La Commission nationale de l'informatique et des libertés,
Saisie d'une déclaration normale d'un traitement automatisé de données à caractère personnel dont la finalité principale est la "la centralisation des données clients et fournisseurs" mis en oeuvre par la succursale française de la société Mitsubishi Electric Europe.
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 2 ;
Vu la décision de la Commission européenne 2002/16/CE du 27 décembre 2001 relative aux clause contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers ;
Vu le contrat relatif au transfert de données à caractère personnel vers le Japon à l'occasion d'un contrat de sous-traitance entre la succursale française de la société Mitsubishi Electric Europe la société Mitsubishi Electric Information Network Corporation.
Après avoir entendu M. Georges de la Loyère, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le 2 novembre 2004, la succursale française de la société Mitsubishi Electric Europe a adressé à la Commission nationale de l'informatique et des libertés une déclaration normale relative à un traitement automatisé de données à caractère personnel ayant pour finalité "la centralisation des données clients et fournisseurs" enregistrée auprès de la CNIL sous le n° 1052437.
Il résulte de l'examen de ce dossier que le traitement fait l'objet d'un contrat de sous-traitance entre la succursale française de Mitsubishi Electric Europe et la société Mitsubishi Electric Information Network Corporation située au Japon.
Conformément à l'article 68 de la loi du 6 janvier 1978 modifiée, le responsable d'un traitement ne peut transférer des données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet.
Le Japon n'étant pas reconnu par la Commission européenne comme étant un Etat assurant un niveau de protection suffisant, le transfert de données par la société Mitsubishi Electric Europe dont dépend la succursale française Mitsubishi France ne peut être envisagé que dans les conditions prévues par l'article 69 de la loi du 6 janvier 1978 modifiée qui dispose qu'il peut être fait exception à l'interdiction prévue à l'article 68, par décision de la Commission nationale de l'informatique et des libertés, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l'objet.
A cet égard, il convient d'indiquer que la succursale française de Mitsubishi Electric Europe a conclu avec la société Mitsubishi Electric Information Network Corporation un contrat ayant pour objet de garantir un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes. Ce contrat qui a été adressé à la CNIL reprend les clauses contractuelles types issues de la décision de la Commission européenne 2002/16/CE du 27 décembre 2001 relative au transfert de données à caractère personnel vers les sous-traitants établis dans des pays tiers et apporte toutes les garanties nécessaires.
Les catégories de données à caractère personnel transférées dans le cadre de ce traitement seront relatives aux nom, prénom, fonction, titre des contacts chez les clients et fournisseurs.
La durée de conservation de ces données à caractère personnel par la société Mitsubishi Electric Information Network Corporation correspondra à la durée pendant laquelle les informations restent utiles à la société et en tout état de cause pour une période maximale de 10 ans.
Les mesures techniques et d'organisation liées à la sécurité des données mises en oeuvre par l'importateur de données sont satisfaisantes et reposent notamment sur la gestion des accès et sur la mise en oeuvre de systèmes de détection d'intrusion.
Autorise, dans ces conditions, le transfert des données à caractère personnel énumérées ci-dessus vers la société Mitsubishi Electric Information Network Corporation située au Japon, à des fins de stockage des données, dans le cadre de la centralisation des fichiers clients et fournisseurs.
Le président, Alex TURK.
