CELEX: 32016D2297
Language: it
Date: 2016-12-16 00:00:00
Title: Decisione di esecuzione (UE) 2016/2297 della Commissione, del 16 dicembre 2016, che modifica la decisione 2001/497/CE relativa alle clausole contrattuali tipo per il trasferimento di dati a carattere personale verso paesi terzi a norma della direttiva 95/46/CE, e la decisione 2010/87/UE della Commissione relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio [notificata con il numero C(2016) 8471] (Testo rilevante ai fini del SEE )

17.12.2016   
            
            
               IT
            
            
               Gazzetta ufficiale dell'Unione europea
            
            
               L 344/100
            
         DECISIONE DI ESECUZIONE (UE) 2016/2297 DELLA COMMISSIONE
   del 16 dicembre 2016
   che modifica la decisione 2001/497/CE relativa alle clausole contrattuali tipo per il trasferimento di dati a carattere personale verso paesi terzi a norma della direttiva 95/46/CE, e la decisione 2010/87/UE della Commissione relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio
   
      
         [notificata con il numero C(2016) 8471]
      
   
   (Testo rilevante ai fini del SEE)
   LA COMMISSIONE EUROPEA,
   visto il trattato sul funzionamento dell'Unione europea,
   vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l'articolo 26, paragrafo 4,
   sentito il Garante europeo della protezione dei dati,
   considerando quanto segue:
   
               (1)
            
            
               Con la sentenza del 6 ottobre 2015 nella causa C-362/14, Maximillian Schrems contro Data Protection Commissioner
                   (2), la Corte di giustizia dell'Unione europea ha statuito che, adottando l'articolo 3 della decisione 2000/520/CE, (3) la Commissione ha ecceduto la competenza attribuitale dall'articolo 25, paragrafo 6, della direttiva 95/46/CE, letto alla luce della Carta dei diritti fondamentali dell'Unione europea, e ha dichiarato l'invalidità dell'articolo 3 della decisione.
            
         
               (2)
            
            
               L'articolo 3, paragrafo 1, primo comma, della decisione 2000/520/CE stabilisce condizioni restrittive per cui le autorità di controllo nazionali possono decidere di sospendere i flussi di dati diretti a un'impresa statunitense autocertificatasi, e questo nonostante la constatazione di adeguatezza da parte della Commissione.
            
         
               (3)
            
            
               Nella sentenza Schrems la Corte di giustizia ha precisato che le autorità di controllo nazionali restano competenti per il controllo dei trasferimenti dei dati personali verso un paese terzo che è stato oggetto di una decisione d'adeguatezza della Commissione, e che la Commissione non ha la competenza di limitare i poteri ad esse conferiti dall'articolo 28 della direttiva 95/46/CE. Ai sensi di tale articolo dette autorità dispongono, in particolare, di poteri investigativi, come il diritto di raccolta di qualsiasi informazione necessaria all'esercizio della loro funzione di controllo, di poteri effettivi d'intervento, come quello di vietare a titolo provvisorio o definitivo il trattamento dei dati, e del potere di promuovere azioni giudiziarie. (4)
               
            
         
               (4)
            
            
               Nella stessa sentenza la Corte di giustizia ha ricordato che, in linea con l'articolo 25, paragrafo 6, secondo comma, della direttiva 95/46/CE, gli Stati membri e i loro organi devono adottare le misure necessarie per conformarsi agli atti delle istituzioni dell'Unione, che si presumono, in linea di principio, legittimi e producono pertanto effetti giuridici, finché non siano stati revocati o annullati nel contesto di un ricorso per annullamento ovvero dichiarati invalidi a seguito di un rinvio pregiudiziale o di un'eccezione di illegittimità.
            
         
               (5)
            
            
               Mutatis mutandis, una decisione della Commissione adottata ai sensi dell'articolo 26, paragrafo 4, della direttiva 95/46/CE è vincolante per tutti gli organi degli Stati membri destinatari, incluse le loro autorità di controllo indipendenti, nella misura in cui ha l'effetto di riconoscere che i trasferimenti effettuati sulla base delle clausole contrattuali tipo in essa contenute offrono garanzie sufficienti come richiesto dall'articolo 26, paragrafo 2, della direttiva. Questo non impedisce ad un'autorità di controllo nazionale di esercitare i propri poteri di controllo dei flussi di dati, compreso il potere di sospendere o vietare il trasferimento di dati personali, qualora stabilisca che esso avviene in violazione della normativa europea o nazionale sulla protezione dei dati, come, ad esempio, quando l'importatore dei dati non rispetta le clausole contrattuali tipo.
            
         
               (6)
            
            
               Le decisioni 2001/497/CE (5) e 2010/87/UE (6) della Commissione contengono una limitazione dei poteri delle autorità di controllo nazionali che è comparabile a quella di cui all'articolo 3, paragrafo 1, primo comma, della decisione 2000/520/CE, di cui la Corte di giustizia ha dichiarato l'invalidità.
            
         
               (7)
            
            
               Alla luce della sentenza Schrems e ai sensi dell'articolo 266 del trattato, le disposizioni di tali decisioni che limitano i poteri delle autorità nazionali di controllo dovrebbero essere sostituite.
            
         
               (8)
            
            
               Onde facilitare l'efficace monitoraggio del funzionamento delle decisioni relative alle clausole contrattuali tipo, gli Stati membri dovrebbero informare la Commissione in merito ad azioni rilevanti intraprese dalle autorità nazionali di controllo.
            
         
               (9)
            
            
               Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito dall'articolo 29 della direttiva 95/46/CE ha formulato un parere, preso in considerazione ai fini dell'elaborazione della presente decisione.
            
         
               (10)
            
            
               Le misure di cui alla presente decisione sono conformi al parere del comitato istituito dall'articolo 31, paragrafo 1, della direttiva 95/46/CE.
            
         
               (11)
            
            
               È pertanto opportuno modificare di conseguenza le decisioni 2001/497/CE e 2010/87/UE,
            
         HA ADOTTATO LA PRESENTE DECISIONE:
   Articolo 1
   L'articolo 4 della decisione 2001/497/CE è sostituito dal testo seguente:
   
      «Articolo 4
      Quando le autorità competenti di uno Stato membro esercitano i poteri ad esse conferiti dall'articolo 28, paragrafo 3, della direttiva 95/46/CE per sospendere o vietare a titolo definitivo i flussi di dati verso paesi terzi ai fini della tutela delle persone per quanto riguarda il trattamento dei dati personali, lo Stato membro interessato informa immediatamente la Commissione, che a sua volta inoltra l'informazione agli altri Stati membri.»
   
   Articolo 2
   L'articolo 4 della decisione 2010/87/UE è sostituito dal testo seguente:
   
      «Articolo 4
      Quando le autorità competenti di uno Stato membro esercitano i poteri ad esse conferiti dall'articolo 28, paragrafo 3, della direttiva 95/46/CE per sospendere o vietare a titolo definitivo i flussi di dati verso paesi terzi ai fini della tutela delle persone per quanto riguarda il trattamento dei dati personali, lo Stato membro interessato informa immediatamente la Commissione, che a sua volta inoltra l'informazione agli altri Stati membri.»
   
   Articolo 3
   Gli Stati membri sono destinatari della presente decisione.
   
      Fatto a Bruxelles, il 16 dicembre 2016
      
         
            Per la Commissione
         
         Věra JOUROVÁ
         
            Membro della Commissione
         
      
   
   
      (1)  GU L 281 del 23.11.1995, pag. 31.
   
      (2)  ECLI:EU:C:2015:650.
   
      (3)  Decisione 2000/520/CE della Commissione, del 26 luglio 2000, a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio sull'adeguatezza della protezione offerta dai principi di approdo sicuro e dalle relative «Domande più frequenti» (FAQ) in materia di riservatezza pubblicate dal Dipartimento del commercio degli Stati Uniti (GU L 215 del 25.8.2000, pag. 7).
   
      (4)  Schrems, punti 40 e segg e punti da 101 a 103.
   
      (5)  Decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a carattere personale verso paesi terzi a norma della direttiva 95/46/CE (GU L 181 del 4.7.2001, pag. 19).
   
      (6)  Decisione 2010/87/UE della Commissione, del 5 febbraio 2010, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio (GU L 39 del 12.2.2010, pag. 5).