FR Journal officiel de l'Union européenne C 177/1

Avis du Contrôleur européen de la protection des données sur les propositions de la Commission de règlement du Parlement européen et du Conseil sur les opérations d’initiés et les manipulations de marché, et de directive du Parlement européen et du Conseil relative aux sanctions pénales applicables aux opérations d’initiés et aux manipulations de marché

2012/C 177/01

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2), et notamment son article 28, paragraphe 2,

A ADOPTÉ L’AVIS SUIVANT

1. INTRODUCTION

1.1. Consultation du CEPD

1. Le présent avis fait partie d’une série de quatre avis du CEPD ayant trait au secteur financier, tous adoptés le même jour (3).

2. Le 20 octobre 2011, la Commission a adopté une proposition de règlement du Parlement européen et du Conseil sur les opérations d'initiés et les manipulations de marché (ci-après la «proposition de règlement») ainsi qu’une proposition de directive du Parlement européen et du Conseil relative aux sanctions pénales applicables aux opérations d’initiés et aux manipulations de marché (ci-après la «proposition de directive»). Les propositions de règlement et de directive (ci-après «les propositions») ont été envoyées par la Commission au CEPD en vue d’une consultation et reçues le 31 octobre 2011. Le 6 décembre 2011, le Conseil de l’Union européenne a consulté le CEPD sur les propositions.

3. Le CEPD a été consulté de manière informelle avant l’adoption de la proposition de règlement. Le CEPD constate que plusieurs de ses observations ont été prises en considération dans la proposition.

4. Le CEPD se félicite d’avoir été consulté par la Commission et le Conseil.

1.2. Objectifs et champ d’application des propositions

5. La directive «abus de marché» (ci-après «MAD») (4), adoptée début 2003, a introduit un cadre légal commun européen visant à empêcher, déceler et sanctionner les opérations d’initiés et les manipulations de marché.

6. La Commission a évalué l’application de la MAD, en vigueur pendant plusieurs années, et a mis en évidence un certain nombre de problèmes comme des lacunes au niveau de la réglementation de certains instruments et marchés, une application insuffisamment efficace (les régulateurs ne disposent pas de toutes les informations, et les pouvoirs et les sanctions sont soit manquants, soit insuffisamment dissuasifs), l’absence de clarté concernant certains concepts clés et les charges administratives qui pèsent sur les émetteurs.

7. Compte tenu de ces problèmes et des importantes modifications apportées au paysage financier du fait d’évolutions sur les plans de la législation, du marché et de la technologie, la Commission a adopté des propositions législatives en vue de la réforme de la MAD qui se présentent sous la forme de la proposition de règlement et de la proposition de directive. Les objectifs politiques de la révision proposée consistent à accroître la confiance des investisseurs et l’intégrité du marché pour ne pas se laisser distancer par les nouveaux développements dans le secteur financier.

8. La proposition de règlement étend notamment le champ d’application du cadre pour les abus de marché, précise que les tentatives de manipulation de marché et d’opérations d’initiés constituent des infractions spécifiques, renforce les pouvoirs d’enquête conférés aux autorités compétentes et introduit des règles minimales en matière de mesures administratives, de sanctions et d’amendes.

9. La proposition de directive exige des États membres qu’ils introduisent des sanctions pénales applicables aux opérations d’initiés et aux manipulations de marché et pour incitation, complicité et tentative. Elle étend également la responsabilité aux personnes morales, y compris, dans toute la mesure du possible, la responsabilité pénale des personnes morales.

1.3. Objectif de l’avis du CEPD

10. Plusieurs des mesures prévues dans les propositions visant à améliorer l’intégrité du marché et la protection des investisseurs ont une incidence sur les droits des personnes s’agissant du traitement de leurs données à caractère personnel.

11. Notamment, lorsque les autorités compétentes enquêtent ou coopèrent dans le but de détecter, de signaler et/ou de sanctionner les opérations d’initiés ou les abus de marché, des données à caractère personnel seront collectées, traitées et échangées. En outre, le mécanisme visant à encourager les personnes à signaler des violations comportera également le traitement de données à caractère personnel relatives à la personne qui signale les violations et à la personne «accusée». Enfin, le régime de sanction portera atteinte au droit à la protection des données à caractère personnel dans la mesure où les sanctions mentionnant l’identité de la personne responsable de la violation de la proposition de règlement seront publiées.

12. Alors que la proposition de règlement contient plusieurs dispositions susceptibles de porter atteinte aux droits des personnes à la protection de leurs données à caractère personnel, la proposition de directive ne comporte pas, en tant que telle, le traitement de données à caractère personnel. Le présent avis sera donc axé sur la proposition de règlement et notamment sur les points suivants: 1) l’applicabilité de la législation en matière de protection des données; 2) les listes d’initiés; 3) les pouvoirs des autorités compétentes; 4) les systèmes de détection et de signalement des transactions suspectes; 5) l’échange d’informations avec des pays tiers; 6) la publication des sanctions et le signalement des violations.

2. ANALYSE DES PROPOSITIONS

2.1. Applicabilité de la législation relative à la protection des données

13. Les considérants (5) comme les dispositions (6) de la proposition de règlement mentionnent la Charte des droits fondamentaux, la directive 95/46/CE et le règlement (CE) no 45/2001. Notamment, l’article 22 de la proposition de règlement dispose explicitement que «[e]n ce qui concerne le traitement de données à caractère personnel effectué par les États membres dans le cadre du présent règlement, les autorités compétentes appliquent les dispositions de la directive 95/46/CE. En ce qui concerne le traitement de données à caractère personnel qu’elle effectue dans le cadre du présent règlement, l’AEMF respecte les dispositions du règlement (CE) no 45/2001». Cet article dispose en outre que les données à caractère personnel sont conservées pendant une durée maximale de cinq ans.

14. Le CEPD se réjouit de cette disposition primordiale et apprécie en général l’attention spécifiquement accordée à la législation en matière de protection des données dans la proposition de règlement. Cependant, le CEPD suggère de reformuler la disposition, de sorte que l’applicabilité de la législation existante en matière de protection des données soit mise en exergue. En outre, la référence à la directive 95/46/CE devrait être explicitée en précisant que les dispositions s’appliqueront conformément aux règles nationales mettant en œuvre la directive 95/46/CE. Le CEPD relève que certaines dispositions de la proposition de règlement mentionnent explicitement la directive 95/46/CE et/ou le règlement (CE) no 45/2001, mettant en évidence l’application des règles pertinentes en matière de protection des données dans des cas particuliers; cependant, cela n’implique pas que les règles ne sont pas applicables lorsqu’elles ne sont pas explicitement mentionnées dans chaque disposition impliquant (potentiellement) le traitement de données à caractère personnel.

15. Comme au considérant 33, les autres considérants devraient toujours indiquer que les États membres «doivent» et pas seulement qu’ils «devraient» respecter la législation applicable en matière de protection des données, cette dernière étant en vigueur et son applicabilité n’étant pas soumise à appréciation.

2.2. Listes d’initiés

16. La proposition de règlement contient l’obligation pour les émetteurs d’un instrument financier ou les acteurs du marché des quotas d’émission d’établir une liste de toutes les personnes travaillant pour eux, en vertu d’un contrat de travail ou d’une autre manière, et ayant accès à des informations privilégiées (article 13, paragraphe 1). Les émetteurs d’un instrument financier dont les instruments financiers sont admis à la négociation sur un marché de croissance des PME sont dispensés d’une telle obligation, sauf si l’autorité compétente les y invite (article 13, paragraphe 2).

17. Le CEPD reconnaît la nécessité d’une telle liste et le fait qu’elle représente un outil important pour les autorités compétentes lorsqu’elles enquêtent sur d’éventuelles opérations d’initiés ou d’éventuels abus de marché. Cependant, dans la mesure où ces listes entraîneront le traitement de données à caractère personnel, les principales règles et garanties en matière de protection des données devraient être consacrées dans la législation fondamentale. Par conséquent, le CEPD recommande de mentionner explicitement la finalité d’une telle liste dans une disposition de fond de la proposition de règlement. La finalité est en effet l’un des éléments essentiels de tout traitement, conformément à l’article 6 de la directive 95/46/CE.

18. Selon l’article 13, paragraphe 4, de la proposition de règlement, la Commission adopte, par voie d’actes délégués, des mesures définissant le contenu d’une liste (notamment les informations relatives aux identités des personnes et aux raisons de les inclure sur une liste d’initiés) ainsi que les conditions d’établissement d’une telle liste (notamment les conditions auxquelles ces listes doivent être mises à jour, la période pendant laquelle elles sont conservées et les responsabilités des personnes qui y figurent). Le CEPD recommande cependant: — d’intégrer les principaux éléments de la liste (en tout état de cause les raisons d’inclure des personnes sur une liste d’initiés) dans la proposition de règlement elle-même; — d’intégrer une référence à la nécessité de consulter le CEPD dès lors que les actes délégués concernent le traitement de données à caractère personnel.

2.3. Pouvoirs des autorités compétentes

19. L’article 17, paragraphe 2, énumère les pouvoirs de surveillance et d’enquête dont les autorités compétentes devraient au moins être dotées afin de mener à bien leurs missions en vertu de la proposition de règlement.

20. Le CEPD souhaite attirer l’attention sur deux pouvoirs en particulier, en raison de leur nature attentatoire aux droits à la vie privée et à la protection des données: le pouvoir de pénétrer dans des locaux privés pour y saisir des documents sous quelque forme que ce soit et le pouvoir de se faire remettre les enregistrements des échanges téléphoniques et de données existants.

2.3.1. Le pouvoir de pénétrer dans des locaux privés

21. Le pouvoir de pénétrer dans des locaux privés pour y saisir des documents sous quelque forme que ce soit porte atteinte au droit à la vie privée. Il devrait donc être soumis à des conditions strictes et assorti de garanties appropriées (7). L’article 17, paragraphe 2, point e), dispose que l’accès aux locaux privés est autorisé après avoir obtenu l’autorisation préalable des autorités judiciaires de l’État membre concerné, conformément à la législation nationale, et lorsqu’il existe des raisons de suspecter que les documents liés à l’objet de l’inspection peuvent se révéler importants pour apporter la preuve d’un cas d’opération d’initié ou de manipulation de marché. Le CEPD apprécie que le texte limite les pouvoirs conférés aux autorités compétentes en soumettant l’accès aux locaux privés à l’obtention d’une autorisation préalable d’une autorité judiciaire et à l’existence de raisons de suspecter une violation des propositions de règlement ou de directive. Le CEPD considère cependant que l’obligation générale d’obtenir une autorisation judiciaire préalable, que la législation nationale l’exige ou non, est à la fois justifiée et nécessaire compte tenu du potentiel caractère intrusif du pouvoir en cause.

22. Le considérant 30 de la proposition de règlement énonce des cas dans lesquels l’accès aux locaux privés est nécessaire, à savoir lorsque la personne à laquelle une demande d'information a déjà été soumise refuse de s’y plier (en tout ou en partie) ou lorsqu’il est raisonnablement fondé de penser qu’une telle demande n’aboutirait pas, ou que les documents ou informations faisant l’objet de ladite demande seraient enlevés, modifiés ou détruits. Le CEPD se réjouit de ces précisions. Il estime cependant que des garanties supplémentaires sont nécessaires pour garantir le respect du droit à la vie privée et qu’elles devraient donc être insérées dans une disposition de fond comme condition pour accéder aux locaux privés.

2.3.2. Le pouvoir de se faire remettre les enregistrements des échanges téléphoniques et de données existants

23. Aux termes de l’article 17, paragraphe 2, point f), les autorités compétentes ont le pouvoir de «se faire remettre les enregistrements des échanges téléphoniques et de données existants détenus par un opérateur de télécommunications ou une entreprise d’investissement»; il est cependant précisé que cette remise est subordonnée à l’existence de «raisons de suspecter» que de tels enregistrements «peuvent se révéler importants pour apporter la preuve d’une opération d’initié ou d’une manipulation de marché» telles que définies dans la proposition de règlement ou la proposition de directive. Ces enregistrements ne peuvent toutefois pas concerner «le contenu des communications auxquelles ils se rapportent». Par ailleurs, l’article 17, paragraphe 3, dispose que les pouvoirs visés au paragraphe 2 sont exercés dans le respect de la législation nationale.

24. Les données relatives à l’utilisation de moyens de communications électroniques peuvent contenir un vaste ensemble d’informations personnelles, telles que l’identité des personnes émettant et recevant l’appel, l’heure et la durée de l’appel, le réseau utilisé, la localisation géographique de l’utilisateur en cas de téléphone portable, etc. Certaines données relatives au trafic concernant l’utilisation de l’internet et du courrier électronique (par exemple la liste des sites internet visités) peuvent en outre révéler d’importants détails sur le contenu de la communication. Par ailleurs, le traitement de données relatives au trafic est contraire au secret de la correspondance. Compte tenu de ces éléments, la directive 2002/58/CE (8) (la directive «vie privée et communications électroniques») a établi le principe selon lequel les données relatives au trafic doivent être effacées ou rendues anonymes lorsqu’elles ne sont plus nécessaires aux fins de la transmission d’une communication (9). En vertu de l’article 15, paragraphe 1, de cette directive, les États membres ont la possibilité d’inclure des dérogations à la législation nationale pour des finalités légitimes spécifiques, à condition qu’elles soient nécessaires, appropriées et proportionnées dans une société démocratique pour réaliser ces finalités (10).

25. Le CEPD reconnaît que les objectifs poursuivis par la Commission dans la proposition de règlement sont légitimes. Il comprend la nécessité d’entreprendre des initiatives visant à renforcer la surveillance des marchés financiers afin de préserver leur solidité et de mieux protéger les investisseurs et l’économie en général. Cependant, les pouvoirs de recherche concernant directement les données relatives au trafic, compte tenu de leur nature potentiellement intrusive, doivent respecter les exigences de nécessité et de proportionnalité, c’est-à-dire qu’ils doivent être limités à ce qui est approprié pour réaliser l’objectif poursuivi et ne pas aller au-delà de ce qui est nécessaire pour le réaliser (11). Dans cette perspective, il est donc essentiel que les dispositions soient clairement formulées en ce qui concerne leur portée personnelle et matérielle ainsi que les circonstances et les conditions dans lesquelles elles peuvent être utilisées. En outre, des garanties appropriées devraient être fournies contre le risque d’abus.

26. Les enregistrements des échanges téléphoniques et de données concernés comprendront évidemment des données à caractère personnel au sens de la directive 95/46/CE, de la directive 2002/58/CE et du règlement (CE) no 45/2001. Le considérant 31 de la proposition de règlement dispose ce qui suit: «Les enregistrements des échanges téléphoniques et de données peuvent établir l'identité de la personne à l'origine de la diffusion d'une information fausse ou trompeuse, prouver que des personnes ont été en contact à un moment donné et démontrer l'existence d'une relation entre deux ou plusieurs personnes» (12). Par conséquent, il conviendrait de s’assurer que les conditions d’un traitement loyal et licite des données à caractère personnel, telles que prévues dans les directives et le règlement, sont pleinement respectées.

2.3.3. Nécessité d’une autorisation judiciaire

27. Le CEPD fait observer que selon l’article 17, paragraphe 3, les autorités compétentes exercent ce pouvoir dans le respect de la législation nationale, sans mentionner explicitement l’obligation d’obtenir une autorisation judiciaire préalable comme c’est le cas en ce qui concerne le pouvoir de pénétrer dans des locaux privés. Le CEPD considère qu’une obligation générale d’obtention d’une autorisation judiciaire préalable — que la législation nationale l’exige ou non — serait justifiée compte tenu du potentiel caractère intrusif du pouvoir en cause et dans l’intérêt de l’application harmonisée de la législation à travers l’ensemble des États membres de l’UE. Il conviendrait également de tenir compte du fait que différentes lois des États membres prévoient des garanties spécifiques sur l’inviolabilité du domicile pour empêcher des inspections, des perquisitions ou des saisies disproportionnées et insuffisamment réglementées, surtout lorsqu’elles sont réalisées par des institutions de nature administrative.

28. En outre, le CEPD recommande d’introduire l’obligation, pour les autorités compétentes, de demander des enregistrements d’échanges téléphoniques et de données par décision officielle précisant la base juridique et l’objet de la demande, les informations demandées, le délai dans lequel les informations doivent être communiquées ainsi que le droit du destinataire de faire réexaminer la décision par la Cour de justice.

2.3.4. Définition des enregistrements d’échanges téléphoniques et de données

29. Les notions d’«enregistrements d’échanges téléphoniques et de données» ne sont pas définies dans la proposition de règlement. La directive 2002/58/CE («vie privée et communications électroniques») mentionne uniquement des «données relatives au trafic» mais ne fait pas allusion aux «enregistrements d’échanges téléphoniques et de données». Il va sans dire que la signification exacte de ces notions détermine l’impact que le pouvoir d’enquête est susceptible d’avoir sur la vie privée et la protection des données des personnes concernées. Le CEPD suggère d’employer la terminologie déjà établie dans la définition de «données relatives au trafic» dans la directive 2002/58/CE.

30. L’article 17, paragraphe 2, point f), mentionne des «enregistrements des échanges téléphoniques et de données existants détenus par un opérateur de télécommunications». La directive «vie privée et communications électroniques» établit le principe selon lequel les données relatives au trafic doivent être effacées lorsqu’elles ne sont plus nécessaires à la finalité commerciale pour laquelle elles ont été collectées. Cependant, sur la base de l’article 15, paragraphe 1, de la directive «vie privée et communications électroniques», les États membres peuvent déroger à cette obligation à des fins d’application de la loi. La directive sur la conservation des données vise à aligner les initiatives des États membres visées à l’article 15, paragraphe 1, de la directive «vie privée et communications électroniques», dans la mesure où elle concerne la conservation des données pour assurer la recherche, la détection et la poursuite d’infractions pénales «graves».

31. La question est de savoir si les enregistrements d’échanges téléphoniques et de données mentionnés à l’article 17, paragraphe 2, point f), concernent les données disponibles par le biais de la conservation des données relatives au trafic ou des données de localisation réglementées par la directive «vie privée et communications électroniques» ou les données supplémentaires requises par la directive sur la conservation des données. Cette dernière option susciterait de graves préoccupations étant donné que les dérogations prévues à l’article 15, paragraphe 1, de la directive «vie privée et communications électroniques» (à savoir la prévention, la recherche, la détection et la poursuite d’infractions pénales) seraient utilisées pour étendre les finalités pour lesquelles les données sont conservées en vertu de la directive sur la conservation des données (à savoir la recherche, la détection et la poursuite d’infractions «graves»). En d’autres termes, les données qui sont conservées en vertu de la directive sur la conservation des données seraient ainsi utilisées à des fins qui ne sont pas prévues par cette directive. Cela favoriserait une exploitation, au niveau européen, du «vide juridique» qui constitue un des principaux défauts de la directive actuelle sur la conservation des données (13).

32. Le CEPD recommande donc vivement de préciser les catégories d’enregistrements d’échanges téléphoniques et de données que les autorités compétentes peuvent demander. Ces données doivent être adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont consultées et traitées. En outre, le CEPD recommande de limiter l’article 17, paragraphe 2, point f), aux données normalement traitées («détenues») par des opérateurs de télécommunications dans le cadre de la directive 2002/58/CE «vie privée et communications électroniques». Est en principe exclu l’accès aux données conservées au titre de la directive sur la conservation des données, dès lors qu’un tel accès n’est pas accordé à des fins de recherche, de détection et de poursuite d’infractions pénales «graves» (14).

33. L’article 17, paragraphe 2, point f), prévoit un accès aux «enregistrements des échanges téléphoniques et de données détenus par une entreprise d’investissement». Le texte devrait préciser les catégories d’enregistrements et quelles sont les entreprises auxquelles la disposition fait référence. Le CEPD suppose que les enregistrements coïncideront avec ceux mentionnés dans la proposition de directive du Parlement européen et du Conseil concernant les marchés d’instruments financiers («la proposition de MiFID»). Il insiste sur le fait qu’il a publié des observations sur cette proposition, dans lesquelles il recommandait de préciser ces notions également (15). En outre, dans la mesure où les échanges téléphoniques et de données concerneraient les conversations téléphoniques et les communications électroniques mentionnées à l’article 16, paragraphe 7, de la proposition de MiFID, le CEPD recommandait de définir la finalité de l’enregistrement de ces communications et de préciser quel type de communications et quelles catégories de données des communications seront enregistrées (16).

34. Enfin, le CEPD constate avec satisfaction que le texte prévoit comme condition pour accorder l’accès aux enregistrements qu’il doit exister des motifs raisonnables de suspecter une violation de la proposition de règlement ou de la proposition de directive et qu’il exclut explicitement l’accès par les autorités compétentes au contenu des communications.

2.4. Systèmes de détection et de déclaration des transactions suspectes

35. L’article 11, paragraphe 1, de la proposition de règlement dispose que toute personne qui gère les activités d’une plate-forme de négociation adopte et applique des mesures et procédures efficaces visant à prévenir et à détecter les abus de marché. En outre, il est indiqué au paragraphe 2 que toute personne qui organise ou exécute des transactions sur des instruments financiers à titre professionnel dispose de systèmes de détection et de déclaration des ordres et des transactions qui pourraient constituer des opérations d’initiés, des manipulations de marché ou des tentatives d’opérations d’initiés ou de manipulations de marché. En cas de suspicion, l’autorité compétente en est informée sans délai. La Commission adoptera les normes techniques de réglementation visant à définir les mesures et procédures adaptées mentionnées au paragraphe 1 et à définir les systèmes et modèles de notification mentionnés au paragraphe 2 (article 11, paragraphe 3, dernière phrase).

36. Dans la mesure où ces systèmes concerneront très probablement des données à caractère personnel (p. ex. le contrôle des transactions effectuées par des personnes figurant sur la liste d’initiés), le CEPD tient à souligner que ces normes devraient être élaborées selon le principe du «respect de la vie privée dès la conception», à savoir l’intégration de la protection des données et de la vie privée dès la création de nouveaux produits, services et procédures comportant le traitement de données à caractère personnel (17). Le CEPD recommande en outre d’inclure une référence à la nécessité de consulter le CEPD dans la mesure où ces normes de réglementation concernent le traitement de données à caractère personnel.

2.5. Échange d’informations avec des pays tiers

37. Le CEPD note la référence à la directive 95/46/CE, plus particulièrement aux articles 25 ou 26 et les garanties particulières mentionnées à l’article 23 de la proposition de règlement concernant la communication de données à caractère personnel à des pays tiers. Plus précisément, l’évaluation au cas par cas, l’assurance de la nécessité du transfert, la condition d’une autorisation expresse préalable de l’autorité compétente au transfert des données vers et par un pays tiers et l’existence d’un niveau adéquat de protection des données à caractère personnel dans le pays tiers recevant ces données sont considérées représenter des garanties appropriées au regard des risques concernés lors de tels transferts.

2.6. Publication des sanctions

2.6.1. Publication obligatoire des sanctions

38. Aux termes de l’article 26, paragraphe 3, de la proposition de règlement, les États membres sont tenus de s’assurer que les autorités compétentes publient chaque mesure et sanction administrative infligée pour cause d’infraction à la proposition de règlement sans délai excessif, comprenant au moins des informations sur le type et la nature de l’infraction et sur l’identité des personnes qui en sont responsables, à moins que cette publication ne soit de nature à compromettre sérieusement la stabilité des marchés financiers.

39. La publication des sanctions contribuerait à accroître l’effet dissuasif, étant donné que les auteurs réels et potentiels des infractions seraient découragés de commettre des infractions pour éviter que leur réputation ne soit considérablement entachée. Par ailleurs, elle améliorerait la transparence, dans la mesure où les opérateurs du marché sauraient qu’une infraction a été commise par une personne déterminée. Cette obligation est limitée uniquement lorsque la publication est de nature à causer un préjudice disproportionné aux parties en cause, auquel cas les autorités compétentes publient les sanctions de manière anonyme.

40. Le CEPD se félicite de la mention, au considérant 35, de la Charte des droits fondamentaux et notamment du droit à la protection des données à caractère personnel lors de l’adoption et de la publication des sanctions. Cependant, il n’est pas convaincu que la publication obligatoire des sanctions, telle qu’elle est actuellement formulée, satisfait aux exigences de la législation en matière de protection des données, comme l’a expliqué la Cour de justice dans l’arrêt Schecke (18). Il est d’avis que la finalité, la nécessité et la proportionnalité de la mesure ne sont pas suffisamment établies et que, en tout état de cause, des garanties appropriées devraient être apportées contre les risques menaçant les droits des personnes concernées.

2.6.2. Nécessité et proportionnalité de la publication

41. Dans l’arrêt Schecke, la Cour de justice a annulé les dispositions d’un règlement du Conseil ainsi que d’un règlement de la Commission prévoyant la publication obligatoire d’informations relatives aux bénéficiaires de fonds agricoles, dont l’identité des bénéficiaires et les montants perçus. La Cour a estimé que ladite publication constituait un traitement de données à caractère personnel relevant de l’article 8, paragraphe 2, de la Charte des droits fondamentaux de l’Union européenne (ci-après la «Charte») et par conséquent une atteinte aux droits reconnus par les articles 7 et 8 de la Charte.

42. Après avoir jugé que «les dérogations à la protection des données à caractère personnel et les limitations de celle-ci doivent s’opérer dans les limites du strict nécessaire», la Cour a ensuite examiné la finalité de la publication ainsi que sa proportionnalité. Elle a conclu que rien n’indiquait que le Conseil et la Commission avaient pris en considération, lors de l’adoption de la législation concernée, des modalités de publication d’informations relatives aux bénéficiaires concernés qui seraient conformes à l’objectif d’une telle publication tout en étant moins attentatoires aux droits de ces bénéficiaires.

43. L’article 26, paragraphe 3, de la proposition de règlement semble être concerné par les mêmes insuffisances que celles mises en évidence dans l’arrêt Schecke. Il convient de tenir compte du fait que, pour apprécier le respect des exigences en matière de protection des données d’une disposition exigeant la communication d’informations personnelles, il est déterminant que la publication envisagée vise à poursuivre une finalité claire et bien définie. Ce n’est qu’avec une finalité claire et bien définie que l’on pourra apprécier si la publication des données à caractère personnel concernées est réellement nécessaire et proportionnée (19).

44. Après avoir lu la proposition et les documents qui l’accompagnent (c’est-à-dire le rapport d’analyse d’impact), le CEPD a l’impression que la finalité, et par conséquent la nécessité, de cette mesure n’est pas clairement établie. Alors que les considérants de la proposition restent silencieux sur ces points, l’analyse d’impact mentionne uniquement des impacts généralement positifs (à savoir un effet dissuasif, la contribution à la protection des investisseurs, l’égalité de traitement des émetteurs, une meilleure application) et mentionne simplement que «la publication des sanctions revêt beaucoup d’importance pour accroître la transparence et préserver la confiance dans le marché financier» et que la «publication des sanctions infligées contribuera à l’objectif de dissuasion et améliora l’intégrité du marché et la protection des investisseurs» (20). Un énoncé aussi général ne paraît pas suffisant pour démontrer la nécessité de la mesure proposée. Si la finalité générale contribue à l’effet dissuasif, il semble que la Commission aurait dû expliquer, notamment, pourquoi des sanctions financières plus lourdes (ou d’autres sanctions ne se résumant pas à publier le nom des auteurs et à les humilier) n’auraient pas été suffisantes.

45. Par ailleurs, le rapport d’analyse d’impact ne semble pas tenir compte de méthodes moins intrusives, comme une publication au cas par cas. Notamment, cette dernière option semblerait à première vue une solution plus proportionnée, surtout si l’on considère que — comme le dispose l’article 26, paragraphe 1, point d) — la publication est une sanction, qui doit donc être appréciée au cas par cas, compte tenu des circonstances pertinentes, telles que la gravité de l’infraction, le degré de responsabilité de la personne en cause, les infractions commises précédemment, les pertes évitées par la personne, etc. (21).

46. Le rapport d’analyse d’impact n’explique pas pourquoi la publication au cas par cas n’est pas une option suffisante. Il se contente de mentionner que la publication des sanctions infligées «contribuera à l’objectif visant à éliminer les options et appréciations dans toute la mesure du possible, en supprimant le pouvoir discrétionnaire dont jouissent les États membres pour ne pas exiger une telle publication»' (22). Selon le CEPD, la possibilité d’évaluer le cas compte tenu des circonstances particulières est davantage proportionnée et cette option est donc à privilégier par rapport à la publication obligatoire dans tous les cas. Ce pouvoir discrétionnaire permettrait, par exemple, à l’autorité compétente d’éviter la publication en cas de violations moins graves, lorsque la violation n’a pas causé de préjudice considérable, lorsque la partie s’est montrée coopérative etc. L’évaluation réalisée dans l’analyse d’impact ne permet donc pas de dissiper les doutes quant à la nécessité et à la proportionnalité de la mesure.

2.6.3. La nécessité de garanties appropriées

47. La proposition de règlement aurait dû prévoir des garanties appropriées afin de garantir un juste équilibre entre les différents intérêts en cause. Premièrement, des garanties sont nécessaires en ce qui concerne le droit des personnes accusées de contester une décision devant une juridiction et la présomption d’innocence. Des termes spécifiques auraient dû être inclus dans le texte de l’article 26, paragraphe 3, de sorte à obliger les autorités compétentes à prendre des mesures appropriées lorsque la décision fait l’objet d’un recours ou lorsqu’elle est finalement annulée par une juridiction (23).

48. Deuxièmement, la proposition de règlement devrait garantir que les droits des personnes concernées sont respectés en amont. Le CEPD apprécie le fait que la version finale de la proposition prévoit la possibilité d’exclure la publication lorsqu’elle est de nature à causer un préjudice disproportionné. Toutefois, une approche en amont nécessiterait que les personnes concernées soient informées au préalable du fait que la décision les sanctionnant sera publiée et qu’elles ont le droit de s’y opposer en vertu de l’article 14 de la directive 95/46/CE, pour des raisons prépondérantes et légitimes (24).

49. Troisièmement, alors que la proposition de règlement ne précise pas le support sur lequel les informations devraient être publiées, on peut imaginer en pratique que dans la plupart des États membres, la publication se fera sur Internet. Les publications Internet soulèvent des problèmes et des risques spécifiques concernant notamment la nécessité de s’assurer que les informations sont maintenues en ligne pendant une durée n’excédant pas celle nécessaire et que les données ne peuvent pas être manipulées ou modifiées. L’utilisation de moteurs de recherche externes comporte également le risque que les informations puissent être sorties de leur contexte et véhiculées à travers et en dehors de l'internet de façons qui ne peuvent pas être facilement contrôlées (25).

50. Compte tenu de ce qui précède, il est nécessaire d’obliger les États membres à s’assurer que les données à caractère personnel des personnes concernées sont maintenues en ligne pendant une période raisonnable, à l’issue de laquelle elles sont systématiquement effacées (26). Par ailleurs, les États membres devraient être tenus de garantir que des mesures de sécurité et des garanties appropriées sont mises en place, surtout pour la protection contre les risques liés à l’utilisation de moteurs de recherche externes (27).

2.6.4. Conclusion

51. Le CEPD est d’avis que la disposition sur la publication obligatoire des sanctions — telle qu’elle est actuellement formulée — ne respecte pas les droits fondamentaux au respect de la vie privée et à la protection des données. Le législateur devrait évaluer attentivement la nécessité du système proposé et vérifier si l’obligation de publication va au-delà de ce qui est nécessaire pour réaliser l’objectif d’intérêt public poursuivi et s’il n’existe pas des mesures moins restrictives pour atteindre le même objectif. Sous réserve du résultat de cette évaluation du critère de proportionnalité, l’obligation de publication devrait en tout état de cause être accompagnée de garanties appropriées pour garantir le respect de la présomption d’innocence, le droit d’opposition des personnes concernées, la sécurité/exactitude des données et leur effacement après un laps de temps approprié.

2.7. Signalement des violations

52. L’article 29 de la proposition de règlement dispose que les États membres sont tenus de mettre en place des mécanismes efficaces visant à encourager le signalement des infractions (également appelés mécanismes de dénonciation). Bien qu’ils puissent constituer un instrument de conformité efficace, ces mécanismes soulèvent des questions importantes du point de vue de la protection des données (28).

53. Le CEPD se félicite du fait que la proposition de règlement contienne des garanties spécifiques, qui seront davantage développées au niveau national, concernant la protection des personnes signalant des suspicions de violation, et plus généralement la protection des données à caractère personnel. Le CEPD est conscient du fait que la proposition de règlement ne fait que définir les principaux éléments du mécanisme qui sera mis en place par les États membres. Il souhaiterait néanmoins attirer l’attention sur les points supplémentaires suivants.

54. Le CEPD souligne, comme il l’a déjà fait dans d’autres avis (29), la nécessité d’introduire une référence spécifique à la nécessité de respecter la confidentialité de l’identité des dénonciateurs et des informateurs. Le CEPD attire l’attention sur le fait que les dénonciateurs se trouvent dans une position délicate. Les personnes qui reçoivent ces informations devraient s’assurer que l’identité d’un dénonciateur n’est pas divulguée, notamment à la personne accusée d’avoir commis un acte répréhensible (30). La confidentialité de l’identité des dénonciateurs devrait être garantie à tous les stades de la procédure, dès lors que cela n’est pas contraire aux règles nationales régissant les procédures judiciaires. Notamment, il peut être nécessaire de divulguer l’identité dans le cadre d’enquêtes ou de procédures judiciaires ultérieures engagées suite à la demande de renseignements (notamment s’il a été établi que le dénonciateur a fait de fausses déclarations à des fins malveillantes) (31). Compte tenu de ce qui précède, le CEPD recommande d’ajouter au point b), de l’article 29, paragraphe 1, la disposition suivante: «l'identité de ces personnes doit être garantie à tous les stades de la procédure, à moins que sa communication ne soit requise par le droit national dans le contexte d’enquêtes ou de procédures judiciaires ultérieures».

55. Le CEPD constate avec satisfaction que l’article 29, paragraphe 1, point c), dispose que les États membres garantissent la protection des données à caractère personnel concernant à la fois la personne qui signale des infractions et la personne accusée, conformément aux principes inscrits dans la directive 95/46/CE. Il suggère toutefois de remplacer les termes «conformément aux principes inscrits dans la directive 95/46/CE» par «conformément à la directive 95/46/CE», afin que la référence à la directive soit plus générale et contraignante. Quant à la nécessité de respecter la législation en matière de protection des données lors de la mise en œuvre pratique des mécanismes, le CEPD souhaiterait souligner notamment les recommandations formulées par le groupe de travail «Article 29» dans son avis de 2006 sur la dénonciation. Notamment, lors de la mise en œuvre des mécanismes nationaux, les entités concernées devrait tenir compte de la nécessité de respecter la proportionnalité en limitant, dans la mesure du possible, les catégories de personnes autorisées à signaler des infractions, les catégories de personnes susceptibles d’être mises en cause et les violations pour lesquelles elles peuvent être mises en cause; la nécessité de privilégier les signalements confidentiels dont l'auteur est identifié par rapport aux signalements anonymes; la nécessité de prévoir la divulgation de l’identité des dénonciateurs lorsque le dénonciateur a fait de fausses déclarations à des fins malveillantes; et la nécessité de respecter des périodes strictes de conservation des données.

3. CONCLUSIONS

56. Le CEPD se félicite de l’attention spécifiquement accordée à la protection des données dans la proposition de règlement.

57. Le CEPD soumet les recommandations suivantes: — préciser à l’article 13 la finalité de la liste d’initiés; — introduire à l’article 17, paragraphe 2, point e), concernant le pouvoir de pénétrer dans des locaux privés, l’obligation générale d’obtenir une autorisation judiciaire préalable; — introduire à l’article 17, paragraphe 2, point f), concernant le pouvoir de se faire remettre les enregistrements d’échanges téléphoniques et de données, l’obligation générale d’obtenir une autorisation judiciaire préalable ainsi qu’une décision officielle précisant: i) la base juridique, ii) l’objet de la demande, iii) les informations demandées, iv) le délai dans lequel les informations doivent être communiquées et v) le droit du destinataire de faire réexaminer la décision par la Cour de justice; — préciser les catégories des enregistrements d’échanges téléphoniques et de données détenus par un opérateur de télécommunications et par une entreprise d’investissement que les autorités compétentes peuvent demander et limiter l’article 17, paragraphe 2, point f), aux données normalement traitées («détenues») par des opérateurs de télécommunications dans le cadre de la directive 2002/58/CE; — ajouter à l’article 29, paragraphe 1, point b), une disposition énonçant que: «l’identité de ces personnes doit être garantie à tous les stades de la procédure, à moins que sa communication ne soit requise par le droit national dans le contexte d’enquêtes ou de procédures judiciaires ultérieures»; — à la lumière des doutes soulevés dans le présent avis, évaluer la nécessité et la proportionnalité du système proposé de publication obligatoire des sanctions. Sous réserve du résultat de l’évaluation du critère de nécessité et de proportionnalité, fournir en tout état de cause des garanties appropriées pour garantir le respect de la présomption d’innocence, le droit d’opposition des personnes concernées, la sécurité/exactitude des données et leur effacement après un laps de temps approprié.

Fait à Bruxelles, le 10 février 2012. Giovanni BUTTARELLI Contrôleur adjoint européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 8 du 12.1.2001, p. 1.

(3) Avis du CEPD du 10 février 2012 sur le paquet législatif concernant la révision de la législation bancaire, les agences de notation de crédit, les marchés d’instruments financiers (MiFID/MiFIR) et l’abus de marché.

(4) Directive 2003/6/CE du Parlement européen et du Conseil du 28 janvier 2003 sur les opérations d’initiés et les manipulations de marché (abus de marché), JO L 96 du 12.4.2003, p. 16.

(5) Voir les considérants 33, 35, 39 et 40 de la proposition de règlement.

(6) Voir l’article 17, paragraphe 4, les articles 22 et 23, et l’article 29, paragraphe 1, point c), de la proposition de règlement.

(7) Voir notamment l’arrêt de la Cour européenne des droits de l’homme du 23 février 1993, Funcke/France, 10828/84.

(8) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (JO L 201 du 31.7.2002, p. 37).

(9) Voir l’article 6, paragraphe 1, de la directive 2002/58/CE (JO L 201 du 31.7.2002, p. 37).

(10) L’article 15, paragraphe 1, de la directive 2002/58/CE dispose que ces limitations doivent «constituer une mesure nécessaire, appropriée et proportionnée, au sein d’une société démocratique, pour sauvegarder la sécurité nationale — c’est-à-dire la sûreté de l’État — la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques, comme le prévoit l’article 13, paragraphe 1, de la directive 95/46/CE. À cette fin, les États membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation de données pendant une durée limitée lorsque cela est justifié par un des motifs énoncés dans le présent paragraphe (…)».

(11) Voir, p. ex., les affaires jointes C-92/09 et C-93/09, Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09)/Land Hessen, non encore publiées au Recueil, point 74.

(12) Voir également l’exposé des motifs de la proposition de règlement, p. 12.

(13) Voir également l’avis du CEPD du 31 mai 2011 sur le rapport d’évaluation de la Commission au Conseil et au Parlement européen concernant la directive sur la conservation des données (directive 2006/24/CE), par exemple le paragraphe 24.

(14) Le CEPD souhaiterait rappeler les problèmes liés à l’absence de définition européenne d’«infraction grave». Le CEPD a en effet souligné que le rapport d’évaluation de la Commission concernant la directive sur la conservation des données fait apparaître que le choix de laisser la définition précise de ce que constitue «une infraction grave» à la discrétion des États membres a donné lieu à toute une série de finalités pour lesquelles les données ont été utilisées. La Commission a affirmé que «[l]a plupart des États membres qui ont transposé la directive autorisent, dans leur législation, l’accès aux données conservées et leur utilisation pour des finalités dépassant celles couvertes par la directive, comme la prévention et la répression de la criminalité en général et les risques pour la vie humaine». Voir l’avis du 31 mai 2011 sur le rapport d’évaluation de la Commission au Conseil et au Parlement européen concernant la directive sur la conservation des données (directive 2006/24/CE), paragraphes 24, 71 et 72.

(15) Selon l’article 71, paragraphe 2, point d), les autorités compétentes, en vertu de la proposition de MiFID, exigent les enregistrements des échanges téléphoniques et informatiques existants détenus par des entreprises d’investissement lorsqu’il existe des raisons de suspecter une violation de ladite proposition.

(16) Voir l’avis du CEPD du 10 février 2012 sur une proposition de directive du Parlement européen et du Conseil concernant les marchés d’instruments financiers abrogeant la directive 2004/39/CE du Parlement européen et du Conseil (refonte) et sur une proposition de règlement du Parlement européen et du Conseil concernant les marchés d’instruments financiers et modifiant le règlement [EMIR] sur les produits dérivés négociés de gré à gré, les contreparties centrales et les référentiels centraux.

(17) Voir l’avis du CEPD du 14 janvier 2011 sur la communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions — «Une approche globale de la protection des données à caractère personnel dans l’Union européenne» (JO C 181 du 22.6.2011, p. 1), points 108 à 115.

(18) Affaires jointes C-92/09 et C-93/09, Schecke, points 56 à 64.

(19) Voir également à cet égard l’avis du CEPD du 15 avril 2011 sur les règles financières applicables au budget annuel de l’Union (JO C 215 du 21.7.2011, p. 13).

(20) Voir l’analyse d’impact, p. 166.

(21) C’est-à-dire conformément à l’article 27 de la proposition de règlement établissant les critères pour la détermination des sanctions.

(22) Voir l’analyse d’impact, p. 167.

(23) Par exemple, les autorités nationales pourraient envisager d’adopter les mesures suivantes: retarder la publication jusqu’à ce que le recours soit rejeté, comme suggéré dans le rapport d’analyse d’impact, indiquer clairement que la décision fait toujours l’objet d’un recours et que la personne doit être présumée innocente jusqu’à ce que la décision devienne définitive, publier une rectification au cas où la décision serait annulée par une juridiction.

(24) Voir l’avis du CEPD du 10 avril 2007 sur le financement de la politique agricole commune (JO C 134 du 16.6.2007, p. 1).

(25) Voir à cet égard le document publié par l’autorité italienne chargée de la protection des données intitulé «Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination» (Données à caractère personnel telles qu’également contenues dans les enregistrements et documents détenus par des organismes de l’administration publique: lignes directrices pour leur traitement par des organismes publics dans le cadre de la communication et de la diffusion basées sur Internet), disponible sur le site internet de l’autorité italienne chargée de la protection des données, http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(26) Ces préoccupations sont également liées au droit plus général à l’oubli, dont l’introduction dans le nouveau cadre législatif de protection des données à caractère personnel est examinée.

(27) Ces mesures et garanties peuvent notamment consister en l’exclusion de l’indexation des données au moyen de moteurs de recherche externes.

(28) Le groupe de travail «Article 29» a publié en 2006 un avis sur ces mécanismes concernant les aspects liés à la protection des données de ce phénomène: Avis 1/2006 relatif à l’application des règles de l’UE en matière de protection des données aux mécanismes internes de dénonciation des dysfonctionnements dans les domaines de la comptabilité, des contrôles comptables internes, de l’audit, de la lutte contre la corruption et la criminalité bancaire et financière (avis du groupe de travail sur la dénonciation des dysfonctionnements). L’avis peut être consulté sur la page internet du groupe de travail «Article 29»: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_fr.htm

(29) Voir, par exemple, l’avis du 15 avril 2011 sur les règles financières applicables au budget annuel de l’Union, et l’avis du 1er juin 2006 sur les enquêtes menées par l’OLAF, tous deux disponibles à l’adresse http://www.edps.europa.eu

(30) Le CEPD a déjà souligné l’importance de préserver la confidentialité de l’identité du dénonciateur dans une lettre du 30 juillet 2010 adressée au Médiateur dans le dossier 2010-0458, disponible sur le site internet du CEPD (http://www.edps.europa.eu). Voir également les avis de contrôle préalable du CEPD du 3 février 2012, du 23 juin 2006, à propos des enquêtes internes effectuées par l’OLAF (dossier 2005-0418), et du 4 octobre 2007 à propos des enquêtes externes effectuées par l’OLAF (dossiers 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(31) Voir l’avis du 15 avril 2011 sur les règles financières applicables au budget de l’Union, disponible à l’adresse http://www.edps.europa.eu