Délibération n °2007-319 du 25 octobre 2007 autorisant la mise en œuvre par HSBC France d’un transfert de données à caractère personnel hors de l’Union Européenne  (demande d’autorisation n° 1109900 V3)
Nature: Autorisation de transfert

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69  ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Philippe NOGRIX, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du Gouvernement ;
Autorise, dans les conditions figurant dans le tableau ci-dessous, HSBC France à mettre en œuvre des transferts de données personnelles hors de l’Union Européenne, vers des Etats qui n’assurent pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Société responsable du transfert
HSBC France
Finalité du transfert
Mise en place d’un outil de communication à usage strictement professionnel, destinée à la communication des bonnes pratiques internes et des tendances de marché et fonctionnant sur la base d’un forum de discussion et d’une messagerie électronique.
Catégories de données transférées
Elles se rapportent aux vendeurs, analystes et traders de HSBC France et des autres entités du groupe HSBC :- nom, prénom, fonctions, département, entité du groupe HSBC, numéro de téléphone,- adresse électronique, login, mot de passe, données de connexion, contenu des messages transmis (à l’exclusion de toute information confidentielle ou couverte par le secret professionnel ou n’ayant aucun caractère professionnel).
Bénéficiaires des transferts de données (destinataires, prestataires)
- Les données sont pour partie traitées en qualité de sous-traitant par HSBC Bank USA NA.- Les données peuvent être consultées via un Intranet sécurisé par les personnels du service de la conformité et les utilisateurs de la messagerie des sociétés du groupe HSBC qui sont implantées aux Etats-Unis, au Mexique, aux Bermudes, au Brésil, au Japon, en Chine, notamment dans la région administrative spéciale de Hong Kong, en Corée du Sud, à Taiwan, aux Philippines, en Indonésie, en Australie, en Malaisie, à Singapour, en Thaïlande, en Inde, aux Emirats Arabes Unis, en Israël, en Egypte, en Turquie et en Afrique du Sud.
Service auprès duquel s’exerce le droit d’accès
Le droit d’accès s’exerce auprès du responsable local de la Conformité.
Garanties mises en œuvre par les bénéficiaires des transferts pour assurer un niveau de protection suffisant aux données transférées
- Signature avec HSBC Bank USA NA d’un contrat conforme aux clauses contractuelles types adoptées par la Commission européenne dans sa décision du 27 décembre 2001 pour le transfert de données vers des sous-traitants établis dans les pays tiers.- Signature avec chacun des destinataires susvisés d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 27 décembre 2004. 
Observations particulières
- Les données transmises et les données de connexion sont pour partie sauvegardées par HSBC Bank USA NA en qualité de sous-traitant. Elles y sont conservées pendant deux ans, puis archivées cinq ans en application de la réglementation boursière américaine applicable à la société mère HSBC Holding, de la loi n° 2005-811 du 20 juillet 2005 sur la transparence des marchés financiers et du règlement général de l’AMF sur la conservation des données relatives aux transactions, afin de se prémunir contre tout échange d’informations privilégiées.- Les login et mots de passe sont accessibles par le seul département informatique de l’entité du groupe HSBC située au Royaume-Uni qui assure la gestion de l’utilisation de la messagerie.
- Le comité d’entreprise de HSBC France sera informé du transfert de données relatives aux salariés de la société.
Le Président 
Alex TURK