Denetim Belgelerindeki Verilerin ABD'ye Aktarımı

CNILTEXT000027041095

CNIL texte/cnil/CNIL/TEXT/00/00/27/04/10/CNILTEXT000027041095.xml DELIBERATION

Délibération 2012-415 du 29 novembre 2012 Délibération n° 2012-415 du 29 novembre 2012 autorisant le Haut Conseil du Commissariat aux Comptes à transférer à son homologue américain des données à caractère personnel contenues dans des informations et/ou des documents d’audit relatifs aux contrôleurs légaux des comptes qui relèvent de leur double supervision, ou collectées à l’occasion de contrôles conjoints dans une période se terminant au 31 juillet 2013 (Demande d’autorisation n° 12034638)

2012-415

Autorisation de transfert 2012-11-29

2013-02-08 VIGUEUR

La Commission nationale de l'informatique et des libertés, Saisie par le Haut Conseil du Commissariat aux Comptes (H3C) d'une demande d'autorisation concernant un transfert à son homologue américain, le Public Company Accounting Oversight Board (PCAOB), de données à caractère personnel contenues dans des informations et/ou des documents d'audit relatifs aux contrôleurs légaux des comptes qui relèvent de leur double supervision, ou collectées à l'occasion de contrôles conjoints dans une période se terminant au 31 juillet 2013 ; Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ; Vu la directive 2006/43/CE du Parlement européen et du Conseil du 17 mai 2006 concernant les contrôles légaux des comptes annuels et des comptes consolidés ; Vu le code de commerce, notamment ses articles L. 821-1 et suivants ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 69, alinéa 8 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision 2010/485/UE de la Commission du 1er septembre 2010 relative à l'adéquation des autorités compétentes de l'Australie et des Etats-Unis d'Amérique conformément à la directive 2006/43/CE du Parlement européen et du Conseil ; Vu la délibération n°2009-674 du 26 novembre 2009 portant délégation d'attributions de la Commission nationale de l'informatique et des libertés à son Président et à son Vice-président délégué, notamment son dernier alinéa ;   Vu les éléments du dossier de demande d'autorisation, notamment les projets d'accords rédigés par le Haut Conseil du Commissariat aux Comptes et le Public Company Accounting and Oversight Board aux fins d'encadrer les transferts susvisés ; Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,

Adopte l'autorisation suivante :

Sur le contexte de la demande d'autorisation En France, le Haut Conseil du Commissariat aux Comptes (H3C) est l'autorité compétente pour exercer des activités de contrôle périodique de la profession de commissaire aux comptes, sur le fondement des dispositions de l'article L. 821-7-b) du code de commerce. L'article L. 821-1 du code de commerce prévoit par ailleurs que le H3C a pour mission d'établir des relations avec les autorités d'autres Etats exerçant des compétences analogues .. Il est, à ce titre, l'homologue français de l'autorité américaine dénommée le Public Company Accounting Oversight Board (PCAOB), autorité chargée, sous l'autorité de la Securities and Exchange Commission (SEC), de la supervision des commissaires aux comptes qui certifient les comptes de sociétés cotées sur les marchés aux Etats-Unis. Les activités de contrôle des comptes des sociétés susceptibles d'avoir un impact sur le marché américain, et de ce fait la supervision de la profession particulière des commissaires aux comptes, sont encadrées par la loi dite SARBANES-OXLEY, promulguée par le Congrès américain le 31 juillet 2002. Depuis plusieurs années, le PCAOB et ses homologues étrangers ont entamé des négociations aux fins de conclure des accords de coopération visant à leur permettre de coordonner les contrôles des auditeurs relevant de leur double supervision. En Europe, les accords de coopération à conclure entre le PCAOB et ses homologues européens s'inscrivent dans le cadre prévu par les textes européens relatifs au contrôle des comptes annuels et des comptes consolidés - en l'occurrence, les dispositions pertinentes de la directive 2006/43/CE, dite Huitième directive transposée, en France, par l'ordonnance n°2008-1278 du 8 décembre 2008. L'article 47 de cette directive dispose que, sous certaines conditions , un Etat membre peut autoriser la communication à l'autorité compétente d'un Etat tiers de documents d'audit ou d'autres documents détenus par les contrôleurs légaux des comptes. Ces conditions sont au nombre de trois : - L'adoption d'une décision d'adéquation octroyée par la Commission européenne au système de supervision étranger ; - le respect du chapitre 4 de la Directive 95/46 relative à la protection des données ; - la conclusion d'un accord de coopération entre les autorités compétentes. La Commission européenne a adopté la décision d'adéquation requise au sens de l'article 47 de la Huitième Directive le 1er septembre 2010, concernant le système de supervision américain. L'adoption de cette décision a ainsi ouvert la voie à l'échange d'informations relatives aux auditeurs entre l'Europe et les Etats-Unis, par le canal des autorités de supervision. Si la Huitième Directive ne consacre pas le principe d'inspections conjointes entre plusieurs autorités de supervision, la tenue de telles opérations conjointes entre le PCAOB et ses homologues européens a toutefois été jugée possible, à titre transitoire, sur le fondement de la décision d'adéquation du 1er septembre 2010 qui prévoit que de telles inspections communes sont possibles dans des circonstances exceptionnelles , lorsqu'elles sont nécessaires pour garantir une supervision efficace (considérant 4). De telles inspections conjointes devront donc se dérouler avant le 31 juillet 2013, date à laquelle la décision d'adéquation, à durée limitée, cessera de s'appliquer au PCAOB (article 4). L'accord de coopération à conclure entre le PCAOB et ses homologues européens comporte deux volets : - Un accord global, dit SOP pour Statement of Protocol , exposant les finalités de la coopération envisagée et ses modalités, notamment par l'échange d'informations et des contrôles conjoints, et imposant des règles de confidentialité précisément définies ; - Un accord distinct, relatif au transfert de données à caractère personnel, dans la mesure où les documents communiqués au PCAOB sont susceptibles de contenir de telles données. Suivant le cadre ainsi fixé, le H3C et le PCAOB ont donc élaboré deux projets d'accords visant à encadrer les modalités de leur coopération. A l'issue de leurs négociations, et avant signature des accords par le PCAOB d'une part, et par le H3C d'autre part, ce dernier a saisi la Commission, le 13 novembre 2012, d'une demande d'autorisation des transferts de données à caractère personnel susceptibles d'avoir lieu dans le cadre de cette coopération, sur le fondement de l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée.

Sur le cadre juridique de la demande d'autorisation L'article 68 de la loi du 6 janvier 1978 modifiée prévoit que les transferts de données à caractère personnel hors du territoire Français sont interdits, à moins que le pays ou le destinataire n'assure un niveau de protection dit adéquat , au sens de l'article 25 de la Directive 95/46/CE. En l'occurrence, les Etats-Unis d'Amérique ne sont pas considérés comme assurant un niveau de protection adéquat au sens de cette disposition. Pour autant, l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée prévoit qu'il peut être fait exception à ce principe d'interdiction, par décision d'autorisation de la Commission, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou des règles internes dont il fait l'objet. Il appartient donc à la Commission de décider si les projets d'accords lui ayant été soumis par le H3C à l'appui de sa demande d'autorisation peuvent être considérés comme accordant de telles garanties.

Sur les garanties prévues dans les projets d'accords à conclure entre le H3C et le PCAOB La Commission, après avoir procédé à l'analyse des deux projets d'accords soumis par le H3C, relève les éléments suivants. - Garanties incluses dans le projet d'accord général dit Statement of Protocol , ou SOP En premier lieu, dans le projet d'accord dit SOP figurent d'importantes garanties quant à la protection des intérêts des personnes physiques et morales dont les données peuvent être transférées au PCAOB. A ce titre, certaines dispositions de cet accord complètent utilement celles du projet d'accord relatif à la protection des données, dans la mesure où elles sont de nature à assurer la protection des personnes à l'égard des données les concernant qui sont susceptibles d'être transférées au PCAOB. Ces garanties sont les suivantes : 1. Les informations susceptibles d'être transférées aux Etats-Unis dans le cadre de ces activités de contrôle ne pourront se rapporter qu'à des questions relevant des compétences conjointes du PCAOB et du H3C. Leur coopération (incluant les contrôles conjoints, les inspections et l'échange d'informations) ne pourra en outre se dérouler que dans les limites fixées par les lois et règlements nationaux, dont la loi du 6 janvier 1978 modifiée, à laquelle le projet d'accord fait expressément référence. 2. En tout état de cause, l'assistance sollicitée par le PCAOB auprès du H3C dans le cadre de contrôles et d'investigations sera soumise à l'appréciation de sa compatibilité avec le droit français. De même, la coopération entre les deux autorités ne permettra pas au PCAOB d'obtenir, au moyen d'une demande d'information ou d'assistance, des informations que le H3C ne serait lui-même pas en droit d'obtenir en vertu des lois et règlements français. Enfin, la coopération ne saurait inclure la communication des résultats des investigations que dans la mesure autorisée par les législations nationales des parties - cette limite devant s'entendre comme relevant, notamment, de la protection du secret des affaires et de celle des données à caractère personnel. 3. Le PCAOB, dans la mesure où son droit national le permet ou l'exige, pourra publier des rapports de contrôle, y compris ceux identifiant l'auditeur (société ou personne physique) ainsi que le résultat des contrôles. Toutefois, ces documents ne pourront pas permettre d'identifier les noms des clients contrôlés (clause IV 5) - cette notion devant s'entendre comme le nom des personnes morales concernées mais également, a fortiori, du nom des personnes physiques y travaillant (dirigeants, collaborateurs, etc.). 4. Concernant le cas particulier des inspections conjointes, le projet de SOP affirme le rôle central du H3C dans ces opérations: ainsi, celui-ci pourra choisir de diriger les aspects administratifs et organisationnels de l'inspection, de même qu'il sera en charge de la gestion des relations avec les cabinets soumis à un contrôle, ce qui permettra de veiller, en pratique, au respect des règles de droit français lors du contrôle - y compris les règles relatives à la protection du secret des affaires et celles relatives à la protection des données à caractère personnel. 5. Les sanctions pouvant être prises par le PCAOB à l'encontre d'un cabinet français soumis à la double supervision des autorités française et américaine seront publiques, la seule garantie prévue dans de telles circonstances étant une information préalable du H3C. En outre, les informations non-publiques détenues par le PCAOB pourront être partagées avec la Securities and Exchange Commission, ou SEC (autorité de tutelle du PCAOB), sans condition d'accord préalable du H3C, dans le cadre des pouvoirs de contrôle propres qu'exerce la SEC sur la profession. De même, le PCAOB pourra être appelé à partager ces mêmes informations non-publiques avec les entités visées à l'article 105(b) de la loi Sarbanes-Oxley. A défaut d'accord du H3C en ce sens, le PCAOB consultera le H3C, dont il sera tenu de considérer les objections avant de partager éventuellement l'information. Ce point ne fait que décliner une disposition de droit fédéral américain, applicable indépendamment de l'accord. Toutefois, pour tenir compte de ces facultés de transmission ultérieure très larges, les principes d'anonymisation et de minimisation des données transférées seront mis en œuvre par les parties afin de limiter, en amont, le transfert de données personnelles vers les Etats-Unis. Une disposition spécifique figure à cet effet dans l'accord protection des données . 6. Enfin, la Commission relève que le SOP ne prévoit pas de durée de conservation explicite des documents communiqués. En revanche, une clause de confidentialité s'appliquera aux documents détenus par le PCAOB, une fois l'accord venu à terme, et tout document ou élément communiqué en réponse à une demande d'informations en vertu du protocole ainsi que toute copie seront retournés, sur demande et dans la mesure autorisée par les lois et règlements applicables. - Garanties incluses dans l'accord relatif à la protection des données Les données personnelles identifiées comme étant susceptibles d'être transférées à l'autorité américaine sont les noms et les informations relatives aux activités professionnelles des personnes figurant dans les rapports d'audit : responsables de missions d'audit, personnes ayant participé à de telles missions, personnes jouant un rôle important dans la gestion et le contrôle de qualité de l'entreprise auditée. De même, les documents d'audit, pièces justificatives attachées aux rapports d'audit dont le PCAOB peut obtenir communication, peuvent contenir des données liées aux personnes qui travaillent pour des clients de sociétés auditées. Dans cette hypothèse, la Commission relève que cette catégorie de données est désormais exclue de tout transfert puisque, comme il a été rappelé plus haut, les documents et rapports d'audit transmis ne seront plus de nature à permettre l'identification de l'entreprise auditée - et donc, a fortiori, des personnes travaillant en son sein. Concernant les données relatives aux auditeurs proprement dit, la Commission constate en outre que dans le projet d'accord dit protection des données figurent de nombreuses garanties pour les personnes concernées. Elle prend acte, à cet égard, des modifications substantielles apportées aux premières versions de l'accord afin de prendre en compte l'intérêt de ces personnes au regard de la protection de leurs données. A ce titre, elle relève que l'accord comporte notamment les garanties suivantes. 1. Concernant les données personnelles contenues dans des documents susceptibles de faire l'objet d'un transfert, la Commission prend acte avec satisfaction de l'insertion d'une clause dans l'accord prévoyant la mise en œuvre des principes d'anonymisation et, en tout état de cause, de minimisation des données avant toute transmission de données au PCAOB ou à l'occasion d'inspections conjointes. En effet, le PCAOB dispose de pouvoirs de sanctions disciplinaires et financières, dont il est susceptible de faire usage concernant les personnes travaillant dans les cabinets d'audit concernés, dès lors que celles-ci relèvent d'un mécanisme dual de supervision. En outre, le PCAOB compte mettre ses rapports de contrôles en ligne sur son site web : une telle diffusion sur Internet est susceptible de porter atteinte à la réputation et à l'image d'une société d'audit, mais aussi d'un auditeur personne physique. L'effectivité de la clause d'anonymisation et de minimisation tient au fait que le H3C sera l'intermédiaire obligé du PCAOB, tant pour les demandes d'information que pour la communication d'informations dans le cadre d'inspections conjointes. Celui-ci pourra alors vérifier la compatibilité de la communication de données relatives aux personnes concernées avec les règles françaises applicables. 2. Le projet d'accord prévoit que les parties s'engagent à ce que toute transmission de données à caractère personnel vers le PCAOB aux Etats-Unis respecte les principes suivants : - Limitation des finalités aux seules finalités de supervision de l'activité des cabinets d'audit en application des dispositions de la loi Sarbanes-Oxley ; - Pertinence et proportionnalité des données ; - Transparence ; - Sécurité et confidentialité ; - Droits d'accès, de rectification, de suppression et d'opposition ; - Interdiction de traiter des données sensibles ; - Limitation du transfert ultérieur des données aux seuls cas prévus par l'accord de coopération (SOP) ; - Droit à réparation. En outre, l'accord fait explicitement référence à la Directive 95/46/CE et à la loi du 6 janvier 1978 modifiée comme s'appliquant aux données transférées. De même, la clause relative à l'information des personnes concernées fait l'objet d'une rédaction conforme aux termes de l'article 32 de loi du 6 janvier 1978 modifiée. La Commission relève par ailleurs que la loi Sarbanes Oxley elle-même prévoit explicitement que les personnes concernées sont clairement tenues informées quant à l'utilisation des informations collectées par le PCAOB au cours d'un contrôle ou d'une investigation. Par ailleurs, les clauses relatives aux droits des personnes ont été rédigées de manière à ce que la protection qu'elles accordent puisse être effective. A cet effet, des modalités pratiques sont prévues pour encadrer l'exercice des droits d'accès, de rectification et d'effacement que les personnes concernées détiennent en application de la loi du 6 janvier 1978 modifiée, le H3C faisant office d'intermédiaire pour que le PCAOB procède à la mise à jour des informations qu'il détient. De même, la clause de réparation ( redress ) a été aménagée de manière à mentionner explicitement la CNIL comme l'autorité de référence en cas de violation des droits des personnes concernées par le transfert de leurs données. Une importante garantie consiste, en outre, dans le maintien de l'interdiction de transfert des données sensibles du H3C vers le PCAOB sans le consentement préalable des personnes, y compris, en l'occurrence, des donnée d'infractions. 3. La Commission relève que le projet d'accord ne fixe pas de durée précise quant à la conservation des données transférées. Pour autant, elle note que le PCAOB, comme le H3C, s'engagent dans l'accord à mettre en œuvre de manière générale des procédures de suppression des documents, et qu'en tout état de cause, le H3C pourra former une demande d'effacement a posteriori des données transférées, si celui-ci n'avait pas été opéré par le PCAOB spontanément. L'accord SOP prévoit également que tout document ou élément communiqué en réponse à une demande d'informations en vertu du protocole et toute copie seront retournés, sur demande - quoique dans la mesure autorisée par les lois et règlements applicables. En outre, les données personnelles transférées seront très peu nombreuses, l'application des principes d'anonymisation et de minimisation ayant vocation à limiter leur transfert. 4. La Commission constate, enfin, que les mesures physiques et logiques mises en œuvre par le PCAOB, de même que les règles de confidentialité applicables au personnel du Board, sont satisfaisantes aux fins d'autoriser le transfert des données personnelles concernées.

Au bénéfice des observations qui précèdent, la Commission considère que le transfert de données à caractère personnel envisagé vers le PCAOB dans le cadre décrit ci-dessus est assorti de garanties suffisantes au regard de la vie privée et des libertés et droits fondamentaux des personnes concernées. Dans ces conditions, elle autorise le Haut Conseil du Commissariat aux Comptes à mettre en œuvre le transfert, vers son homologue américain, de données à caractère personnel contenues dans des informations et/ou des documents d'audit relatifs aux contrôleurs légaux des comptes qui relèvent de la compétence des deux autorités, ou collectées à l'occasion de contrôles conjoints dans une période se terminant au 31 juillet 2013.

La présente délibération ne sera publiée que postérieurement à la signature des deux accords susvisés par le H3C et le PCAOB.

La Présidente

Isabelle FALQUE-PIERROTIN