La Commission nationale de l'informatique et des libertés, 
 Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et notamment ses considérants n°s 49 à 52 et ses articles 18, 19 et 21 ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 24 (II), 69 (6°) et 69 (huitième alinéa) ;
 Vu la délibération n° 2004-096 du 9 décembre 2004 décidant la dispense de déclaration des traitements de gestion des rémunérations mis en œuvre par l'Etat, les collectivités locales, les établissements publics et les personnes morales de droit privé gérant un service public (dispense n° 1) ;
 Vu la délibération n° 2004-097 du 9 décembre 2004 décidant la dispense de déclaration des traitements de gestion des rémunérations mis en œuvre par les personnes morales de droit privé autres que celles gérant un service public (dispense n° 2) ;
 Vu la délibération n° 2005-002 du 13 janvier 2005 portant adoption d'une norme destinée à simplifier l'obligation de déclaration des traitements mis en œuvre par les organismes publics et privés pour la gestion de leurs personnels (norme simplifiée n° 46) ;
 Vu la délibération n° 2005-112 du 7 juin 2005 portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel relatifs à la gestion des fichiers de clients et de prospects (norme simplifiée n° 48) ;
 Après avoir entendu M. Didier Gasse, commissaire, en son rapport et Mme Elizabeth Rolin, commissaire du Gouvernement, en ses observations,
 Formule les observations suivantes :
 La commission constate que des entreprises et organismes, établis en dehors de l'Union européenne, font réaliser par des prestataires situés en France des traitements automatisés concernant la gestion de leurs employés ou leurs fichiers de clients et prospects. Les données personnelles relatives à leurs employés et leurs clients sont collectées hors de l'Union européenne. Ces entreprises, qui sont responsables de traitement au sens de l'article 3 de la loi du 6 janvier 1978, recourent à des moyens de traitement situés sur le territoire français et sont soumises à ce titre aux dispositions de la loi informatique et libertés, aux termes de son article 5.
 Dans le cadre des prestations réalisées, le responsable de traitement transfère des données à caractère personnel vers son prestataire en France puis ce prestataire, après traitement, retransmet ces données personnelles au responsable de traitement.
 Les traitements effectués en France par le prestataire concernent des données personnelles collectées hors de l'Union européenne sous l'autorité du responsable de traitement établi hors de l'Union européenne. Enfin, le transfert après traitement de ces données du prestataire vers le responsable de traitement hors de l'Union européenne présente un risque limité pour la vie privée des personnes concernées, puisqu'il s'agit d'un transfert en retour vers le pays d'origine.
 Compte tenu de ces éléments, la Commission estime qu'il y a lieu de faire application des dispositions de l'article 24 (II) de la loi du 6 janvier 1978 modifiée et de dispenser ces traitements de toute formalité déclarative préalable. Elle considère, en outre, que le transfert « en retour » des données vers le pays d'origine relève des exceptions prévues aux articles 69 (5°) et 69 (6°) de la loi précitée. Le transfert est en effet considéré comme nécessaire :
 ― à l'exécution d'un contrat entre le responsable du traitement et l'intéressé, ou de mesures précontractuelles prises à la demande de celui-ci ; ou
 ― à la conclusion ou à l'exécution d'un contrat conclu ou à conclure, dans l'intérêt de la personne concernée, entre le responsable du traitement et un tiers,
 Décide :
Le président,
A. Türk