Résumé de l'avis du Contrôleur européen de la
protection des données relatif à la proposition de
règlement sur les fonds européens de capital-risque et
à la proposition de règlement sur les fonds
d’entrepreneuriat social européens.
Le CEPD se
réjouit d’être consulté par la Commission et
recommande qu’il soit fait référence à son avis
dans les préambules des propositions de règlements.
Les règlements
proposés sur les fonds européens de capital-risque et sur
les fonds d’entrepreneuriat social européens se
complètent mutuellement. Ils visent à résoudre
divers problèmes liés aux deux types de fonds en raison
de la fragmentation et de la dispersion du secteur européen du
capital-risque. En cas d’adoption, ces deux propositions
coexisteront en tant qu'actes juridiques autonomes
indépendants l'un de l'autre.
La mise en
œuvre et l’application du cadre juridique pour les fonds
de capital-risque et les fonds d’entrepreneuriat social
peuvent, dans certains cas, porter atteinte aux droits des
personnes à l’égard du traitement de leurs
données à caractère personnel. Sur la base de ce
constat, le CEPD considère qu’en ce qui concerne les
questions de protection des données, les règlements
proposés sont trop généraux. Il est difficile de
savoir si, dans certains cas, le traitement des données aura
lieu en vertu de certaines dispositions des règlements
proposés concernant, par exemple, les échanges
d’informations, les pouvoirs d’enquête dont sont
investies les autorités compétentes et la création
de bases de données de l’Autorité européenne
des marchés financiers (AEMF).
En
conséquence, le CEPD formule les recommandations suivantes
:
- insérer dans
les règlements proposés des dispositions soulignant la
pleine applicabilité de la législation existante en
matière de protection des données. Le CEPD
suggère aussi de clarifier la référence à la
directive 95/46/CE en précisant que les dispositions
s’appliqueront conformément aux règles nationales
qui mettent en œuvre la directive 95/46/CE;
- préciser
le type d’informations à caractère personnel
susceptibles d’être traitées et
transférées conformément aux règlements
proposés, définir les finalités pour
lesquelles les données à caractère personnel peuvent
être traitées et transférées par les
autorités compétentes concernées et l’AEMF et
fixer une durée de conservation proportionnée pour
le traitement susmentionné ou, au moins, d’introduire des
critères précis pour la mise en place de ce dernier;
- limiter
l’accès des autorités compétentes aux documents
et aux informations aux cas de violations graves et
identifiées des règlements proposées et
lorsqu’il existe des raisons de suspecter (qui doivent
être étayées par une preuve initiale concrète)
qu’une violation a été commise;
- introduire
l’exigence pour les autorités compétentes de
demander des documents et des informations par décision
officielle précisant la base juridique et l’objet de
la demande, les informations demandées, le délai dans
lequel les informations doivent être communiquées ainsi
que le droit du destinataire de faire réviser la décision
par un tribunal;
- clarifier la
base juridique des bases de données du gestionnaire des
fonds en introduisant des dispositions plus
détaillées dans les règlements proposés. En
particulier, la disposition portant création de la base de
données doit: i) déterminer la finalité des
traitements et définir les utilisations compatibles; ii)
déterminer les entités (AEMF, autorités
compétentes, Commission) qui auront accès aux
données stockées dans la base de données et qui
pourront les modifier, en précisant les données
concernées; iii) garantir le droit d’accès et des
informations appropriées pour toutes les personnes dont les
données à caractère personnel sont susceptibles
d’être stockées et échangées; iv)
définir la durée de conservation des données à
caractère personnel, en la limitant au minimum nécessaire
à la réalisation de la finalité
déterminée;
- étant
donné que les règlements proposés sont trop
généraux dans les cas d’échanges
transfrontaliers d’informations, de pouvoirs
d’enquête dont sont investies les autorités
compétentes et de création de bases de données AEMF
des gestionnaires de fonds, des éléments essentiels du
traitement des données à caractère personnel ne
devraient pas être décidés par des actes
délégués, mais inclus dans les articles de fond
pertinents des règlements proposés;
- ajouter des
références dans les règlements proposés à
la nécessité de consulter le CEPD pour autant que
les actes délégués et les actes
d’exécution concernent le traitement de données
à caractère personnel.
Le CEPD note
qu’il existe des dispositions comparables à celles
mentionnées dans le présent avis dans plusieurs
propositions en cours d’examen et d’éventuelles
futures propositions, comme celles qui sont décrites dans les
avis du CEPD concernant le paquet législatif relatif à la
révision de la législation bancaire, aux agences de
notation de crédit, aux marchés d’instruments
financiers (MIFID/MIFIR) et aux abus de marché. En
conséquence, le CEPD recommande de lire le présent avis
en étroite conjonction avec ses avis du 10 février 2012
sur ces initiatives.