des enquêtes et des contrôles, de la direction des affaires juridiques, les membres de la direction et du collège, et également, pour les seuls contrôles, les agents habilités des directions en charge du suivi des prestataires de services d’investissement.
Ces personnes sont tenues par le secret professionnel dans les conditions prévues à l’article L642-1 du code monétaire et financier.
Sur l’information et le droit d’accès
La prise en compte des dispositions légales relatives aux enquêtes et aux contrôles de l’AMF conduit à soumettre à la procédure de l’article 42 de la loi du 6 janvier 1978 modifiée les demandes de droit d’accès et de rectification relatives aux données personnelles s’y rapportant, à partir de la remise de l’ordre de mission jusqu’à l’envoi du rapport aux personnes concernées.
A compter de l’envoi du rapport,, les droits d’accès et de rectification s’exerceront conformément aux dispositions de l’article 39 de la loi précitée, auprès la Direction des Enquêtes et des Contrôles de l’AMF.
Les personnes sont informées de leurs droits par une mention figurant dans les chartes des enquêtes et des contrôles, ainsi que dans les courriers, lettres de suites et notification de griefs qui leur sont adressés.
Sur les mesures de sécurité
Les mesures de sécurité décrites par l’AMF sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données traitées sont conservées pendant une durée de quinze ans à compter de la date de clôture de la mission ou, si la mission a donné lieu à une procédure administrative ou judiciaire, à compter du 31 décembre de l’année au cours de laquelle la décision est devenue définitive. Cette durée répond aux besoins de la recherche documentaire sur les missions clôturées, afin d’aider à prévenir les manquements administratifs qui relèvent de la compétence de l’AMF.
Autorise, conformément à la présente délibération, l’Autorité des marchés financiers à mettre en œuvre le traitement susmentionné.
La présente délibération annule et remplace les délibérations n°2008-182 du 26 juin 2008 et n°2010-467 du 16 décembre 2010.
La Présidente
I. FALQUE-PIERROTIN