Source: https://www.cnil.fr/fr/declaration/di-009-listes-dinities
Timestamp: 2019-11-11 21:59:31+00:00

Document:
Listes d'initiés Dispense DI-009 | CNIL
> Déclarer un fichier > Listes d'initiés
Dispense DI-009
La dispense n°9 concerne la tenue de listes d'initiés destinées à assurer la transparence et l’intégrité des marchés financiers. Ces listes sont constituées par les entités juridiques de droit public ou privé qui émettent des instruments financiers. Sont exclus de la dispense les traitements ayant pour finalité la recherche des opérations suspectes.
Elles doivent désormais être établies dans le format prévu par le règlement d’exécution (UE) 2016/347 du 10 mars 2016. Elles sont transmises à l’Autorité des marchés financiers (AMF) à sa demande.
Peuvent être inscrites dans ces listes l’identité des personnes physiques, les motifs de leur inscription sur la liste, leurs coordonnées, ainsi que la date et l’heure à laquelle elles ont obtenu l’accès à des informations privilégiées. Les entités peuvent ajouter dans la liste d’initiés une section consacrée aux initiés permanents, et tenir une liste séparée concernant les personnes soumises à l’interdiction d’effectuer des transactions pendant une période d’arrêt dite de « fenêtre négative ».
La durée de conservation des données est limitée à cinq ans à compter de la date à laquelle la personne a cessé d’avoir accès à toute information privilégiée.
Les personnes inscrites sur la liste sont informées par voie écrite des motifs de l'inscription, des obligations légales et réglementaires correspondantes, des sanctions applicables aux opérations d’initiés, ainsi que de la finalité du traitement, des destinataires des informations et des modalités d'exercice des droits d'accès et de rectification. Cette information peut se faire par voie électronique.
Le responsable de traitement doit s’assurer du caractère suffisant des mesures prises en vue d’assurer la sécurité et la confidentialité des données.
Cette dispense fait partie du pack conformité banque. Elle a été mise à jour pour tenir compte des changements apportés par le règlement n°596/2014 relatif aux abus de marché.
Toute société émettrice d'instruments financiers (négociés sur un marché réglementé).
Tiers, personnes morales ou physiques, entretenant des relations avec les sociétés émettrices et figurant à ce titre sur les listes d'initiés de ces sociétés (avocats, banques de financement et d'investissement, cabinets de commissaires aux comptes, traducteurs..).
Etablissement, mise à jour, utilisation et communication des listes d'initiés dans les conditions fixées à l'article 18 du règlement (UE) n° 596/2014 du 16 avril 2014 relatif aux abus de marché. Les émetteurs peuvent ajouter dans la liste d'initiés une section consacrée aux initiés permanents, c'est-à-dire aux personnes ayant accès en permanence à l'ensemble des informations privilégiées. Cette section sera par nature différente des autres sections de la liste, dans la mesure où elle sera créée en fonction de la personne ayant accès à l'information privilégiée et non pas par rapport à l'information privilégiée elle-même. Enfin, le traitement pourra également avoir pour finalité d'établir une liste des personnes soumises à l'interdiction d'effectuer des transactions pour leur propre compte ou celui d'un tiers pendant une période dite « période d'arrêt », conformément à l'article 19-11 du Règlement n° 596/2014 relatif aux abus de marché. Sous réserve des dispositions de la dernière phrase de l'article 3 de la loi du 6 janvier 1978 relatives aux autorités habilitées à accéder aux informations en qualité de « tiers autorisés », les informations traitées ne peuvent pas être utilisées, consultées ou transmises à d'autres fins que l'application de la législation sur la prévention des délits d'initiés. Les informations portées sur les listes d'initiés se rapportent exclusivement à des personnes physiques ou morales, françaises ou étrangères, que le responsable du traitement considère comme étant initiées en tant qu'elles ont accès à des informations privilégiées au sens de l'article 7 du règlement n° 596/2014 relatif aux abus de marché.
Interconnexion ou mise en relation avec d'autres traitements. Les listes d'initiés peuvent être constituées pour partie sur la base d'informations issues d'un dispositif automatisé de gestion des missions ou de traçabilité des accès aux applications de gestion de documents, notamment ceux comportant des informations privilégiées ou des bases d'information issues des traitements RH pour les seules données nécessaires à l'établissement des listes d'initiés.
Les données à caractère personnel collectées pour la tenue des listes d'initiés sont énumérées à l'annexe du règlement d'exécution n° 2016/347 du 10 mars 2016 définissant des normes techniques d'exécution précisant le format des listes d'initiés et les modalités de la mise à jour de ces listes conformément au règlement n° 596/2014. Les données à caractère personnel collectées pour la tenue des listes d'initiés et des listes des personnes soumises à l'interdiction d'effectuer des transactions pour leur propre compte ou celui d'un tiers pendant une période dite « période d'arrêt » sont les suivantes :
Données d'identification : nom, nom marital si différent, prénoms, date de naissance, adresse professionnelle, société de rattachement, numéros de téléphone professionnels et privés (fixe et mobile), adresse privée complète (numéro, rue, ville, code postal, pays), numéro d'identification national le cas échéant (à l'exclusion du NIR), date de fin des fonctions.
Motifs d'inscription : la fonction et la raison pour laquelle la personne a le statut d'initié (nature du mandat social, des fonctions professionnelles exercées, de la mission justifiant l'inscription sur la liste, etc.).
Les dates d'inscription et de radiation des informations sur la liste d'initiés.
La date et l'heure auxquelles la personne a obtenue l'accès aux informations privilégiées et la date et l'heure auxquelles la personne a cessé d'avoir accès aux informations privilégiées.
​Dans le cas de l'établissement d'une section des « initiés permanents », celle-ci doit comprendre les données suivantes :
Date et heure de la création de la section ;
Date et heure de la dernière mise à jour de la section ;
Date de transmission à l'autorité compétente ;
Informations relatives à l'initié :
noms, prénoms, numéros de téléphone privés et adresse privée ;
nom et adresse de l'entreprise, numéros de téléphone professionnel ;
fonction et raison pour laquelle la personne a le statut d'initié ;
date et heure auxquels l'initié a été inclus dans la section des initiés permanents.
Aux termes de l'article 2 du Règlement n° 2016/347, les coordonnées des initiés permanents figurant dans cette section supplémentaire ne sont pas incluses dans les autres sections de la liste d'initiés.
Aux termes de l'article 18.4 du règlement n° 596/2014 relatif aux abus de marché, la liste d'initiés doit être mise à jour rapidement, y compris la date de mise à jour, en cas de changement du motif pour lequel une personne a été inscrite, lorsqu'une nouvelle personne a accès aux informations privilégiées et lorsqu'une personne cesse d'avoir accès aux informations privilégiées. Il doit être procédé à cette mise à jour selon les modalités prévues à l'article 2 du règlement d'exécution n° 2016/347 du 10 mars 2016 définissant des normes techniques d'exécution précisant le format des listes d'initiés et les modalités de la mise à jour de ces listes conformément au règlement n° 596/ 2014. La mise à jour doit indiquer les données prévues en annexe de ce règlement d'exécution. L'article 18.5 du règlement n° 596/2014 relatif aux abus de marché impose la conservation de la liste d'initiés pendant une période minimale de cinq ans après son établissement ou sa mise à jour. Les informations enregistrées devenues caduques sont effacées au terme de la cinquième année suivant la cessation de l'accès à toute information privilégiée ou le changement de motif d'inscription. En tout état de cause, aux termes de l'article 28 du Règlement n° 596/2014, les données à caractère personnel sont conservées pendant une durée maximale de cinq ans. Par exception, lorsque les informations se rapportent à un émetteur qui est soumis au contrôle d'une autorité étrangère compétente, homologue de l'Autorité des marchés financiers, à l'égard de laquelle s'applique un délai de conservation des données plus contraignant, elles ne sont effacées dans les mêmes conditions qu'à l'expiration de ce délai.
Seuls peuvent avoir communication de tout ou partie des données enregistrées :
a/ Les agents spécialement habilités des services juridiques, financiers, des ressources humaines, d'audit interne ou de la conformité pour participer à la tenue des listes d'initiés, y compris le cas échéant les dirigeants ou toute personne agissant en leur nom ou pour leur compte, qui ont besoin de cet accès de par la nature de leur fonction ou leur position ;
b/ L'Autorité des marchés financiers et les autorités administratives compétentes, homologues de l'AMF, des autres Etats membres de la Communauté européenne, des autres Etats parties à l'accord sur l'Espace économique européen et des autres Etats disposant d'une législation adéquate en matière de protection des données à caractère personnel, pour les seules informations entrant dans leur champ de compétence respectif. Les destinataires prévus au b ne peuvent avoir communication des données que dans le cadre d'une demande préalable formulée par écrit, notamment par voie électronique.
Recours à un prestataire.
Dans le respect de la réglementation applicable, le responsable du traitement peut avoir recours à un prestataire externe pour l'archivage des listes d'initiés. La convention signée avec le prestataire décrit les opérations que celui-ci est habilité à effectuer à partir des données à caractère personnel, ainsi que les engagements qu'il prend pour garantir leur sécurité et leur confidentialité, en particulier l'interdiction d'utiliser les données à d'autres fins que celles indiquées par la convention et de les mettre en relation avec d'autres sources de données à caractère personnel, ainsi que l'engagement de procéder à la destruction des fichiers manuels ou informatisés stockant les données personnelles dès l'achèvement du contrat. Le responsable de traitement doit s'assurer du caractère suffisant des mesures prises en vue d'assurer la sécurité et la confidentialité des données.
En plus des informations prévues par l'article 18.2 du règlement n° 596/2014 relatif aux abus de marché, le responsable du traitement informe les personnes inscrites sur la liste d'initiés de la finalité du traitement, des destinataires des informations et des modalités d'exercice des droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée. Cette information est délivrée par la remise d'un document écrit ou par voie électronique. Une lettre d'information peut également, dans la mesure du possible, être adressée à la personne concernée au moment de sa radiation de la liste. Les droits des personnes s'exercent dans les conditions prévues par les articles 32 à 40 de la loi du 6 janvier 1978 modifiée. La commission prend acte que le responsable de traitement respecte ses obligations vis-à-vis des instances représentatives du personnel, conformément au code du travail.
Les listes d'initiés doivent être établies dans un format électronique qui respecte les conditions posées par le règlement d'exécution n° 2016/347. Le responsable de traitement prend, en conséquence, toutes précautions utiles pour préserver l'intégrité, la sécurité et la confidentialité des données saisies, par exemple en mettant en place un système de journalisation et d'horodatage des mises à jour et consultations de la liste pour leur attribuer une date certaine ou, lorsque les motifs d'inscription constituent des informations privilégiées, en utilisant des noms de code ou en conservant les données sous une forme chiffrée. La liste est soumise par le moyen électronique précisé par l'autorité compétente. Les autorités compétentes publient sur leur site web les moyens électroniques à utiliser. Ces moyens électroniques garantissent que l'exhaustivité, l'intégrité et la confidentialité des informations sont préservées pendant la transmission.

References: l'article 18
 l'article 19
 l'article 3
 l'article 7
 l'article 2
 l'article 18
 l'article 2
 L'article 18
 l'article 28
 l'article 18