La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et résumées dans le tableau ci-dessous, la société EFFICO à mettre en œuvre des transferts de données personnelles hors de l’Union Européenne, vers un Etat qui n’assure pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes.
Le Président
Société responsable du transfert
EFFICO, filiale de BNP Paribas Personal Finance spécialisée dans le recouvrement de créances.
Finalité du transfert de données
Sous-traitance d’une partie de la gestion des contacts téléphoniques avec les débiteurs, qu’il s’agissent d’appels reçus par EFFICO (enregistrement des paiements et des promesses de règlement, mise en place de plans de remboursement, mise à jour des données relatives aux débiteurs, aux créances et aux contacts pris) ou d’appels émis (relance téléphonique des débiteurs en cas de non-respect du plan de remboursement, prise de contact après réception d’un courrier de contestation, information des débiteurs sur leur situation, déclenchement d’édition de courriers automatiques).
Catégories de données transférées
Les données concernent les débiteurs d’une créance dont la société EFFICO est chargée du recouvrement :
- données d’identification,
- situation de famille,
- adresse postale, numéro de téléphone,
- profession,
- situation économique et financière, engagements, moyens de paiement, contacts pris.
Destinataire du transfert
Les télé-opérateurs affectés à l’opération sur le centre d’appel et leurs responsables hiérarchiques du site d’exploitation, situé à l’Ile Maurice, du prestataire de service :
CCA International
26 rue Cambacérès
75008 PARIS
Pays d’établissement du destinataire du transfert
Ile Maurice
Service auprès duquel s’exerce le droit d’accès
Le Service Qualité d’EFFICO, 186, avenue de Grammont – 37000 TOURS.
Nature des garanties mises en œuvre par le sous-traitant pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Le contrat signé avec CCA International inclut les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Observations particulières
- Les données transférées sont consultables à partir des traitements automatisés d’EFFICO de gestion des dossiers de recouvrement de créances, dont les serveurs sont situés en France. Aucune donnée n’est conservées par le prestataire.
- Seuls des appels concernant les débiteurs qui ont été informés du transfert de données à l’Ile Maurice sont transmis à la plate-forme téléphonique située à l’Ile Maurice.
- La sélection des appels reçus transmis à l’Ile Maurice s’opère également au vu du numéro de téléphone appelant, en fonction du montant de la créance à recouvrer.
- Chaque télé-opérateur ne peut accéder qu’aux données de la fiche du débiteur concerné par l'appel en cours qui lui est personnellement attribué, qu’il s’agisse d’un appel reçu ou émis. Aucun destinataire du transfert ne dispose d’un accès à l'ensemble de la base d’EFFICO. La fiche du débiteur concerné par l’appel apparaît automatiquement à l’écran lorsque la communication est établie. En cas d’appels émis, le numéro de téléphone est composé directement par le système, sans être affiché.
- Des données personnelles ne pourront être communiquées au téléphone qu’après vérification que l’interlocuteur correspond au débiteur de la créance.