FR Journal officiel de l'Union européenne C 279/20

Avis du Contrôleur européen de la protection des données sur la proposition de règlement du Parlement européen et du Conseil concernant l’intégrité et la transparence du marché de l’énergie

2011/C 279/03

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2), et notamment son article 41,

A ADOPTÉ L’AVIS SUIVANT:

I. INTRODUCTION

1. Le 8 décembre 2010, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil concernant l’intégrité et la transparence du marché de l’énergie (3) (ci-après, la «proposition»).

2. La Commission n’a pas consulté le CEPD comme l’exige l’article 28, paragraphe 2, du règlement (CE) no 45/2001. De sa propre initiative, le CEPD adopte par conséquent le présent avis sur la base de l’article 41, paragraphe 2, du même règlement. Le CEPD a conscience du fait que cet avis intervient à un stade avancé du processus législatif mais considère néanmoins qu’il est approprié et utile d’émettre cet avis dans la mesure où la proposition pourrait avoir un impact considérable sur le droit à la vie privée et la protection des données à caractère personnel. Le CEPD recommande qu’il soit fait référence au présent avis dans le préambule de la proposition.

3. La proposition a pour objectif premier d’empêcher la manipulation de marché et les opérations d’initiés sur les marchés de gros de l’énergie (gaz et électricité). L’intégrité et la transparence des marchés de gros, dans le cadre desquels le négoce de gaz et d’électricité intervient entre les sociétés productrices d’énergie et les négociants, ont une influence considérable sur le prix finalement payé par les consommateurs.

4. Dans cette optique, la proposition entend établir au niveau de l’UE des règles complètes visant à empêcher les négociants de tirer profit d’informations privilégiées et de manipuler le marché en amenant artificiellement les prix à un niveau plus élevé que ce qui serait justifié par la disponibilité, les coûts de production, ainsi que la capacité de stockage ou de transport de l’énergie. Les règles proposées interdisent notamment: — l’utilisation d’informations privilégiées dans le cadre de l’achat ou de la vente d’énergie au niveau des marchés de gros; les informations exclusives et susceptibles d’influer sur le prix devront être divulguées avant que le négoce puisse avoir lieu; — les transactions qui donnent des indications fausses ou trompeuses en ce qui concerne l'offre, la demande ou le prix des produits énergétiques de gros; et — la diffusion d’informations fausses ou la propagation de rumeurs qui donnent des indications trompeuses à propos de ces produits.

5. Il appartiendra à l'agence européenne de coopération des régulateurs de l'énergie (ci-après, l’«agence») (4) de se charger de la surveillance du marché au niveau européen afin de détecter les éventuelles infractions à ces interdictions.

6. En vertu de la proposition, l’agence aura accès, en temps utile, aux informations sur les transactions effectuées sur les marchés de gros de l’énergie, et notamment aux informations concernant le prix, la quantité d’énergie vendue et les parties concernées. Cette masse de données sera également partagée avec les autorités de régulation nationales qui seront alors chargées d’enquêter sur les abus présumés. Dans les affaires ayant une incidence transfrontière, l’agence sera habilitée à coordonner les enquêtes. Il incombera aux autorités de régulation nationales des États membres d’appliquer des sanctions.

7. La proposition vient s’ajouter à un certain nombre de propositions législatives récentes visant à renforcer le dispositif de surveillance financière en place et à améliorer la coordination et la coopération au niveau de l’UE, y compris la directive sur les opérations d'initiés et les manipulations de marché («MAD») (5) et la directive concernant les marchés d’instruments financiers («MiFID») (6). Le CEPD a dernièrement apporté ses commentaires concernant une autre de ces propositions récentes (7).

II. COMMENTAIRES ET RECOMMANDATIONS DU CEPD

8. La proposition comporte plusieurs dispositions relatives à la protection des données à caractère personnel: — les articles 6 à 8 sur la surveillance du marché et la déclaration, — l’article 9 sur la «protection des données et [la] fiabilité opérationnelle», — les articles 10 et 11 sur l’enquête et l’exécution, et — l’article 14 sur les «relations avec les pays tiers».

II.1. Surveillance du marché et déclaration (articles 6 à 8)

Dispositions pertinentes

9. La proposition repose sur la prémisse que pour détecter les abus de marché (i) un système de surveillance des marchés efficace et ayant accès en temps utile à des données de transaction complètes est nécessaire et que (ii) ce système doit inclure une surveillance au niveau de l'UE. Aussi, le règlement proposé prévoit-il que l'agence rassemble, réexamine et diffuse (aux autorités nationales et européennes concernées) une vaste masse de données provenant des marchés de gros de l'énergie.

10. En particulier, le règlement proposé exige que les acteurs du marché fournissent à l'agence un «relevé de leurs transactions» relatives aux produits énergétiques de gros. Outre les relevés de transactions, les acteurs du marché doivent fournir à l'agence les informations relatives à la «capacité des installations de production, de stockage, de consommation ou de transport d'électricité ou de gaz naturel».

11. La forme et le contenu de la communication, ainsi que le délai pour la présenter, seront précisés dans des actes délégués de la Commission.

Commentaires et recommandations du CEPD

12. Étant donné que la proposition laisse entièrement aux actes délégués le soin de définir le contenu des informations à collecter dans le cadre de cet exercice de surveillance et de déclaration, on ne peut pas exclure la possibilité que des données à caractère personnel — à savoir toute information concernant une personne physique identifiée ou identifiable (8) — soient inclues. Aux termes de la législation de l’UE en vigueur, cela n’est permis que si cela est nécessaire et n’est pas disproportionné compte tenu des fins spécifiques recherchées (9). Le règlement proposé devrait donc indiquer clairement si, et dans quelle mesure, les relevés de transactions et les informations relatives à la capacité à collecter aux fins de la surveillance peuvent inclure des données à caractère personnel (10).

13. Si l’on envisage le traitement de données à caractère personnel, des garanties spécifiques pourraient également être nécessaires, notamment, en termes d’usages autorisés, de durée de conservation et de nature des destinataires possibles. Compte-tenu du fait qu’elles sont essentielles, ces garanties visant à protéger les données devraient être définies directement dans le texte du règlement proposé et non pas dans des actes délégués.

14. Par contre, si aucun traitement de données à caractère personnel n’est prévu (ou si un tel traitement ne se produirait qu’à titre exceptionnel, dans les rares cas où un négociant de gros en énergie est une personne physique plutôt que morale), cela devrait être clairement indiqué dans la proposition, tout le moins dans un considérant.

II.2. Protection des données et fiabilité opérationnelle (article 9)

Dispositions pertinentes

15. L’article 9, paragraphe 1, exige que l’agence «assure la confidentialité, l’intégrité et la protection» des informations reçues en vertu de l’article 7 (à savoir les relevés de transactions et les informations relatives à la capacité collectées dans le cadre de l’exercice de surveillance du marché). L’article 9 stipule également que «le cas échéant», l’agence «se conformera» au règlement (CE) no 45/2001 lorsqu’elle traite des données à caractère personnel en vertu de l’article 7.

16. En outre, l’article 9, paragraphe 1, exige également que l’agence «détecte les sources de risques opérationnels et les [réduise] au minimum en mettant en place des systèmes, des moyens de contrôle et des procédures appropriés».

17. Enfin, l’article 9, paragraphe 2, habilite l’agence à rendre publiques certaines des informations qu'elle détient «à condition qu’il ne soit pas divulgué d’informations commercialement sensibles sur des transactions ou des acteurs du marché déterminés».

Commentaires et recommandations du CEPD

18. Le CEPD se félicite du fait que l’article 9 soit consacré, en partie, à la protection des données et que le règlement proposé exige spécifiquement que l’agence se conforme au règlement (CE) no 45/2001.

a) Applicabilité du règlement (CE) no 45/2001 et de la directive 95/46/CE

19. Cela dit, le CEPD souligne le fait que, en vertu du présent règlement, l’agence est soumise au règlement (CE) no 45/2001 dans sa totalité chaque fois qu’elle traite des données à caractère personnel. Par conséquent, la proposition devrait rappeler que le règlement (CE) no 45/2001 doit s’appliquer à l’agence non seulement lorsqu’elle traite des données aux termes de l’article 7, mais aussi dans toutes autres situations: fondamentalement, également lorsque l’agence traite des données à caractère personnel concernant des abus de marché ou des infractions présumés aux termes de l’article 11. Par ailleurs, pour être plus précis, le CEPD recommande que, pour décrire les situations dans lesquelles l’agence est contrainte de se conformer au règlement (CE) no 45/2001, la formulation «à chaque fois que des données à caractère personnel sont traitées» vienne remplacer l’expression «le cas échéant».

20. Il faudrait mentionner la directive 95/46/CE dans la mesure où cette directive concerne le traitement des données à caractère personnel par les autorités de régulation nationales pertinentes. En effet, par souci de clarté, le CEPD recommande que le règlement proposé indique, de façon générale (tout le moins dans un considérant), que bien que l’agence soit soumise au règlement (CE) no 45/2001, la directive 95/46/CE s’applique aux autorités de régulation nationales concernées.

b) Responsabilisation

21. Le CEPD accueille favorablement l’exigence selon laquelle l’agence doit détecter et réduire au minimum les risques opérationnels en mettant en place des systèmes, des moyens de contrôle et des procédures appropriés. Afin de renforcer davantage le principe de responsabilisation (11), s’il est prévu que le traitement des données à caractère personnel joue un rôle structurel, le règlement proposé devrait exiger spécifiquement que l’agence définisse un cadre clair de responsabilisation afin de veiller au respect des règles relatives à la protection des données et d’en apporter la preuve. Ce cadre clair que l’agence aura la charge d’établir devra comprendre un certain nombre d’éléments, tels que: — l’adoption et l’actualisation, selon le besoin, d’une politique de protection des données sur la base d’une évaluation de l’impact (devant également inclure une évaluation des risques en matière de sécurité). Cette politique de protection des données devra également comporter un plan de sécurité; — la réalisation d’audits périodiques visant à évaluer si la politique de protection des données reste adéquate et est respectée (y compris un audit du plan de sécurité); — la publication (au moins partielle) des résultats de ces audits afin de rassurer les parties prenantes quant au respect des règles en matière de protection des données; et — la notification des violations de données et autres incidents sécuritaires au DPD de la Commission, aux personnes concernées, et, le cas échéant, aux autres parties prenantes et autorités (12).

22. Des règles similaires devront également s’appliquer aux autorités de régulation nationales et autres autorités européennes concernées.

c) Publication d’informations par l’agence

23. Concernant l’exigence de l’article 9, paragraphe 2, selon laquelle l’agence doit rendre publiques certaines des informations qu’elle détient, le CEPD croit comprendre que cette disposition a pour objectif de ne pas autoriser l’agence à publier des données à des fins de «dénonciation» et à divulguer de façon publique les méfaits de sociétés ou personnes.

24. Cela dit, la proposition n’aborde pas la question de savoir s’il y a intention de divulguer de façon publique de quelconques données à caractère personnel. Par conséquent, afin d’éviter tout malentendu, le règlement proposé devrait soit stipuler clairement que les informations publiées ne doivent contenir aucune donnée à caractère personnel, soit préciser quelles sont les éventuelles données à caractère personnel qui peuvent être divulguées.

25. Si des données à caractère personnel doivent être publiées, la nécessité de les divulguer (par exemple pour des motifs de transparence) devra être examinée avec soin tout en tenant également compte d’autres impératifs concurrents, tels que la nécessité de protéger le droit à la vie privée et à la protection des données à caractère personnel dont jouissent les personnes concernées.

26. Par conséquent, toute divulgation devra être précédée par une évaluation de la proportionnalité au regard des critères établis par la Cour de justice dans l’affaire Schecke (13). Dans cette affaire, la Cour a souligné que les dérogations à la protection des données à caractère personnel et les limitations de celle-ci devaient s’opérer dans les limites du strict nécessaire. La Cour a également estimé que les institutions européennes devaient envisager diverses modalités de publication afin de trouver celles qui seraient conformes à l’objectif d’une telle publication tout en étant moins attentatoires au droit au respect de la vie privée et à la protection des données à caractère personnel dont jouissent les personnes concernées.

II.3. Compétences d’enquête (article 10)

Dispositions pertinentes

27. La proposition prévoit que la surveillance du marché soit suivie d’une enquête lorsqu’un abus de marché est suspecté, enquête qui pourra donner lieu à des sanctions appropriées. L’article 10, paragraphe 1, en particulier, exige que les États membres confèrent aux autorités de régulation nationales les compétences d’enquête nécessaires pour leur permettre de veiller à l’application des dispositions du règlement en matière d’opération d'initiés et de manipulation de marché (14).

Commentaires et recommandations du CEPD

28. Le CEPD accueille favorablement les précisions prévues à l’article 10, paragraphe 1, selon lesquelles i) les compétences d’enquête servent (uniquement) à garantir l’application des dispositions du règlement relatives aux opérations d'initiés et aux manipulations de marché (articles 3 et 4) et ii) ces compétences seront exercées de manière proportionnée.

29. Cela dit, la proposition devrait aller plus loin afin de garantir une sécurité juridique ainsi qu’un niveau approprié de protection des données à caractère personnel. Comme cela sera expliqué ci-dessous, le texte de l’article 10 tel que proposé comporte deux problèmes principaux. En premier lieu, l’article 10 ne définit pas suffisamment clairement l’étendue des compétences d’enquête; par exemple, il n’est pas indiqué suffisamment clairement si les enregistrements téléphoniques privés peuvent être demandés ni si les inspections sur place peuvent avoir lieu au domicile d’un particulier. En deuxième lieu, l’article 10 ne prévoit pas non plus les garanties procédurales nécessaires pour se prémunir contre le risque d’intrusion injustifiée dans la vie privée ou d’utilisation abusive de données à caractère personnel; par exemple, il n’exige pas de mandat délivré par une autorité judiciaire.

30. La définition tant de l’étendue des compétences d’enquête que des garanties nécessaires est probablement laissée à la charge du droit national. En effet, l’article 10, paragraphe 1, offre aux États membres de nombreuses possibilités lorsqu’il stipule que les compétences d’enquête «peuvent être exercées a) directement, b) en collaboration avec d’autres autorités ou les entreprises de marché, ou c) par saisine des autorités judiciaires compétentes». Cela semble rendre possibles des divergences au niveau des pratiques nationales, par exemple, en ce qui concerne le fait qu’un mandat délivré par une autorité judiciaire soit exigé ou non, et dans quelles circonstances.

31. Bien qu’il se puisse que le droit national de certains pays ait déjà prévu des garanties procédurales et relatives à la protection des données appropriées, il est, comme cela sera expliqué ci-dessous, nécessaire d’apporter dans le cadre du règlement proposé certaines clarifications et de définir des exigences minimales eu égard à ces garanties au niveau européen afin de garantir aux personnes concernées une sécurité juridique.

32. De manière générale, le CEPD souligne que, lorsque la législation de l’Union exige des États membres qu’ils prennent, au niveau national, des mesures qui auront des répercussions sur les droits fondamentaux (tels que le droit à la vie privée et le droit à la protection des données à caractère personnel), la législation doit également exiger que des mesures efficaces soient prises simultanément aux mesures restrictives afin de veiller à la protection des droits fondamentaux en jeu. En d’autres termes, l’harmonisation de mesures susceptibles de porter atteinte à la vie privée, telles que des compétences d’enquête, devrait s’accompagner d’une harmonisation des garanties procédurales et relatives à la protection des données appropriées fondée sur les meilleures pratiques.

33. Une telle démarche aiderait peut-être à éviter des disparités trop importantes d’un pays à l’autre et à garantir un niveau de protection des données à caractère personnel supérieur et plus uniforme dans toute l’Union européenne.

34. Si l’harmonisation des garanties minimales n’est pas possible à ce stade, le CEPD recommande, au strict minimum, que le règlement proposé exige spécifiquement des États membres qu’ils adoptent des mesures nationales de transposition pour veiller à la mise en place des garanties procédurales et relatives à la protection des données nécessaires. Cela est d’autant plus important que le type d’acte juridique choisi est le règlement, lequel est directement applicable, et en règle générale, ne nécessite pas systématiquement de mesures de transposition supplémentaires au niveau des États membres.

II.4. Inspections sur place [article 10, paragraphe 2, point c)]

Dispositions pertinentes

35. La proposition exige que les compétences d’enquête qui doivent être conférées aux autorités de régulation nationales incluent spécifiquement le droit de procéder à des inspections sur place [article 10, paragraphe 2, point c)].

Commentaires et recommandations du CEPD

36. Il est difficile de déterminer si de telles inspections seraient limitées aux propriétés commerciales (locaux, terrains et véhicules) d’un acteur du marché ou si elles pourraient également se dérouler sur des propriétés privées (locaux, terrains ou véhicules) de particuliers. On ignore également si les inspections pourraient être effectuées de manière inopinée («inspections surprise»).

37. Premièrement, si la Commission envisage d’exiger que les États membres autorisent les autorités de réglementation à procéder à des inspections sur place des propriétés privées de particuliers, ou à des inspections surprise, cela doit être clairement précisé.

38. Deuxièmement, le CEPD souligne également que la proportionnalité des inspections sur place portant sur des propriétés privées (telles que les domiciles privés des particuliers) est loin d’aller de soi et que, si une telle éventualité est envisagée, une justification précise est nécessaire.

39. Troisièmement, si tel était le cas, des garanties supplémentaires seraient nécessaires, notamment eu égard aux conditions dans lesquelles des inspections peuvent être effectuées. Par exemple, la proposition devrait, de façon non limitative, préciser qu’une inspection sur place ne peut avoir lieu au domicile d’un particulier qu’en cas de soupçons raisonnables et spécifiques que des preuves se trouvent dans ce lieu précis, preuves qui sont à même de démonter l’existence d’une violation grave des articles 3 ou 4 du règlement (à savoir les dispositions ayant trait à l’interdiction d’opérations d’initiés et de manipulations de marché). Fait important, la proposition devrait également exiger un mandat judiciaire dans tous les États membres (15).

40. Quatrièmement, afin de garantir le respect du principe de proportionnalité et empêcher une atteinte inacceptable à la vie privée, les inspections inopinées des domiciles privés devraient en outre se faire si et seulement si les preuves risquent d’être détruites ou falsifiées en cas de visite annoncée à l’avance. Cela devrait être clairement stipulé dans le règlement proposé.

II.5. Droit de se faire remettre «des enregistrements téléphoniques et des données échangées existants» [article 10, paragraphe 2, point d)]

Dispositions pertinentes

41. L’article 10, paragraphe 2, point d), exige que les compétences des autorités de régulation nationales incluent spécifiquement le droit «de se faire remettre des enregistrements téléphoniques et des données échangées existants».

Commentaires et recommandations du CEPD

42. Le CEPD reconnaît l’importance que revêtent les enregistrements téléphoniques et des données échangées dans le cadre des affaires d’opérations d’initiés, notamment afin d’établir un lien entre initiés et négociants. Cela dit, la portée de ce droit reste floue, et aucune garantie procédurale et relative à la protection des données appropriée n’est prévue. Aussi, le CEPD recommande-t-il que la proposition soit clarifiée tel qu’indiqué ci-dessous. En particulier, les points suivants devront être éclaircis:

a) Quel type d’enregistrement téléphonique et de données échangées peut-on demander?

43. Dans un souci de sécurité juridique, la proposition devrait avant tout clarifier la nature des enregistrements que les autorités pourraient, si nécessaire, demander.

44. La proposition devrait limiter de façon précise l’étendue des compétences d’enquête aux i) contenus d’enregistrements téléphoniques, de courriels et d’autres données échangées que les négociants collectent déjà systématiquement et licitement à des fins professionnelles pour prouver les transactions, et aux b) données relatives au trafic (par exemple, qui a passé l’appel ou envoyé les informations, à qui et quand) que l’on peut d’ores-et-déjà obtenir directement auprès des acteurs du marché (négociants) concernés.

45. Qui plus est, le proposition devrait également préciser que les enregistrements doivent avoir été collectés à des fins licites et dans le respect des lois en vigueur en matière de protection des données, y compris la transmission d’informations adéquates aux personnes concernées aux termes des articles 10 et 11 de la directive 95/46/CE.

b) À quoi le qualificatif «existants» se rapporte-t-il?

46. Le CEPD se félicite que la proposition limite ce droit aux enregistrements «existants» et, par conséquent, n’envisage pas que les autorités de réglementation aient le droit de contraindre un négociant ou un tiers à intercepter, surveiller ou enregistrer un appel téléphonique ou des données échangées spécialement aux fins de l’enquête.

47. Toutefois, pour éviter tout risque de confusion possible, cette intention devrait être clarifiée, au moins dans un considérant. Il faudrait éviter de laisser la moindre possibilité que le règlement proposé soit interprété comme une base juridique habilitant les autorités de régulation nationales à intercepter, surveiller ou enregistrer, ouvertement ou non et avec ou sans mandat, des communications téléphoniques ou de données.

c) Est-il également possible d’exiger le contenu des conversations téléphoniques et des données échangées ou seulement les données relatives au trafic?

48. Le texte de la proposition parle des «enregistrements téléphoniques et des données échangées existants». Il n’est pas clair s’il est possible d’exiger à la fois le contenu des données et communications téléphoniques existants et les données relatives au trafic (par exemple, qui a passé l’appel ou envoyé les informations, à qui et quand).

49. Cela devrait être clarifié dans les dispositions du règlement proposé. Comme expliqué aux paragraphes 43 à 45, il faudrait préciser clairement le type d’enregistrements pouvant être exigés, et, en premier lieu, s’assurer que ces enregistrements ont été collectés dans le respect de la législation en vigueur en matière de protection des données.

d) Est-il possible de demander des enregistrements aux fournisseurs d’accès à internet et entreprises de télécommunications?

50. La proposition devrait préciser de façon univoque les entités auxquelles les autorités de régulation nationales peuvent demander des enregistrements. À cet égard, le CEPD comprend que l’article 10, paragraphe 2, point d) n’a pas pour vocation de permettre aux autorités nationales de demander aux fournisseurs de «services de communications électroniques accessibles au public» (16) (tels que les entreprises de téléphonie ou fournisseurs d’accès à internet) des données relatives au trafic.

51. En effet, la proposition ne fait aucune allusion à de tels fournisseurs et n’utilise pas l’expression «données relatives au trafic». Fait important, elle ne fait aucunement référence, que ce soit de façon explicite ou non, à une éventuelle dérogation aux exigences stipulées par la directive vie privée et communications électroniques (17), laquelle établit le principe général selon lequel les données relatives au trafic peuvent faire l’objet d’un traitement supplémentaire uniquement aux fins de la facturation et des paiements pour interconnexion.

52. Pour éviter tout malentendu, le CEPD recommande que le fait que la proposition ne saurait constituer une base juridique permettant de demander des données aux fournisseurs de services de communications électroniques accessibles au public soit mentionné de façon explicite dans le texte du règlement proposé, au moins dans un considérant.

e) Est-il possible de demander des enregistrements à des tiers?

53. Par ailleurs, la proposition devrait indiquer clairement si les autorités de régulation nationales peuvent uniquement demander des enregistrements à l’acteur du marché faisant l’objet de l’enquête ou si elles sont également habilitées à demander des enregistrements à des tiers (tels qu’à une partie à une transaction avec l’acteur du marché faisant l’objet de l’enquête, ou à un hôtel dans lequel une personne soupçonnée d’opérations d’initiés a séjourné) afin que ces derniers fournissent leurs propres enregistrements.

f) Peut-on demander tout enregistrement privé?

54. Enfin, la proposition devrait également indiquer clairement si les autorités sont aussi habilitées à demander des enregistrements privés appartenant à des particuliers, tels que des employés ou dirigeants de l’acteur du marché faisant l’objet de l’enquête (par exemple des SMS envoyés depuis des appareils personnels mobiles ou l’historique de navigation sur internet à domicile enregistré sur un ordinateur personnel).

55. La proportionnalité de la réquisition d’enregistrements privés est discutable et, si une telle éventualité est envisagée, une justification spécifique est nécessaire.

56. Tout comme pour les inspections sur place (voir les paragraphes 35 à 40 ci-dessus), la proposition devrait exiger un mandat émis par une autorité judiciaire ainsi que des garanties supplémentaires spécifiques lorsque les autorités demandent des enregistrements privés.

II.6. Déclaration d’un abus de marché présumé (article 11): limitation de finalité et conservation des données

Dispositions pertinentes

57. En ce qui concerne la coopération transfrontière, l’agence se voit confier le rôle important d’avertir les autorités de régulation nationales d’un éventuel abus de marché et de favoriser les échanges d'information. Afin de permettre la coopération, l’article 11, paragraphe 2, exige également spécifiquement que les autorités de régulation nationales informent l'agence «de la façon la plus précise possible» lorsqu'elles ont de bonnes raisons de suspecter une infraction au règlement proposé. Afin de garantir une approche coordonnée, l’article 11, paragraphe 3, exige également le partage des informations entre les autorités de régulation nationales, les autorités financières compétentes, l’agence ainsi que l'autorité européenne des marchés financiers (l’«AEMF») (18).

Commentaires et recommandations du CEPD

58. Conformément au principe de limitation de la finalité (19), la proposition devrait stipuler explicitement que toute donnée à caractère personnel transmise sur la base de l’article 11 du règlement proposé (déclarations d’abus de marché présumé) ne doit être utilisée qu’aux seules fins de l’enquête sur l’abus de marché présumé qui a été signalé. En tout état de cause, les informations ne devront pas être utilisées à des fins incompatibles avec cette fin.

59. Les données ne devraient pas non plus être conservées pendant de longues périodes. Cela est d’autant plus important dans les cas où il peut être démontré que la suspicion initiale n’était pas fondée. Dans ces cas, le maintien de la conservation des données doit répondre à une justification spécifique (20).

60. À cet égard, la proposition devrait, dans un premier temps, fixer une durée maximale pendant laquelle l’agence et les autres destinataires ayant reçu les informations peuvent conserver les données, au regard des finalités du stockage des données. À moins qu’un abus de marché présumé ait donné lieu à une enquête spécifique et que cette dernière soit toujours en cours, toutes les données à caractère personnel concernant un abus de marché présumé qui a été signalé devraient être supprimées des dossiers de tous les destinataires au terme d’un laps de temps déterminé. À moins qu’une durée de conservation plus longue soit clairement justifiée, le CEPD estime que la suppression devra survenir au plus tard deux ans après la date de déclaration de la suspicion (21).

61. Si une suspicion ne s’avère pas fondée et/ou si une enquête est classée sans suite, la proposition devrait contraindre l’autorité de régulation à l’origine de la déclaration, l’agence, et tout tiers ayant accès aux informations relatives à l’abus de marché présumé, à informer rapidement ces parties afin qu’elles soient en mesure d’actualiser leurs dossiers en conséquence (et/ou de supprimer de leurs dossiers les informations concernant la suspicion signalée, soit immédiatement, soit au terme d’une période de conservation adaptée, selon le cas) (22).

62. Ces dispositions devraient contribuer à assurer que, dans les cas où la suspicion n’a pas été confirmée (voire même n’a pas fait l’objet d’une enquête plus poussée) ou dans ceux où il a été prouvé que la suspicion n’était pas fondée, des personnes innocentes ne figurent pas sur une «liste noire» et ne restent pas «suspectes» pendant un délai excessivement long [voir l’article 6, point e) de la directive 95/46/CE et l’article 4, point e) correspondant du règlement (CE) no 45/2001].

II.7. Données transmises à des pays tiers (article 14)

Dispositions pertinentes

63. Les articles 7, 8 et 11 du règlement proposé prévoient des échanges de données et d’informations entre l’agence, l’AEMF et les autorités des États membres. L’article 14 («Relations avec les pays tiers») stipule que l'agence «peut conclure des accords administratifs avec des organisations internationales et des administrations de pays tiers». Cela pourrait donner lieu à la transmission de données à caractère personnel depuis l’agence et, potentiellement, l’AEMF et/ou les autorités des États membres vers des organisations internationales et autorités de pays tiers.

Commentaires et recommandations du CEPD

64. Le CEPD recommande que l’article 14 de la proposition précise clairement que les transmissions de données à caractère personnel peuvent uniquement être effectuées conformément à l’article 9 du règlement (CE) no 45/2001 et aux articles 25 et 26 de la directive 95/46/CE. En particulier, les transmissions internationales ne peuvent être autorisées que si le pays tiers en question veille à un niveau de protection adéquat, ou peuvent être destinées à des personnes physiques ou morales se trouvant dans un pays tiers qui n’offre pas une protection adéquate seulement si le contrôleur apporte des garanties satisfaisantes quant à la protection de la vie privée et des libertés et droits fondamentaux des personnes et quant à l’exercice des droits correspondants.

65. Le CEPD souligne le fait que les dérogations [telles que celles mentionnées dans l’article 9, paragraphe 6, du règlement (CE) no 45/2001 et l’article 26, paragraphe 1, de la directive] ne devraient, en principe, pas servir à justifier des transmissions de données en masse, systématiques et/ou structurelles vers des pays tiers.

II.8. Contrôle préalable des activités de coordination de l’agence eu égard aux enquêtes

66. Certaines données que partagent l’agence, l’AEMF et diverses autorités d’États membres au sujet d’infractions présumées sont susceptibles de comprendre des données à caractère personnel telles que l’identité des auteurs soupçonnés de l’infraction ou d’autres personnes concernées (telles que les témoins, dénonciateurs d’abus, employés ou autres personnes agissant au nom des sociétés participant au négoce).

67. L’article 27, paragraphe 1, du règlement (CE) no 45/2001 stipule que «les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées du fait de leur nature, de leur portée ou de leurs finalités sont soumis au contrôle préalable du contrôleur européen de la protection des données». L’article 27, paragraphe 2, confirme spécifiquement que les traitements de données relatives à des «suspicions» et «infractions» présentent de tels risques et nécessitent donc un contrôle préalable. Comptetenu du rôle envisagé de l’agence en termes de coordination des enquêtes, il est probable qu’elle traite des données relatives à des «suspicions», auquel cas ses activités seront soumises à un contrôle préalable (23).

68. Dans le cadre d’une procédure de contrôle préalable, le CEPD pourrait fournir à l’agence des directives supplémentaires et des recommandations précises eu égard au respect des règles en matière de protection des données. Le contrôle préalable des activités de l’agence pourrait également être source de valeur ajoutée dans la mesure où le règlement (CE) no 713/2009, qui a institué l’agence, ne fait nullement référence à la protection des données à caractère personnel et n’a pas donné lieu à un avis législatif du CEPD.

III. CONCLUSIONS

69. La proposition devrait clarifier s’il est possible de traiter des données à caractère personnel dans le contexte de la surveillance du marché et de la déclaration, et quelles sont les garanties qui seront applicables. Si, au contraire, aucun traitement de données à caractère personnel n’est prévu (ou si un tel traitement ne se produirait qu’à titre exceptionnel, dans les rares cas où un négociant de gros en énergie est une personne physique plutôt que morale), cela devrait être clairement indiqué dans la proposition, tout le moins dans un considérant.

70. Les dispositions sur la protection des données, la sécurité des données et la responsabilisation devraient être clarifiées et davantage renforcées, en particulier si le traitement de données à caractère personnel jouera un rôle davantage structurel. La Commission devrait veiller à la mise en place de contrôles appropriés pour garantir le respect des règles relatives à la protection des données et en apporter la preuve («responsabilisation»).

71. La proposition devrait préciser clairement si les inspections sur place seraient limitées aux propriétés commerciales (locaux et véhicules) d’un acteur du marché ou si elles pourraient également se dérouler sur des propriétés privées (locaux ou véhicules) de particuliers. Dans le second cas, la nécessité et la proportionnalité de ce droit devraient être clairement démontrées, et un mandat judiciaire ainsi que des garanties supplémentaires devraient être exigés. Cela devrait être clairement stipulé dans le règlement proposé.

72. L’étendue du droit «de se faire remettre des enregistrements téléphoniques et des données échangées existants» devrait être clarifiée. La proposition devrait préciser de façon univoque le type d’enregistrements qui peuvent être exigés et auprès de qui ils peuvent l’être. Le fait que l’on ne puisse demander aucune donnée aux fournisseurs de services de communications électroniques accessibles au public devrait être mentionné de façon explicite dans le texte du règlement proposé, au moins dans un considérant. La proposition devrait également indiquer clairement si les autorités sont également habilitées à demander des enregistrements privés appartenant à des particuliers, tels que des employés ou dirigeants de l’acteur du marché faisant l’objet de l’enquête (par exemple des SMS envoyés depuis des appareils personnels mobiles ou l’historique de navigation sur internet à domicile enregistré sur un ordinateur personnel). Si tel sera le cas, la nécessité et la proportionnalité de ce droit devraient être clairement démontrées, et la proposition devrait également exiger un mandat délivré par une autorité judiciaire.

73. En ce qui concerne les déclarations d’abus de marché présumé, la proposition devrait stipuler explicitement que toute donnée à caractère personnel figurant dans de telles déclarations ne doit être utilisée qu’aux seules fins de l’enquête sur l’abus de marché présumé qui a été signalé. À moins qu’un abus de marché présumé ait donné lieu à une enquête spécifique et que cette dernière soit toujours en cours (ou qu’une suspicion s’avère pleinement fondée et donne lieu à une enquête fructueuse), toutes les données à caractère personnel concernant un abus de marché présumé qui a été signalé devraient être supprimées des dossiers de tous les destinataires au terme d’un laps de temps déterminé (sauf exception dûment justifiée, au plus tard deux ans après la date de signalement de la suspicion). Qui plus est, les parties à un échange d’informations devraient également se prévenir mutuellement si une suspicion ne s’avère pas fondée et/ou si une enquête est classée sans suite.

74. En ce qui concerne les transmissions à des pays tiers de données à caractère personnel, la proposition devrait indiquer clairement que les transmissions peuvent, en principe, être destinées à des personnes physiques ou morales se trouvant dans un pays tiers qui n’offre pas une protection adéquate si et seulement si le contrôleur apporte des garanties satisfaisantes quant à la protection de la vie privée et des libertés et droits fondamentaux des personnes et quant à l’exercice des droits correspondants.

75. L’agence devrait soumettre au CEPD ses activités de traitement de données à caractère personnel entrant dans le cadre de la coordination des enquêtes aux termes de l’article 11 du règlement proposé afin que celui-ci procède à un contrôle préalable.

Fait à Bruxelles, le 21 juin 2011. Giovanni BUTTARELLI Contrôleur adjoint européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31 (ci-après, la «directive 95/46/CE»).

(2) JO L 8 du 12.1.2001, p. 1 [ci-après, le «règlement (CE) no 45/2001»].

(3) COM(2010) 726 final.

(4) L'agence de coopération des régulateurs de l'énergie est un organe de l’Union européenne créé en 2010. Son objet est d’aider les autorités nationales de régulation de l’énergie à exercer, au niveau de l’UE, les tâches réglementaires effectuées dans les États membres et, si nécessaire, à coordonner leur action.

(5) Directive 2003/6/CE du Parlement européen et du Conseil du 28 janvier 2003 sur les opérations d'initiés et les manipulations de marché (abus de marché), JO L 96 du 12.4.2003, p. 16.

(6) Directive 2004/39/CE du Parlement européen et du Conseil du 21 avril 2004 concernant les marchés d'instruments financiers, modifiant les directives 85/611/CEE et 93/6/CEE du Conseil et la directive 2000/12/CE du Parlement européen et du Conseil et abrogeant la directive 93/22/CEE du Conseil, JO L 145 du 30.4.2004, p. 1.

(7) Pour de plus amples détails à propos du contexte plus large de propositions législatives connexes, voir l’avis du CEPD sur la proposition de règlement du Parlement européen et du Conseil sur les produits dérivés négociés de gré à gré, les contreparties centrales et les référentiels centraux, émis le 19 avril 2011; notamment les paragraphes 4, 5 et 17 à 20.

(8) Voir l’article 2, point a) de la directive 95/46/CE et l’article 2, point a) du règlement (CE) no 45/2001.

(9) Voir les articles 6, paragraphe 1, point c) et 7, point c) de la directive 95/46/CE et l’article 4, paragraphe 1, point c) et l’article 5, point b) du règlement (CE) no 45/2001.

(10) L’article 9, paragraphe 1, de la proposition — faisant référence au règlement (CE) no 45/2001 — suggère que tel pourrait être le cas, sans pour autant fournir de précision complémentaire. Pour de plus amples détails à ce sujet, voir la section II.2 du présent avis.

(11) Voir la section 7 de l’avis du CEPD sur la Communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions intitulée «Une approche globale de la protection des données à caractère personnel dans l’Union européenne», émis le 14 janvier 2011 (http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2011/11-01-14_Personal_Data_Protection_EN.pdf).

(12) Voir la section 6.3 de l’avis du CEPD du 14 janvier 2011 mentionné ci-dessus.

(13) Arrêt rendu par la Cour de justice le 9 novembre 2010, Affaires jointes C-92/09 et C-93/09 (Schecke et Eifert); voir notamment les paragraphes 81, 65 et 86.

(14) Il est important de remarquer que le règlement proposé ne confère pas à l’agence de compétences d’enquête similaires. Le règlement (CE) no 713/2009 du Parlement européen et du Conseil du 13 juillet 2009 instituant une agence de coopération des régulateurs de l’énergie JO L 211 du 14.8.2009, p. 1, ne prévoit pas non plus de conférer de telles compétences à l’agence.

(15) Voir, par exemple, le l'arrêt de la Cour européenne des droits de l’homme dans l’affaire Funke c. France (affaire no 82/1991/334/407), 25 février 1993, paragraphes 55 à 57.

(16) Voir l’article 2, point c), de la directive 2002/21/CE du Parlement européen et du Conseil du 7 mars 2002 relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques (directive «cadre»), JO L 108 du 24.4.2002, p. 33.

(17) Voir l’article 6, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), JO L 201 du 31.7.2002, p. 37.

(18) L’AEMF est une autorité communautaire indépendante qui contribue au maintien de la stabilité du système financier de l’Union européenne en assurant l’intégrité, la transparence, l’efficience et le bon fonctionnement des marchés financiers, et en renforçant la protection des investisseurs.

(19) Voir l’article 6, paragraphe 1, point b) de la directive 95/46/CE et l’article 4, paragraphe 1, point b), du règlement (CE) no 45/2001.

(20) À titre d’illustration, le CEPD cite, dans ce contexte, l’arrêt de la Cour européenne des droits de l’homme dans l’affaire S et Marper c. Royaume-Uni (2008) (4 décembre 2008) (requêtes no 30562/04 et 30566/04), en vertu duquel la conservation à long terme des données relatives à des personnes non inculpées d’une infraction pénale constituait une violation de leur droit à la vie privée, conformément à l’article 8 de la Convention européenne des droits de l’homme.

(21) Dans les cas où une suspicion s’avère pleinement fondée et donne lieu à une enquête fructueuse, la proposition devrait fixer une durée de conservation — nonexcessive — précise après la clôture de l’enquête.

(22) Ces informations devraient également être fournies à la personne concernée.

(23) Force est de noter que le traitement des données effectué par des autorités nationales peut également être soumis à un contrôle préalable d’autorités nationales ou régionales de protection des données aux termes de la législation nationale en matière de protection des données conformément à l’article 20 de la directive 95/46/CE.