Secret professionnel
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
Secret professionnel
1. Toute information confidentielle reçue, échangée ou transmise en vertu du présent règlement est soumise aux conditions relatives à l’obligation de secret professionnel énoncées au paragraphe 2.
2. L’obligation de secret professionnel s’applique à toutes les personnes qui travaillent, ou ont travaillé, pour les autorités compétentes en vertu du présent règlement, ou pour toute autorité, entreprise de marché ou personne physique ou morale à laquelle ces autorités compétentes ont délégué leurs pouvoirs, y compris les auditeurs et les experts qu’elles ont mandatés.
3. Les informations couvertes par le secret professionnel, y compris l’échange d’informations entre les autorités compétentes relevant du présent règlement et les autorités compétentes désignées ou établies conformément à la directive (UE) 2022/2555, ne peuvent être divulguées à quelque autre personne ou autorité que ce soit, sauf en vertu de dispositions du droit de l’Union ou du droit national.
4. Toutes les informations que s’échangent les autorités compétentes au titre du présent règlement au sujet des conditions commerciales ou opérationnelles et d’autres questions économiques ou personnelles sont considérées comme confidentielles et sont soumises aux exigences du secret professionnel, sauf si l’autorité compétente précise, au moment où elle les communique, qu’elles peuvent être divulguées, ou si cette divulgation est nécessaire aux fins d’une procédure judiciaire.
Au Luxembourg, le secret professionnel des autorités compétentes au sens de l'article 55 DORA s'articule avec le secret professionnel bancaire de l'article 41 de la loi du 5 avril 1993 relative au secteur financier, qui s'applique à la CSSF elle-même et à ses agents. La loi du 17 mai 2024 portant transposition et mise en œuvre de DORA précise que la CSSF peut échanger avec l'ILR (autorité NIS 2 nationale) et avec le CERT gouvernemental sans rompre le secret, mais que toute transmission à un tiers non régulateur reste soumise à l'article 41 LSF.
Pratique Luxgap : exigez systématiquement de vos prestataires TIC une clause contractuelle reconnaissant que toute information remontée à la CSSF au titre de DORA est couverte par l'article 41 LSF, ce qui bloque toute action en responsabilité de leur part pour violation de confidentialité commerciale.
