FR Journal officiel de l'Union européenne C 175/1

Avis du Contrôleur européen de la protection des données sur les propositions de la Commission concernant une directive concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement, et un règlement concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement

(2012/C 175/01)

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2), et notamment son article 28, paragraphe 2,

A ADOPTÉ LE PRÉSENT AVIS:

1. INTRODUCTION

1.1. Consultation du CEPD

1. Le présent avis fait partie d’un ensemble de quatre avis du CEPD concernant le secteur financier, tous adoptés le même jour (3).

2. Le 20 juillet 2011, la Commission a adopté deux propositions concernant la révision de la législation bancaire. La première a trait à une directive concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement (la «proposition de directive») (4). La seconde porte sur un règlement concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement (la «proposition de règlement») (5). Ces propositions ont été transmises au CEPD pour consultation le même jour. Le 18 novembre 2011, le Conseil de l’Union européenne a consulté le CEPD sur la proposition de directive.

3. Le CEPD a été officieusement consulté avant l’adoption de la proposition de règlement. Il constate que plusieurs de ses observations ont été prises en considération dans la proposition.

4. Le CEPD se réjouit d’être consulté par la Commission et le Conseil et recommande d’inclure une référence au présent avis dans le préambule des instruments adoptés.

1.2. Objectifs et portée des propositions

5. La proposition de législation comprend deux instruments juridiques: une directive concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement et un règlement concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement. Les objectifs stratégiques de la proposition de révision visent essentiellement au bon fonctionnement du secteur bancaire et à la restauration de la confiance des opérateurs et du public. Les instruments proposés remplaceront les directives 2006/48/CE et 2006/49/CE, qui seront dès lors abrogées.

6. Les principaux nouveaux éléments introduits par la proposition de directive sont des dispositions sur les sanctions, l'efficacité de la gouvernance d'entreprise et la prévention de l'excès de confiance dans les notations de crédit externes. La proposition vise notamment à introduire un régime de sanctions efficaces, proportionnées et dissuasives, une personnalisation appropriée des sanctions administratives, leur publication et la création de mécanismes d'incitation au signalement des infractions. En outre, elle a pour objectif de consolider le cadre législatif relatif à la gouvernance d’entreprise et à réduire l’excès de confiance dans les notations de crédit externes (6).

7. La proposition de règlement complète la proposition de directive en établissant des exigences prudentielles uniformes et directement applicables pour les établissements de crédit et les entreprises d’investissement. Comme indiqué dans l’exposé des motifs, cette initiative a pour objectif premier de renforcer l’efficacité de la réglementation des fonds propres des établissements dans l’UE et de réduire son impact négatif sur le système financier (7).

1.3. Finalité de l’avis du CEPD

8. Si la plupart des dispositions des instruments proposés concernent la poursuite des activités des établissements de crédit, la mise en œuvre et l’application du cadre juridique peut dans certains cas porter atteinte aux droits des personnes à l’égard du traitement de leurs données à caractère personnel.

9. Plusieurs dispositions de la proposition de directive autorisent l’échange d’informations entre les autorités des États membres et, éventuellement, les pays tiers (8). Ces informations peuvent concerner des personnes, par exemple les membres de la direction des établissements de crédit, leurs employés ou leurs actionnaires. Par ailleurs, en vertu de cette proposition, les autorités compétentes peuvent imposer des sanctions directement à des personnes physiques et sont tenues de publier les sanctions infligées, y compris l’identité des personnes concernées (9). Pour faciliter la détection des violations, la proposition introduit l’obligation, pour les autorités compétentes, de mettre en place des mécanismes efficaces pour encourager le signalement des infractions (10). En outre, la proposition de règlement oblige les établissements de crédit et les entreprises d’investissement à divulguer des informations sur leurs politiques de rémunération, notamment les montants des rémunérations ventilés par catégories de personnel et par échelles salariales (11). Toutes ces dispositions peuvent avoir des incidences sur la protection des données des personnes concernées.

10. À la lumière de ce qui précède, le présent avis se concentrera sur les aspects suivants du paquet de mesures relatives à la la vie privée et à la protection de des données: 1) l’applicabilité de la législation sur la protection des données; 2) les transferts de données à des pays tiers; 3) le secret professionnel et l’utilisation d’informations confidentielles; 4) l’obligation de publication des sanctions; 5) les mécanismes de signalement des violations; 6) la divulgation des exigences concernant les politiques de rémunération.

2. ANALYSE DES PROPOSITIONS

2.1. Applicabilité de la législation sur la protection des données

11. Le considérant 74 de la proposition de directive contient une référence à la pleine applicabilité de la législation sur la protection des données. Cependant, il importe d’insérer une référence à la législation applicable en la matière dans un article de fond des propositions. Un bon exemple d’une telle disposition de fond figure à l’article 22 de la proposition de règlement du Parlement européen et du Conseil sur les opérations d'initiés et les manipulations de marché (abus de marché) (12), qui prévoit explicitement que la directive 95/46/CE et le règlement (CE) no 45/2001 s’appliquent de manière générale au traitement de données à caractère personnel dans le cadre de ladite proposition.

12. Cette exigence est particulièrement pertinente en ce qui concerne, par exemple, les diverses dispositions sur les échanges d’informations personnelles, qui sont parfaitement légitimes, mais doivent être appliquées dans le respect de la législation sur la protection des données. Il s’agit d’éviter, notamment, qu’elles puissent être interprétées comme une autorisation générale pour l’échange de toutes sortes de données à caractère personnel. Une référence à la législation sur la protection des données — également dans les dispositions de fond — permettrait de réduire significativement ce risque.

13. Le CEPD suggère dès lors d’intégrer une disposition de fond similaire à celle de l’article 22 de la proposition de règlement du Parlement européen et du Conseil sur les opérations d'initiés et les manipulations de marché (abus de marché) (13), qui prenne en considération les suggestions qu’il a soumises concernant cette proposition (14), à savoir l’importance de mettre en évidence l’applicabilité de la législation existante en matière de protection des données et de clarifier la référence à la directive 95/46/CE en précisant que les dispositions s’appliqueront conformément aux règles nationales transposant ladite directive.

2.2. Transferts vers des pays tiers

14. L’article 48 de la proposition de directive dispose que la Commission peut soumettre au Conseil des propositions en vue de négocier des accords avec un ou plusieurs pays tiers afin de garantir, notamment, la possibilité pour les autorités compétentes de pays tiers d’obtenir les informations nécessaires à la surveillance des entreprises mères dont l’administration centrale est située sur leur territoire et qui ont pour filiale des établissements de crédit ou des établissements financiers situés dans un ou plusieurs États membres.

15. Dans la mesure où ces informations contiennent des données à caractère personnel, la directive 95/46/CE et le règlement (CE) no 45/2001 sont pleinement applicables dans le cas de transferts de données vers des pays tiers. Le CEPD recommande de préciser, à l’article 48, que, dans de tels cas, ces accords doivent être en conformité avec les conditions régissant les transferts de données à caractère personnel vers des pays tiers énoncées au chapitre IV de la directive 95/46/CE et dans le règlement (CE) no 45/2001. Il conviendrait de prévoir les mêmes dispositions en ce qui concerne l’article 56 relatif aux accords de coopération conclus par les États membres et l’ABE avec les autorités compétentes de pays tiers.

16. En outre, au vu des risques liés à ces transferts, le CEPD recommande l’ajout de garanties spécifiques telles que celles introduites à l’article 23 de la proposition de règlement du Parlement européen et du Conseil sur les opérations d'initiés et les manipulations de marché (abus de marché). Dans son avis sur cette proposition, le CEPD salue l’utilisation d’une telle disposition contenant des garanties appropriées, dont l’évaluation au cas par cas, la détermination de la nécessité du transfert et de l’existence d’un niveau adéquat de protection des données à caractère personnel dans le pays tiers destinataire des données à caractère personnel.

2.3. Secret professionnel et utilisation d’informations confidentielles

17. L’article 54 de la proposition de directive prévoit que les membres du personnel des autorités compétentes sont tenus au secret professionnel. Le premier paragraphe, deuxième alinéa, interdit la divulgation d’informations confidentielles «excepté sous une forme résumée ou agrégée de façon à ce que les établissements de crédit ne puissent pas être identifiés […]». Le libellé ne permet pas de déterminer avec certitude si l’interdiction couvre aussi la divulgation d’informations personnelles.

18. Le CEPD recommande d’étendre l’interdiction de divulgation d’informations confidentielles contenue au deuxième alinéa de l’article 54, paragraphe 1, aux cas dans lesquels des personnes sont identifiables (et non uniquement des «établissements de crédit»). En d’autres termes, la disposition devrait être reformulée de manière à interdire la divulgation d’informations confidentielles, «excepté sous une forme résumée ou agrégée de façon à ce que les établissements de crédit et les personnes physiques ne puissent pas être identifiés […]» (soulignement ajouté).

2.4. Dispositions concernant la publication des sanctions

2.4.1. Obligation de publication des sanctions

19. L’un des principaux objectifs des propositions vise à renforcer et rapprocher les cadres juridiques des États membres concernant les sanctions et mesures administratives. La proposition de directive habilite les autorités compétentes à imposer des sanctions non seulement aux établissements de crédit, mais aussi aux personnes matériellement responsables de la violation (15). L’article 68 oblige les États membres à veiller à ce que les autorités compétentes publient dans les meilleurs délais les sanctions et les mesures imposées à la suite d'infractions aux dispositions de la proposition de règlement ou aux dispositions nationales adoptées en application de la proposition de directive, cela comprend les informations sur le type et la nature de l'infraction et l'identité des personnes qui en sont responsables.

20. La publication des sanctions contribuerait à accentuer l’effet dissuasif, étant donné qu’elle découragerait les auteurs réels ou potentiels de violations de commettre des délits qui porteraient gravement atteinte à leur réputation. De même, elle augmenterait la transparence, car les opérateurs du marché seraient informés du fait qu’une infraction a été commise par une personne spécifique (16). Cette obligation est uniquement atténuée lorsque cette publication peut entraîner un préjudice disproportionné pour les parties en cause, auquel cas les autorités compétentes publient les sanctions de manière anonyme.

21. Le CEPD n’est pas convaincu que, telle qu’elle est libellée actuellement, l’obligation de publication des sanctions satisfait aux exigences légales en matière de protection des données telles qu’elles sont explicitées par la Cour de justice dans l’arrêt Schecke (17). Il est d’avis que la finalité, la nécessité et la proportionnalité de la mesure ne sont pas suffisamment établies et, en tout état de cause, que des garanties adéquates pour la protection des droits des personnes auraient dû être prévues.

2.4.2. Nécessité et proportionnalité de la publication

22. Dans l’arrêt Schecke, la Cour de justice a annulé les dispositions d’un règlement du Conseil et d’un règlement de la Commission contenant l’obligation de publier des informations concernant les bénéficiaires de fonds agricoles, dont leur identité et les montants reçus. La Cour a conclu que cette publication équivalait au traitement de données à caractère personnel au sens de l’article 8, paragraphe 2, de la Charte des droits fondamentaux de l’Union européenne (la «Charte») et constituait dès lors une ingérence dans l’exercice des droits consacrés par les articles 7 et 8 de la Charte.

23. Après avoir jugé que «les dérogations à la protection des données à caractère personnel et les limitations de celle-ci doivent s’opérer dans les limites du strict nécessaire», la Cour a analysé la finalité de la publication ainsi que sa proportionnalité. Elle a conclu que, dans l’affaire en question, rien n’indique que, lors de l’adoption de la législation en cause, le Conseil et la Commission ont pris en considération des modalités de publication d’informations relatives aux bénéficiaires concernés qui seraient conformes à l’objectif d’une telle publication tout en étant moins attentatoires aux droits de ces bénéficiaires.

24. L’article 68 de la proposition de directive semble comporter les mêmes lacunes que celles mises en exergue par la CJUE dans l’arrêt Schecke. Il est à rappeler que lors de l’évaluation de la conformité d’une disposition prévoyant la divulgation publique d’informations personnelles avec les exigences en matière de protection des données, il est crucial qu’une finalité claire et correctement définie soit attachée à la publication envisagée. Il s’agit d’une condition indispensable pour pouvoir déterminer si la publication de données à caractère personnel en question est réellement nécessaire et proportionnée (18).

25. Après lecture de la proposition et des documents qui l’accompagnent (le rapport de l’évaluation d’impact), le CEPD estime que la finalité, et partant la nécessité, de cette mesure n’est pas clairement établie. Outre le fait que les considérants ne font aucunement mention de ces questions, le rapport de l’évaluation d’impact indique simplement que «la publication des sanctions est importante pour garantir l’effet dissuasif des sanctions sur les personnes concernées et est nécessaire pour garantir leur effet dissuasif sur le grand public». Toutefois, le rapport n’examine pas la possibilité d’utiliser des méthodes moins intrusives garantissant le même effet dissuasif sans porter atteinte au droit des personnes concernées au respect de leur vie privée. Il n’explique pas, notamment, pourquoi des sanctions financières ou autres n’affectant pas ce droit ne seraient pas suffisantes.

26. De plus, le rapport de l’évaluation d’impact ne semble pas suffisamment prendre en compte des méthodes moins intrusives de publication des informations, par exemple limiter la publication à l’identité des établissements de crédit, voire envisager la nécessité de publication au cas par cas. La dernière option apparaît de prime abord comme une solution proportionnée, en particulier si l’on considère que la publication constitue en soi une sanction au sens de l’article 67, paragraphe 2, point a), et qu’en vertu de l’article 69, les autorités compétentes, lorsqu'elles déterminent la sanction à appliquer, tiennent compte des circonstances (évaluation au cas par cas), telles que la gravité de l’infraction, le degré de responsabilité de la personne en cause, les infractions antérieures commises, les préjudices subis par des tiers, etc. L’obligation de publication systématique des sanctions prévue à l’article 68 n’est pas conforme au régime de sanctions défini aux articles 67 et 69.

27. Le rapport de l’évaluation d’impact ne consacre que quelques paragraphes à l’explication des raisons pour lesquelles la publication au cas par cas n’est pas une option suffisante. Il affirme que laisser les autorités compétentes déterminer «si la publication est appropriée» en affaiblirait l’effet dissuasif (19). En revanche, de l’avis du CEPD, c’est précisément cet aspect — à savoir la possibilité d’évaluer le cas à la lumière des circonstances — qui fait de cette solution une sanction davantage proportionnée que l’obligation systématique de publication, et par conséquent préférable à cette dernière. Ce pouvoir d’appréciation permettrait par exemple à l’autorité compétente d’éviter la publication en cas de violation moins grave, de violation n’ayant causé aucun préjudice majeur, d’attitude coopérative de l’auteur des faits, etc.

2.4.3. La nécessité de garanties adéquates

28. La proposition de directive aurait dû prévoir des garanties adéquates afin de veiller à la mise en balance des intérêts des différentes parties. Premièrement, des garanties sont nécessaires en ce qui concerne le droit des personnes mises en cause de faire appel de la décision devant un tribunal et la présomption d’innocence. Une mention spécifique aurait dû être incluse en ce sens dans le texte de l’article 68, afin d’obliger les autorités compétentes à prendre des mesures appropriées dans les cas où la décision est susceptible de recours et où elle est finalement annulée par un tribunal (20).

29. Deuxièmement, la proposition de directive devrait refléter une approche préventive du respect des droits des personnes concernées. Le CEPD est satisfait du fait que la version finale de la proposition prévoit la possibilité d’exclure la publication dans les cas où elle causerait un préjudice disproportionné. Cependant, une approche proactive supposerait aussi l’information préalable des personnes concernées du fait que la décision qui les sanctionne sera publiée et qu’elles ont le droit de s’y opposer au titre de l’article 14 de la directive 95/46/CE pour des raisons prépondérantes et légitimes (21).

30. Troisièmement, bien que la proposition de directive ne précise pas le support sur lequel l’information devrait être publiée, dans la pratique, on peut imaginer que dans la plupart des États membres, la publication aura lieu sur l’internet. La publication en ligne soulève des questions et génère des risques spécifiques concernant en particulier la nécessité de veiller à ce que les informations ne soient pas conservées en ligne plus longtemps que nécessaire et à ce que les données ne puissent être traitées ou modifiées. L’utilisation de moteurs de recherche externes entraîne également le risque que les informations puissent être sorties de leur contexte et diffusées sur ou à l’extérieur de l'internet dans des conditions difficilement contrôlables (22).

31. Au vu de ce qui précède, il est nécessaire d’obliger les États membres à s’assurer que les données à caractère personnel des personnes concernées ne soient conservées en ligne que pendant une période raisonnable, après quoi elles seront systématiquement effacées (23). En outre, les États membres devraient être tenus de veiller à ce que des mesures de sécurité et des garanties adéquates soient en place, en particulier pour prévenir les risques associés à l’utilisation de moteurs de recherche externes (24).

2.4.4. Conclusions sur la publication

32. Le CEPD est d’avis que la disposition sur l’obligation de publication des sanctions — dans sa formulation actuelle — ne respecte pas le droit fondamental au respect de la vie privée et à la protection des données. Le législateur devrait évaluer avec soin la nécessité du système proposé, vérifier que l’obligation de publication n’excède pas ce qui est nécessaire pour atteindre l’objectif de respect de l’intérêt public poursuivi et qu’il n’existe pas de mesures moins restrictives pour atteindre ce même objectif. En fonction de l’issue de cette évaluation de la proportionnalité, l’obligation de publication devrait dans tous les cas être soutenue par des garanties adéquates afin de garantir le respect du principe de présomption d’innocence, le droit d’opposition des personnes concernées, la sécurité/l’exactitude des données et leur suppression au terme d’une période de conservation adéquate.

2.5. Signalement des violations

33. L’article 70 de la proposition de directive porte sur les mécanismes de signalement des infractions, également appelés mécanismes internes de dénonciation des dysfonctionnements (whistle-blowing). S’ils peuvent constituer des outils efficaces pour garantir le respect des réglementations, ces systèmes soulèvent des questions de taille concernant la protection des données (25). Le CEPD se félicite de l’inclusion de garanties spécifiques dans la proposition — à détailler au niveau national — au sujet de la protection des personnes signalant une violation présumée, et plus généralement de la protection des données à caractère personnel. Il est conscient du fait que la proposition de directive n’établit que les principaux éléments du mécanisme à mettre en œuvre dans les États membres. Néanmoins, il souhaite attirer l’attention sur les points supplémentaires suivants.

34. Le CEPD souligne, comme il l’a fait dans d’autres avis (26), la nécessité d’insérer une référence spécifique en ce qui concerne la nécessité de respecter la confidentialité de l’identité des dénonciateurs et des informateurs. Il ajoute que les dénonciateurs se trouvent dans une situation délicate. Les personnes qui fournissent de telles informations devraient avoir la garantie que leur identité sera traitée de manière confidentielle, en particulier à l’égard de la personne accusée d’avoir commis un acte répréhensible (27). La confidentialité de l’identité des dénonciateurs doit être garantie à chaque étape de la procédure dès lors que cela n’est pas contraire aux règles nationales régissant les procédures judiciaires. Plus particulièrement, il pourrait s’avérer nécessaire de dévoiler son identité dans le contexte d’un complément d’enquête ou de procédures judiciaires ultérieures engagées à la suite de l’enquête en question (notamment s’il est établi que le dénonciateur s’est livré à de fausses déclarations à des fins malveillantes) (28). Au vu de ce qui précède, le CEPD recommande d’ajouter, au paragraphe 2, point b), de l’article 70, la disposition suivante: «l’identité de ces personnes doit être protégée à tous les stades de la procédure, à moins que la divulgation de cette information soit requise en vertu du droit national dans le contexte d’un complément d’enquête ou de procédures judiciaires ultérieures».

35. Le CEPD souligne par ailleurs l’importance de prévoir des règles appropriées afin de protéger le droit d’accès des personnes accusées, qui est étroitement lié aux droits de la défense (29). Les procédures spécifiques pour la réception de signalement d'infractions et leur suivi, telles que mentionnées à l’article 70, paragraphe 2, point a), devraient permettre de s’assurer que les droits de la défense des personnes accusées, dont le droit d’information, le droit d’accès au dossier de l’enquête et la présomption d’innocence, sont adéquatement respectés et ne sont pas limités au-delà de ce qui est nécessaire (30). Le CEPD suggère à cet égard d’ajouter, dans la proposition de directive, la disposition de l’article 29, paragraphe 1, point d), de la proposition de règlement du Parlement européen et du Conseil sur les opérations d'initiés et les manipulations de marché (abus de marché), qui impose aux États membres de mettre en place «des procédures adéquates garantissant les droits de la défense de la personne accusée et son droit d’être entendue avant l’adoption d’une décision la concernant, ainsi que le droit d’exercer une voie de recours juridictionnelle effective contre toute décision ou mesure la concernant».

36. Enfin, concernant l’article 70, paragraphe 2, point c), le CEPD se réjouit de constater que cette disposition exige des États membres qu’ils garantissent la protection des données à caractère personnel, tant pour la personne qui signale les infractions que pour la personne physique mise en cause, conformément aux principes consacrés par la directive 95/46/CE. Il suggère en revanche de remplacer les termes «conformément aux principes consacrés par la directive 95/46/CE» par «conformément à la directive 95/46/CE» afin de conférer un caractère plus exhaustif et plus contraignant à la référence à la directive. Quant à la nécessité de respecter la législation en matière de protection des données lors de la mise en application des mécanismes, le CEPD tient à souligner en particulier les recommandations formulées par le groupe de travail «Article 29» dans son avis de 2006 sur les mécanismes de dénonciation des dysfonctionnements. Lors de la mise en œuvre des mécanismes nationaux, les entités concernées devraient notamment garder à l’esprit la nécessité de respecter le principe de proportionnalité en limitant, dans la mesure du possible, les catégories de personnes autorisées à signaler des irrégularités ou fautes, les catégories de personnes susceptibles d'être mises en cause et les violations pour lesquelles elles sont susceptibles d’être mises en cause, la nécessité d’accorder la préférence aux signalements confidentiels dont l'auteur est identifié par rapport aux signalements anonymes, la nécessité d’autoriser la divulgation de l’identité du dénonciateur lorsque celui-ci a fait de fausses déclarations à des fins malveillantes, et la nécessité de respecter les durées strictement limitées de conservation des données.

3. CONCLUSIONS

37. Le CEPD émet les recommandations suivantes: — insérer une disposition de fond dans les propositions, libellée comme suit: «En ce qui concerne le traitement de données à caractère personnel effectué par les États membres dans le cadre du présent règlement, les autorités compétentes appliquent les dispositions contenues dans les règles nationales transposant la directive 95/46/CE. En ce qui concerne le traitement de données à caractère personnel effectué par l’ABE dans le cadre du présent règlement, l’ABE respecte les dispositions du règlement (CE) no 45/2001.»; — modifier le deuxième alinéa de l’article 54, paragraphe 1, de manière à n’autoriser la divulgation d’informations confidentielles que sous une forme résumée ou agrégée «de façon à ce que les établissements de crédit et les personnes physiques ne puissent pas être identifiés» (soulignement ajouté); — préciser, aux articles 48 et 56, que les accords conclus avec des pays tiers ou les autorités de pays tiers en vue du transfert de données à caractère personnel doivent être en conformité avec les conditions régissant les transferts de données à caractère personnel vers des pays tiers énoncées au chapitre IV de la directive 95/46/CE et dans le règlement (CE) no 45/2001; insérer également dans la proposition de directive une disposition similaire à celle contenue à l’article 23 de la proposition de règlement du Parlement européen et du Conseil sur les opérations d'initiés et les manipulations de marché (abus de marché) (31); — au vu des doutes exprimés dans le présent avis, évaluer la nécessité et la proportionnalité du système proposé d’obligation de publication des sanctions. En fonction de l’issue de cette évaluation, prévoir dans tous les cas des garanties adéquates pour garantir le respect du principe de présomption d’innocence, le droit d’opposition des personnes concernées, la sécurité/l’exactitude des données et leur suppression au terme d’une période de conservation adéquate; — en ce qui concerne l’article 70, 1) ajouter, au paragraphe 2, point b), la disposition suivante: «l’identité de ces personnes doit être protégée à tous les stades de la procédure, à moins que la divulgation de cette information soit requise en vertu du droit national dans le contexte d’un complément d’enquête ou de procédures judiciaires ultérieures»; 2) ajouter un point d), imposant aux États membres de mettre en place «des procédures adéquates garantissant les droits de la défense de la personne accusée et son droit d’être entendue avant l’adoption d’une décision la concernant, ainsi que le droit d’exercer une voie de recours juridictionnelle effective contre toute décision ou mesure la concernant»; 3) remplacer, au point c), les termes «conformément aux principes consacrés par la directive 95/46/CE» par «conformément à la directive 95/46/CE».

Fait à Bruxelles, le 10 février 2012. Giovanni BUTTARELLI Contrôleur adjoint européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 8 du 12.1.2001, p. 1.

(3) Avis du CEPD du 10 février 2012 concernant le paquet de mesures législatives sur la révision de la législation bancaire, les agences de notation de crédit, les marchés d’instruments financiers (directive MIF/règlement MIF) et les abus de marché.

(4) COM(2011) 453.

(5) COM(2011) 452.

(6) Exposé des motifs de la proposition de directive, pp. 2-3.

(7) Exposé des motifs de la proposition de règlement, pp. 2-3.

(8) Voir, en particulier, les articles 24, 48 et 51 de la proposition de directive.

(9) Articles 65, paragraphe 2, et 68 de la proposition de directive.

(10) Article 70 de la proposition de directive.

(11) Article 435 de la proposition de règlement.

(12) Proposition de règlement du Parlement européen et du Conseil sur les opérations d'initiés et les manipulations de marché (abus de marché), COM(2011) 651.

(13) Cf. note 12.

(14) Voir l’avis du 10 février 2012 sur les propositions de la Commission en vue d’un règlement du Parlement européen et du Conseil sur les opérations d'initiés et les manipulations de marché (abus de marché), COM(2011) 651, et d’une directive du Parlement européen et du Conseil relative aux sanctions pénales applicables aux opérations d’initiés et aux manipulations de marché, COM(2011) 654.

(15) La portée personnelle des sanctions est précisée à l’article 65 de la proposition de directive, qui prévoit que les États membres veillent, en cas de manquement aux obligations s'appliquant à des établissements, des compagnies financières holding, des compagnies financières holding mixtes et des compagnies holding mixtes, à ce que des sanctions puissent être imposées aux membres de l'organe de direction et à tout autre individu responsable du manquement en vertu du droit national.

(16) Voir le rapport de l’évaluation d’impact, p. 42 et seq.

(17) Affaires jointes C-92/09 et C-93/09, Schecke, points 56 à 64.

(18) Voir aussi à cet égard l’avis du CEPD du 15 avril 2011 sur la proposition de règlement du Parlement européen et du Conseil relatif aux règles financières applicables au budget annuel de l’Union (JO C 215 du 21.7.2011, p. 13).

(19) Voir les pages 44 à 45.

(20) Les autorités nationales pourraient par exemple envisager les mesures suivantes: différer la publication jusqu’au rejet du recours ou, comme suggéré dans le rapport de l’évaluation d’impact, indiquer clairement que la décision est encore susceptible de recours et que la personne doit être présumée innocente jusqu’à ce que la décision soit devenue finale, publier un rectificatif en cas d’annulation de la décision par un tribunal.

(21) Voir l’avis du CEPD du 10 avril 2007 sur le financement de la politique agricole commune (JO C 134 du 16.6.2007, p. 1).

(22) Voir à cet égard le document publié par l’autorité italienne chargée de la protection des données «Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination» (Les données à caractère personnel également contenues dans les registres et documents des administrations publiques: lignes directrices pour leur traitement par des organes publics dans le cadre d’activités de communication et de diffusion en ligne), disponible sur le site internet de l’autorité italienne chargée de la protection des données, http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(23) Ces considérations sont également liées au droit plus général qu’est le droit à l’oubli, dont l’inclusion dans le nouveau cadre législatif pour la protection des données à caractère personnel est actuellement en débat.

(24) Ces mesures et garanties peuvent par exemple consister en l’exclusion de l’indexation des données par les moteurs de recherche externes.

(25) Le groupe de travail «Article 29» a publié un avis sur ce type de mécanismes en 2006, traitant des implications de ce phénomène pour la protection des données. Il s’agit de l’avis 1/2006 relatif à l'application des règles de l'UE en matière de protection des données aux mécanismes internes de dénonciation des dysfonctionnements dans les domaines de la comptabilité, des contrôles comptables internes, de l'audit, de la lutte contre la corruption et la criminalité bancaire et financière (Avis du groupe de travail sur les mécanismes de dénonciation des dysfonctionnements). Il est consultable sur le site internet du groupe de travail «Article 29»: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

(26) Voir, par exemple, l’avis du CEPD sur les règles financières applicables au budget annuel de l’Union du 15 avril 2011 (JO C 215 du 21.7.2011, p. 13), et l’avis sur les enquêtes effectuées par l’OLAF du 1er juin 2011 (JO C 279 du 23.9.2011, p. 11).

(27) L’importance de garantir la confidentialité de l’identité du dénonciateur a déjà été soulignée par le CEPD dans une lettre au Médiateur européen du 30 juillet 2010 dans le cadre de l’affaire 2010-0458, consultable sur le site du CEPD (http://www.edps.europa.eu). Voir aussi les avis du CEPD du 23 juin 2006, sur les enquêtes internes effectuées par l’OLAF (dossier 2005-0418), et du 4 octobre 2007, sur les enquêtes externes effectuées par l’OLAF (dossiers 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(28) Voir l’avis sur les règles financières applicables au budget annuel de l’Union, daté du 15 avril 2011, consultable sur http://www.edps.europa.eu

(29) Voir à cet égard les lignes directrices du CEPD relatives au traitement de données à caractère personnel dans le cadre d’enquêtes administratives et de procédures disciplinaires entamées par les institutions et organes de l’Union européenne, qui soulignent le lien étroit existant entre le droit d’accès des personnes concernées et les droits de la défense des personnes accusées (voir pp. 8 et 9) http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Guidelines/10-04-23_Guidelines_inquiries_FR.pdf

(30) Voir l’avis du groupe de travail «Article 29» sur les mécanismes de dénonciation des dysfonctionnements, p. 13-14.

(31) Cf. note 12.