[doc. web n. 2191156]

Clausole contrattuali tipo e trasferimento dei dati all´estero tramite responsabile stabilito in UE - 15 novembre 2012

Registro dei provvedimenti
n. 342 del 15 novembre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano, componente, e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196 – di seguito "Codice") e, in particolare, gli artt. 2, comma 2, e 29;

VISTO l´art. 44, comma 1, lett. b) del Codice, ai sensi del quale il trasferimento dei dati personali diretto verso Paesi non appartenenti all´Unione europea può avvenire quando é autorizzato dal Garante sulla base di adeguate garanzie per i diritti dell´interessato, individuate dalla Commissione Europea con le decisioni previste dall´art. 26, paragrafo 4 della direttiva 95/46/CE del Parlamento e del Consiglio del 24 ottobre 1995;

VISTO l´art. 154, comma 1, lett. c) del Codice, in base al quale il Garante, anche d´ufficio, può prescrivere ai titolari del trattamento misure necessarie ed opportune per rendere il trattamento conforme alle disposizioni vigenti;

VISTA la delibera del Garante del 27 maggio 2010, n. 35 (pubblicata sulla Gazzetta Ufficiale n. 141 del 19 giugno 2010), con la quale sono stati autorizzati i trasferimenti di dati personali effettuati da un titolare del trattamento (soggetto esportatore) avente sede nel territorio dello Stato ad un responsabile del trattamento stabilito in un Paese non appartenente all´Unione europea che non assicuri un livello di protezione adeguato (soggetto importatore), in conformità alle clausole contrattuali tipo di cui all´allegato alla decisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE (pubblicata sulla Gazzetta Ufficiale delle Comunità europee L39/5 del 12 febbraio 2010);

RILEVATO che la citata delibera concerne anche il caso in cui il responsabile del trattamento stabilito nel Paese terzo, che tratti i dati personali per conto del titolare stabilito nell´Unione europea, affidi il trattamento ad un altro responsabile (di seguito "sub-incaricato") stabilito in un Paese terzo che non assicuri un livello di protezione adeguato;

CONSIDERATO che, a seguito dell´adozione di siffatta delibera, sono pervenuti a questa Autorità vari quesiti volti a conoscere  se sia possibile utilizzare il modello di clausole contrattuali tipo di cui alla decisione della Commissione europea del 5 febbraio 2010, n. 87/2010/UE anche nel caso in cui il responsabile, che affidi il trattamento ad un "sub-incaricato" stabilito in un Paese terzo che non assicuri un livello di protezione adeguato, sia stabilito nella Unione europea;

RILEVATO che tali richieste sono motivate dalla crescente diffusione nella realtà economica e commerciale di forme di affidamento delle attività di trattamento dei dati personali a terzi (in particolare, a società di servizi) e dalla consequenziale esigenza del settore privato di disporre di strumenti comuni e di modalità uniformi da utilizzare in tutti i casi in cui tale affidamento comporti un trasferimento di dati personali verso Paesi terzi che non assicurano un livello di protezione adeguato;

RILEVATO che, ai sensi del considerando 23 della decisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE, il modello di clausole allegato alla suddetta decisione non può essere applicato ad una situazione diversa da quella in cui l´importatore sia stabilito sul territorio di un Paese non appartenente all´Unione europea;

RILEVATO che tale previsione è stata, tra l´altro, richiamata dal Gruppo di lavoro istituito dall´art. 29 della direttiva 95/46/CE (di seguito Gruppo di lavoro ex art. 29) con il documento WP 176 del 12 luglio 2010, relativo ad alcuni quesiti (di seguito "FAQ") sollevati in vista dell´entrata in vigore della decisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE;

RITENUTA, comunque, la necessità di fornire una risposta alle esigenze rappresentate dal settore privato, promuovendo alcune misure di semplificazione in relazione alle attività di trasferimento dei dati personali all´estero, con specifico riguardo ai casi in cui il responsabile del trattamento stabilito nell´Unione europea, che tratti dati personali per conto di un titolare stabilito nell´Unione europea, affidi il trattamento ad un "sub-incaricato" stabilito in un Paese terzo che non assicuri un livello di protezione adeguato (art. 2, comma 2, del Codice);

CONSIDERATO, a tale ultimo proposito, che la Commissione, in base a quanto già stabilito dal Gruppo di lavoro ex art. 29 (cfr. par. 1.1 del Parere 3/2009, documento WP 161 del 5 marzo 2009), ha comunque rimesso agli Stati membri la facoltà di tenere conto del fatto che, in caso di affidamento del trattamento ad un "sub-incaricato", debbono trovare applicazione "i principi e le garanzie delle clausole contrattuali tipo di cui alla presente decisione, nell´intento di garantire protezione adeguata ai diritti degli interessati i cui dati personali sono trasferiti per il trattamento" (considerando 23 della decisione n. 2010/87/UE);

CONSTATATA, pertanto, l´opportunità–come già rilevato dal Garante con la delibera del 27 maggio 2010, n. 35 (cfr. punto 1 del dispositivo)– di consentire al titolare del trattamento, che ponga in essere operazioni di trasferimento dati personali dal territorio dello Stato verso Paesi non appartenenti all´Unione europea, di utilizzare il modello di clausole contrattuali tipo allegato alla decisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE, e ciò anche nel caso in cui tale trasferimento sia dovuto all´affidamento del trattamento dei dati, da parte di un responsabile designato dal suddetto titolare e stabilito nell´Unione europea, ad un "sub-incaricato" avente sede in un Paese terzo che non assicuri un livello di protezione adeguato;

CONSIDERATO che, per il perseguimento di tale scopo, è possibile prevedere -come suggerito anche dal Gruppo ex art. 29 nel citato documento WP 176 (cfr. FAQ I.3. lett. b), p. 4)- che il responsabile stabilito nell´Unione europea sottoscriva le clausole contrattuali tipo utilizzate nel rapporto con il "sub-incaricato" sulla base di un esplicito mandato conferito dal titolare del trattamento ai sensi dell´art. 1704 c.c.;

PRESO ATTO, altresì, delle ulteriori indicazioni rese dal Gruppo ex art. 29 in ordine al fatto che, nell´ipotesi sopra descritta, il titolare debba "accettare previamente il contenuto delle Appendici 1 e 2 alle Clausole Modello di cui alla decisione 2010/87/UE" e che spetti "all´esportatore stabilire se debba trattarsi di un mandato generale (ossia tale da consentire in via generale di affidare a sub-incaricati il trattamento dei dati di cui alle Appendici 1 e 2) oppure di un mandato specifico (ossia di un mandato specifico per ciascun sub-incaricato che sia di volta in volta individuato)";

VISTO che, ai sensi dell´art. 29, commi 1 e 4 del Codice, il responsabile del trattamento è designato dal titolare e che i compiti al medesimo affidati debbono essere analiticamente specificati per iscritto;

RAVVISATA l´esigenza che, nell´ambito dei predetti compiti, sia fatta menzione del mandato che il titolare conferisce al responsabile per sottoscrivere, in suo nome e per suo conto, le clausole contrattuali tipo di cui alla decisione citata, qualora debbano essere effettuate operazioni di trasferimento di dati personali verso un "sub-incaricato" che ha sede in un Paese terzo che non assicuri un livello di protezione adeguato;

RILEVATO che il responsabile è tenuto ad effettuare il trattamento dei dati attenendosi alle istruzioni del titolare, e ciò anche in riferimento a quanto deve essere indicato nelle Appendici 1 e 2 delle clausole contrattuali tipo menzionate (cfr. art. 29, comma 5, del Codice e FAQ I.3. lett. b), p. 4 del documento WP 176 del 12 luglio 2010 del Gruppo ex art. 29);

ATTESO che, nella peculiare fattispecie in esame, rispetto alle operazioni di trasferimento di dati personali, si deve considerare:  "esportatore", il titolare del trattamento che conferisce mandato al responsabile stabilito nella Unione europea per sottoscrivere le suddette clausole, secondo quanto previsto dalla clausola 1, lett. b); "importatore", il  "sub-incaricato" stabilito nel  Paese terzo che non assicuri un livello di protezione adeguato, nei termini di cui alla clausola 1 lett. c) (in tal senso, v. anche FAQ I.3. lett. b), p. 4 del documento WP 176 del 12 luglio 2010 del Gruppo ex art. 29);

VISTA la documentazione d´ufficio;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante, n. 1/2000;

Relatore il dott. Antonello Soro;

TUTTO CIÒ PREMESSO, IL GARANTE:

1) fatta salva l´autonomia negoziale delle parti nella gestione dei propri rapporti commerciali, ai sensi degli artt. 2, comma 2 e 154, comma 1, lett. c) del Codice, prescrive al titolare del trattamento stabilito nel territorio dello Stato (c.d. "esportatore"), il quale abbia designato un responsabile stabilito nell´Unione europea che intenda affidare, a sua volta, il trattamento dei dati ad un altro responsabile stabilito in un Paese terzo che non assicuri un livello di protezione adeguato (c.d. "importatore"), di conferire al responsabile con sede nella Unione europea un apposito mandato, ai sensi dell´art. 1704 c.c., per la sottoscrizione delle clausole contrattuali tipo di cui all´allegato della decisione della Commissione europea del 5 febbraio 2010, n. 87/2010/UE, approvate dal Garante con  delibera del 27 maggio 2010, n. 35; resta comunque ferma la facoltà, per il titolare del trattamento che intenda trasferire i dati personali senza avvalersi del mandato, di chiedere all´Autorità una specifica autorizzazione ai sensi dell´art. 44, comma 1, lett. a) del Codice;

2) dispone che il titolare del trattamento, a sensi dell´art. 29, comma 4, del Codice, menzioni tale incarico tra i compiti attribuiti al responsabile stabilito nell´Unione europea e che il mandatario proceda alla compilazione delle Appendici 1 e 2 contenute nello schema delle clausole contrattuali tipo in ossequio alle istruzioni impartitegli dal titolare ai sensi dell´art. 29, comma 5, del Codice.

Roma, 15 novembre 2012 

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia