NOR: CNIA0900024X
JORF n°0003 du 5 janvier 2010 page
texte n° 69
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la directive n° 2003/6/CE du 28 janvier 2003 sur les abus de marché ;
Vu le code monétaire et financier, notamment ses articles L. 621-15 et L. 621-17-2 à L. 621-17-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 précitée ;
Vu le règlement général de l'Autorité des marchés financiers (AMF), notamment ses articles 315-42 à 315-44 et 621-1 à 622-2 ;
Vu l'instruction AMF n° 2008-05 du 29 juillet 2008 relative à la déclaration d'opérations suspectes prise en application de l'article 315-42 du règlement général de l'AMF ;
Vu la demande d'autorisation déposée par Crédit agricole SA pour le compte des établissements du groupe Crédit agricole et relative à un traitement automatisé de données personnelles ayant pour finalité l'identification des opérations susceptibles de constituer des opérations d'initiés au sens de l'article L. 621-17-2 du code monétaire et financier ;
Après avoir entendu M. Jean-Paul Amoudry, commissaire, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations,
Le traitement est mis en œuvre pour le compte non seulement de Crédit agricole SA, mais aussi des caisses régionales de Crédit agricole mutuel, de LCL et d'autres établissements du groupe Crédit agricole.
Dès lors, ce traitement relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit être autorisé par la CNIL.
La demande d'autorisation est présentée par Crédit agricole SA pour le compte des établissements du groupe Crédit agricole qui mettront en œuvre le traitement pour leur compte et sous leur responsabilité.
En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la Commission peut autoriser par une décision unique une catégorie de traitements répondant aux mêmes finalités, portant sur des catégories de données identiques et ayant les mêmes catégories de destinataires. Il en résulte que chaque établissement du groupe Crédit agricole qui mettra en œuvre un traitement conforme à cette décision unique d'autorisation pourra déclarer ce traitement en adressant à la Commission un engagement de conformité par lequel il s'engage à respecter les termes de la décision de la CNIL.
Le traitement automatisé a pour objet de détecter plusieurs signaux potentiellement constitutifs d'opérations d'initiés. Leur détection s'effectue a posteriori par comparaison, pour un compte-titres donné, entre des indicateurs relatifs au nombre ou au montant des transactions réalisées en bourse pendant un mois et la valeur moyenne de ces indicateurs pour les douze derniers mois. Des alertes sont ainsi produites en présence :
Les signalements d'opérations d'initiés potentielles sont transmis pour analyse au responsable conformité de l'établissement responsable du traitement, qui peut lancer des requêtes spécifiques pour disposer d'informations statistiques synthétisant l'activité constatée sur un compte-titres.
Les données enregistrées peuvent également faire l'objet d'une exploitation statistique pour mettre à jour le paramétrage du système d'émission automatique d'alertes.
Les listes d'opérations à analyser ainsi obtenues comportent les catégories de données suivantes :
Sont également enregistrés :
Les informations sont conservées cinq ans à compter de la réalisation de l'opération.
Les destinataires de tout ou partie des données sont :
Une clause de la convention de comptes de titres informe les clients de la finalité du traitement ainsi que des modalités d'exercice du droit d'accès.
L'ensemble de ces dispositions est adéquat, pertinent et non excessif au regard des finalités déclarées et n'appellent pas d'observation particulière.
Autorise, dans ces conditions, les établissements du groupe Crédit agricole à mettre en œuvre le traitement automatisé de détection des alertes d'opérations d'initiés potentielles, sous réserve qu'ils adressent à la CNIL, conformément aux dispositions de l'article 25-II de la loi du 6 janvier 1978, un engagement de conformité valant engagement de respecter les termes de la présente autorisation de la CNIL.
