Délibération n°2009-253 du 7 mai 2009 autorisant le transfert par la Banque Accord de données à caractère personnel hors de l’Union Européenne (autorisation n°784025V7)
Nature: Autorisation de transfert

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement;
Autorise, dans les conditions définies dans le dossier et résumées dans le tableau ci-dessous, Banque Accord à mettre en œuvre des transferts de données à caractère personnel hors de l’Union Européenne, vers un Etat qui n’assure pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Société responsable des transferts
Banque Accord
Finalités des transferts
Sous-traiter la gestion d’une partie de la relation avec les clients :- l’indexation de certains types de courriers adressés par les clients (contrats souscrits en magasin, changements de domicile, de numéro de téléphone ou de coordonnées bancaires), reçus sous forme numérisée, et leur prise en compte aux fins de mise à jour de la base clients;- la vérification, notamment au vue des pièces justificatives fournies, des dossiers de demande de souscription aux produits et services de Banque Accord, qui est informée de la présence d’anomalies.
Catégories de données transférées au sous-traitant ou saisies par lui
Le sous-traitant doit être en mesure d’accéder à l’ensemble des données des clients concernés susceptibles de lui être utiles:- leurs noms, prénoms, civilité, date et lieu de naissance, nationalité,- leurs adresses postale et électronique, numéros de téléphone des personnes à contacter (domicile, fixe, professionnel), situation de logement, ancienneté dans le logement, type d’habitation, pays de résidence fiscale,- leur situation familiale, le nombre d’enfants, leur régime matrimonial,- les numéros de client, de dossier et de contrat, l’acceptation ou non des communications par voie électronique, l’exercice du droit d’opposition,- leurs profession, secteur d’activité, catégorie socio-professionnelle, ancienneté professionnelle, statut de l’emploi, les coordonnées de l’employeur,- leurs type et montant des charges et des revenus, coordonnées bancaires, nombre et type de cartes bancaires détenues, - l’origine de leurs demandes de produit, la nature des comptes ouverts, la date de fin de validité des cartes du réseau, la situation et les règles de fonctionnement des comptes, l’historique des opérations réalisées, les incidents de paiement et leurs conséquences, la nature et l’objet des derniers contacts avec le client.
Bénéficiaire des transferts de données
Les agents habilités de la société de service de droit marocain, Fedaso SA, située à Fès, 28 avenue Ibn Khattib, route d’Imouzzer, en qualité de sous-traitant de Xerox Global Services, lui-même sous-traitant de Banque Accord.
Pays d’établissement du bénéficiaire des transferts
Maroc
Service auprès duquel s’exerce le droit d’accès
Le service Consommateurs de Banque Accord
Garantie mise en œuvre pour assurer un niveau de protection suffisant aux données transférées
Signature avec Xerox Global Services, Xerox General Services  et Fedaso SA d’un contrat déterminant les conditions dans lesquelles Fedaso SA pourra accéder aux données personnelles et incluant les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Observations particulières
- Les supports des images numérisées des courriers consultés par les agents habilités de Fedaso, sont supprimés après leur traitement. Les données d’indexation correspondantes ne sont plus accessibles.- L’accès de Fedaso à la base de banque accord s’effectue par l’intermédiaire d’un VPN.- Les clients sont informés de l’existence de flux transfrontières de données vers le Maroc au moment de la signature de l’offre préalable de crédit ou l’ont déjà été via leurs relevés de compte.
Le Président,
Alex TURK