Ordonnance de la FINMA du 4 mai 2023 sur le traitement de données personnelles dans le cadre de la surveillance (Ordonnance de la FINMA sur les données) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/264/20230901/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/264/20230901"/><FRBRdate date="2023-05-04" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="de" value="Verordnung der FINMA vom 4. Mai 2023 über die Bearbeitung von Personendaten im Rahmen der Aufsicht (Datenverordnung FINMA)" shortForm=""/><FRBRname xml:lang="fr" value="Ordonnance de la FINMA du 4 mai 2023 sur le traitement de données personnelles dans le cadre de la surveillance (Ordonnance de la FINMA sur les données)" shortForm=""/><FRBRname xml:lang="it" value="Ordinanza della FINMA del 4 maggio 2023 relativa al trattamento dei dati personali nell’ambito della vigilanza (Ordinanza FINMA sui dati)" shortForm=""/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/264/20230901/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/264/20230901/fr"/><FRBRdate date="2023-05-04" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/264/20230901/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/264/20230901/fr/xml"/><FRBRdate date="2023-05-04" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.5"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Chancellerie fédérale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/FRA" showAs="fr"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>956.124 </docNumber></p><p><docTitle>Ordonnance de la FINMA<br/>sur le traitement de données personnelles <br/>dans le cadre de la surveillance</docTitle></p><p>(Ordonnance de la FINMA sur les données)</p><p>du 4 mai 2023 (État le 1<sup>er</sup> septembre 2023)</p></preface><preamble><p>L’Autorité fédérale de surveillance des marchés financiers (FINMA),</p><p>vu l’art. 23, al. 4, de la loi du 22 juin 2007 sur la surveillance des marchés financiers (LFINMA)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2008/736" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>956.1</b></ref></p></authorialNote>,</p><p>arrête:</p></preamble><body><section eId="sec_1"><num>Section 1</num><heading>Objet et compétences</heading><article eId="art_1"><num><b>Art. 1</b></num><heading>Objet</heading><paragraph eId="art_1/para"><content><p>La présente ordonnance règle les modalités du traitement de données personnelles par la FINMA dans le cadre de la surveillance conformément à la LFINMA et aux lois sur les marchés financiers citées à l’art. 1, al. 1, LFINMA.</p></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Compétences</heading><paragraph eId="art_2/para_1"><num>1</num><content><p> La division Technologies de l’information et de la communication assure l’exploitation technique des systèmes d’information dans lesquels des données personnelles sont traitées.</p></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><blockList><listIntroduction eId="art_2/para_2/listintro"> La direction de la FINMA fixe dans un règlement de traitement:</listIntroduction><item eId="art_2/para_2/lbl_a"><num>a. </num><p>les mesures techniques et organisationnelles requises pour garantir la sécurité des données;</p></item><item eId="art_2/para_2/lbl_b"><num>b. </num><p>le contrôle du traitement des données;</p></item><item eId="art_2/para_2/lbl_c"><num>c. </num><p>les droits d’accès des différentes catégories de collaborateurs de la FINMA.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_3"><num>3</num><content><p> Les personnes concernées peuvent faire valoir les droits prévus par la loi fédérale du 25 septembre 2020 sur la protection des données<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote> auprès de la division Droit et compliance.</p></content></paragraph></article></section><section eId="sec_2"><num>Section 2</num><heading>Traitement des données</heading><article eId="art_3"><num><b>Art. 3</b></num><heading>Compétence</heading><paragraph eId="art_3/para"><content><p>Chaque unité organisationnelle de la FINMA est compétente pour ses données.</p></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Accès aux données</heading><paragraph eId="art_4/para_1"><num>1</num><content><p> Les collaborateurs de la FINMA ont accès aux données qui relèvent de leur fonction de surveillance. </p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Les collaborateurs de la FINMA chargés de tâches transversales ont en outre accès à d’autres données pour autant que cela soit nécessaire à l’exécution de leurs tâches.</p></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><p> Les droits d’accès peuvent être restreints à certains collaborateurs de la FINMA ou être accordés à d’autres collaborateurs de la FINMA dans la mesure où cela est nécessaire dans le cas d’espèce. </p></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Catégories de données personnelles traitées</heading><paragraph eId="art_5/para_1"><num>1</num><content><blockList><listIntroduction eId="art_5/para_1/listintro"> La FINMA traite les données personnelles suivantes: </listIntroduction><item eId="art_5/para_1/lbl_a"><num>a. </num><p>les données relatives à l’identité: nom, prénom, date de naissance, sexe, lieu d’origine, nationalité, langue maternelle, adresse, adresse électronique, numéro de téléphone, numéro AVS;</p></item><item eId="art_5/para_1/lbl_b"><num>b. </num><p>les données relatives à la formation, à la profession et aux rapports de travail: formation, formation continue, qualifications et activités professionnelles, situation professionnelle et développement professionnel, comportement en affaires, lieu de travail, employeur y compris son numéro d’identification des entreprises (IDE), création, déroulement et fin des rapports de travail;</p></item><item eId="art_5/para_1/lbl_c"><num>c. </num><p>les données relatives à la situation financière, à la situation patrimoniale et aux assurances;</p></item><item eId="art_5/para_1/lbl_d"><num>d. </num><p>les extraits du registre du commerce, du registre des poursuites, du registre des faillites et du casier judiciaire;</p></item><item eId="art_5/para_1/lbl_e"><num>e. </num><p>les données provenant des organes de surveillance de la négociation;</p></item><item eId="art_5/para_1/lbl_f"><num>f. </num><p>les rapports, évaluations et autres documents de sociétés d’audit et de personnes mandatées par la FINMA;</p></item><item eId="art_5/para_1/lbl_g"><num>g. </num><p>les rapports et décisions d’organismes de surveillance, d’organismes d’autorégulation et d’organisations professionnelles;</p></item><item eId="art_5/para_1/lbl_h"><num>h. </num><p>les dossiers d’autorités pénales et d’autres autorités;</p></item><item eId="art_5/para_1/lbl_i"><num>i. </num><p>les jugements, décisions et autres documents officiels;</p></item><item eId="art_5/para_1/lbl_j"><num>j. </num><p>les données relatives à des mesures relevant du droit du travail, à des mesures administratives et à des mesures pénales;</p></item><item eId="art_5/para_1/lbl_k"><num>k. </num><p>les rapports sur des audits et enquêtes internes d’assujettis;</p></item><item eId="art_5/para_1/lbl_l"><num>l. </num><p>les données nécessaires à la sélection des personnes mandatées par la FINMA et à l’exécution de leurs tâches;</p></item><item eId="art_5/para_1/lbl_m"><num>m. </num><p>les données qui parviennent à la FINMA en vertu des obligations légales de renseigner et d’annoncer;</p></item><item eId="art_5/para_1/lbl_n"><num>n. </num><p>les données que des tiers ont portées à la connaissance de la FINMA, et </p></item><item eId="art_5/para_1/lbl_o"><num>o. </num><p>les autres données dont la FINMA a connaissance dans le cadre de l’accomplissement de son mandat légal. </p></item></blockList></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><blockList><listIntroduction eId="art_5/para_2/listintro"> Le traitement selon l’al. 1 peut aussi porter sur des données personnelles sensibles des types suivants:</listIntroduction><item eId="art_5/para_2/lbl_a"><num>a. </num><p>les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales;</p></item><item eId="art_5/para_2/lbl_b"><num>b. </num><p>les données sur la santé, la sphère intime ou l’origine raciale ou ethnique;</p></item><item eId="art_5/para_2/lbl_c"><num>c. </num><p>les données sur des poursuites ou sanctions pénales et administratives;</p></item><item eId="art_5/para_2/lbl_d"><num>d. </num><p>les données sur des mesures d’aide sociale.</p></item></blockList></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Collecte des données personnelles</heading><paragraph eId="art_6/para_1"><num>1</num><content><blockList><listIntroduction eId="art_6/para_1/listintro"> La FINMA peut collecter des données personnelles auprès:</listIntroduction><item eId="art_6/para_1/lbl_a"><num>a. </num><p>des assujettis;</p></item><item eId="art_6/para_1/lbl_b"><num>b. </num><p>des employeurs;</p></item><item eId="art_6/para_1/lbl_c"><num>c. </num><p>de la personne concernée;</p></item><item eId="art_6/para_1/lbl_d"><num>d. </num><p>des requérants;</p></item><item eId="art_6/para_1/lbl_e"><num>e. </num><p>des autorités nationales et étrangères;</p></item><item eId="art_6/para_1/lbl_f"><num>f. </num><p>des parties à la procédure;</p></item><item eId="art_6/para_1/lbl_g"><num>g.  </num><p>des sociétés d’audit et des personnes mandatées par la FINMA;</p></item><item eId="art_6/para_1/lbl_h"><num>h. </num><p>d’autres personnes soumises à des obligations de renseigner ou d’annoncer.</p></item></blockList></content></paragraph><paragraph eId="art_6/para_2"><num>2</num><content><p> Elle peut en outre collecter des données personnelles à partir d’autres sources non accessibles au public et de sources accessibles au public.</p></content></paragraph><paragraph eId="art_6/para_3"><num>3</num><content><p> Pour autant que cela soit indispensable à la finalité du traitement des données, la FINMA peut collecter des données personnelles sans révéler son identité.</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Forme de la communication de données personnelles </heading><paragraph eId="art_7/para"><content><p>La communication de données personnelles, y compris de données sensibles, a lieu sur papier ou sous forme électronique.</p></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Conservation et destruction des données personnelles</heading><paragraph eId="art_8/para"><content><p>Les données personnelles sont conservées auprès de la FINMA aussi longtemps qu’elles sont pertinentes et nécessaires à la surveillance. Ensuite, les données sont proposées aux Archives fédérales pour archivage et détruites à la FINMA.</p></content></paragraph></article></section><section eId="sec_3"><num>Section 3</num><heading>Banque de données nécessaire à l’évaluation des garanties d’une activité irréprochable</heading><article eId="art_9"><num><b>Art. 9</b></num><heading>But</heading><paragraph eId="art_9/para"><content><p>La FINMA tient une banque de données pour assurer l’évaluation des garanties d’une activité irréprochable au sens des lois sur les marchés financiers. À cet effet, elle saisit dans la banque de données les données nécessaires pour le cas où une évaluation future des garanties d’une activité irréprochable serait réalisée.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Accès aux données</heading><paragraph eId="art_10/para_1"><num>1</num><content><blockList><listIntroduction eId="art_10/para_1/listintro"> Ont accès à la banque de données:</listIntroduction><item eId="art_10/para_1/lbl_a"><num>a. </num><p>les collaborateurs de la division Droit et compliance;</p></item><item eId="art_10/para_1/lbl_b"><num>b. </num><p>les collaborateurs de la FINMA qui sont compétents pour l’évaluation des garanties d’une activité irréprochable. </p></item></blockList></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> Les collaborateurs visés à l’al. 1 peuvent fournir des renseignements sur les données contenues dans la banque de données à d’autres collaborateurs de la FINMA qui en font la demande, dans la mesure où l’exécution de leurs tâches l’exige.</p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Contenu</heading><paragraph eId="art_11/para"><content><blockList><listIntroduction eId="art_11/para/listintro">La banque de données contient les données suivantes:</listIntroduction><item eId="art_11/para/lbl_a"><num>a. </num><p>les données relatives à l’identité: nom, prénom, date de naissance, sexe, lieu d’origine, nationalité, langue maternelle, adresse, adresse électronique, numéro de téléphone, numéro AVS;</p></item><item eId="art_11/para/lbl_b"><num>b. </num><p>les données relatives à la formation et à la profession: formation, formation continue, qualifications et activités professionnelles, lieu de travail, employeur y compris son IDE;</p></item><item eId="art_11/para/lbl_c"><num>c. </num><p>les données relatives à la situation financière, à la situation patrimoniale et aux assurances;</p></item><item eId="art_11/para/lbl_d"><num>d. </num><p>les extraits du registre du commerce, du registre des poursuites, du registre des faillites et du casier judiciaire;</p></item><item eId="art_11/para/lbl_e"><num>e. </num><p>les rapports, évaluations et autres documents de sociétés d’audit et de personnes mandatées par la FINMA;</p></item><item eId="art_11/para/lbl_f"><num>f. </num><p>les rapports et décisions d’organismes de surveillance, d’organismes d’autorégulation et d’organisations professionnelles;</p></item><item eId="art_11/para/lbl_g"><num>g. </num><p>les accusations et dénonciations pénales d’autorités;</p></item><item eId="art_11/para/lbl_h"><num>h. </num><p>les jugements, décisions et autres documents officiels;</p></item><item eId="art_11/para/lbl_i"><num>i. </num><p>les données relatives à des mesures relevant du droit du travail, à des mesures administratives et à des mesures pénales;</p></item><item eId="art_11/para/lbl_j"><num>j. </num><p>les rapports sur des audits et enquêtes internes d’assujettis;</p></item><item eId="art_11/para/lbl_k"><num>k. </num><p>la reconnaissance écrite devant une autorité d’un comportement fautif et l’autodénonciation;</p></item><item eId="art_11/para/lbl_l"><num>l. </num><p>les documents desquels ressort qu’en dépit d’indices de violations du droit de la surveillance, aucune procédure de la FINMA ne peut être conduite à l’encontre d’une personne car celle-ci se soustrait à une procédure;</p></item><item eId="art_11/para/lbl_m"><num>m. </num><p>la renonciation écrite, limitée ou non dans le temps, à exercer dans un domaine soumis à la surveillance de la FINMA.</p></item></blockList></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Information de la personne concernée</heading><paragraph eId="art_12/para"><content><p>La personne concernée est informée après la première saisie des données dans la banque de données. L’art. 20 de la loi fédérale du 25 septembre 2020 sur la protection des données<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote> est réservé.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Conservation et effacement des données</heading><paragraph eId="art_13/para_1"><num>1</num><content><blockList><listIntroduction eId="art_13/para_1/listintro"> Les données qui concernent une personne sont conservées dans la banque de données:</listIntroduction><item eId="art_13/para_1/lbl_a"><num>a. </num><p>pendant les 10 ans qui suivent la dernière saisie pertinente pour l’évaluation des garanties;</p></item><item eId="art_13/para_1/lbl_b"><num>b. </num><p>pendant les 20 ans qui suivent la dernière saisie pertinente pour l’évaluation des garanties si celle-ci était fondée sur un jugement pénal ou une décision entrée en force portant sur l’exercice d’une activité sans avoir obtenu l’autorisation nécessaire de la FINMA.</p></item></blockList></content></paragraph><paragraph eId="art_13/para_2"><num>2</num><content><p> Les données qui concernent une personne sont effacées de la banque de données avant l’échéance du délai de conservation si la FINMA retient au terme d’une évaluation des garanties d’une activité irréprochable que la personne concernée présente lesdites garanties.</p></content></paragraph></article></section><section eId="sec_4"><num>Section 4</num><heading>Dispositions finales</heading><article eId="art_14"><num><b>Art. 14</b></num><heading>Abrogation d’un autre acte</heading><paragraph eId="art_14/para"><content><p>L’ordonnance de la FINMA du 8 septembre 2011 sur les données<authorialNote><p> [<ref href="https://fedlex.data.admin.ch/eli/oc/2011/597" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2011</b> 4363</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2017/512" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2017</b> 4809</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2019/79" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2019</b> 451</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2019/640" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">3511</ref>]</p></authorialNote> est abrogée.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Entrée en vigueur</heading><paragraph eId="art_15/para"><content><p>La présente ordonnance entre en vigueur le 1<sup>er</sup> septembre 2023.</p></content></paragraph></article></section></body></act></akomaNtoso>