Délibération n° 2014-347 du 18 septembre 2014 autorisant la société UBS FRANCE à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché.
Nature: Autre autorisation

(Demande d’autorisation n° 1725190)
La Commission nationale de l'informatique et des libertés,
Saisie par la société UBS FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société UBS (France) S.A. est un établissement de gestion de fortune, filiale d'UBS Holding (France) S.A. 
Sur la finalité
La société UBS FRANCE a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché.Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par des clients de la société UBS FRANCE qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).L’identification de telles opérations peut conduire UBS FRANCE à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toutes dispositions légales ou réglementaires le prévoyant.Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.Le traitement mis en œuvre doit permettre à la société UBS FRANCE d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché.Le traitement a pour finalité de répondre aux exigences des articles L.621-17-2 à L.621-17-7 du code monétaire et financier ainsi qu'aux articles 315-42 a 315-44 du livre III du règlement général de l'autorité des marches financiers relatifs aux déclarations d'opérations suspectes.Le traitement est destiné à filtrer les informations enregistrées sur les opérations de transaction sur compte titres, afin d’identifier celles qui répondent à des critères permettant de détecter les situations susceptibles de contrevenir à la réglementation en matière d’abus de marché.Les critères de génération d'alertes sont adaptés et proportionnés en fonction du niveau de risque lié à l’activité et à la clientèle de la société UBS FRANCE. La Commission relève que lors de l’analyse manuelle, les compliance officers prennent en compte, pour apprécier les opérations susceptibles de constituer des abus de marché, les éléments listés aux articles 631-2 et 631-3 du règlement général de l’AMF. Le dispositif de détection d’opérations susceptibles d’être considérées comme des abus de marché repose sur une analyse journalière des opérations. Les transactions ainsi détectées ont vocation à être analysées sans délai.La Commission prend acte que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.La Commission souligne en outre que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Sur les données traitées
Les listes d’éléments à analyser comportent les données suivantes : 
Les données d’identification : nom, prénom et numéro de référence (numéro de la relation client) ;
les données relatives à la situation professionnelle (fonction financière ou fonction au sein d’une société cotée du client),
la nature et le montant de la transaction financière,
le nombre de détections sur une période glissante et la date de la dernière détection,
le numéro de relation auquel sont rattachés les comptes du client,
le code ISIN comme identifiant de la valeur,
les caractéristiques de l’ordre détecté (nature, prix, quantité, montant, date)
les caractéristiques de l’ordre exécuté (nature, prix, quantité, montant, date)
Les données relatives à la situation familiale (liens familiaux avec une personne déjà considérée comme potentiellement initiée) peuvent également être traitées. 
Selon l’article 313-9 du règlement général de l’AMF, une personne ayant des liens familiaux avec une personne concernée est l’une des personnes suivantes :
« 1° Le conjoint de la personne concernée non séparé de corps ou le partenaire avec lequel elle est liée par un pacte civil de solidarité ;
2° Les enfants sur lesquels la personne concernée exerce l’autorité parentale, ou résidant chez elle habituellement ou en alternance, ou dont elle a la charge effective et permanente ; 
3° Tout autre parent ou allié de la personne concernée résidant à son domicile depuis au moins un an à la date de la transaction personnelle concernée. »
La Commission considère que ces informations ne peuvent être traitées que dans la mesure ou la société UBS est tenue, au regard de ses obligations réglementaires, de recueillir les informations liées à l’entourage familial du client ou dès lors que ce dernier consent à la collecte de ces informations dans le cadre de la gestion de son compte et de la souscription de produits et services.
Les données ainsi collectées sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF.
Les alertes sont conservées pendant une durée de trois ans. Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans. La Commission relève que la durée de conservation des données pendant 3 ans est issue du guide AMAFI – FBF « de mise en œuvre des procédures de déclaration de soupçon d’abus de marché ».
Ces données sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Sur les destinataires
Seuls ont accès aux données le personnel habilité du département de la conformité, du département du contrôle permanent et du département du contrôle périodique (en cas de mission d’audit) de la société UBS FRANCE.
Sur l’information et le droit d’accès 
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention dans les conditions générales de compte de titres.Le droit d’accès s’exerce conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée auprès du service juridique de la société  UBS France, 69, BOULEVARD HAUSSMANN,  PARIS.
Sur les mesures de sécurité
Les destinataires des données au sein d’UBS France sont soumis à clause de confidentialité liée à la nature des données traitées.Les données sont stockées sur un serveur du périmètre de la société UBS France hébergé sur un datacenter au Royaume Uni. Il est fait usage d’un flux chiffré de données entre le client et le serveur Web.Les actions effectuées par ces destinataires sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Les données sont conservées dans la base de données, dédiée aux alertes d’abus de marché, le temps de la durée mentionnée et ne sont accessibles que par les seules personnes habilitées de la société UBS France. Le système est une application intranet avec une gestion des droits d’accès (accès via des cartes à puce nominatives avec mot de passe).
Autorise, conformément à la présente délibération, la société UBS FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN