Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) no 648/2012, (UE) no 600/2014 et (UE) no 909/2014

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2021/C 229/05)

Le 24 septembre 2020, la Commission européenne a adopté une proposition de règlement sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) no 648/2012, (UE) no 600/2014 et (UE) no 909/2014 (ci-après la «proposition»). La proposition établit un cadre global pour la résilience opérationnelle numérique des entités financières de l’UE, fondé sur cinq domaines clés, à savoir la gestion des risques informatiques (chapitre II), la gestion, la classification et la notification des incidents liés à l’informatique (chapitre III), les tests de résilience opérationnelle numérique (chapitre IV), la gestion des risques liés aux tiers et la réglementation des prestataires critiques de services informatiques (chapitre V), ainsi que le partage d’informations (chapitre VI).

Le CEPD se félicite des objectifs de la proposition et estime qu’il est essentiel, pour la stabilité des marchés financiers de l’Union européenne, que les établissements financiers disposent d’un cadre de gestion des risques informatiques solide, complet et bien documenté.

Le CEPD souligne qu’il importe de veiller à ce que tout traitement effectué dans le cadre des opérations des entités financières soit fondé sur l’une des bases juridiques prévues à l’article 6 du RGPD (1). En outre, le CEPD rappelle l’importance, pour les entités financières, d’intégrer dans leur cadre de résilience opérationnelle numérique un mécanisme de gouvernance solide en matière de protection des données, qui définisse clairement les rôles et les responsabilités du responsable du traitement et du sous-traitant, ainsi que les activités de traitement qui auront lieu.

En ce qui concerne les transferts internationaux à des tiers prestataires de services informatiques établis dans un pays tiers, le CEPD rappelle que tout transfert international de données à caractère personnel doit se conformer aux exigences du chapitre V du RGPD telles qu’interprétées dans la jurisprudence de la CJUE, notamment l’arrêt Schrems II.

En ce qui concerne les dispositifs de partage d’informations et de renseignements sur les cybermenaces entre les entités financières, le CEPD souligne que la protection des données à caractère personnel ne constitue pas un obstacle au partage de renseignements dans le secteur financier. Au contraire, les obligations en matière de protection des données devraient être perçues comme des exigences fondamentales qui doivent être remplies pour garantir la protection des droits des individus. Dans ce contexte, le CEPD encourage également l’adoption dans le secteur financier de codes de conduite conformément à l’article 40 du RGPD, en vue notamment de définir clairement les rôles des principales parties prenantes dans le traitement des données à caractère personnel et de garantir un traitement équitable et transparent.

En ce qui concerne la publication de sanctions administratives, le CEPD recommande d’inclure, parmi les critères à prendre en considération par l’autorité compétente, les risques pour la protection des données à caractère personnel des individus. En outre, le CEPD rappelle que le principe de limitation de la conservation des données exige que les données à caractère personnel soient conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

En ce qui concerne la notification des violations de données, le CEPD fait remarquer que le libellé du considérant 42 de la proposition est incompatible avec l’article 33 du RGPD. Le CEPD recommande donc de supprimer la référence aux autorités de protection des données du considérant 42 de la proposition, ainsi que de modifier légèrement l’article 17 de la proposition conformément aux recommandations du présent avis.

1. CONTEXTE

1. Le 24 septembre 2020, la Commission européenne a adopté une proposition de règlement sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n o 1060/2009, (UE) n o 648/2012, (UE) n o 600/2014 et (UE) n o 909/2014 (ci-après la « proposition »). La proposition établit un cadre global pour la résilience opérationnelle numérique des entités financières de l’UE, fondé sur cinq domaines clés, à savoir la gestion des risques informatiques (chapitre II), la gestion, la classification et la notification des incidents liés à l’informatique (chapitre III), les tests de résilience opérationnelle numérique (chapitre IV), la gestion des risques liés aux tiers et la réglementation des prestataires critiques de services informatiques (chapitre V), ainsi que le partage d’informations (chapitre VI).

2. règlement MICA »), une proposition sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués La présente proposition fait partie d’un paquet de mesures qui comprend une proposition de règlement pour créer des marchés de crypto-actifs ( 2 ) (le «»), une proposition sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués ( 3 ) , ainsi qu’une proposition visant à clarifier ou modifier certaines règles relatives aux services financiers de l’Union ( 4 ) . Le CEPD a été consulté sur la proposition sur le régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués et a rendu son avis le 23 avril 2021 ( 5 ) . Il a également été consulté, le 29 avril 2021, sur le règlement MICA et rendra son avis conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil ( 6 )

3. Le 15 mars 2021, la Commission européenne a demandé au Contrôleur européen de la protection des données (ci-après le «CEPD») d’émettre un avis sur la proposition, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725. Ces observations se limitent aux dispositions pertinentes de la proposition en matière de protection des données.

4. CONCLUSIONS

À la lumière de ce qui précède:

— Le CEPD rappelle l’importance de veiller à ce que toute opération de traitement effectuée dans le cadre des activités des entités financières soit fondée sur l’une des bases juridiques visées à l’article 6 du RGPD, en indiquant l’article 6, paragraphe 1, points c), e) et f), du RGPD comme une base juridique possible pour les entités financières.

— Le CEPD insiste sur l’importance, pour les entités financières, d’intégrer dans leur cadre de résilience opérationnelle numérique un mécanisme de gouvernance solide en matière de protection des données, qui définisse clairement les rôles et les responsabilités du responsable du traitement et du sous-traitant, ainsi que les activités de traitement qui auront lieu.

— Le CEPD rappelle que tout transfert international de données à caractère personnel par des entités financières à un tiers prestataire de services informatiques établi dans un pays tiers doit respecter les exigences du chapitre V du RGPD et, le cas échéant, faire l’objet de garanties appropriées conformément au cadre de protection des données et à la jurisprudence de la CJUE, en particulier l’arrêt Schrems II. Ces entités financières peuvent recourir aux clauses contractuelles types, qui sembleraient être l’outil de transfert le plus pertinent.

— Le CEPD souligne que la protection des données à caractère personnel ne constitue pas un obstacle au partage de renseignements dans le secteur financier. Au contraire, les obligations en matière de protection des données devraient être perçues comme une exigence fondamentale qui doit être remplie pour garantir la protection des droits des individus au sein du cadre de résilience opérationnelle numérique des entités financières.

— Le CEPD encourage également l’adoption de codes de conduite dans le secteur financier conformément à l’article 40 du RGPD, en vue notamment de définir clairement les rôles des principales parties prenantes dans le traitement des données à caractère personnel et de garantir un traitement équitable et transparent.

— En ce qui concerne la publication de sanctions administratives, le CEPD recommande d’inclure, parmi les critères à prendre en considération par l’autorité compétente, les risques pour la protection des données à caractère personnel des individus.

— Conformément au principe de limitation de la conservation, le CEPD recommande aux entités financières de prendre des mesures visant à faire en sorte que les informations relatives aux sanctions administratives soient supprimées de leur site web après l’expiration du délai de cinq ans, ou avant, si elles ne sont plus nécessaires.

— Le CEPD souligne que le libellé du considérant 42 de la proposition est incompatible avec l’article 33 du RGPD. Le CEPD recommande donc de supprimer la référence aux autorités de protection des données du considérant 42 de la proposition, ainsi que de modifier l’article 17 de la proposition afin d’y inclure une référence à l’obligation de notification des violations de données aux autorités compétentes en matière de protection des données.

— Le CEPD recommande de modifier l’article 23, paragraphe 2, de la proposition afin que les tests, le développement de produits ou la recherche liée aux systèmes informatiques ne puissent pas être effectués sur des systèmes de production en direct contenant des données à caractère personnel de clients.

Bruxelles, le 10 mai 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(2) Proposition de règlement du Parlement européen et du Conseil sur les marchés de crypto-actifs, et modifiant la directive (UE) 2019/1937, COM/2020/593 final. Disponible à l’adresse suivante: EUR-Lex - 52020PC0593 - EN - EUR-Lex (europa.eu)

(3) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués COM/2020/594 final, disponible à l’adresse suivante: EUR-Lex - 52020PC0594 - EN - EUR-Lex (europa.eu)

(4) Proposition de directive du Parlement européen et du Conseil modifiant les directives 2006/43/CE, 2009/65/CE, 2009/138/UE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341, COM/2020/596 final. Disponible à l’adresse suivante: EUR-Lex - 52020PC0596 - EN - EUR-Lex (europa.eu)

(5) Avis 6/2021 sur la proposition sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués, disponible à l’adresse suivante: 2021-0219_d0912_opinion_6_2021_en_0.pdf (europa.eu)

(6) Règlement (UE) 2018/1727 du Parlement européen et du Conseil du 14 novembre 2018 relatif à l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust) et remplaçant et abrogeant la décision 2002/187/JAI du Conseil (JO L 295 du 21.11.2018, p. 138).