Avis, Autorité de protection des données, 2024-10-18

Avis n° 97/2024 du 18 octobre 2024
Objet : Avant-projet de loi transposant la directive (UE) 2021/2167 du Parlement européen et du Conseil du 24 novembre 2021 sur les gestionnaires de crédit et les acheteurs de crédit, et modifiant les directives 2008/48/CE et 2014/17/UE (CO-A-2024-229)
Mots-clés : extrait de casier judiciaire - publication de la décision de la FSMA – finalité d’information des emprunteurs concernés - garanties appropriées
Version originale
Introduction :
L’avis concerne un avant-projet de loi qui entend assurer, dans l’ordre juridique belge, la transposition de la directive (UE) 2021/2167 du Parlement européen et du Conseil du 24 novembre 2021 sur les gestionnaires de crédit et les acheteurs de crédit, et modifiant les directives 2008/48/CE et 2014/17/UE (ci-après « l’avant-projet »). Cette directive vise à permettre aux établissements de crédits de vendre des « prêts non performants » figurant à leur bilan à d’autres opérateurs (« acheteurs de crédits »), sur des marchés secondaires.
L’Autorité émet des observations notamment afin de mieux encadrer :
- le traitement de l’extrait de casier judiciaire visant à démontrer le respect de l’exigence d’honorabilité professionnelle notamment par les membres de l’organe de direction ou d’administration au sein des gestionnaires de crédit ;
- la faculté pour la FSMA de rendre publique sa position quant à la constatation d’infraction aux dispositions de la loi en projet.
Pour une liste intégrale des remarques, il est renvoyé au dispositif.
Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après « l’Autorité »),
Pour les textes normatifs émanant de l’Autorité fédérale, de la Région de Bruxelles-Capitale et de la Commission communautaire commune, les avis sont en principe disponibles en français et en néerlandais sur le site Internet de l'Autorité. La « Version originale » est la version qui a été validée collégialement. Le service de traduction de l’Autorité prépare la « Traduction » sur cette base.
Présent.e.s : Mesdames Juline Deschuyteneer, Cédrine Morlière et Griet Verhenneman et Messieurs Yves-Alexandre de Montjoye, Bart Preneel et Gert Vermeulen;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après « LCA »);
Vu l’article 43 du règlement d’ordre intérieur selon lequel les décisions du Service d’Autorisation et d’Avis sont adoptées à la majorité des voix ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »);
Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD ») ;
Vu la demande d'avis de Monsieur Pierre-Yves Dermagne, Vice-premier ministre et ministre de l’Economie et du Travail reçue le 4 juillet 2024 ;
Vu les informations complémentaires reçues le 30 août et le 13 septembre 2024 ;
Émet, le 18 octobre 2024, l’avis suivant :
I. OBJET ET CONTEXTE DE LA DEMANDE D’AVIS
1. En date du 4 juillet 2024, le Vice-premier ministre et ministre de l’Economie et du Travail a sollicité l’avis de l’Autorité concernant les articles 5, 15° ; 7, §1er, 2°, 3° et 4° ; 8 ; 10, §1er, 4° ; 13, §2 ; 17, §2, 1°, i) ; 22, §1er, alinéa 1er, 1° et 30, §1er, 1° de l’avant-projet.
2. Ainsi que son intitulé l’indique, l’avant-projet vise à assurer une transposition fidèle en droit belge de la directive (UE) 2021/2167 du Parlement européen et du Conseil du 24 novembre 2021 sur les gestionnaires de crédit et les acheteurs de crédits, et modifiant les directives 2008/48/CE et 2014/17/UE (ci-après la « directive 2021/2167 »). Selon l’Exposé des motifs du projet, l’objet principal de cette directive est de « créer un environnement propre à permettre aux établissements de crédit1 de traiter le problème des ‘prêts non performants’ 2 figurant à leur bilan, et de réduire le risque d’une accumulation future de nouveaux prêts de ce type ». Le législateur européen a en effet estimé important que si l’encours des prêts non performants d’un établissement de crédit devenait trop élevé, ce dernier devait être en mesure de vendre de tels prêts à d’autres opérateurs sur des marchés secondaires efficients, concurrentiels et transparents. La directive 2021/2167 vise ainsi à favoriser le développement dans l’Union européenne de marchés secondaires des prêts non performants, en supprimant les obstacles et en établissant des mesures de protection concernant le transfert de tels prêts par les établissements de crédits à des acheteurs de crédits, tout en protégeant les droits des emprunteurs. Dans cette optique, ce cadre européen requiert des gestionnaires de crédits3 qu’ils soient agréés et assujettis à la surveillance d’autorités compétentes nationales de leur Etat membre d’origine et imposent des obligations à charge desdits gestionnaires de crédit, des établissements de crédit et des acheteurs de crédit 4.
3. En Belgique, l’agrément des gestionnaires de crédit de droit belge est octroyé par l’Autorité des services et marchés financiers (FSMA). La demande et l’octroi d’un tel agrément entraîne des traitements de données à caractère personnel des personnes physiques qui sont gérants, administrateurs, membres du conseil de direction et du conseil de surveillance et délégués à la gestion journalière ou qui détiennent des participations qualifiées au sens de l’article 4, §1er, point 36) du règlement (UE) n° 575/20135 (ci-après « les personnes qui détiennent des participations qualifiées ») au sein du gestionnaire de crédit concerné. Les obligations incombant auxdits gestionnaires de crédit, aux établissement de crédits et aux acheteurs de crédit sont susceptibles d’engendrer également des traitements de données à caractère personnel concernant les acheteurs de crédit (ou les personnes qui sont membres de l’organe de direction ou d’administration) et les emprunteurs6.
4. Seules les dispositions de l’avant-projet suscitant des commentaires en termes de protection des données à caractère personnel sont analysées dans le cadre du présent avis.
II. EXAMEN DE LA DEMANDE D’AVIS
1. Articles 7 et 8 de l’avant-projet : conditions et procédure d’agrément
5. L’article 7 de l’avant-projet (qui vise à transposer fidèlement l’article 5 de la directive 2021/2167) liste les conditions d’agrément auxquelles un demandeur doit satisfaire pour se voir octroyer l’agrément en tant que gestionnaire de crédit de droit belge par la FSMA. Parmi celles-ci, figurent l’exigence selon laquelle les gérants, administrateurs, membres du conseil de direction et du conseil de surveillance et délégués à la gestion journalière doivent disposer en permanence de l’honorabilité professionnelle nécessaire à l’exercice de leur fonction.
Conformément à l’article 7, §1er, 2°, a), cette exigence d’honorabilité professionnelle est démontrée par le fait que les personnes précitées disposent d’un « casier judiciaire ou tout autre équivalent national vierge de toute infraction pénale pertinente, liée notamment à une atteinte aux biens, à des services et activités financiers, au blanchiment de capitaux, à l’usure, à la fraude, aux infractions fiscales, à la violation du secret professionnel ou à l’intégrité physique, ainsi que de toute autre violation relevant de la législation relative aux sociétés, à la faillite, à l’insolvabilité ou à la protection des consommateurs ».
De manière analogue, en vertu de l’article 7, §1er, 4° de l’avant-projet, les personnes qui détiennent des participations qualifiées au sein du gestionnaire de crédit doivent également démontrer le respect d’une condition d’honorabilité professionnelle suffisante, à l’aide d’un extrait du casier judiciaire.
6. L’article 8 de l’avant-projet (qui entend transposer fidèlement l’article 7 de la directive 2021/2167) concerne la procédure d’agrément des gestionnaires de crédit et décrit le contenu du dossier qui doit être transmis à la FSMA en vue de l’octroi de l’agrément. En vertu du paragraphe 2 de l’article 8 de l’avant-projet, le demandeur doit, pour introduire valablement sa demande d’agrément en qualité de gestionnaire de crédits, fournir les données à caractère personnel suivantes et ce, « Sans préjudice du droit de la FSMA de demander les informations complémentaires qu’elle juge nécessaires pour apprécier le dossier » :
• les données d’identification des gérants, administrateurs, membres du conseil de direction et du conseil de surveillance et des délégués à la gestion journalière du gestionnaire de crédit ainsi que des personnes qui détiennent des participations qualifiées, Avis 97/2024 - 5/20
• un « extrait de casier judiciaire destiné à des activités réglementées, qui ne remonte pas à plus de trois mois » pour chaque catégorie de personnes précitées, • une note explicative démontrant, « selon les modalités définies par la FSMA », l’honorabilité professionnelle visée, • une note explicative démontrant, « selon les modalités définies par la FSMA », que les gérants, administrateurs, membres du conseil de direction et du conseil de surveillance et des délégués à la gestion journalière du gestionnaire de crédit, disposent, ensemble, de l’expertise adéquate à l’exercice de leur fonction.
7. En l’état de l’avant-projet, la formulation de la partie de phrase (« Sans préjudice du droit de la FSMA de demander les informations complémentaires qu’elle juge nécessaires pour apprécier le dossier ») peut être interprétée comme donnant la possibilité à la FSMA de réclamer des informations totalement autres (non pertinentes) que celles énumérées dans l’avant-projet, ce qui peut poser question au regard du principe de minimisation des données. De plus, elle affecte la prévisibilité de l’avant-projet dans la mesure où cette partie de phrase peut être...