(demande d’autorisation n°16027486)
La Commission nationale de l’informatique et des libertés,
Saisie par le Haut Conseil du Commissariat aux Comptes (H3C) d’une demande d’autorisation concernant le transfert à son homologue américain, le Public Company Accounting Oversight Board (PCAOB), de données à caractère personnel contenues dans des informations et/ou des documents d’audit relatifs aux contrôleurs légaux des comptes qui relèvent de leur double supervision, ou collectées à l’occasion de contrôles conjoints dans une période se terminant au 31 juillet 2019 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2006/43/CE du Parlement européen et du Conseil du 17 mai 2006 concernant  les contrôles légaux des comptes annuels et des comptes consolidés ;
Vu l’ordonnance n°2016-315 du 17 mars 2016 transposant la directive 2006/43/CE ;
Vu le règlement européen n°537/2014 du 16 avril 2014 relatif aux exigences spécifiques applicables au contrôle légal des comptes des entités d’intérêt public ;
Vu le code de commerce, notamment ses articles L. 821-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 69, alinéa 8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la décision 2010/485/UE de la Commission européenne du 1er septembre 2010 relative à l’adéquation des autorités compétentes de l’Australie et des Etats-Unis d’Amérique conformément à la directive 2006/43/CE du Parlement européen et du Conseil ;
Vu la décision d’exécution de la Commission européenne du 11 juin 2013 relative à l’adéquation des autorités compétentes des Etats-Unis d’Amérique conformément à la directive 2006/43/CE du Parlement européen et du Conseil ;
Vu la décision d’exécution de la Commission européenne du 14 juillet 2016 relative à l’adéquation des autorités compétentes des Etats-Unis d’Amérique conformément à la directive 2006/43/CE du Parlement européen et du Conseil ;
Vu la délibération n°2009-674 du 26 novembre 2009 portant délégation d’attributions de la Commission nationale de l’informatique et des libertés à son Président et à son Vice-président délégué, notamment son dernier alinéa ;
Vu la délibération n° 2012-415 du 29 novembre 2012 autorisant le Haut Conseil du Commissariat aux Comptes à transférer à son homologue américain des données à caractère personnel contenues dans des informations et/ou des documents d’audit relatifs aux contrôleurs légaux des comptes qui relèvent de leur double supervision, ou collectées à l’occasion de contrôles conjoints dans une période se terminant au 31 juillet 2013 ;
Vu la délibération n° 2013-214 du 11 juillet 2013 autorisant le Haut Conseil du Commissariat aux Comptes à transférer à son homologue américain des données à caractère personnel contenues dans des informations et/ou des documents d’audit relatifs aux contrôleurs légaux des comptes qui relèvent de leur double supervision, ou collectées à l’occasion de contrôles conjoints dans une période se terminant au 31 juillet 2016 ;
Vu les éléments du dossier de demande d’autorisation, notamment les projets d’avenants aux accords rédigés par le Haut Conseil du Commissariat aux Comptes et le Public Company Accounting and Oversight Board aux fins d’encadrer les transferts susvisés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Des transferts de données à caractère personnel sont susceptibles d’avoir lieu dans le cadre des actions de coopération entre le Haut Conseil du Commissariat aux Comptes (H3C) et son homologue américain, le Public Company Accounting Oversight Board (PCAOB).
Ces actions s’inscrivent dans le cadre de la coopération prévue par les textes européens relatifs au contrôle des comptes annuels et des comptes consolidés – en l’occurrence, les dispositions de la Directive 2006/43/CE dont l’article 47 dispose que, « sous certaines conditions », un Etat membre peut autoriser la communication à l’autorité compétente d’un Etat tiers de documents d’audit ou d’autres documents détenus par les contrôleurs légaux des comptes.
Ces conditions sont au nombre de trois :
-L’adoption d’une décision d’adéquation octroyée par la Commission européenne au système de supervision étranger ;
-le respect du chapitre 4 de la Directive 95/46 relative à la protection des données ;
-la conclusion d’un accord de coopération entre les autorités compétentes.
La Commission européenne a adopté la décision d’adéquation requise le 1er septembre 2010, puis une seconde fois le 11 juin 2013. A titre exceptionnel, il a été considéré que le cadre juridique ainsi constitué rendait possible le déroulement d’inspections communes entre les autorités nationales de l’Union européenne, dont le H3C, et le PCAOB. L’envoi de documents dans le cadre d’une coopération classique se double donc, de manière transitoire, par la faculté d’organisation d’enquêtes conjointes sur le sol français, qui pourront conduire à la communication de documents à l’autorité américaine.
Dans ce contexte, le H3C et le PCAOB ont conclu un accord de coopération le 31 janvier 2013. Cet accord organisait les modalités d’échange d’informations entre le H3C et le PCAOB en prévoyait des contrôles conjoints de cabinets d’audit soumis à la surveillance de ces deux autorités.
A cet accord de coopération global (dit « SOP ») est annexé un accord relatif aux transferts de données à caractère personnel, également signé des deux parties. Ces deux accords comportent de nombreuses garanties pour les personnes dont les données sont susceptibles d’être transférées.
Au vu de celles-ci, la Commission avait délivré au H3C une autorisation de transférer des données concernées au PCAOB sur le fondement de l’article 69 alinéa 8 de la loi du 6 janvier 1978 modifiée, une première fois le 29 novembre 2012 (délibération n°2012-415) puis une seconde fois le 11 juillet 2013 (délibération n°2013-214).
La Commission européenne, par une décision du 14 juillet 2016, a réitéré la décision d’adéquation requise afin de poursuivre l’examen du mécanisme de coopération entre les autorités compétentes des Etats membres et le PCAOB et d’évaluer les progrès réalisés en vue de l’établissement d’une confiance mutuelle. La décision d’adéquation  couvre une période allant de six ans : du 1er aout 2016 au 31 juillet 2022.
Le collège du Haut conseil souhaite renouveler l’accord signé avec le PCAOB afin de permettre la poursuite de la coopération engagée en 2013 et, plus particulièrement, l’échange d’informations dans le cadre du suivi des actions correctrices et la mise en œuvre d’un second cycle de contrôles conjoints. Le Collège du Haut conseil souhaite fixer à trois ans la durée de la coopération afin qu’un point d’étape soit réalisé à l’issue de ce délai.
Le renouvellement de cet accord de coopération est également l’occasion d’une mise en conformité de ses dispositions avec d’une part, l’ordonnance n°2016-315 du 17 mars 2016 transposant la directive 2006/43/CE modifiée relative aux contrôles légaux des comptes annuels et des comptes consolidés et d’autre part, le règlement européen n°537/2014 du 16 avril 2014 relatif aux exigences spécifiques applicables au contrôle légal des comptes des entités d’intérêt public.
Les principales modifications de l’accord portent sur la référence aux nouvelles compétences du Haut conseil en matière d’enquête et de sanction et l’insertion à la fois de garanties relatives à la protection des intérêts commerciaux de l’entité contrôlée et de dispositions liées à l’élargissement du champ des autorités avec laquelle le Haut conseil peut partager des informations confidentielles.
Les modifications de l’accord relatif au transfert des données personnelles concernent uniquement la mise à jour des références aux textes juridiques et le changement de la date de l’accord.
Dans ces conditions, la Commission autorise le Haut Conseil du Commissariat aux Comptes à mettre en œuvre le transfert, vers son homologue américain, de données à caractère personnel contenues dans des informations et/ou des documents d’audit relatifs aux contrôleurs légaux des comptes qui relèvent de la compétence des deux autorités, ou collectées à l’occasion de contrôles conjoints dans une période se terminant au 31 juillet 2019.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS