Délibération n°2009-688 du 10 décembre 2009 autorisant la mise en œuvre par la Société Générale d’un transfert de données à caractère personnel hors de l’Union Européenne (autorisation n°1366217)
Nature: Autorisation de transfert

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération n°2009- 475 du 23 juillet 2009 ;
Sur le rapport de M. Didier Gasse, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la Société Générale à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du transfert
SOCIETE GENERALE
Finalités du transfert
Maintenance informatique et assistance technique – rationalisation et optimisation de la gestion du parc d’applications informatiques Le transfert de données concerne les applications mises en œuvre par le déclarant ayant pour finalité la gestion des opérations de banque et opérations connexes et préalablement déclarées à la CNIL (principalement gestion clients, gestion des comptes bancaires, produits et prestations, gestion des moyens de paiement, contrats, sûretés, contreparties dans des opérations de paiement, déclarations réglementaires, pilotage des risques, gestion des fournisseurs). 
Catégories de données transférées
Les données à caractère personnel objet du transfert sont susceptibles de concerner les agents de la Société Générale, les personnes physiques rattachées ou non à une personne morale dans le cadre de la gestion de la relation fournisseur ou de la relation client, les contreparties dans une opération ou les intervenants dans un contrat ainsi que les prospects. Les catégories de données transférées sont celles visées dans les différents traitements mis en œuvre par la Société Générale et déclarés à la CNIL (principalement données d’identification – situation familiale – formation, diplômes, distinctions – adresse, caractéristiques du logement – vie professionnelle – situation économique et financière – moyens de déplacement des personnes – utilisation des médias et moyens de communication). 
Bénéficiaires des transferts de données
Les agents habilités des sociétés prestataires de services techniques opérant sur instruction de la Société générale pour les seuls besoins de la réalisation des opérations de maintenance informatique et d’assistance technique. 
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Pour les agents de la Société Générale : la direction des ressources humaines Pour les clients/prospects et autres tiers : agence/service en charge de la relation bancaire.Pour les fournisseurs/prestataires : service ayant passé la commande ou point de contact indiqué dans le contrat de prestation.
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées 
Contrats signés avec chacune des sociétés prestataires de services incluant les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 (décision 2002/16/CE de la Commission Européenne du 27 décembre 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE)
Divers 
La présente délibération annule et remplace la délibération n° 2009-475 du 23 juillet 2009. 
Le Président, 
Alex TURK