FR Journal officiel de l'Union européenne C 139/6

Avis du Contrôleur européen de la protection des données sur la proposition de la Commission de règlement du Parlement européen et du Conseil modifiant le règlement (CE) no 1060/2009 sur les agences de notation de crédit

2012/C 139/02

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2), et notamment son article 28, paragraphe 2,

A ADOPTÉ L’AVIS SUIVANT:

1. INTRODUCTION

1.1. Consultation du CEPD

1. Le présent avis fait partie d’un ensemble de quatre avis du CEPD relatifs au secteur financier, tous adoptés le même jour.

2. Le 15 novembre 2011, la Commission a adopté une proposition de modification du règlement (CE) no 1060/2009 sur les agences de notation de crédit (ci-après, le règlement sur les agences de notation de crédit) (3). Cette proposition a été envoyée le 18 novembre 2011 au CEPD pour consultation.

3. Le CEPD se félicite d’être consulté par la Commission et recommande qu’il soit fait référence au présent avis dans le préambule de l’instrument adopté.

4. Le CEPD déplore cependant de n’avoir été consulté par la Commission de manière formelle ni pendant l’élaboration du règlement initial sur les agences de notation qui est entré en vigueur le 7 décembre 2010, ni à l’occasion des récentes modifications qui y ont été apportées (4).

5. Dans le présent avis, le CEPD estime dès lors approprié et utile de traiter les questions concernant le règlement sur les agences de notation déjà en place. Tout d’abord, il souligne les implications potentielles du règlement lui-même sur le plan de la protection des données. Ensuite, l’analyse présentée dans le présent avis est directement pertinente pour l’application de la législation existante et pour d’autres propositions en attente et éventuellement futures contenant des dispositions similaires, telles celles discutées dans les avis du CEPD sur le paquet législatif concernant la révision de la législation bancaire, les marchés d’instruments financiers (MIFID/MIFIR) et l’abus de marché.

1.2. Objectifs et portée de la proposition et du règlement actuel

6. La Commission considère que les agences de notation de crédit sont d’importants acteurs du marché financier qui doivent être soumis à un cadre réglementaire approprié. Le premier règlement sur les agences de notation est entré en vigueur le 7 décembre 2010. Il demande aux agences de notation de se conformer à un code de conduite rigoureux visant à réduire le risque de conflits d’intérêts et à garantir des notations de haute qualité et une transparence suffisante sur les notations et le processus dont elles découlent. Les agences de notation existantes devaient déposer une demande d’enregistrement et se conformer aux exigences du règlement pour le 7 septembre 2010 au plus tard.

7. Les modifications au règlement sur les agences de notation [règlement (UE) no 513/2011] sont entrées en vigueur le 1er juin 2011, confiant à l’Autorité européenne des marchés financiers (AEMF) des pouvoirs exclusifs de surveillance des agences de notation enregistrées dans l’Union européenne afin de centraliser et de simplifier leur enregistrement et leur surveillance au niveau européen.

8. La proposition actuelle de législation constitue des modifications au règlement sur les agences de notation mais ne remplace pas celui-ci. La principale finalité de la révision proposée est de traiter un certain nombre de questions liées aux agences de notation et à l’utilisation de notations qui n’ont pas été suffisamment abordées dans l’actuel règlement sur les agences.

1.3. Objectif de l’avis du CEPD

9. Alors même que la plupart des dispositions du règlement sur les agences de notation se rapportent à la poursuite des activités des agences et à la surveillance de leurs activités, la mise en œuvre et l’application du cadre réglementaire peuvent, dans certains cas, porter atteinte aux droits des personnes physiques concernant le traitement de leurs données à caractère personnel.

10. Le règlement sur les agences de notation prévoit l’échange d’informations entre l’AEMF, les autorités compétentes, les autorités compétentes sectorielles et, éventuellement, des pays tiers (5). Ces informations peuvent tout à fait concerner des personnes physiques, comme les personnes qui prennent part aux activités de notation de crédit et les personnes qui ont un lien étroit et substantiel à un autre titre avec des agences de notation de crédit ou des activités de notation de crédit. Ces dispositions peuvent avoir des répercussions sur la protection des données à caractère personnel pour les personnes concernées.

11. À la lumière de ce qui précède, le présent avis sera axé sur les aspects suivants du règlement sur les agences de notation concernant la protection de la vie privée et des données à caractère personnel: 1) applicabilité de la législation en matière de protection des données; 2) transferts de données vers des pays tiers; 3) accès aux enregistrements téléphoniques et d’échanges de données; et 4) obligations de divulgation concernant les instruments financiers structurés et les astreintes.

2. ANALYSE DE LA PROPOSITION

2.1. Applicabilité de la législation en matière de protection des données (6)

12. Plusieurs considérants (7) du règlement sur les agences de notation font référence à la Charte des droits fondamentaux, à la directive 95/46/CE et au règlement (CE) no 45/2001. Cependant, il conviendrait d’introduire dans un article de fond du règlement sur les agences de notation une référence à la législation applicable en matière de protection des données.

13. Un bon exemple d’une telle disposition de fond réside dans l’article 22 de la proposition de règlement du Parlement européen et du Conseil sur les opérations d’initiés et les manipulations de marché (8), lequel article dispose expressément comme règle générale que la directive 95/46/CE et le règlement (CE) no 45/2001 s’appliquent au traitement de données à caractère personnel dans le cadre de la proposition. Le CEPD a émis ce jour un avis sur cette proposition, dans lequel il se réjouit de ce type de disposition de fond. Le CEPD suggère toutefois d’expliciter la référence à la directive 95/46/CE en précisant que les dispositions s’appliqueront selon les règles nationales qui transposent cette directive.

14. Cela est pertinent, par exemple, pour les différentes dispositions concernant les échanges d’informations à caractère personnel. Ces dispositions sont parfaitement légitimes mais doivent être appliquées de manière cohérente avec la législation en matière de protection des données. Il faut en particulier éviter le risque qu’elles puissent être interprétées comme un blanc-seing autorisant l’échange de tous les types de données à caractère personnel. Une référence à la législation en matière de protection des données, également dans les dispositions de fond, réduirait ce risque de manière significative (9).

15. Le CEPD suggère donc d’intégrer une disposition importante similaire à celle de l’article 22 de la proposition de règlement du Parlement européen et du Conseil sur les opérations d’initiés et les manipulations de marché (10), sous réserve des suggestions qu’il a faites sur cette proposition (11), à savoir en soulignant l’applicabilité de la législation existante en matière de protection des données et en faisant clairement référence à la directive 95/46/CE en précisant que les dispositions s’appliqueront selon les règles nationales qui transposent la directive 95/46/CE.

2.2. Échanges d’informations avec des pays tiers (12)

16. Le CEPD prend note de la référence au règlement (CE) no 45/2001 à l’article 34, paragraphe 3, du règlement sur les agences de notation de crédit concernant le transfert vers des pays tiers de données à caractère personnel.

17. Cependant, compte tenu des risques présentés par de tels transferts, le CEPD recommande d’ajouter des garanties spécifiques, comme cela a été fait à l’article 23 de la proposition de règlement du Parlement européen et du Conseil sur les opérations d’initiés et les manipulations de marché. Dans l’avis qu’il a émis sur cette proposition, le CEPD se réjouit de l’utilisation d’une telle disposition contenant des garanties appropriées, telle une évaluation au cas par cas, la garantie de la nécessité du transfert et l’existence d’un niveau adéquat de protection des données à caractère personnel dans le pays tiers destinataire.

2.3. Pouvoir de l’AEMF de demander des enregistrements téléphoniques et d’échanges de données (13)

2.3.1. Autorisation judiciaire

18. L’article 23 quater, paragraphe 1, point e), dispose que, pour l’accomplissement des tâches qui lui sont assignées par le présent règlement, l’AEMF peut mener toutes les enquêtes nécessaires. À cette fin, les agents de l’AEMF et les autres personnes mandatées par celle-ci sont investis du pouvoir de demander des enregistrements téléphoniques et d’échanges de données. En raison de ce libellé large, cette disposition soulève plusieurs doutes quant à son champ d’application matériel et personnel. Le règlement sur les agences de notation de crédit impose en outre une autorisation judiciaire préalable pour que l’AEMF puisse demander l’accès aux enregistrements téléphoniques et d’échanges de données lorsque les règles nationales (14) l’exigent.

19. Il n’existe pas de définition des notions d’«enregistrements téléphoniques et d’échanges de données» dans la proposition de règlement. La directive 2002/58/CE (telle que modifiée par la directive 2009/136/CE, et qui s’intitule désormais «la directive vie privée et communications électroniques») ne fait référence qu’à des «données relatives au trafic» et non à des «enregistrements téléphoniques et d’échanges de données». Il va sans dire que la signification exacte de ces notions détermine l’impact que le pouvoir d’enquête peut avoir sur la protection de la vie privée et des données à caractère personnel des personnes concernées. Le CEPD suggère d’utiliser la terminologie déjà en place dans la définition des «données relatives au trafic» de la directive 2002/58/CE.

20. Les données se rapportant à l’utilisation de moyens de communication électroniques peuvent véhiculer une large gamme d’informations à caractère personnel comme l’identité des personnes émettant et recevant l’appel, l’heure et la durée de l’appel, le réseau utilisé, la situation géographique de l’utilisateur dans le cas d’appareils portables, etc. Certaines données relatives au trafic pour l’utilisation de l’internet et des communications électroniques (par exemple la liste des sites visités) peuvent en outre révéler des détails importants du contenu de la communication. De plus, le traitement des données relatives au trafic est en conflit avec le secret de la correspondance. Au vu de ces éléments, la directive 2002/58/CE a établi le principe selon lequel les données relatives au trafic doivent être effacées ou rendues anonymes lorsqu’elles ne sont plus nécessaires à la transmission d’une communication (15). Selon l’article 15, paragraphe 1, de cette directive, les États membres peuvent adopter des dérogations dans la législation nationale pour des objectifs légitimes spécifiques, mais elles doivent être nécessaires, appropriées et proportionnées au sein d’une société démocratique pour remplir ces objectifs (16).

21. Le CEPD reconnaît que les buts poursuivis par la Commission dans le règlement sur les agences de notation de crédit sont légitimes. Il comprend le besoin d’initiatives visant à renforcer la surveillance des marchés financiers afin de préserver leur équilibre et de mieux protéger les investisseurs et l’économie en général. Cependant, des pouvoirs d’enquête directement liés aux données relatives au trafic, du fait de leur nature potentiellement intrusive, doivent être conformes aux exigences de nécessité et de proportionnalité, c’est-à-dire qu’ils doivent être limités à ce qui est approprié pour réaliser l’objectif visé et ne pas aller au-delà de ce qui est nécessaire pour l’atteindre (17). Il est donc essentiel dans cette perspective que les dispositions soient clairement rédigées quant à leur objectif personnel et matériel ainsi qu’aux circonstances dans lesquelles et aux conditions selon lesquelles elles peuvent être utilisées. En outre, des garanties adéquates doivent être prévues contre le risque d’abus.

22. L’article 23 quater, donne pouvoir à l’AEMF de mener des enquêtes auprès de personnes qui prennent part aux activités de notation de crédit et auprès de personnes qui ont un lien étroit et substantiel à un autre titre avec des agences de notation de crédit ou des activités de notation de crédit. Selon l’article 23 ter, il peut aussi être demandé à ces personnes physiques de fournir à l’AEMF tous les renseignements nécessaires.

23. Ces dispositions sous-entendent clairement que les échanges de données à caractère personnel auront lieu aux termes du règlement sur les agences de notation de crédit. Il apparaît probable — ou tout au moins il ne saurait être exclu — que les enregistrements téléphoniques et d’échanges de données concernés comportent des données à caractère personnel au sens de la directive 95/46/CE et du règlement (CE) no 45/2001 et, dans la mesure pertinente, de la directive 2002/58/CE, c’est-à-dire des données se rapportant aux enregistrements téléphoniques et d’échanges de données de personnes physiques identifiées ou identifiables (18). Aussi longtemps que c’est le cas, il convient de s’assurer que les conditions d’un traitement loyal et licite des données à caractère personnel, telles qu’elles sont fixées dans les directives et les règlements, sont totalement respectées.

24. Le CEPD note que l’article 23 quater, paragraphe 5, rend obligatoire l’autorisation judiciaire lorsque celle-ci est requise par le droit national. Cependant, le CEPD considère que l’obligation générale d’une autorisation judiciaire préalable dans tous les cas — que la législation nationale l’exige ou non — serait justifiée étant donné le caractère potentiellement intrusif du pouvoir en question et le choix d’un règlement comme instrument juridique approprié. Il convient également de considérer que différentes législations des États membres prévoient des garanties spéciales quant à l’inviolabilité du domicile pour empêcher des inspections, des perquisitions ou des saisies disproportionnées qui ne sont pas soigneusement réglementées, particulièrement lorsqu’elles sont effectuées par des institutions de nature administrative.

25. Comme cela est indiqué précédemment à la section 2.1, le pouvoir des autorités de surveillance d’exiger l’accès aux enregistrements téléphoniques et d’échanges de données n’est pas une nouveauté dans la législation européenne puisqu’il est déjà prévu dans plusieurs directives et règlements existants concernant le secteur financier. En particulier, la directive sur l’abus de marché (19), la directive concernant les marchés financiers (20) et la directive OPCVM (21) contiennent toutes des dispositions rédigées de manière similaire. Cela est également vrai pour de nombreuses propositions récentes adoptées par la Commission, notamment les propositions de directive sur les gestionnaires de fonds d’investissement alternatifs (22), un règlement sur la vente à découvert et certains aspects des contrats d’échange sur risque de crédit (23) et un règlement concernant l’intégrité et la transparence des marchés de l’énergie (24).

26. En ce qui concerne les instruments législatifs existants et proposés, il convient de faire une distinction entre les pouvoirs d’enquête accordés aux autorités nationales et l’attribution de ces pouvoirs à des autorités de l’UE. Plusieurs instruments obligent les États membres à investir les autorités nationales du pouvoir d’exiger les enregistrements téléphoniques et d’échanges de données dans le respect de la législation nationale (25). En conséquence, l’exécution effective de cette obligation est nécessairement soumise à la législation nationale, dont celle transposant les directives 95/46/CE et 2002/58/CE et d’autres lois nationales qui contiennent des garanties procédurales supplémentaires pour les autorités nationales de surveillance et d’enquête.

27. Il n’existe pas de condition de ce type dans le règlement sur les agences de notation de crédit ou dans les autres instruments législatifs qui confèrent directement aux autorités de l’UE le pouvoir d’exiger les enregistrements téléphoniques et d’échanges de données. Il résulte de ces situations qu’il est encore plus nécessaire de préciser dans l’instrument législatif lui-même le champ d’application personnel et matériel de ce pouvoir et les circonstances et les conditions dans lesquelles il peut en être fait usage et de s’assurer que des garanties adéquates contre les abus sont en place.

28. L’article 23 quater, paragraphe 1, point e), du règlement investit l’AEMF du pouvoir de demander des enregistrements téléphoniques et d’échanges de données. Comme expliqué plus en détail dans les paragraphes suivants, le champ d’application de cette disposition et en particulier la signification exacte des mots «enregistrements téléphoniques et d’échanges de données» ne sont pas clairs.

2.3.2. Définition des «enregistrements téléphoniques et d’échanges de données»

29. La définition de l’expression «enregistrements téléphoniques et d’échanges de données» n’est pas tout à fait claire et doit donc être précisée. Cette disposition pourrait faire référence aux enregistrements téléphoniques et d’échanges de données que les agences de notation de crédit sont tenues de conserver au cours de leurs activités. Cependant, le règlement ne précise pas si des enregistrements téléphoniques et d’échanges de données doivent être collectés par les agences de notation de crédit ni quels enregistrements doivent l’être (26). Dès lors, si cette disposition fait référence à des enregistrements détenus par des agences de notation de crédit, il est essentiel de définir avec précision les catégories d’enregistrements téléphoniques et d’échanges de données qui doivent être conservées et qui peuvent être exigées par l’AEMF. Conformément au principe de proportionnalité, ces données doivent être adéquates, pertinentes et non excessives au regard des finalités de contrôle pour lesquelles elles sont traitées (27).

30. La proposition de règlement doit être plus précise, en particulier dans le cas présent, étant donné les amendes élevées et les astreintes que les agences de notation de crédit et les autres personnes concernées (y compris les personnes physiques pour ce qui est des astreintes) pourraient encourir pour violation du règlement (voir l’article 36 bis et l’article 36 ter).

31. Il convient aussi de remarquer que l’article 37 mentionné précédemment délègue à la Commission le pouvoir d’adopter des modifications permettant à celle-ci de modifier les annexes du règlement qui contiennent les détails des exigences en matière de tenue des registres imposées aux agences de notation de crédit et ainsi, indirectement, le pouvoir accordé par l’AEMF d’avoir accès aux enregistrements téléphoniques et d’échanges de données. L’article 290 du traité sur le fonctionnement de l’Union européenne (TFUE) dispose qu’un acte législatif peut déléguer à la Commission le pouvoir d’adopter des actes non législatifs de portée générale qui complètent ou modifient certains éléments non essentiels de l’acte législatif. De l’avis du CEPD, le périmètre exact du pouvoir d’accéder aux données relatives au trafic ne peut être considéré comme un élément non essentiel du règlement. Son champ d’application matériel devrait donc être précisé directement dans le texte du règlement et non reporté à des actes délégués à venir.

32. Le CEPD comprend que l’objectif de l’article 23 quater, paragraphe 1, point e), n’est pas de permettre à l’AEMF d’avoir directement accès aux données relatives au trafic auprès des fournisseurs de télécommunications. Cela semble la conclusion logique particulièrement en raison du fait que le règlement ne fait nullement référence aux données détenues par les fournisseurs de télécommunications ou aux exigences établies par la directive «vie privée et communications électroniques» comme indiqué au paragraphe 36 qui précède (28). Dès lors, pour des besoins de clarté, il recommande de rendre plus explicite cette conclusion dans l’article 23 quater du règlement sur les agences de notation de crédit en excluant expressément les données relatives au trafic détenues par les fournisseurs de télécommunications.

33. Cependant, si un droit d’accès aux données relatives au trafic directement auprès des fournisseurs de télécommunications est à envisager, le CEPD a des doutes sérieux quant à la nécessité et à la proportionnalité d’un tel droit et recommande donc son exclusion explicite.

2.3.3. Accès aux données à caractère personnel

34. L’article 23 quater paragraphe 1, point e), n’indique pas les circonstances et les conditions dans lesquelles l’accès peut être demandé. Il ne prévoit pas non plus de garanties procédurales importantes ou de protection contre le risque d’abus. Dans les paragraphes qui suivent, le CEPD fait quelques suggestions dans ce sens.

35. L’article 23 quater, paragraphe 1, établit que l’AEMF peut exiger d’avoir accès aux enregistrements téléphoniques et d’échanges de données pour l’accomplissement des tâches qui lui sont assignées par le règlement sur les agences de notation de crédit. De l’avis du CEPD, les circonstances et les conditions d’utilisation de ce pouvoir devraient être définies de manière plus claire. Le CEPD recommande de limiter l’accès aux enregistrements téléphoniques et d’échanges de données aux cas de violations graves et identifiées de la législation proposée et lorsqu’il existe des raisons de suspecter (qui doivent être étayées par une preuve initiale concrète) qu’une violation a été commise. Une telle limitation est aussi particulièrement importante pour empêcher que le pouvoir d’accès soit utilisé à des fins d’opérations de hameçonnage, d’exploration de données ou à d’autres fins.

36. En outre, le CEPD recommande d’introduire l’obligation pour l’AEMF de demander des enregistrements téléphoniques et d’échanges de données par une décision formelle, précisant la base juridique et la finalité de la demande et les informations qui sont requises, le délai pour la communication des informations ainsi que le droit du destinataire de faire réexaminer la décision par la Cour de justice.

2.4. Dispositions concernant la divulgation d’informations

2.4.1. Informations concernant les instruments financiers structurés

37. Dans la proposition actuelle modifiant le règlement sur les agences de notation de crédit (29), l’article 8 bis proposé concernant les informations relatives aux instruments financiers structurés établit que l’émetteur, l’initiateur et le sponsor d’un instrument financier structuré communiquent au public des informations relatives à la qualité du crédit et aux performances de chacun des actifs sous-jacents à l'instrument, à la structure de l'opération de titrisation, aux flux de trésorerie et aux éventuelles sûretés garantissant une exposition titrisée, ainsi que toute information nécessaire pour effectuer des tests de résistance complets et bien documentés sur les flux de trésorerie et la valeur des sûretés garantissant les expositions sous-jacentes. L'obligation de communiquer des informations ne s'étend pas à la fourniture d'informations qui enfreindrait les dispositions légales régissant la protection de la confidentialité des sources d'information et le traitement des données à caractère personnel.

38. Cet article vise l’émetteur, l’initiateur et le sponsor d’un instrument financier structuré. Le CEPD accueille favorablement le fait que, dans l’actuelle proposition de modification du règlement sur les agences de notation de crédit, l’article 8 bis proposé dispose que l’obligation de rendre publiques des informations ne doit pas s’étendre à la fourniture d’informations qui enfreindrait des dispositions légales régissant la protection de la confidentialité des sources d’information ou le traitement des données à caractère personnel.

39. Cette manière de souligner les garanties offertes par les dispositions légales régissant le traitement des données à caractère personnel constitue, de l’avis du CEPD, un pas dans la bonne direction mais, conformément aux recommandations présentées précédemment, il conviendrait d’introduire une référence claire et explicite aux règles nationales mettant en œuvre la directive 95/46/CE dans un article de fond du règlement sur les agences de notation de crédit.

2.4.2. Informations concernant les astreintes (30)

40. L’article 36 quinquies du règlement sur les agences de notation de crédit dispose que l’AEMF rend publique toute astreinte infligée sauf dans les cas où cette publication perturberait gravement les marchés financiers ou causerait un préjudice disproportionné aux parties en cause.

41. Aux termes de l’article 36 ter et de l’article 23 ter, paragraphe 1, les personnes qui prennent part à des activités de notation de crédit et les personnes qui ont un lien étroit et substantiel à un autre titre avec des agences de notation de crédit ou des activités de notation de crédit peuvent être soumises à des astreintes.

42. Le règlement sur les agences de notation de crédit investit ainsi l’AEMF du pouvoir d’infliger des sanctions, non seulement aux établissements de crédit, mais aussi aux personnes physiques matériellement responsables de l’infraction. Dans le même sens, l’article 36 quinquies fait obligation à l’AEMF de rendre publique toute astreinte infligée pour la violation de la proposition de règlement.

43. La publication des sanctions contribuerait à augmenter l’effet dissuasif car les auteurs réels et potentiels seraient dissuadés de commettre des infractions pour éviter des préjudices significatifs à leur réputation. De même, elle améliorerait la transparence car les opérateurs des marchés sauraient qu’une infraction a été commise par une personne donnée. Cette obligation ne serait atténuée que lorsque la publication causerait un préjudice disproportionné aux parties en cause, auquel cas les autorités compétentes devraient publier les sanctions de manière anonyme.

44. Le CEPD n’est pas convaincu que l’obligation de publication des sanctions, telle qu’elle est actuellement rédigée, respecte les exigences de la législation sur la protection des données comme elles ont été précisées par la Cour de justice dans l’arrêt Schecke (31). Il est d’avis que la finalité, la nécessité et la proportionnalité de la mesure ne sont pas suffisamment établies et que, en tout état de cause, des garanties adéquates devraient être prévues contre les risques d’atteinte aux droits des personnes physiques.

2.4.3. Nécessité et proportionnalité de la publication obligatoire des sanctions

45. Dans l’arrêt Schecke, la Cour de justice a annulé les dispositions d’un règlement du Conseil et d’un règlement de la Commission prévoyant la publication obligatoire d’informations concernant les bénéficiaires d’aides agricoles, parmi lesquelles l’identité des bénéficiaires et les montants perçus. La Cour a considéré qu’une telle publication constituait un traitement de données à caractère personnel relevant de l’article 8, paragraphe 2, de la Charte des droits fondamentaux de l’Union européenne (la «charte») et allait donc à l’encontre des droits reconnus par les articles 7 et 8 de la charte.

46. Après avoir considéré que «les dérogations à la protection des données à caractère personnel et les limitations de celle-ci doivent s’opérer dans les limites du strict nécessaire», la Cour a poursuivi en analysant la finalité de la publication et sa proportionnalité. Elle a conclu que rien n’indiquait que le Conseil et la Commission avaient pris en considération, lors de l’adoption de la législation concernée, des modalités de publication d’informations relatives aux bénéficiaires concernés qui seraient conformes à l’objectif d’une telle publication tout en étant moins attentatoires aux droits de ces bénéficiaires.

47. L’article 36 quinquies du règlement sur les agences de notation de crédit semble souffrir des mêmes défauts que ceux soulignés par la Cour de justice dans l’arrêt Schecke. Il convient de garder à l’esprit que, pour évaluer la conformité aux exigences de protection des données d’une disposition prévoyant la publication d’informations à caractère personnel, il est d’une importance cruciale d’avoir un objectif clair et bien défini que la publication envisagée entend poursuivre. Ce n’est qu’avec un objectif clair et bien défini qu’on peut évaluer si la publication des données à caractère personnel en cause est effectivement nécessaire et proportionnée (32).

48. Le CEPD a donc l’impression que la finalité, et par conséquent la nécessité, de cette mesure n’est pas clairement établie. Les considérants du règlement sur les agences de notation de crédit sont muets sur ces questions. Si la finalité générale est d’augmenter l’effet dissuasif, il semble que la Commission aurait dû expliquer, par exemple, pourquoi des pénalités financières plus lourdes (ou d’autres sanctions n’impliquant pas de mention du nom et d’humiliation) n’auraient pas été suffisantes.

49. En outre, des méthodes moins intrusives auraient dû être envisagées, comme la publication limitée aux agences de notation de crédit ou la publication à décider au cas par cas. Cette dernière option, en particulier, semblerait, à première vue, une solution plus proportionnée.

50. Toutefois, de l’avis du CEPD, la possibilité d’évaluer le cas à la lumière des circonstances spécifiques rend cette solution plus proportionnée et donc préférable par rapport à la publication obligatoire dans tous les cas. Cette possibilité d’une évaluation permettrait, par exemple, à l’AEMF d’éviter une publication dans les cas d’infractions moins graves, lorsque l’infraction n’a pas causé de tort important, lorsque la partie concernée a fait preuve d’une attitude de coopération, etc.

2.4.4. La question des garanties adéquates

51. Le règlement sur les agences de notation de crédit aurait dû prévoir des garanties adéquates afin d’assurer un juste équilibre entre les différents intérêts en jeu. Tout d’abord, les garanties sont nécessaires eu égard au droit des personnes concernées de former un recours et à la présomption d’innocence. Un libellé spécifique aurait dû être intégré dans le texte de l’article 36 quinquies à cet égard, de manière à obliger l’AEMF à prendre des mesures appropriées pour ces deux situations dans lesquelles la décision est soumise à un recours et où elle est finalement annulée par une juridiction (33).

52. Ensuite, le règlement sur les agences de notation de crédit devrait s’assurer que les droits des personnes concernées sont respectés en amont. Le CEPD se réjouit du fait que le règlement sur les agences de notation de crédit prévoie la possibilité d’exclure la publication dans les cas où elle causerait un préjudice disproportionné. Cependant, une approche en amont doit impliquer que les personnes concernées sont informées à l’avance du fait que la décision leur imposant une astreinte sera publiée et que le droit d’objection leur est acquis aux termes de l’article 14 de la directive 95/46/CE pour des raisons prépondérantes et légitimes (34).

53. Enfin, alors que le règlement sur les agences de notation de crédit ne précise pas le support sur lequel les informations doivent être publiées, dans la pratique, on peut imaginer que la publication se fera sur l’internet. Les publications sur l’internet soulèvent des questions particulières et des risques, en particulier sur la nécessité de garantir que les informations ne sont pas conservées en ligne plus longtemps qu’il n’est nécessaire et que les données ne peuvent être manipulées ou modifiées. L’utilisation de moteurs de recherche externes comporte aussi le risque que les informations puissent être sorties de leur contexte et véhiculées sur et en dehors de la toile selon des méthodes qui ne peuvent être facilement contrôlées (35).

54. Au vu de ce qui précède, il est nécessaire d’obliger l’AEMF à garantir que les données à caractère personnel des personnes concernées ne sont conservées en ligne que pendant une durée raisonnable, après laquelle elles sont systématiquement effacées (36). De plus, il conviendrait de demander aux États membres de s’assurer que des mesures de sécurité et des garanties adéquates sont mises en place, particulièrement pour la protection contre les risques liés à l’utilisation de moteurs de recherche externes (37).

2.4.5. Conclusion concernant la divulgation d’informations relatives aux astreintes

55. Le CEPD est d’avis que la disposition concernant la publication obligatoire des astreintes — telle qu’elle est rédigée actuellement — n’est pas conforme aux droits fondamentaux à la vie privée et à la protection des données. Le législateur devrait soigneusement évaluer la nécessité du système proposé et vérifier si l’obligation de publication va au-delà de ce qui est nécessaire pour réaliser l’objectif d’intérêt public visé et s’il n’existe pas des mesures moins restrictives pour atteindre le même objectif. Sous réserve du résultat de l’évaluation de ce critère de proportionnalité, l’obligation de publication devrait, en tout état de cause, être assortie de garanties adéquates pour assurer le respect de la présomption d’innocence, le droit des personnes concernées à objecter, la sécurité et l’exactitude des données et leur effacement après une durée adéquate.

3. CONCLUSIONS

56. Le CEPD fait les recommandations suivantes: — insérer une disposition substantielle dans le règlement sur les agences de notation de crédit avec le libellé suivant: «En ce qui concerne le traitement de données à caractère personnel effectué par des États membres dans le cadre du présent règlement, les autorités compétentes et les autorités sectorielles compétentes appliquent les dispositions des règles nationales transposant la directive 95/46/CE. En ce qui concerne le traitement de données à caractère personnel effectué par l’AEMF dans le cadre du présent règlement, l’AEMF se conforme aux dispositions du règlement (CE) no 45/2001»; — ajouter des garanties spécifiques à l’article 34 du règlement sur les agences de notation de crédit, comme cela a été fait pour l’article 23 de la proposition de règlement du Parlement européen et du Conseil sur les opérations d’initiés et les manipulations de marché. Dans l’avis qu’il donne sur cette proposition, le CEPD accueille favorablement l’utilisation d’une telle disposition contenant les garanties appropriées, comme l’évaluation au cas par cas, la garantie de la nécessité du transfert et l’existence d’un niveau de protection adéquat des données à caractère personnel dans le pays tiers destinataire; — préciser clairement les catégories d’enregistrements téléphoniques et d’échanges de données que les agences de notation de crédit sont tenues de conserver et/ou de fournir à l’AEMF. Ces données doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées; — indiquer expressément que l’accès aux enregistrements téléphoniques et d’échanges de données directement auprès des fournisseurs de télécommunications est exclu; — limiter l’accès aux enregistrements téléphoniques et d’échange de données aux infractions graves et identifiées de la proposition de règlement et lorsqu’il existe des raisons de suspecter (qui doivent être étayées par une preuve initiale concrète) qu’une infraction a été commise; — évaluer la nécessité du système proposé pour la publication obligatoire des astreintes et vérifier si l’obligation de publication ne va pas au-delà de ce qui est nécessaire pour atteindre l’objectif d’intérêt public poursuivi et s’il n’existe pas de mesures moins restrictives pour atteindre le même objectif. Sous réserve du résultat de l’évaluation de ce critère de proportionnalité, l’obligation de publication devrait, en tout état de cause, être assortie de garanties adéquates pour assurer le respect de la présomption d’innocence, le droit des personnes concernées à objecter, la sécurité, l’exactitude des données et leur effacement après une durée adéquate.

Fait à Bruxelles, le 10 février 2012. Giovanni BUTTARELLI Contrôleur adjoint européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 8 du 12.1.2001, p. 1.

(3) COM(2011) 747.

(4) Règlement (UE) no 513/2011, qui est entré en vigueur le 1er juin 2011.

(5) Voir, notamment, les articles 23 et 27 du règlement sur les agences de notation.

(6) Voir aussi les avis récents du CEPD sur le paquet législatif concernant la révision de la législation bancaire (section 2.1), les marchés d’instruments financiers (MIFID/MIFIR) (section 2.1) et l’abus de marché (section 2.1).

(7) Voir les huitième, trente-troisième et trente-quatrième considérants du règlement sur les agences de notation.

(8) COM(2011) 651.

(9) Le règlement sur les agences de notation contient des dispositions permettant ou demandant aux autorités compétentes et aux autorités compétentes sectorielles d’échanger des informations entre elles ou avec l’AEMF. En particulier, l’article 27 du règlement invite l’AEMF, les autorités compétentes sectorielles et les autorités compétentes à se communiquer mutuellement les informations nécessaires à l’accomplissement de leurs missions au titre du règlement. En outre, l’article 23 quater investit l’AEMF des pouvoirs de procéder à des enquêtes auprès des personnes qui prennent part aux activités de notation de crédit et des personnes qui ont un lien étroit et substantiel à un autre titre avec des agences de notation de crédit ou des activités de notation de crédit. Aux termes de l’article 23 ter, il peut aussi être demandé à ces personnes physiques de fournir à l’AEMF tous les renseignements nécessaires. Ces dispositions donnent clairement à entendre que les échanges de données à caractère personnel auront lieu selon les termes du règlement sur les agences de notation de crédit.

(10) Proposition de la Commission de règlement du Parlement européen et du Conseil sur les opérations d’initiés et les manipulations de marché, COM(2011) 651.

(11) Voir l’avis du CEPD du 10 février 2012 sur la proposition de règlement du Parlement européen et du Conseil sur les opérations d’initiés et les manipulations de marché, COM(2011) 651.

(12) Voir aussi les avis récents du CEPD concernant le paquet législatif sur la révision de la législation bancaire (section 2.2), les marchés d’instruments financiers (MIFID/MIFIR) (section 2.8) et l’abus de marché (section 2.5).

(13) Voir aussi les avis récents du CEPD sur les marchés d’instruments financiers (MIFID/MIFIR) (section 2.3) et l’abus de marché (section 2.3.2).

(14) Article 23 quater, paragraphe 5.

(15) Voir l’article 6, paragraphe 1, de la directive 2002/58/CE (JO L 201 du 31.7.2002, p. 37).

(16) L’article 15, paragraphe 1, de la directive 2002/58/CE dispose qu’une telle limitation doit constituer «une mesure nécessaire, appropriée et proportionnée, au sein d’une société démocratique, pour sauvegarder la sécurité nationale — c’est-à-dire la sûreté de l’État — la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques, comme le prévoit l’article 13, paragraphe 1, de la directive 95/46/CE. À cette fin, les États membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation de données pendant une durée limitée lorsque cela est justifié par un des motifs énoncés dans le présent paragraphe (…)».

(17) Voir, par exemple, les affaires jointes C-92/09 et C-93/09, Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09) /Land Hessen, non encore publié au Recueil, point 74.

(18) Généralement les employés auxquels les échanges téléphoniques et de données peuvent être imputés ainsi que les destinataires et autres utilisateurs concernés.

(19) Directive 2003/6/CE du Parlement européen et du Conseil du 28 janvier 2003 sur les opérations d’initiés et les manipulations de marché (abus de marché) (JO L 96 du 12.4.2003, p. 16).

(20) Directive 2004/39/CE du Parlement européen et du Conseil du 21 avril 2004 concernant les marchés d’instruments financiers, modifiant les directives 85/611/CEE et 93/6/CEE du Conseil et la directive 2000/12/CE du Parlement européen et du Conseil et abrogeant la directive 93/22/CEE du Conseil (JO L 145 du 30.4.2004, p. 1).

(21) Directive 2009/65/CE du Parlement européen et du Conseil du 13 juillet 2009 portant coordination des dispositions législatives, réglementaires et administratives concernant certains organismes de placement collectif en valeurs mobilières (OPCVM) (JO L 302 du 17.11.2009, p. 32).

(22) Proposition de directive du Parlement européen et du Conseil sur les gestionnaires de fonds d’investissement alternatifs du 30 avril 2009 et modifiant les directives 2004/39/CE et 2009/65/CE, COM(2009) 207.

(23) Proposition de règlement du Parlement européen et du Conseil sur la vente à découvert et certains aspects des contrats d’échange sur risque de crédit du 15 septembre 2010, COM(2010) 482.

(24) Règlement du Parlement européen et du Conseil concernant l’intégrité et la transparence du marché de l’énergie, COM(2010) 726.

(25) Voir par exemple l’article 12, paragraphe 2, de la directive sur l’abus de marché mentionnée à la note de bas de page no 20. Voir aussi l’article 50 de la directive sur les marchés d’instruments financiers, mentionnée à la note de bas de page no 21.

(26) L’expression «enregistrements téléphoniques et d’échange de données» recouvre potentiellement une grande diversité d’informations, y compris la durée, le moment ou le volume d’une communication, le protocole de référence, l’emplacement des équipements terminaux de l’expéditeur ou du destinataire, le réseau de départ ou d’arrivée de la communication, ou encore le début, la fin ou la durée d’une connexion ou même la liste des sites visités et le contenu des communications elles-mêmes lorsqu’elles sont enregistrées. Dans la mesure où elles concernent des personnes physiques identifiées ou identifiables, toutes ces informations constituent des données à caractère personnel.

(27) Voir l’article 6, paragraphe 1, point c), de la directive 95/46/CE et l’article 4, paragraphe 1, point c), du règlement (CE) no 45/2001. Il convient aussi de considérer si des garanties spécifiques peuvent être conçues pour empêcher que des données concernant un usage véritablement privé soient saisies et traitées.

(28) Comme cela a été indiqué, la directive «vie privée et communications électroniques» établit le principe général selon lequel les données doivent être effacées ou rendues anonymes lorsqu’elles ne sont plus nécessaires aux fins de la transmission d’une communication. Un traitement ultérieur de ces données ne peut avoir lieu qu’à des fins de facturation et de paiements pour interconnexion et seulement jusqu’à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des poursuites engagées pour en obtenir le paiement. Toute dérogation à ce principe doit être une mesure nécessaire, appropriée et proportionnée au sein d’une société démocratique à des fins de maintien de l’ordre public [c’est-à-dire pour garantir la sécurité nationale (à savoir la sûreté de l’État), la défense, la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques].

(29) COM(2011) 747

(30) Voir aussi les avis récents du CEPD sur le paquet législatif concernant la révision de la législation bancaire (section 2.4), les marchés d’instruments financiers (section 2.5) et l’abus de marché (section 2.6).

(31) Affaires jointes C-92/09 et C-93/09, Schecke, points 56 à 64.

(32) Voir aussi à cet égard l’avis du CEPD du 15 avril 2011 sur les règles financières applicables au budget annuel de l’Union européenne (JO C 215 du 21.7.2011, p. 13).

(33) Par exemple, les mesures suivantes pourraient être envisagées par les autorités nationales: retarder la publication jusqu’à ce que le recours soit rejeté ou, comme cela est suggéré dans le rapport de l’analyse d’impact, indiquer clairement que la décision est encore susceptible d’un recours et que la personne physique doit être présumée innocente tant que la décision n’est pas définitive, publier un rectificatif dans les cas où la décision est annulée par une juridiction.

(34) Voir l’avis du CEPD du 10 avril 2007 sur le financement de la politique agricole commune (JO C 134 du 16.6.2007, p. 1).

(35) Voir à ce sujet le document publié par l’autorité italienne chargée de la protection des données: Instructions pour le traitement de données à caractère personnel contenues aussi dans des actes et des documents administratifs, effectué par des organes publics aux fins de publication et de diffusion sur la toile (Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination), consultable sur le site de l’autorité italienne chargée de la protection des données, http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(36) Ces préoccupations sont aussi liées au droit plus général à l’oubli, dont l’inclusion dans le nouveau cadre législatif pour la protection des données à caractère personnel est en discussion.

(37) Ces mesures et ces garanties peuvent consister par exemple en l’exclusion de l’indexation des données au moyen de moteurs de recherche externes.