Délibération n°2008-271 du 17 juillet 2008 autorisant  la mise en oeuvre par HSBC France, HSBC UBP et HSBC Picardie   d’un transfert de données à caractère personnel hors de l’Union Européenne  (dossier n° 1268104)
Nature: Autorisation de transfert

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Philippe NOGRIX, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, les établissements de crédit HSBC France, HSBC UBP et HSBC Picardie à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Sociétés responsables des transferts
HSBC France, HSBC UBP et HSBC Picardie
Finalités des transferts de données
1° Sous-traitance aux fins d’hébergement provisoire (10 jours maximum début 2009) des données relatives à la gestion des comptes clients2° Sous-traitance des opérations de saisie des ouvertures, modifications et clôture des comptes des clients.
Catégories de données transférées
Pour les clients : nom, prénom, numéro de pièce d’identité, date et lieu de naissance, situation familiale, signature, fonction, dénomination sociale, forme juridique, n° SIREN, n° RCS, numéro de client, numéro de compte, numéro de carte bancaire, adresses, numéros de téléphone, fax, note Bâle II, budget annuel, chiffre d’affaires, produits détenus, opérations récurrentes
Pour les non-clients : nom, prénom, numéro de pièce d’identité, date et lieu de naissance, situation familiale, fonction, signature, numéro de tiers / prospect, adresses, numéros de téléphone, fax
Pour les salariés : nom, prénom, signature, fonction, matricule, code agence
Destinataires des transferts
Les agents habilités des sous-traitant :1° The Hongkong and Shanghai Banking Corporation Limited 2° HSBC Electronic Data Processing (private) Limited India
Pays d’établissement des destinataires des transferts
1° Chine (région administrative spéciale de Hongkong)2° Inde
Service auprès duquel s’exerce le droit d’accès
L’agence de la banque qui aura recueilli les données personnelles.
Nature des garanties mises en œuvre par le sous-traitant pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat avec chaque sous-traitant incluant les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Le Président 
Alex TURK