Délibération n°2008-013 du 22 janvier 2008 autorisant la mise en oeuvre par la société GAP FRANCE SAS d’un transfert de données à caractère personnel hors de l’Union Européenne au titre de la gestion des salariés (Dossier n°1265177 V1)
Nature: Autorisation de transfert

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société GAP France SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
GAP France SAS
Finalité du transfert
Finalité du traitement principal : 
Paie et administration du personnel
Hébergement, conservation et maintenance des données
Gestion et administration de la formation intragroupe des salariés de GAP, en France et hors de France
Gestion des stock options des salariés de GAP, en France et hors de France
Réalisation de reporting aux responsables des ressources humaines de GAP Inc, études et analyses sur la composition, la structure, les évolutions des profils et carrières et les rémunérations au sein du Groupe GAP
Finalité du transfert : 
Hébergement, conservation et maintenance des données
Gestion et administration de la formation intragroupe des salariés de GAP, en France et hors de France
Gestion des stock options des salariés de GAP, en France et hors de France
Réalisation de reporting aux responsables des ressources humaines de GAP Inc, études et analyses sur la composition, la structure, les évolutions des profils et carrières et les rémunérations au sein du Groupe GAP
Catégories de données transférées
Sont transférées aux seules fins d’hébergement et de conservation des données :
Nom et prénom, nom de jeune fille, sexe, date de naissance, lieu de naissance, nationalité, carte de séjour et de travail, date d’expiration de la carte de séjour et de travail
Numéro de sécurité sociale
Situation familiale, célibataire marié(e), divorcé(e), séparé(e), nombre d’enfants à charge ou non, date de naissance, nom prénom et téléphone des personnes à prévenir en cas d’urgence
Formation, numéro de carte d’étudiant et date d’expiration
Adresse du logement
Type de contrat (temps plein, temps partiel, CDI, CDD, motif recours CDD), date début et fin du contrat de travail, date début et fin du préavis, lieu affectation salarié, matricule, code emploi, heures contractées, nombre de jours travaillés par jour, salaires, bonus, primes, primes de transport, coordonnées bancaires ou mention de l’inexistence d’un compte bancaire, formations effectuées, en cours, ou future, date des formations, évaluations, droit au DIF, code contrat passé par l’employeur avec l’organisme mutuel, saisie sur salaires (date de début et de fin, montant)
Nom et prénom, sexe, date et lieu de naissance, nationalité
Etat marital
Matricule, type de contrat (temps plein, temps partiel, CDI, CDD, motif recours CDD), date début et fin du contrat de travail, date début et fin du préavis, lieu affectation, formations effectuées, en cours, ou future, date des formations, code emploi
Concernant les autres finalités du transfert (gestion et administration de la formation, gestion des stock options, analyse et reporting de la rémunération), sont transférés :
Nom et prénom, nom de jeune fille, sexe, date de naissance, lieu de naissance, nationalité, carte de séjour et de travail, date d’expiration de la carte de séjour et de travail
Numéro de sécurité sociale
Situation familiale, célibataire marié(e), divorcé(e), séparé(e), nombre d’enfants à charge ou non, date de naissance, nom prénom et téléphone des personnes à prévenir en cas d’urgence
Formation, numéro de carte d’étudiant et date d’expiration
Adresse du logement
Type de contrat (temps plein, temps partiel, CDI, CDD, motif recours CDD), date début et fin du contrat de travail, date début et fin du préavis, lieu affectation salarié, matricule, code emploi, heures contractées, nombre de jours travaillés par jour, salaires, bonus, primes, primes de transport, coordonnées bancaires ou mention de l’inexistence d’un compte bancaire, formations effectuées, en cours, ou future, date des formations, évaluations, droit au DIF, code contrat passé par l’employeur avec l’organisme mutuel, saisie sur salaires (date de début et de fin, montant)
Nom et prénom, sexe, date et lieu de naissance, nationalité
Etat marital
Matricule, type de contrat (temps plein, temps partiel, CDI, CDD, motif recours CDD), date début et fin du contrat de travail, date début et fin du préavis, lieu affectation, formations effectuées, en cours, ou future, date des formations, code emploi
Identité(s) du(des) destinataire(s)
Concernant l’hébergement, la conservation, et la maintenance des données seuls les personnes habilitées du Service informatique de GAP Inc sont destinataires des données. Concernant les autres finalités du transfert (gestion et administration de la formation, gestion des stock options, analyse et reporting de la rémunération) : les personnes habilitées du Service ressources Humaines GAP Inc.Seule GAP France utilisera le numéro de sécurité sociale dans la limite autorisée par le décret n°1404 du 27 décembre 1991.
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
GAP France SASService des ressources humaines9, avenue Matignon75008 Paris
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant s’agissant de l’hébergement, la conservation, et la maintenance des données des salariés.Clauses contractuelles européennes issues de la décision 2001/497/CE de la Commission européenne du 15 juin 2001 concernant les transferts de responsables de traitement à responsable de traitement s’agissant des autres finalités du transfert (gestion et administration de la formation, gestion des stock options, analyse et reporting de la rémunération).
Le Président 
Alex TURK