Source: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/5141884
Timestamp: 2020-07-02 13:11:57+00:00
Document Index: 84362391

Matched Legal Cases: ['arte 2', 'arte 2', 'arte 2', 'art. 29', 'art. 44', 'art. 168', 'art. 44']

Autorizzazione a BTicino S.p.A. al trasferimento di dati relativi al... - Garante Privacy
[doc. web n. 5141884]
Autorizzazione a BTicino S.p.A. al trasferimento di dati relativi al personale dipendente nell´ambito del Gruppo Legrand secondo le modalità fissate nelle Bcr - 12 maggio 2016
n. 217 del 12 maggio 2016
VISTA la richiesta (c.d. "Application form") presentata da Legrand France SA – società capogruppo del Gruppo Legrand operante nel settore delle infrastrutture elettriche e digitali dell´edificio (con sede in Francia), dinanzi all´Autorità francese di protezione dei dati personali (Commission nationale de l´informatique et des libertés, di seguito "CNIL"), che è stata individuata quale lead Authority della relativa procedura;
RILEVATO che tale richiesta è stata presentata da Legrand France SA, quale società capogruppo del Gruppo Legrand in nome e per conto di tutte le società controllate, direttamente o indirettamente, dalla medesima (c.d. "Controllate Legrand"), ed è volta a ottenere l´autorizzazione al trasferimento intra-gruppo verso paesi terzi mediante l´adozione delle Norme vincolanti di impresa c.d. "Bcr Legrand", dei dati personali relativi al personale dipendente e ai fornitori per il perseguimento delle finalità indicate nell´Application Form (Parte 2, Sezione VII);
PRESO ATTO che le Bcr Legrand consistono in specifiche regole di condotta contenute nelle "Norme Vincolanti d´impresa – Gruppo Legrand" (di seguito "NVI") comprensive delle seguenti appendici: l´"Allegato 1 – Dati relativi ai trasferimenti e alla natura dei dati trasferiti"; l´"Allegato 2 – Elenco delle società del Gruppo Legrand soggette alle norme vincolanti d´impresa"; l´"Allegato 3 – Procedura per la gestione dei reclami"; l´"Allegato 4 – Creazione di un network di responsabili per la protezione dei dati "; l´"Allegato 5 – Politiche in materia di riservatezza e sicurezza"; l´"Allegato 6 – Procedura di audit"; l´"Allegato 7 – Programma di formazione"; l´"Allegato 8 – Politica di uso accettabile del Sistema informatico";
CONSIDERATO che con le NVI la capogruppo Legrand France SA si è impegnata, anche in nome e per conto delle "Controllate Legrand", ad agire in conformità a tali Norme e ad osservare e rispettare i principi ivi contenuti, comprese le clausole di responsabilità e del terzo beneficiario (v. par. 1.1 NVI);
CONSIDERATO, altresì, che "Legrand France SA e tutte le sue consociate sono tenute a rispettare" le "NVI" adottate dalla capogruppo in ragione di "una dichiarazione unilaterale di consenso [di seguito "Dichiarazione di accettazione"] firmata dal rappresentante legale di Legrand France SA e di tutte le società controllate [volta a] sancire appunto l´accettazione da parte loro delle norme vincolanti d´impresa" (v. par. 1.2 NVI);
RILEVATO che, in virtù dell´avvenuta sottoscrizione delle citate dichiarazioni, ciascuna "Controllata Legrand", nonché la capogruppo Legrand France SA, si sono reciprocamente obbligate in via contrattuale ad agire in conformità alle Bcr Legrand e ad osservare le clausole in esse contenute (v. "Dichiarazione di accettazione" e Parte 2, sezione IV, Application Form);
TENUTO CONTO, altresì, che Legrand France SA si è impegnata a garantire che tutti i dipendenti del Gruppo "si attengano alle disposizioni fissate nelle NVI" e che in caso di mancata osservanza delle Bcr Legrand sono previste sanzioni disciplinari nei confronti del personale dipendente (v. paragrafi 1.1 e 1.2 NVI e Parte 2, sezione IV, Application form);
PRESO ATTO inoltre che le Bcr Legrand, comprensive al loro interno della clausola del terzo beneficiario (par. 19), saranno pubblicate sulla rete Intranet del Gruppo Legrand e saranno in tal modo rese disponibili anche ai fornitori del Gruppo, così come previsto nel par. 8 delle NVI;
RILEVATO che la CNIL, in data 8 settembre 2014, all´esito della procedura concernente le Bcr Legrand, attivata secondo le forme del mutuo riconoscimento e mediante il coinvolgimento del Garante per la protezione dei dati personali in qualità di co-lead Authority, ha inoltrato alle Autorità di protezione dei dati personali interessate il relativo final draft, attestandone la conformità ai requisiti individuati dai documenti del Gruppo ex art. 29 sopra citati;
VISTA l´istanza del 7 settembre 2015 presentata, ai sensi dell´art. 44, comma 1, lett. a) del Codice, da BTicino S.p.A. (con sede in Varese), volta ad ottenere il rilascio dell´autorizzazione nazionale al trasferimento infragruppo dei dati personali relativi al personale dipendente e ai fornitori posto in essere per il perseguimento delle finalità connesse allo scopo di "creare una directory interna al Gruppo Legrand", nonché di realizzare "politiche di talent management" nell´ambito del Gruppo, così come individuate nel dettaglio nell´"Allegato 1 – Dati relativi ai trasferimenti e alla natura dei dati trasferiti" delle Bcr Legrand;
VISTE le richieste di informazioni avanzate dal Garante in data 5 novembre 2015, 15 gennaio e 7 aprile 2016 nei confronti della menzionata società, volte ad ottenere specifici chiarimenti in particolare con riferimento ai seguenti aspetti:
- l´ambito del trasferimento, con particolare riguardo alle categorie di interessati e alle finalità oggetto delle operazioni di trasferimento di cui alla presente autorizzazione (v. note del Garante del 5 novembre 2016 e 15 gennaio 2016);
- l´efficacia vincolante delle Bcr Legrand (v. nota del 7 aprile 2016);
CONSIDERATO che la società, nel rendere riscontro al Garante in ordine ai punti sopra menzionati, assumendo ogni responsabilità ai sensi dell´art. 168 del Codice, con note del 18 novembre 2015, 4 febbraio, 11 aprile e 18 aprile 2016 ha espressamente dichiarato che:
- con riferimento alle finalità dei trasferimenti e alle categorie dei soggetti interessati, i dati oggetto della richiesta di autorizzazione si riferiscono al personale dipendente ("ove non sono ricompresi […] gli ex dipendenti, i candidati all´assunzione o altre figure" diverse da quella del lavoratore dipendente) e ai fornitori del Gruppo Legrand, e i relativi trasferimenti sono volti a consentire al Gruppo la creazione e la gestione di "una directory interna [per] fornire ai dipendenti i riferimenti e le coordinate aziendali dei dipendenti e dei fornitori, nonché i riferimenti e i turni di reperibilità dello Staff IT e a centralizzare il sistema di autorizzazioni per le applicazioni, le attrezzature e le infrastrutture tecniche, [nonché per] consentire [al Gruppo] lo svolgimento di politiche di talent management" (v. nota della società del 4 febbraio 2016);
- in merito all´efficacia vincolante delle Bcr Legrand, la società capogruppo Legrand France SA e la società hanno provveduto alla sottoscrizione della "Dichiarazione di accettazione" e in virtù dell´avvenuta sottoscrizione di tali modelli si sono obbligate ad agire in conformità alle Bcr e ad osservare le clausole in esse contenute (v. comunicazioni dell´11 aprile e del 18 aprile 2016, ove è tra l´altro rappresentato che la "Dichiarazione di accettazione" è stata sottoscritta dalla società istante in data 24 aprile 2015);
a) ai sensi dell´art. 44, comma 1, lett. a) del Codice, autorizza BTicino S.p.A. a trasferire, nell´ambito del Gruppo Legrand, i dati personali relativi al personale dipendente e ai fornitori dal territorio dello Stato verso i soggetti facenti parte del Gruppo Legrand aventi la loro sede in paesi non appartenenti all´Unione europea, secondo le modalità fissate nelle Bcr Legrand e per il perseguimento delle sole finalità ivi dichiarate;