Comment la FSMA traitera-t-elle les données personnelles collectées dans le cadre d’une plainte relative au serment bancaire ?

La réponse ci-dessous ne concerne que le traitement des données à caractère personnel du plaignant ou d’autres personnes mentionnées dans la plainte, à l'exception du prestataire de services bancaires (des informations sur le traitement des données à caractère personnel du prestataire de services bancaires sont disponibles dans la Politique Vie Privée dédiée aux prestataires de services bancaires).

Si, en tant que plaignant, vous déposez plainte pour une autre personne (voir ci‑dessous pour plus d'explications), veuillez lui communiquer les informations suivantes.

Dans quel but et en vertu de quelle base légale la FSMA traite-t-elle les données à caractère personnel ? – En tant que responsable du traitement des données, la FSMA traite les données à caractère personnel fournies dans le formulaire de plainte pour la réception, l’examen et le suivi de la plainte, y compris leur utilisation dans une procédure disciplinaire que la FSMA serait susceptible d’engager à l'encontre d'un prestataire de services bancaires à la suite de la plainte.

Ce traitement de données à caractère personnel est nécessaire à l'exécution des missions d'intérêt général assignées à la FSMA par la législation relative au serment bancaire. La FSMA s’est plus précisément vu confier entre autres missions celle de mettre en place un canal de de plaintes concernant le respect par les prestataires de services bancaires (i) de l’obligation de prêter serment et (ii) des règles de conduite individuelles.
De qui la FSMA traite-t-elle les données à caractère personnel ? – Partant du formulaire de plainte, la FSMA traite les données à caractère personnel de différentes catégories de parties prenantes :
- Le plaignant – La FSMA traite les données à caractère personnel de la personne (individu) qui dépose une plainte par le biais du formulaire de plainte et communique volontairement ses coordonnées.
  - Plainte anonyme – le plaignant peut toutefois choisir d’introduire la plainte de manière anonyme. La FSMA ne traite alors évidemment pas les données à caractère personnel du plaignant, mais elle n'aura malheureusement pas la possibilité de le contacter pour lui poser des questions ou lui demander des clarifications par rapport à la plainte déposée. La FSMA pourrait dès lors se trouver dans l'incapacité de poursuivre l’examen de la plainte déposée par manque d'informations.
  - Dépôt de plainte par une personne morale – il se peut aussi que la plainte auprès de la FSMA ne soit pas introduite par une personne physique mais par une personne morale. Les données de cette dernière ne constituent pas des données à caractère personnel. Dans ce cas, la FSMA traite les données à caractère personnel de la personne de contact au sein de la personne morale si ces données ont été communiquées volontairement dans le formulaire de plainte.
- Le prestataire de services bancaires – S’appuyant sur le formulaire de plainte, la FSMA traite les données à caractère personnel du prestataire de services bancaires qui fait l’objet de la plainte. Comme indiqué plus haut, le traitement réservé à ces données à caractère personnel est détaillé dans la Politique Vie Privée dédiée aux prestataires de services bancaires.
- Autres personnes mentionnées dans la plainte – Enfin, la FSMA traite les données à caractère personnel d’éventuelles autres personnes (individus) mentionnées dans la description des faits, dans les autres informations pertinentes fournies ou dans les éléments de preuve joints à la plainte. Il peut par exemple s’agir de témoins ou de personnes disposant d'informations utiles sur les faits faisant l'objet de la plainte. Ce sera également souvent le cas si le plaignant dépose plainte pour une autre personne.
  - Plainte pour une autre personne – Un plaignant dépose généralement une plainte qui le concerne lui-même. Il se peut toutefois aussi qu'un plaignant dépose une plainte pour une autre personne, dont l'identité est mentionnée dans la description des faits, dans les autres informations pertinentes fournies ou dans les éléments de preuve joints à la plainte. Dans ce cas, la FSMA part du principe que le plaignant a déposé la plainte en concertation avec cette autre personne et l'a informée du contenu des présentes FAQ.
Quelles données à caractère personnel la FSMA traite-t-elle ?
- Les données à caractère personnel du plaignant (à moins que la plainte ne soit introduite de manière anonyme) – La FSMA traite en principe les données à caractère personnel suivantes du plaignant (ou de sa personne de contact s’il est une personne morale) :
  - données d’identification (prénom et nom) ;
  - coordonnées (numéro(s) de téléphone et/ou adresse électronique) afin que la FSMA puisse prendre contact avec le plaignant pour d’éventuelles questions ;
  - le cas échéant, d’autres données à caractère personnel du plaignant apparaissant dans la description des faits, dans les autres informations pertinentes fournies ou dans les éléments de preuve joints à la plainte.
- Les données à caractère personnel d’autres personnes mentionnées dans la plainte – La FSMA traite les données à caractère personnel concernant ces personnes (dont éventuellement les personnes pour lesquelles la plainte est introduite) qui figurent dans la rubrique description des faits du formulaire de plainte, dans les autres informations pertinentes ou dans les éléments de preuve joints à la plainte.
  
  Dans un premier temps, la FSMA reçoit toujours les données à caractère personnel précitées par l'intermédiaire de la personne qui dépose la plainte. Si la FSMA ouvre une enquête disciplinaire, elle peut toutefois également recevoir des données à caractère personnel supplémentaires par le biais d'autres personnes, telles que le prestataire de services bancaires concerné, des témoins ou l'entité visée au sein de laquelle le prestataire de services bancaires est/était actif.
Avec qui la FSMA peut-elle partager des données à caractère personnel ? – La FSMA ne partage les données à caractère personnel qu’elle a collectées avec des tiers que si cela est nécessaire à l'accomplissement de sa mission légale. C’est notamment le cas dans les situations suivantes :
- Lorsqu’une plainte donne lieu à une enquête disciplinaire, il peut être nécessaire de partager certaines données à caractère personnel avec le prestataire de services bancaires (afin qu’il puisse exercer ses droits à la défense) ou avec d’autres tiers, tels par exemple que l’entité visée au sein de laquelle le prestataire de services bancaires est/était actif ou des témoins entendus dans le cadre de l’enquête.
- Lorsqu’une plainte donne lieu à une enquête disciplinaire et que l’auditeur (adjoint) conclut qu’un prestataire de services bancaires, soumis à des exigences légales en matière d’expertise et d'honorabilité professionnelle au sein d'un établissement de crédit, a manqué à son devoir de prestation de serment ou a violé certaines règles de conduite individuelles, la FSMA est tenue d’en informer la BNB ou, le cas échéant, à l'autorité de contrôle prudentiel compétente d'un autre État membre. La FSMA est alors légalement tenue de joindre une copie des pièces du dossier à sa notification et il se peut donc que la FSMA partage des données à caractère personnel avec ces autorités de contrôle.
- Lorsqu’une plainte amène la FSMA à prendre une décision disciplinaire débouchant sur une procédure judiciaire (telle qu’un appel contre la décision disciplinaire porté devant le Conseil d’État), des données à caractère personnel peuvent être partagées avec les instances judiciaires compétentes.
  
  Des informations plus générales concernant les cas dans lesquels la FSMA partage des données à caractère personnel avec des tiers sont disponibles dans la Politique Vie Privée générale de la FSMA (rubrique « Avec qui partageons-nous vos données à caractère personnel ? »).
Combien de temps la FSMA conserve-t-elle les données à caractère personnel ? – Les plaintes sont en principe conservées dans le dossier de plainte pendant 5 ans à compter de leur dépôt. Une plainte peut toutefois être conservée plus longtemps dans le dossier disciplinaire si la FSMA décide d'engager une procédure disciplinaire à la suite de la plainte. La FSMA est en outre soumise à la législation en matière d'archivage, qui l'oblige à conserver des informations encore par après à des fins d'archivage (avec des mesures de protection adéquates).
Comment les parties prenantes peuvent-elles exercer leurs droits ? – Les parties prenantes disposent d’une série de droits liés à leurs données à caractère personnel. De plus amples explications sur ces droits et sur la manière dont ils peuvent être exercés sont fournies dans la Politique Vie Privée générale de la FSMA (rubrique « Quels sont vos droits et comment pouvez-vous les exercer ? »). Y figurent également des renseignements sur la façon dont le Data Protection Officer peut être contacté pour toute question ou plainte concernant le traitement de données à caractère personnel (rubrique « Comment pouvez-vous nous contacter ? »). Toute personne estimant que ses droits n’ont pas été respectés peut à tout moment introduire une plainte auprès de l’Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles, adresse électronique : contact@apd-gba.be (voir également le site https://www.autoriteprotectiondonnees.be).
Autres informations ? – Il est également renvoyé à la Politique Vie Privée générale de la FSMA pour toute autre information sur le traitement de données à caractère personnel dans le cadre de la politique actuelle de traitement des plaintes, et en particulier sur la manière dont la FSMA protège les données à caractère personnel et sur la question de savoir si des données à caractère personnel sont traitées en dehors de l'Espace économique européen.