Délibération n°2009-141 du 26 février 2009 autorisant  la mise en œuvre par le Crédit Foncier d’un transfert de données  à caractère personnel hors de l’Union Européenne  (autorisation n°1333993)
Nature: Autorisation de transfert

La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Georges de LA LOYERE, commissaire, et les observations de  Mme Catherine POZZO DI BORGO, commissaire adjointe du gouvernement  ;
Autorise, dans les conditions définies dans le dossier et résumées dans le tableau ci-dessous, le Crédit Foncier à mettre en œuvre un transfert de données personnelles hors de l’Union Européenne, vers un Etat qui n’assure pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes.
Société responsable du transfert
Crédit Foncier
Finalité du transfert de données
Sous-traitance pendant trois ans d’une base des entreprises clientes et des infrastructures informatiques correspondantes dans le cadre de la mise en œuvre d’une gestion de la relation client (GRC). 
Catégories de données transférées
Nom, prénom, adresse électronique, numéro de téléphone et adresse professionnelle des interlocuteurs dans les entreprises clientes.
Destinataires du transfert
Les administrateurs de la base de données de Oracle International, agissant en qualité de sous-traitant.
Pays d’établissement des destinataires du transfert
Etats-Unis
Service auprès duquel s’exerce le droit d’accès
Le pôle Corporate / DARO CNIL du Crédit Foncier
Garanties mises en œuvre par le sous-traitant pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Le contrat signé avec le sous-traitant, Oracle International, inclura les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Observations particulières
- Aucun traitement ne doit être effectué chez le sous-traitant, qui n’intervient qu’en qualité d’hébergeur.- Les données sont conservées pendant trois ans, sous réserve de la mise à jour des données.- Les clients sont informés par voie téléphonique lors d’un contact et par la mise à leur disposition d’une notice.- Le dispositif de sauvegarde et de back-up est régulièrement audité.
Le Président 
Alex TURK