Délibération n°2009-080 du 29 janvier 2009 autorisant la mise en œuvre par HSBC France de transferts de données à caractère personnelhors de l’Union Européenne  (autorisation n°1315023)
Nature: Autorisation de transfert

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et résumées dans le tableau ci-dessous, HSBC France à mettre en œuvre des transferts de données personnelles hors de l’Union Européenne, vers des Etats qui n’assurent pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Société responsable des transferts
HSBC France
Finalités des transferts
1° Créer deux équipes internationales pour le suivi de l’activité commerciale du groupe HSBC à l’égard, d’une part, de la grande clientèle, d’autre part, des activités de marchés (global market), afin d’accompagner les grandes entreprises et les institutionnels français dans leurs projets internationaux, de faciliter la résolution de dossiers souvent complexes, d’optimiser la négociation des emprunts d’Etat et l’arrangement des appels au marché des entreprises et de trouver des solutions de financement et d’investissement adaptées, en s’appuyant sur une coordination permanente entre les équipes spécialisées du groupe qui sont implantées dans un grand nombre de pays.2° Assurer les opérations de contrôle de l’intégrité, de maintenance de gestion et les autres opérations informatiques portant sur les données partagées dans le cadre de la mise en place des équipes internationales précitées.3° Héberger et sauvegarder les données traitées dans le cadre des activités de marchés (global market).
Catégories de données transférées
Sur les clients : nom, adresse, secteur d’activité de la personne morale ; identité, fonction, adresses et numéros de téléphone professionnels des contacts client ; opérations en cours ou réalisées ; données liées à la MiFID ; informations financières.Sur les salariés de HSBC membres des équipes internationales précitées : identité, fonction, adresses et numéros de téléphone professionnels.
Bénéficiaires des transferts de données
1° Les personnels habilités membres des deux équipes internationales susmentionnées qui font partie des entités du groupe HSBC implantées en Australie, à Bahreïn, au Bangladesh, aux Bermudes, au Brésil, à Brunei, au Chili, en Chine, notamment dans les régions administratives spéciales de Hong Kong et de Macao, en Egypte, en Inde, en Indonésie, en Israël, au Japon, en Jordanie, au Kazakhstan, en Corée du Sud, à Koweït, au Liban, en Malaisie, à l’Ile Maurice, au Mexique, en Nouvelle Zélande, à Oman, au Pakistan, au Panama, au Pérou, aux Philippines, à Qatar, en Russie, en Arabie Saoudite, à Singapour, en Afrique du Sud, au Sri Lanka, à Taiwan, en Thaïlande, en Turquie, aux Emirats Arabes Unis, aux Etats-Unis, en Uruguay et au Vietnam.2° Les personnels habilités des entités du groupe HSBC chargés des développements informatiques et des opérations de maintenance et de contrôle d’intégrité, situées en Inde. 3° Les personnels habilités des entités du groupe HSBC situées en Australie, au Brésil, en Chine et aux Etats-Unis.
Service auprès duquel s’exerce le droit d’accès
Le Secrétariat général de la banque de grande clientèle et global market de HSBC France.
Garanties mises en œuvre par les bénéficiaires des transferts pour assurer un niveau de protection suffisant aux données transférées
1° Signature des clauses types adoptées par la Commission européenne dans sa décision du 27 décembre 2004, qui encadrent les transferts de données personnelles de responsable de traitement à responsable de traitement.2° et 3° Signature des clauses contractuelles types adoptées par la Commission européenne dans sa décision du 27 décembre 2001 pour le transfert de données vers des sous-traitants établis dans les pays tiers. 
Observations particulières
- Les clients concernés bénéficient d’une information individuelle par courrier. Les personnels de HSBC France sont informés par l’Intranet.- Les données sont conservées pendant deux ans, puis archivées cinq ans en application de la réglementation boursière américaine applicable à la société mère HSBC Holding, de la loi n° 2005-811 du 20 juillet 2005 sur la transparence des marchés financiers et du règlement général de l’AMF sur la conservation des données relatives aux transactions, afin de se prémunir contre tout échange d’informations privilégiées.
Le Président 
Alex TURK