Search Form Portlet
g-docweb-display Portlet
Clausole contrattuali tipo e trasferimento dei dati all’estero tramite responsabile stabilito in UE
- Autore:
- Garante per la protezione dei dati personali
- Doc-Web:
- 2191156
- Data:
- 15/11/12
- Argomenti:
- Trasferimento dati all'estero
- Tipologia:
- Prescrizioni del Garante
DOCUMENTI CITATI
VEDI ANCHE (10)
- WP 95 - Parere 6/2004 Sull'attuazione della decisione della Commissione (14-V-2004) relativa alla tutela adeguata dei dati personali contenuti nei...
- Il sistema Eurodac - 29 maggio 2008 [1537606]
- WP 78 - Parere 4/2003 sul livello di protezione assicurato negli Stati Uniti per quanto riguarda la trasmissione di dati relativi ai passeggeri - ...
- WP 66 - Parere 6/2002 relativo alla trasmissione da parte delle compagnie aeree d'informazioni sugli elenchi dei passeggeri e di altri dati agli S...
- WP 94 - Settimo Rapporto sulla protezione riguardante la protezione degli individui nel trasferimento dei dati personali nell'UE e nei paesi Terzi...
- WP 138 - Parere 5/2007 relativo al nuovo accordo tra l'Unione europea e gliStati Uniti d'America sul trattamento e sul trasferimento dei dati del ...
- WP 114 - Documento di lavoro su un'interpretazione comune dell'articolo 26, paragrafo 1 della direttiva 95/46/CE del 24 ottobre 1995 - 25 novembre...
- WP 103 - Parere 1/2005 sul livello di protezione garantito in Canada per la trasmissione, da parte delle compagnie aeree, dei dati di identificazi...
- WP 97 - Parere 8/2004 sull'informazione dei passeggeri in merito al trasferimento di schede nominative dei passeggeri aerei (PNR) sui voli tra l'U...
- WP 74 - Documento di lavoro: trasferimenti di dati personali ai paesi terzi: applicazione dell'Articolo 26 (2) della Direttiva Europea sulla prote...
[doc. web n. 2191156]
Clausole contrattuali tipo e trasferimento dei dati all´estero tramite responsabile stabilito in UE - 15 novembre 2012
Registro dei provvedimenti
n. 342 del 15 novembre 2012
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
In data odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano, componente, e del dott. Giuseppe Busia, segretario generale;
VISTO il Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196 – di seguito "Codice") e, in particolare, gli artt. 2, comma 2, e 29;
VISTO l´art. 44, comma 1, lett. b) del Codice, ai sensi del quale il trasferimento dei dati personali diretto verso Paesi non appartenenti all´Unione europea può avvenire quando é autorizzato dal Garante sulla base di adeguate garanzie per i diritti dell´interessato, individuate dalla Commissione Europea con le decisioni previste dall´art. 26, paragrafo 4 della direttiva 95/46/CE del Parlamento e del Consiglio del 24 ottobre 1995;
VISTO l´art. 154, comma 1, lett. c) del Codice, in base al quale il Garante, anche d´ufficio, può prescrivere ai titolari del trattamento misure necessarie ed opportune per rendere il trattamento conforme alle disposizioni vigenti;
VISTA la delibera del Garante del 27 maggio 2010, n. 35 (pubblicata sulla Gazzetta Ufficiale n. 141 del 19 giugno 2010), con la quale sono stati autorizzati i trasferimenti di dati personali effettuati da un titolare del trattamento (soggetto esportatore) avente sede nel territorio dello Stato ad un responsabile del trattamento stabilito in un Paese non appartenente all´Unione europea che non assicuri un livello di protezione adeguato (soggetto importatore), in conformità alle clausole contrattuali tipo di cui all´allegato alla decisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE (pubblicata sulla Gazzetta Ufficiale delle Comunità europee L39/5 del 12 febbraio 2010);
RILEVATO che la citata delibera concerne anche il caso in cui il responsabile del trattamento stabilito nel Paese terzo, che tratti i dati personali per conto del titolare stabilito nell´Unione europea, affidi il trattamento ad un altro responsabile (di seguito "sub-incaricato") stabilito in un Paese terzo che non assicuri un livello di protezione adeguato;
CONSIDERATO che, a seguito dell´adozione di siffatta delibera, sono pervenuti a questa Autorità vari quesiti volti a conoscere se sia possibile utilizzare il modello di clausole contrattuali tipo di cui alla decisione della Commissione europea del 5 febbraio 2010, n. 87/2010/UE anche nel caso in cui il responsabile, che affidi il trattamento ad un "sub-incaricato" stabilito in un Paese terzo che non assicuri un livello di protezione adeguato, sia stabilito nella Unione europea;
RILEVATO che tali richieste sono motivate dalla crescente diffusione nella realtà economica e commerciale di forme di affidamento delle attività di trattamento dei dati personali a terzi (in particolare, a società di servizi) e dalla consequenziale esigenza del settore privato di disporre di strumenti comuni e di modalità uniformi da utilizzare in tutti i casi in cui tale affidamento comporti un trasferimento di dati personali verso Paesi terzi che non assicurano un livello di protezione adeguato;
RILEVATO che, ai sensi del considerando 23 della decisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE, il modello di clausole allegato alla suddetta decisione non può essere applicato ad una situazione diversa da quella in cui l´importatore sia stabilito sul territorio di un Paese non appartenente all´Unione europea;
RILEVATO che tale previsione è stata, tra l´altro, richiamata dal Gruppo di lavoro istituito dall´art. 29 della direttiva 95/46/CE (di seguito Gruppo di lavoro ex art. 29) con il documento WP 176 del 12 luglio 2010, relativo ad alcuni quesiti (di seguito "FAQ") sollevati in vista dell´entrata in vigore della decisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE;
RITENUTA, comunque, la necessità di fornire una risposta alle esigenze rappresentate dal settore privato, promuovendo alcune misure di semplificazione in relazione alle attività di trasferimento dei dati personali all´estero, con specifico riguardo ai casi in cui il responsabile del trattamento stabilito nell´Unione europea, che tratti dati personali per conto di un titolare stabilito nell´Unione europea, affidi il trattamento ad un "sub-incaricato" stabilito in un Paese terzo che non assicuri un livello di protezione adeguato (art. 2, comma 2, del Codice);
CONSIDERATO, a tale ultimo proposito, che la Commissione, in base a quanto già stabilito dal Gruppo di lavoro ex art. 29 (cfr. par. 1.1 del Parere 3/2009, documento WP 161 del 5 marzo 2009), ha comunque rimesso agli Stati membri la facoltà di tenere conto del fatto che, in caso di affidamento del trattamento ad un "sub-incaricato", debbono trovare applicazione "i principi e le garanzie delle clausole contrattuali tipo di cui alla presente decisione, nell´intento di garantire protezione adeguata ai diritti degli interessati i cui dati personali sono trasferiti per il trattamento" (considerando 23 della decisione n. 2010/87/UE);
CONSTATATA, pertanto, l´opportunità–come già rilevato dal Garante con la delibera del 27 maggio 2010, n. 35 (cfr. punto 1 del dispositivo)– di consentire al titolare del trattamento, che ponga in essere operazioni di trasferimento dati personali dal territorio dello Stato verso Paesi non appartenenti all´Unione europea, di utilizzare il modello di clausole contrattuali tipo allegato alla decisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE, e ciò anche nel caso in cui tale trasferimento sia dovuto all´affidamento del trattamento dei dati, da parte di un responsabile designato dal suddetto titolare e stabilito nell´Unione europea, ad un "sub-incaricato" avente sede in un Paese terzo che non assicuri un livello di protezione adeguato;
CONSIDERATO che, per il perseguimento di tale scopo, è possibile prevedere -come suggerito anche dal Gruppo ex art. 29 nel citato documento WP 176 (cfr. FAQ I.3. lett. b), p. 4)- che il responsabile stabilito nell´Unione europea sottoscriva le clausole contrattuali tipo utilizzate nel rapporto con il "sub-incaricato" sulla base di un esplicito mandato conferito dal titolare del trattamento ai sensi dell´art. 1704 c.c.;
PRESO ATTO, altresì, delle ulteriori indicazioni rese dal Gruppo ex art. 29 in ordine al fatto che, nell´ipotesi sopra descritta, il titolare debba "accettare previamente il contenuto delle Appendici 1 e 2 alle Clausole Modello di cui alla decisione 2010/87/UE" e che spetti "all´esportatore stabilire se debba trattarsi di un mandato generale (ossia tale da consentire in via generale di affidare a sub-incaricati il trattamento dei dati di cui alle Appendici 1 e 2) oppure di un mandato specifico (ossia di un mandato specifico per ciascun sub-incaricato che sia di volta in volta individuato)";
VISTO che, ai sensi dell´art. 29, commi 1 e 4 del Codice, il responsabile del trattamento è designato dal titolare e che i compiti al medesimo affidati debbono essere analiticamente specificati per iscritto;
RAVVISATA l´esigenza che, nell´ambito dei predetti compiti, sia fatta menzione del mandato che il titolare conferisce al responsabile per sottoscrivere, in suo nome e per suo conto, le clausole contrattuali tipo di cui alla decisione citata, qualora debbano essere effettuate operazioni di trasferimento di dati personali verso un "sub-incaricato" che ha sede in un Paese terzo che non assicuri un livello di protezione adeguato;
RILEVATO che il responsabile è tenuto ad effettuare il trattamento dei dati attenendosi alle istruzioni del titolare, e ciò anche in riferimento a quanto deve essere indicato nelle Appendici 1 e 2 delle clausole contrattuali tipo menzionate (cfr. art. 29, comma 5, del Codice e FAQ I.3. lett. b), p. 4 del documento WP 176 del 12 luglio 2010 del Gruppo ex art. 29);
ATTESO che, nella peculiare fattispecie in esame, rispetto alle operazioni di trasferimento di dati personali, si deve considerare: "esportatore", il titolare del trattamento che conferisce mandato al responsabile stabilito nella Unione europea per sottoscrivere le suddette clausole, secondo quanto previsto dalla clausola 1, lett. b); "importatore", il "sub-incaricato" stabilito nel Paese terzo che non assicuri un livello di protezione adeguato, nei termini di cui alla clausola 1 lett. c) (in tal senso, v. anche FAQ I.3. lett. b), p. 4 del documento WP 176 del 12 luglio 2010 del Gruppo ex art. 29);
VISTA la documentazione d´ufficio;
VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante, n. 1/2000;
Relatore il dott. Antonello Soro;
TUTTO CIÒ PREMESSO, IL GARANTE:
1) fatta salva l´autonomia negoziale delle parti nella gestione dei propri rapporti commerciali, ai sensi degli artt. 2, comma 2 e 154, comma 1, lett. c) del Codice, prescrive al titolare del trattamento stabilito nel territorio dello Stato (c.d. "esportatore"), il quale abbia designato un responsabile stabilito nell´Unione europea che intenda affidare, a sua volta, il trattamento dei dati ad un altro responsabile stabilito in un Paese terzo che non assicuri un livello di protezione adeguato (c.d. "importatore"), di conferire al responsabile con sede nella Unione europea un apposito mandato, ai sensi dell´art. 1704 c.c., per la sottoscrizione delle clausole contrattuali tipo di cui all´allegato della decisione della Commissione europea del 5 febbraio 2010, n. 87/2010/UE, approvate dal Garante con delibera del 27 maggio 2010, n. 35; resta comunque ferma la facoltà, per il titolare del trattamento che intenda trasferire i dati personali senza avvalersi del mandato, di chiedere all´Autorità una specifica autorizzazione ai sensi dell´art. 44, comma 1, lett. a) del Codice;
2) dispone che il titolare del trattamento, a sensi dell´art. 29, comma 4, del Codice, menzioni tale incarico tra i compiti attribuiti al responsabile stabilito nell´Unione europea e che il mandatario proceda alla compilazione delle Appendici 1 e 2 contenute nello schema delle clausole contrattuali tipo in ossequio alle istruzioni impartitegli dal titolare ai sensi dell´art. 29, comma 5, del Codice.
Roma, 15 novembre 2012
IL PRESIDENTE
Soro
IL RELATORE
Soro
IL SEGRETARIO GENERALE
Busia