(demande d’autorisation n° 1398052)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L 621-17-2 à L 621-7-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le règlement général de l’Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l’instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du règlement général de l’AMF ;
Vu la demande d’autorisation déposée par le Groupe HSBC France relative à un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du Gouvernement; en ses observations,
Formule les observations suivantes :
Le Groupe HSBC France a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel permettant de détecter des opérations susceptibles de constituer des abus de marché.
Sur la procédure suivie auprès de la Commission
Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par ou pour des clients du Groupe HSBC France susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires ou un travail non automatisé, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire le Groupe HSBC France à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toutes dispositions légales ou réglementaires le prévoyant.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les finalités et les caractéristiques du traitement
Le traitement mis en œuvre doit permettre au Groupe HSBC France d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires, des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché.
Le dispositif de détection des opérations susceptibles d’être qualifiées d’abus de marché repose sur une analyse journalière des cours et des valeurs à laquelle le Groupe HSBC France applique des critères de détection obtenus à partir d’une analyse statistique des opérations d’abus de marché.
Ces critères de détection sont les suivants :
Achat d’une valeur représentant un volume important du portefeuille de la personne concernée,
Volume important d’ordres échangés sur la même valeur pour une période donnée,
transactions importantes par rapport au volume du marché,
Plus-values importantes encaissées sur une courte période,
Transactions importantes suites à l’ouverture d’un compte titres,
Volume important d’ordres annulés sur la même valeur,
Transactions réalisées sur des instruments financiers sur lesquels le Groupe HSBC France détient des informations privilégiées ou sur lesquels le bureau de recherche du Groupe HSBC France a émis une analyse financière ou pour lesquels le Groupe HSBC France estime nécessaire de restreindre l’exercice d’un service ou d’une activité d’investissement conformément aux dispositions des articles 315-16 et suivants du règlement général de l’AMF,
Opérations successives d’achat et de vente sur une même valeur.
Cette opération permet d’obtenir le nom et le code d’identification de la valeur ou des valeurs susceptibles d’avoir fait l’objet d’un abus de marché et le montant global des transactions enregistrées dans les comptes ouverts au nom d’HSBC France pour le compte de ses clients.
Le personnel de la Direction de la conformité identifie alors les clients du Groupe HSBC France ayant procédé à des opérations sur la ou les valeurs concernées en consultant l’applicatif de gestion des comptes titres du Groupe HSBC France.
La Commission souligne qu’il n’y a pas d’interconnexion entre le traitement de détection des alertes d’abus de marché et l’applicatif de gestion des titres. Ce rapprochement permet uniquement d’obtenir une liste des opérations réalisées par les clients du Groupe HSBC France sur la ou les valeurs identifiées comme étant susceptibles d’avoir fait l’objet d’un abus de marché. L’analyse de ces opérations est réalisée manuellement et sans délai. En cas de confirmation du doute, elles donnent lieu à la réalisation d’une déclaration de soupçon à l’AMF.
La Commission constate que ce traitement de détection des alertes d’abus de marché repose sur une analyse des valeurs des titres et des volumes d’ordres. Il ne permet pas la constitution d’une « liste noire » de personnes ou de comptes titres ayant déjà fait l’objet d’une ou plusieurs alertes.
Sur les données collectées
Les listes d’opérations à analyser comportent les catégories de données suivantes :
Sur les personnes concernées par les alertes au titre des ordres qu’elles ont émis ou des transactions qu’elles ont effectuées : les noms et prénom,
Sur les alertes générées : date de l’opération, numéro de compte, sens, valeur, quantité, montant, référence de l’opération et historique des mouvements sur une période de 15 mois,
Sur les collaborateurs du Groupe HSBC France : nom, prénom et identifiant.
Les listes ainsi constituées sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF.
Elles sont ensuite archivées pendant une durée de trois ans et uniquement accessible au personnel habilité de la Direction de la conformité. Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans.
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Sur les destinataires des informations
Les alertes sont uniquement accessibles aux collaborateurs de la Conformité en charge du contrôle du risque d’abus de marché et à la Direction de la conformité à des fins de compte rendu.
En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité sont également destinataires de tout ou partie des données mentionnées dans la déclaration de soupçon.
Sur l’information des personnes
Le droit d’accès s’exerce auprès du Groupe HSBC France conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée en 2004.
Une clause de la convention d’instruments financiers informe les clients de la finalité du traitement ainsi que des modalités d’exercice du droit d’accès.
Autorise, dans les conditions, prévues par la présente délibération, le Groupe HSBC France à mettre en œuvre un traitement automatisé de données à caractère personnel de détection des opérations susceptibles de constituer des abus de marché.