Source: http://www.ildocumentodigitale.com/applicazione-delle-bcr-dal-working-party-art-29-le-indicazioni/
Timestamp: 2018-10-20 11:29:24+00:00

Document:
APPLICAZIONE DELLE BCR: DAL WORKING PARTY ART.29 LE INDICAZIONI | Il Documento Digitale
Art. 26 Direttiva 95/46/CE
Per le aziende italiane ed europee che intendano allocare fuori dai confine europei I propri dati, occorre adottare una serie di prescrizioni inerenti la gestione dei dati dislocati, attuando un piano di gestione infragruppo o destinato a grandi fornitori che gestiscono i dati in Paesi Terzi. L’WP 29 ha dettato i principi di attuazione destinati ai Controllers ed ai Processors.
Adottato il 22 maggio 2015, il WP 204 titolato “Explanatory Document on the Processor Binding Corporate Rules” è solo l’ultimo di molti documenti elaborati dal Gruppo Ex Art. 29 che hanno abbracciato il tema dei trasferimenti di dati al di fuori del territorio europeo e degli strumenti di natura contrattuale che ne garantiscono la legittimità e l’affidabilità medesima.
Il concetto di trasferimento non è affatto sviscerato né tantomeno definito dalle fonti europee (e conseguentemente da quelle nazionali di recepimento) le quali ne vietano con assoluta determinatezza il verificarsi, salvo il ricorrere di ben precise condizioni.
Ebbene per trasferimento del dato può ben intendersi la comunicazione di informazioni afferenti al personale dipendente fra le sedi italiane o comunque europee e sedi estere di un gruppo multinazionale strutturato. La “migrazione” del dato dal territorio europeo a quello estero ingenererebbe rischi collegati alla mancata applicazione delle norme e delle tutele individuate dalla normativa europea, con la pericolosa conseguenza che i dati solo per il fatto di circolare al di fuori del territorio europeo sarebbero di fatto sprovvisti delle idonee garanzie preposte a loro tutela.
Il problema sollevato dal divieto è parso di elevata considerazione tanto da giustificare interventi puntuali del Gruppo Ex Art. 29 che ha delineato con sufficiente precisione quelli che sono gli strumenti contrattuali in grado di consentire un legittimo trasferimento del dato personale da uno Stato europeo verso un Paese terzo. Di strumenti contrattuali recita l’articolo 26 della Direttiva 95/46/CE, statuendo che “uno Stato membro può autorizzare un trasferimento o una categoria di trasferimenti di dati personali verso un paese terzo che non garantisca un livello di protezione adeguato ai sensi dell’ articolo 25, paragrafo 2, qualora il responsabile (ndr. leggi titolare) del trattamento presenti garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonché per l’esercizio dei diritti connessi; tali garanzie possono segnatamente risultare da clausole contrattuali appropriate”.
Sulla scia di consentire una libera circolazione del dato soprattutto in favore dei gruppi multinazionali collocati in diversi Paesi del mondo, il modello contrattuale elaborato è rappresentato dalle cd. Binding Corporate Rules. Le Binding Corporate Rules (o “BCR”) sono definite “un documento contenente una serie di clausole che fissano i principi vincolanti al cui rispetto sono tenute tutte le società appartenenti ad un unico gruppo di impresa”. Il divieto al trasferimento viene così superato mediante la previsione in un unico documento contrattuale vincolante per le diverse società appartenenti al medesimo gruppo dei principi e degli adempimenti sanciti nella Direttiva, secondo quanto predisposto nei modelli elaborati dal Gruppo Ex Articolo 29.
Anche se tali elaborati non hanno forza di legge, il loro contenuto viene assiduamente seguito ed applicato dai Garanti europei nella concessione delle autorizzazioni nazionali al trasferimento nonché nell’interpretazione della normativa. Non soltanto le BCR costituiscono la privacy policy del gruppo di impresa per la materia dei trasferimenti all’estero dei dati personali ma potrebbero – e di fatto questo accade – essere elevate a strumento di policy riguardante i trattamenti generalmente intesi effettuati dall’impresa stessa.
Sul contenuto, gli elaborati prodotti sono molteplici. Dal WP 74 del 3 giugno 2003 fino al WP 154 del 24 giugno 2008 che costituisce un modello esemplificativo della costruzione di un testo adeguato di BCR: tutti individuano i requisiti e gli elementi che dovranno essere previsti od implementati dalle aziende. Innanzitutto, lo strumento contrattuale di BCR adottato dovrà essere reso vincolante per tutte le società facenti parte della compagine. Tale efficacia potrà ben essere conferita mediante molteplici strumenti: contratti infragruppo, dichiarazioni rilasciate o impegni assunti unilateralmente dalla controllante che siano vincolanti per tutti i membri, obblighi contenuti nei documenti statutari, integrazione delle norme in materia di protezione dei dati personali all’interno dei principi aziendali dell’organizzazione, sostenute da politiche, controlli e sanzioni adeguati.

References: ART.29

Art. 26
 Art. 29
 Art. 29
 articolo 25
 Articolo 29