Délibération n°2008-386 du 6 novembre 2008 autorisant la mise en œuvre par HSBC Franceet les autres filiales du groupe HSBC situées en Franced’un transfert de données à caractère personnel hors de l’Union Européenne  (demande d’autorisation n° 1315021)
Nature: Autorisation de transfert

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69  ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et résumées dans le tableau ci-dessous, HSBC France et les autres filiales du groupe HSBC situées en France à mettre en œuvre des transferts de données personnelles hors de l’Union Européenne, vers des Etats qui n’assurent pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Sociétés responsables des transferts
HSBC France, HSBC Financial Products (France), HSBC CCF Securities (France) SA et HSBS Bank plc Paris Branch (succursale de la société-mère)
Finalités des transferts
1) Hébergement, duplication à des fins de sauvegarde et contrôle de la cohérence entre les demandes en matière de gestion des instruments financiers de la grande clientèle HSBC (établissements financiers, collectivités locales, fonds d’investissement) et les ordres afférents transmis par les salariés HSBC2) Développement informatique portant sur le logiciel GVS
Catégories de données transférées
- Sur les préposés de la grande clientèle HSBC : nom et prénom du contact, numéro de téléphone, adresse électronique, informations financières sur les produits et instruments gérés pour le client- Sur les salariés du groupe HSBC membres de l’équipe Valorisation Client : nom, prénom, fonction, identifiant, mot de passe, numéro de téléphone, adresse électronique.
Bénéficiaires des transferts de données
Les agents habilités au titre des finalités précitées, au sein des entités juridiques suivantes :1) Pour les finalités d’hébergement, de duplication et de contrôle de cohérence des données : - The Hong Kong and Shanghai Banking Corporation LTD,   1 Queen’s Road Central, Région administrative spéciale de Hong   Kong - HSBC Securites Inc, 452 Fifth Avenue, New York2) Pour les opérations de développement informatique :- The Hong Kong and Shanghai Banking Corporation LTD,  1 Queen’s Road Central,  Région administrative spéciale de Hong  Kong- HSBC Technology & Services, 1 W 39th Street, New York- HSBC Software Development Brazil, R Comendador Araujo,   Centro, Curitiba, Parana- HSBC Software Development, HSBC Centre Riverside West   Avenue, 25B Kalyani Nagar, Pune, Maharashtra
Pays d’établissementdes bénéficiaires des transferts
Chine, Etats-Unis, Brésil et Inde.
Service auprès duquel s’exerce le droit d’accès
L’agence de la banque qui aura recueilli les données personnelles.
Garanties mises en œuvre par les bénéficiaires des transferts pour assurer un niveau de protection suffisant aux données transférées
Les contrats passés avec les sous-traitants incluent les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Observations particulières
- Les données relatives aux opérations sont conservées pendant deux ans à compter de la transaction, puis archivées cinq ans en application de la réglementation boursière américaine applicable à la société mère HSBC Holding, de la loi n° 2005-811 du 20 juillet 2005 sur la transparence des marchés financiers et du règlement général de l’AMF sur la conservation des données relatives aux transactions, afin de se prémunir contre tout échange d’informations privilégiées.- Les données relatives aux clients sont conservées pendant la durée de la relation, avant d’être également archivées pendant cinq années supplémentaires.- Le comité d’entreprise de HSBC France sera informé du transfert de données relatives aux salariés de la société.
Le Président 
Alex TURK