La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L 621-17-2 à L 621-17-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le règlement général de l'Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l'instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d'opérations suspectes prise en application de l'article 315-42 du règlement général de l'AMF ;
Vu la demande d'autorisation déposée par la Banque Privée Européenne relative à un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du Gouvernement; en ses observations,
Formule les observations suivantes :
La Banque Privée Européenne, filiale du Crédit Mutuel ARKEA, a saisi la Commission d'une demande d'autorisation d'un traitement automatisé de données à caractère personnel permettant de détecter des opérations susceptibles de constituer des abus de marché.
Sur la procédure suivie auprès de la Commission
Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par des clients de la Banque Privée Européenne qui sont susceptibles de constituer des opérations d'abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, donner lieu à l'envoi d'une déclaration de soupçon à l'Autorité des Marchés Financiers (AMF).
L'identification de telles opérations peut conduire la Banque Privée Européenne à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l'objet. Ce traitement peut ainsi, du fait de sa portée, conduire à l'exclusion de personnes du bénéfice d'un contrat en l'absence de toutes dispositions légales ou réglementaires le prévoyant.
Dès lors, ce traitement relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les finalités et les caractéristiques du traitement
Le traitement mis en œuvre doit permettre à la Banque Privée Europénne d'identifier et de signaler à l'AMF, le cas échéant après la collecte de renseignements complémentaires des transactions sur des titres financiers susceptibles d'être qualifiées d'abus de marché.
Les critères d'alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l'AMF.
Le traitement est réalisé une fois par mois sur les données du mois précédent. Les transactions ainsi détectées ont vocation à être analysées sans délai.
La Commission constate que ce traitement de détection des alertes d'abus de marché repose sur une analyse des valeurs des titres et des volumes d'ordres. Elle prend acte que l'ensemble des opérations détectées font l'objet d'une analyse manuelle. Conformément aux dispositions de l'article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n'est donc prise à l'égard des personnes concernées.
La Commission souligne en outre que ce traitement ne permet pas la constitution d'une  liste noire  de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Sur les données collectées et leur durée de conservation
Les listes d'opérations à analyser comportent les catégories de données suivantes :
- la date et la nature de la détection,
- le numéro de compte et la nature du compte de titres,
- les caractéristiques de la valeur (code ISIN, libellé, groupe de cotation),
- les caractéristiques de l'ordre détecté (type d'ordre, sens de l'opération, modalités d'exécution, montant limite du cours, date de validité, date d'exécution, date d'annulation, date de saisie, heure de saisie, quantité traitée, montant).
Les listes ainsi constituées sont conservées pendant une durée n'excédant pas le temps nécessaire à la levée du soupçon d'abus de marché ou à la réalisation d'une déclaration d'opérations suspectes auprès de l'AMF.
Elles sont ensuite archivées pendant une durée de trois ans et uniquement accessibles au Directeur du contrôle permanent et de la conformité et aux Responsables des départements conformité de la Banque Privée Européenne. Les déclarations d'opérations suspectes effectuées auprès de l'AMF sont également conservées pendant une durée de trois ans.
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n'appellent pas d'observations particulières.
Sur les destinataires des informations
Seul le Directeur du contrôle permanent et de la conformité et les Responsables des départements conformité de la Banque Privée Européenne peuvent être destinataires de ces informations.
En cas d'envoi d'une déclaration de soupçon à l'AMF, les agents habilités de cette autorité ainsi que ceux de la Direction de l'inspection générale et du contrôle périodique de la Banque Privée Européenne sont également destinataires de tout ou partie des données mentionnées dans la déclaration de soupçon.
Les actions effectuées par ces destinataires sont tracées afin de permettre de détecter et d'analyser tous accès, modifications et suppressions de données non autorisés.
Sur l'information des personnes
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée par une clause des conditions générales applicables aux comptes de titre ainsi qu'une clause des conditions générales applicables à l'ensemble des comptes.
Le droit d'accès s'exerce conformément aux dispositions de l'article 39 de la loi du 6 janvier 1978 modifiée auprès du Service clientèle de la Banque Privée Européenne,
Autorise, dans les conditions, prévues par la présente délibération, la Banque Privée Européenne à mettre en œuvre un traitement automatisé de données à caractère personnel de détection des opérations susceptibles de constituer des abus de marché.
La Présidente
Isabelle FALQUE-PIERROTIN