IT Gazzetta ufficiale dell'Unione europea L 39/5

DECISIONE DELLA COMMISSIONE

del 5 febbraio 2010

relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio

[notificata con il numero C(2010) 593]

(Testo rilevante ai fini del SEE)

(2010/87/UE)

LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell’Unione europea,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l’articolo 26, paragrafo 4,

sentito il garante europeo della protezione dei dati,

considerando quanto segue:

(1) In base alla direttiva 95/46/CE, gli Stati membri devono provvedere affinché il trasferimento di dati personali verso un paese terzo possa avere luogo soltanto se il paese terzo di cui trattasi garantisce un livello adeguato di protezione dei dati e se vengono osservate, previamente al trasferimento, le disposizioni adottate dagli Stati membri in attuazione di altre norme della direttiva.

(2) L’articolo 26, paragrafo 2, della direttiva 95/46/CE prevede che gli Stati membri possano autorizzare, subordinatamente a talune garanzie, il trasferimento di dati personali verso paesi terzi che non garantiscono un livello adeguato di protezione dei dati. Tali garanzie possono segnatamente risultare da clausole contrattuali appropriate.

(3) A norma della direttiva 95/46/CE, il livello di protezione dei dati deve essere valutato con riguardo a tutte le circostanze relative al trasferimento. Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali costituito in forza della direttiva ha elaborato una serie di orientamenti per tale valutazione.

(4) È opportuno che le clausole contrattuali tipo riguardino soltanto la protezione dei dati. Gli esportatori e gli importatori dei dati sono pertanto liberi di inserire qualsiasi altra clausola commerciale ritenuta pertinente ai fini del contratto, purché non incompatibile con le clausole tipo.

(5) La presente decisione non deve incidere sulle autorizzazioni nazionali che gli Stati membri possono concedere in base alle disposizioni nazionali adottate in attuazione dell’articolo 26, paragrafo 2, della direttiva 95/46/CE. Essa deve semplicemente prevedere che gli Stati membri riconoscono come garanzie sufficienti le clausole contrattuali tipo in essa contenute e non deve produrre effetti sulle clausole contrattuali di altra natura.

(6) La decisione 2002/16/CE della Commissione, del 27 dicembre 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi, a norma della direttiva 95/46/CE (2), è stata adottata per agevolare il trasferimento di dati personali da responsabili del trattamento stabiliti nell’Unione europea a incaricati del trattamento stabiliti in paesi terzi che non garantiscono un livello di protezione adeguato.

(7) È stata acquisita molta esperienza da quando è stata adottata la decisione 2002/16/CE. Dalla relazione sull’applicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi (3) è per giunta emerso un interesse crescente per l’uso delle clausole contrattuali tipo nei trasferimenti internazionali di dati personali verso paesi terzi che non garantiscono un livello di protezione adeguato. Le parti interessate hanno poi presentato proposte per aggiornare le clausole contrattuali tipo della decisione 2002/16/CE affinché tengano conto dell’ambito in rapida espansione nel mondo delle attività di trattamento dei dati e affrontino questioni che tale decisione non ricomprende (4).

(8) La presente decisione deve limitarsi a stabilire che il responsabile del trattamento stabilito nell’Unione europea può avvalersi delle clausole da quella previste per presentare garanzie sufficienti, ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE, per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi.

(9) La presente decisione non si applica al trasferimento di dati personali da responsabili del trattamento stabiliti nell’Unione europea a responsabili del trattamento stabiliti al di fuori dell’Unione europea, che rientra invece nel campo di applicazione della decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a caratteri personale verso paesi terzi a norma della direttiva 95/46/CE (5).

(10) La presente decisione deve attuare l’articolo 17, paragrafo 3, della direttiva 95/46/CE e non deve pregiudicare il contenuto dei contratti o degli atti giuridici adottati in forza di quella disposizione. Appare tuttavia opportuno prevedere determinate clausole tipo, riguardanti in particolare gli obblighi dell’esportatore, affinché vi sia maggiore chiarezza sulle disposizioni che possono essere inserite nei contratti fra i responsabili e gli incaricati del trattamento.

(11) Le autorità di controllo degli Stati membri svolgono un ruolo fondamentale in tale ambito contrattuale garantendo che i dati personali siano adeguatamente tutelati in seguito al trasferimento. Nei casi eccezionali in cui gli esportatori si rifiutino o non siano in grado di impartire le istruzioni necessarie agli importatori, e le persone cui si riferiscono i dati siano esposte ad un imminente rischio di gravi danni, le clausole tipo devono consentire alle autorità di controllo di vigilare sugli importatori e sui subincaricati e di adottare, se del caso, decisioni vincolanti nei loro confronti. Le autorità di controllo devono avere la facoltà di vietare o sospendere i trasferimenti di dati effettuati in base alle clausole contrattuali tipo nei casi eccezionali in cui il trasferimento su base contrattuale rischi di pregiudicare le garanzie e gli obblighi destinati a garantire protezione adeguata agli interessati.

(12) Le clausole contrattuali tipo devono prevedere le misure tecniche e organizzative di sicurezza che è tenuto ad applicare l’incaricato del trattamento stabilito in un paese terzo che non garantisce un livello di protezione adeguato, affinché il livello di sicurezza sia commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare. Nel contratto le parti devono prevedere le misure tecniche e organizzative necessarie che, tenuto conto della normativa sulla protezione dei dati, della più recente tecnologia e dei costi di attuazione, sono necessarie a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale, dall’alterazione, dalla diffusione o dall’accesso non autorizzati, o da qualsiasi altra forma illecita di trattamento di dati personali.

(13) Onde agevolare i flussi di dati in uscita dall’Unione europea è auspicabile che gli incaricati del trattamento che effettuano operazioni di trattamento per più responsabili nell’Unione europea siano autorizzati ad applicare le stesse misure tecniche e organizzative di sicurezza indipendentemente dallo Stato membro da cui è effettuato il trasferimento, in particolare nel caso in cui l’importatore riceva i dati ai fini dell’ulteriore trattamento da diverse sedi dell’esportatore situate nell’Unione europea. In questa ipotesi deve applicarsi la legge dello Stato membro di stabilimento designato.

(14) È opportuno definire le informazioni minime che le parti devono includere nel contratto relativo al trasferimento. Gli Stati membri hanno comunque la facoltà di precisare le informazioni che le parti sono tenute a fornire. Le modalità di applicazione della presente decisione andranno valutate alla luce dell’esperienza futura.

(15) L’importatore è tenuto a trattare i dati personali trasferiti esclusivamente per conto dell’esportatore e in conformità delle istruzioni da questi impartite, nonché in ottemperanza agli obblighi stabiliti dalle clausole stesse. L’importatore deve astenersi segnatamente dal rivelare i dati personali a terzi, salvo previo consenso scritto dell’esportatore. L’esportatore è tenuto a trasmettere opportune istruzioni all’importatore per tutta la durata delle operazioni di trattamento affinché i dati siano trattati conformemente alle istruzioni impartite, alla normativa sulla protezione dei dati e agli obblighi contenuti nelle clausole tipo.

(16) La relazione sull’applicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi raccomanda di adottare apposite clausole contrattuali tipo sui trasferimenti successivi da incaricati del trattamento stabiliti in paesi terzi ad altri incaricati del trattamento (subcontratto), affinché tengano conto delle tendenze e delle pratiche commerciali di un’attività di trattamento sempre più globalizzata.

(17) È opportuno che la presente decisione contenga specifiche clausole contrattuali tipo sul subcontratto stipulato da incaricati stabiliti in paesi terzi (importatori) con altri incaricati del trattamento (subincaricati) stabiliti in paesi terzi. È altresì opportuno che fissi le condizioni del subcontratto affinché i dati personali trasferiti continuino ad essere protetti nonostante il trasferimento successivo al subincaricato.

(18) È inoltre opportuno che il subcontratto riguardi solo i trattamenti previsti nel contratto contenente le clausole contrattuali tipo di cui alla presente decisione, concluso tra l’esportatore e l’importatore, e non comporti trattamenti o finalità diversi, così da garantire il rispetto del principio di finalità sancito dalla direttiva 95/46/CE. Nell’ipotesi poi che il subincaricato non adempia agli obblighi contemplati dal contratto, l’importatore deve rimanere responsabile nei confronti dell’esportatore. Il trasferimento di dati personali a incaricati del trattamento stabiliti al di fuori dell’Unione europea deve lasciare impregiudicato il fatto che le attività di trattamento debbano essere conformi alla normativa sulla protezione dei dati.

(19) È opportuno che le clausole contrattuali tipo possano essere fatte valere non solo dalle organizzazioni che stipulano il contratto ma anche dalle persone cui si riferiscono i dati, in particolare laddove l’eventuale violazione del contratto rechi ad esse pregiudizio.

(20) L’interessato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell’esportatore che è il responsabile del trattamento dei dati personali trasferiti. Eccezionalmente l’interessato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell’importatore per violazione da parte di questi o di un suo subincaricato degli obblighi stabiliti dalla clausola 3, paragrafo 2, qualora l’esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente. Eccezionalmente l’interessato deve potere agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti del subincaricato qualora sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi. La responsabilità civile del subincaricato deve essere limitata ai trattamenti da quello effettuati ai sensi delle clausole contrattuali.

(21) Nelle controversie sorte con interessati che si avvalgano della clausola del terzo beneficiario, l’importatore, ove non sia possibile la composizione in via amichevole, deve consentire all’interessato di scegliere fra la mediazione o l’azione legale. L’effettiva possibilità di scelta dipenderà dall’esistenza di sistemi di mediazione affidabili e riconosciuti. La mediazione ad opera delle autorità di controllo dello Stato membro in cui è stabilito l’esportatore deve essere facoltativa, sempre che dette autorità prestino tale servizio.

(22) Il contratto deve essere soggetto alla legge dello Stato membro in cui è stabilito l’esportatore, in modo che il terzo beneficiario possa far valere le disposizioni contrattuali. È opportuno che le persone cui si riferiscono i dati possano essere rappresentate da associazioni o altre organizzazioni, qualora lo desiderino e qualora ciò sia ammesso dalla normativa nazionale. La stessa legge deve inoltre applicarsi alle disposizioni sulla protezione dei dati contemplate dal contratto concluso con il subincaricato per il trattamento dei dati personali trasferiti dall’esportatore all’importatore ai sensi delle clausole contrattuali.

(23) La presente decisione si applica solo ove l’incaricato del trattamento stabilito in un paese terzo affidi il trattamento a un subincaricato stabilito in un paese terzo e non ai casi in cui l’incaricato del trattamento stabilito nell’Unione europea, che tratta dati personali per conto di un responsabile stabilito nell’Unione europea, affidi il trattamento a un subincaricato stabilito in un paese terzo. In tali situazioni è facoltà degli Stati membri tenere conto del fatto che alla decisione di affidare il trattamento a un subincaricato stabilito in un paese terzo presiedono i principi e le garanzie delle clausole contrattuali tipo di cui alla presente decisione, nell’intento di garantire protezione adeguata ai diritti degli interessati i cui dati personali sono trasferiti per il trattamento.

(24) Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha emesso un parere sul livello di protezione garantito dalle clausole contrattuali tipo allegate alla presente decisione, di cui si è tenuto conto nella stesura della decisione stessa.

(25) Occorre abrogare la decisione 2002/16/CE.

(26) Le misure previste dalla presente decisione sono conformi al parere del comitato istituito in forza dell’articolo 31 della direttiva 95/46/CE,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1

Le clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti per la tutela della vita privata e dei diritti e della libertà fondamentali delle persone, nonché per l’esercizio dei diritti connessi ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE.

Articolo 2

La presente decisione concerne esclusivamente l’adeguatezza della tutela conferita dalle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento, riportate in allegato. Essa lascia impregiudicata l’applicazione delle disposizioni nazionali sul trattamento dei dati personali negli Stati membri adottate in attuazione della direttiva 95/46/CE.

La presente decisione si applica al trasferimento dei dati personali effettuato da responsabili del trattamento stabiliti nell’Unione europea a destinatari stabiliti al di fuori dell’Unione europea che agiscano esclusivamente in veste di incaricati del trattamento.

Articolo 3

Ai fini della presente decisione si intende per:

a) «categorie particolari di dati» i dati di cui all’articolo 8 della direttiva 95/46/CE;

b) «autorità di controllo» l’autorità di cui all’articolo 28 della direttiva 95/46/CE;

c) «esportatore» il responsabile del trattamento che trasferisce i dati personali;

d) «importatore» l’incaricato del trattamento stabilito in un paese terzo che s’impegni a ricevere dall’esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell’esportatore stesso, nonché a norma della presente decisione, e che non sia assoggettato dal paese terzo a un sistema che garantisca una protezione adeguata ai sensi dell’articolo 25, paragrafo 1, della direttiva 95/46/CE;

e) «subincaricato» l’incaricato del trattamento designato dall’importatore o da altro suo subincaricato, che s’impegni a ricevere dall’importatore o da altro suo subincaricato dati personali al solo fine di trattarli per conto e secondo le istruzioni dell’esportatore, nonché a norma delle clausole contrattuali tipo di cui in allegato e delle disposizioni del subcontratto scritto;

f) «normativa sulla protezione dei dati» la normativa che protegge i diritti e le libertà fondamentali del singolo, in particolare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui è stabilito l’esportatore;

g) «misure tecniche e organizzative di sicurezza» le misure destinate a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.

Articolo 4

1. Fatto salvo il potere di provvedere all’osservanza delle disposizioni nazionali adottate in attuazione dei capi II, III, V e VI della direttiva 95/46/CE, le autorità competenti degli Stati membri possono avvalersi dei poteri loro attribuiti per vietare o sospendere i flussi di dati verso paesi terzi allo scopo di proteggere le persone con riguardo al trattamento dei dati personali, qualora:

a) sia accertato che, in base alla legge ad esso applicabile, l’importatore o il subincaricato è tenuto ad applicare deroghe alla normativa sulla protezione dei dati che eccedono le restrizioni ritenute necessarie in una società democratica ai sensi dell’articolo 13 della direttiva 95/46/CE e pregiudicano significativamente le garanzie previste dalla normativa sulla protezione dei dati e dalle clausole contrattuali tipo;

b) un’autorità competente abbia accertato che l’importatore o il subincaricato non ha rispettato le clausole contrattuali tipo riportate in allegato; oppure

c) sia probabile che le clausole contrattuali tipo in allegato non vengano rispettate e che la prosecuzione del trasferimento determini un imminente rischio di gravi danni per le persone cui i dati si riferiscono.

2. Il divieto o la sospensione ai sensi del paragrafo 1 sono revocati non appena ne vengano meno le ragioni.

3. Quando prende i provvedimenti di cui ai paragrafi 1 e 2, lo Stato membro informa senza indugio la Commissione; questa trasmette l’informazione agli altri Stati membri.

Articolo 5

Decorsi tre anni dall’adozione della presente decisione, la Commissione ne valuta le modalità di applicazione sulla base delle informazioni disponibili. Essa riferisce in merito alle risultanze della valutazione al comitato istituito in forza dell’articolo 31 della direttiva 95/46/CE. La relazione comprende qualsiasi circostanza rilevante ai fini della valutazione dell’adeguatezza delle clausole contrattuali tipo riportate in allegato nonché qualsiasi eventuale circostanza indicante che la presente decisione viene applicata in maniera discriminatoria.

Articolo 6

La presente decisione si applica a decorrere dal 15 maggio 2010.

Articolo 7

1. La decisione 2002/16/CE è abrogata a decorrere dal 15 maggio 2010.

2. Il contratto concluso tra l’esportatore e l’importatore ai sensi della decisione 2002/16/CE prima del 15 maggio 2010 resta valido ed efficace purché rimangano immutati i trasferimenti e il trattamento dei dati che ne costituiscono l’oggetto e purché continui tra le parti il trasferimento dei dati personali contemplati dalla presente decisione. Qualora decidano di apportare modifiche ovvero decidano di subcontrattare il trattamento oggetto del contratto, i contraenti sono tenuti a concludere un nuovo contratto che dovrà conformarsi alle clausole contrattuali tipo riportate in allegato.

Articolo 8

Gli Stati membri sono destinatari della presente decisione.

Fatto a Bruxelles, il 5 febbraio 2010. Per la Commissione Jacques BARROT Vicepresidente

(1) GU L 281 del 23.11.1995, pag. 31.

(2) GU L 6 del 10.1.2002, pag. 52.

(3) SEC(2006) 95 del 20.1.2006.

(4) Camera di commercio internazionale (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce in Belgium (Amcham) e Federation of European Direct Marketing Associations (FEDMA).

(5) GU L 181 del 4.7.2001, pag. 19.