Source: http://www.privacy.it/archivio/garautoraltre201412042.html
Timestamp: 2018-03-24 09:47:17+00:00

Document:
Autorizzazione al trasferimento dei dati mediante BCR da parte di ING BANK N.V. Milan Branch e ING Lease (Italia) S.p.A. - 4 dicembre 2014
Autorizzazione al trasferimento dei dati medianteBCR da parte di ING BANK N.V. Milan Branch e ING Lease (Italia) S.p.A.
Registrodei provvedimenti n. 561 del 4 dicembre 2014
VISTOl'art. 26 della predetta direttiva il quale individua alcune deroghe almenzionato principio, prevedendo anche che uno Stato membro possa autorizzareun trasferimento o una categoria di trasferimenti di dati personali verso unpaese terzo che non garantisca un livello di protezione adeguato, qualora iltitolare del trattamento offra garanzie sufficienti per la tutela della vitaprivata e dei diritti e delle libertà fondamentali delle persone, nonché per l'eserciziodei diritti connessi;
VISTA larichiesta (c.d. "Application form"), pervenuta al Garante in data 11dicembre 2012, presentata da ING Bank N.V. – società (con sede nei PaesiBassi) capogruppo del gruppo ING –, operante nel settore bancario eassicurativo, dinanzi all'Autorità olandese di protezione dei dati personali(College bescherming persoonsgegevens di seguito "CBP"), individuataquale lead Authority della relativa procedura;
RILEVATOche tale richiesta è stata presentata da ING Bank N.V. in nome e per conto ditutte le società controllate, direttamente o indirettamente, dalla medesima, edè volta a ottenere l'autorizzazione al trasferimento intra-gruppo verso paesiterzi dei dati personali relativi al personale dipendente, clienti, fornitori epartner commerciali per le finalità indicate nell'Application form (Parte I,sezione I e Parte II, Sezione VII), mediante l'adozione delle Norme vincolantidi impresa, c.d. "Bcr ING";
VISTOche le Bcr ING consistono in specifiche regole di condotta (di seguito"Policy") contenute nella "Politica Globale sulla Protezione deiDati di Clienti, Fornitori e Partner commerciali" e nella "PoliticaGlobale sulla Protezione dei Dati dei Dipendenti", entrambe comprendenti l'Allegato1 in materia di "Definizioni e Interpretazioni";
CONSIDERATOche le suddette "Policy" contengono l'impegno della capogruppo INGBank N.V., e delle altre società del gruppo ING ad osservare i principicontenuti nelle Bcr ING, ivi comprese le clausole di responsabilità e delterzo beneficiario (v. "Politica Globale sulla Protezione dei Dati diClienti, Fornitori e Partner commerciali", artt. 22 e 23; "PoliticaGlobale sulla Protezione dei Dati dei Dipendenti", artt. 21 e 22);
PRESOATTO che tale impegno acquista efficacia vincolante per le società e per ilpersonale dipendente del gruppo ING a seguito dell'approvazione delle suddette"Policy" da parte del Consiglio di Amministrazione della ING BankN.V. (v. "Politica Globale sulla Protezione dei Dati di Clienti, Fornitorie Partner commerciali" e "Politica Globale sulla Protezione dei Datidei Dipendenti", per entrambe "Nota informativa", pag. 2);
VISTO, inoltre, che le società, nell'ambito di un complesso sistema di gestione deirischi operativi del gruppo ING, incluso il rischio di protezione dei dati (v.Application form, Parte II, sezione IV), sono periodicamente tenute a porre inessere valutazioni di impatto in materia di protezione dei dati e ad effettuareopportune verifiche in ordine al rispetto delle Bcr ING (v. Application form,Parte II, Sezione V);
TENUTOCONTO, in particolare, che la capogruppo ING Bank N.V., in virtù dellapropria posizione di controllo (v. definizione "Società del Gruppo",in "Definizioni e Interpretazioni", Allegato 1), ha il potere dirichiedere alle società del gruppo l'attuazione delle "Policy" (v.Application form, Parte II, sezione IV) e che, in caso di mancata osservanzadelle Bcr ING, le "Policy" stesse prevedono specifiche sanzionidisciplinari nei confronti del personale dipendente (v. "Politica Globalesulla Protezione dei Dati di Clienti, Fornitori e Partner commerciali",art. 24.1; "Politica Globale sulla Protezione dei Dati deiDipendenti", art. 23.1);
PRESOATTO che le "Policy" saranno pubblicate rispettivamente sullaintranet aziendale e sul sito internet del gruppo ING;
RILEVATOche il CBP in data 29 gennaio 2013, all'esito della procedura europeaconcernente le Bcr ING, attivata secondo le forme del mutuo riconoscimento, hainoltrato alle Autorità di protezione dei dati personali interessate ilrelativo final draft, attestandone la conformità ai requisiti individuati daidocumenti del Gruppo ex art. 29 sopra citati;
CONSIDERATOche il Garante in data 5 febbraio 2013 ha confermato di aver ricevuto il testodefinitivo delle Bcr ING, riservandosi di valutare, in sede di proceduranazionale, la conformità di tale final draft alla normativa italiana; VISTAl'istanza presentata, ai sensi dell'art. 44, comma 1, lett. a), il 20 novembre2013, da ING BANK N.V. Milan Branch (con sede in Milano) e ING Lease (Italia)S.p.A. (con sede in Brescia), volta a ottenere il rilascio dell'autorizzazionenazionale ai trasferimenti infragruppo da parte delle società del gruppo ING,mediante le Bcr ING, con riferimento ai dati personali relativi a: il personaledipendente (ivi compresi gli ex dipendenti, i candidati all'assunzione etirocinanti, nonché le c.d. "persone a carico") per le "finalitàdi gestione delle risorse umane" specificamente indicate nelle Bcr ING (v. art. 6.1, "Politica Globale sulla Protezione dei Dati deiDipendenti"); i clienti, fornitori e partner commerciali (ivi compresi idipendenti o altre persone che lavorano per tali clienti, fornitori o partnercommerciali e i soggetti i cui dati personali sono elaborati in virtù diimpegni legali o contrattuali verso terze parti) per le "finalitàaziendali" espressamente individuate nella "Politica Globale sullaProtezione dei Dati di Clienti, Fornitori e Partner commerciali" (art.6.1);
VISTE lerichieste di informazioni e di integrazione documentale avanzate dal Garante indata 21 marzo, 5 giugno e 11 agosto nei confronti delle menzionate società,volte ad ottenere specifici chiarimenti in merito a:
- il rispetto di alcuni principi inmateria di protezione dei dati personali (v. nota dell'11 agosto 2014, punto(c));
- i presupposti dell'applicabilitàdella "regola degli interessi prevalenti" di cui all'art. 16 della"Politica Globale sulla Protezione dei Dati di Clienti, Fornitori ePartner commerciali" e art. 15 della "Politica Globale sullaProtezione dei Dati dei Dipendenti" (v. nota del 5 giugno 2014 2014, punto(e));
- il significato dell'espressione "reasonable"in ordine alle misure di sicurezza da adottare, come indicato nell'art. 12.1della "Politica Globale sulla Protezione dei dati dei Clienti, Fornitori ePartner commerciali" e della "Politica Globale sulla Protezionedei dati dei Dipendenti (v. nota del 5 giugno 2014, punto (b));
- il sistema di responsabilità scelto dal gruppo INGcon riferimento all'obbligatorietà del preventivo esperimento della procedurainterna di risoluzione delle controversie (v. note del 21 marzo 2014 punto (d)e del 5 giugno 2014, punto (a));
- la conformità della clausola del terzo beneficiario,anche con riferimento al criterio di alternatività della giurisdizione di cuial WP 155, punto 9 (v. nota del 21 marzo 2014, punto (b));
CONSIDERATOche le società, nel rendere riscontro al Garante in ordine ai punti sopramenzionati, assumendo ogni responsabilità ai sensi dell'art. 168 del Codice,con note del 22 aprile, 15 luglio e 7 novembre 2014, hanno espressamentedichiarato che:
- in merito ai principi in materiadi protezione dei dati personali, le Bcr ING saranno interpretate e applicatein conformità con il Codice, ciò con particolare riferimento a: il diritto diaccesso ai dati personali e altri diritti (artt. 7–10), le modalità deltrattamento e requisiti dei dati (art. 11), l'informativa (art. 13), iltrattamento dei dati sensibili (art. 26) e di quelli a carattere giudiziario(art. 27), le misure di sicurezza (artt. 31 e ss.) e i trasferimenti di dativerso Paesi terzi (artt. 43 e ss.) (v. nota delle società del 7 novembre 2014,punto (c));
- in ordine alla "regola degliinteressi prevalenti", la normativa italiana sarà osservata anche ove nonconsenta le deroghe espressamente previste nell'all'art. 16 della"Politica Globale sulla Protezione dei Dati di Clienti, Fornitori ePartner commerciali" e nell'art. 15 della "Politica Globalesulla Protezione dei Dati dei Dipendenti" (v. nota delle società del 15luglio 2014);
- quanto all'utilizzodell'espressione "reasonable" con riguardo alle misure di sicurezzada adottare (v. art. 12.1 della "Politica Globale sulla Protezione deidati dei Clienti, Fornitori e Partner commerciali" e art. 12.1 della "Politica Globale sulla Protezione dei dati dei Dipendenti"), taleespressione sarà interpretata conformemente alla Direttiva 95/46/CE (ossia nelsenso di "appropriate", v. art. 17) (v. nota delle società del15 luglio 2014);
- con riferimento al sistema diresponsabilità, la previsione di cui alla "Politica Globale sullaProtezione dei dati dei Dipendenti" (v. art. 22.4) e alla "PoliticaGlobale sulla Protezione dei dati dei Clienti, Fornitori e Partnercommerciali" (v. art. 23.4), con la quale si condiziona l'esercizio dellaclausola del terzo beneficiario al previo esperimento della procedura internadi risoluzione delle controversie prevista da ING (rispettivamente contenutenegli artt. 21 e 22), non è volta a limitare il diritto dell'interessatomedesimo di adire, in caso di violazione delle suddette Bcr ING, direttamentel'Autorità giudiziaria o amministrativa competente (v. nota delle società del15 luglio 2014);
CONSIDERATOche l'art. 44, comma 1, lett. a) del Codice riconosce espressamente il poteredel Garante di autorizzare un trasferimento di dati personali verso paesi terzianche nel caso in cui tale trasferimento sia posto in essere tramite regole dicondotta, esistenti nell'ambito di società appartenenti ad un medesimo gruppo,che presentino adeguate garanzie per i diritti dell'interessato, quali le BcrING;
VISTO altresì che, in virtù di tale previsione normativa, le predette regole dicondotta costituiscono un fatto astrattamente idoneo a produrre effettigiuridicamente vincolanti nell'ordinamento giuridico nazionale, ai sensidell'art. 1173 cod. civ.;
TENUTOCONTO inoltre che, nonostante quanto stabilito in materia di"giurisdizione esclusiva" delle autorità olandesi (v. "PoliticaGlobale sulla Protezione dei Dati di Clienti, Fornitori e Partnercommerciali", art. 23.4; "Politica Globale sulla Protezione dei Datidei Dipendenti", art. 22.4) e confermato dalle stesse società (v. notadelle società del 22 aprile 2014 punto (d)), l'interessato, in base al dirittonazionale applicabile, può, in ogni caso, far valere i propri diritti nelterritorio dello Stato anche in ordine all'inosservanza delle garanziecontenute nelle regole di condotta di cui alle Bcr ING (art. 44, comma 1, lett.a) del Codice);
RITENUTA,altresì, la necessità di formulare alcune prescrizioni concernenti l'obbligo dicomunicare a questa Autorità eventuali modifiche di carattere sostanzialeapportate al testo delle Bcr ING, in considerazione del fatto che le"Policy" ("Politica Globale sulla Protezione dei Dati diClienti, Fornitori e Partner commerciali", art. 26.1; "PoliticaGlobale sulla Protezione dei Dati dei Dipendenti", art. 25.1) prevedonol'adempimento di tale obbligo esclusivamente nei confronti del CBP;
VISTOl'art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati inviolazione della disciplina rilevante in materia di trattamento di dati personalinon possono essere utilizzati;
a) ai sensi dell'art. 44,comma 1, lett. a) del Codice, autorizza ING BANK N.V. Milan Branch e ING Lease(Italia) S.p.A. a trasferire, nell'ambito del Gruppo ING, i datipersonali relativi al personale dipendente (ivi compresi gli ex dipendenti e icandidati all'assunzione), ai clienti, fornitori e partner commerciali (ivicompresi i dipendenti o altre persone che lavorano per tali clienti, fornitorio partner commerciali e i soggetti i cui dati personali sono elaborati in virtùdi impegni legali o contrattuali verso terze parti) dal territorio dello Statoverso i soggetti facenti parte del Gruppo ING aventi la loro sede in paesi nonappartenenti all'Unione europea, secondo le modalità fissate nelle Bcr ING eper il perseguimento delle sole finalità ivi dichiarate;
b) ai sensi dell'art. 157 delCodice, dispone che ING BANK N.V. Milan Branch e ING Lease (Italia) S.p.A,comunichino al Garante entro 90 giorni dall'approvazione di eventuali modifichedi carattere sostanziale apportate al testo delle Bcr ING;

References: art. 23
 art. 29
 art. 6
 art. 15
 art. 12
 art. 12
 art. 17
 art. 22
 art. 23
 art. 23
 art. 22
 art. 26
 art. 25