Source: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/1728496
Timestamp: 2020-07-02 13:43:41+00:00
Document Index: 168647105

Matched Legal Cases: ['art. 25', 'art. 26', 'art. 26', 'art. 1', 'art. 3', 'art. 29', 'art. 44', 'art. 44', 'art. 6', 'art. 7', 'art. 7', 'art. 157', 'art. 157', 'art. 4']

Autorizzazione al trasferimento di dati personali del territorio dello... - Garante Privacy
G.U. n. 141 del 19 giugno 2010
Decisione Commissione, clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento in paesi terzi, dir 95-46-CE - 5 febbraio 2010 pdf
Authorisation To Use Standard Contractual Clauses ' EU Data Controllers to Non-EU Data Processors and Non-EU Data Processors to Non-EU Sub-Process
WP161 - Parere 3/2009 sulla Proposta di Decisione della Commissione europea concernente clausole contrattuali standard per il trasferimento di dat
[doc. web n. 1728496]
[Decisione 2010/87/UE]
Autorizzazione al trasferimento di dati personali del territorio dello Stato verso Paesi non appartenenti all´Unione europea, effettuati in conformità alle clausole contrattuali tipo, di cui all´allegato alla decisione della Commissione europea del 5 febbraio 2010, n. 2010/87/UE - 27 maggio 2010
(Gazzetta Ufficiale n. 141 del 19 giugno 2010)
Del. n. 35 del 27 maggio 2010
In data odierna, con la partecipazione del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan, componente, e del dott. Daniele De Paoli, segretario generale;
VISTO l´art. 25 della direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995, secondo il quale i dati personali possono essere trasferiti in un paese non appartenente all´Unione europea qualora il paese terzo garantisca un livello di protezione considerato adeguato alla luce dei criteri indicati al paragrafo 2 del medesimo articolo;
VISTO l´art. 26 della predetta direttiva il quale, prevedendo alcune deroghe al menzionato principio, stabilisce che uno Stato membro possa autorizzare un trasferimento o una categoria di trasferimenti di dati personali verso un paese terzo che non garantisce un livello di protezione adeguato, qualora il titolare del trattamento presenti garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonché per l´esercizio dei diritti connessi, risultanti anche da clausole contrattuali appropriate;
VISTO il paragrafo 4 del medesimo art. 26, relativo alle decisioni della Commissione europea in materia di clausole contrattuali tipo;
RILEVATO che la Commissione europea, con la decisione del 27 dicembre 2001, n. 2002/16/CE (pubblicata sulla Gazzetta Ufficiale delle Comunità europee L 6/52 del 10 gennaio 2002), ha individuato alcune clausole contrattuali tipo, allegate alla medesima decisione, che costituiscono garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonché per l´esercizio dei diritti connessi, in caso di trasferimento di dati personali verso responsabili del trattamento stabiliti in paesi terzi che non assicurano un adeguato livello di protezione;
CONSIDERATO che la Commissione europea con decisione del 5 febbraio 2010, n. 2010/87/UE (pubblicata sulla Gazzetta Ufficiale delle Comunità europee L 39/5 del 12 febbraio 2010), ha abrogato la decisione della Commissione n. 2002/16/CE e ha individuato un nuovo insieme di clausole contrattuali tipo, allegate alla medesima decisione, che, secondo la Commissione, costituiscono anch´esse garanzie sufficienti ai fini della tutela della riservatezza, dei diritti e delle libertà fondamentali delle persone, nonché per l´esercizio dei diritti connessi in caso di trasferimento di dati personali verso paesi terzi ai sensi della direttiva 95/46/CE (considerando 7 e art. 1 della decisione n. 2010/87/UE);
RILEVATO che la decisione della Commissione riguarda i trasferimenti di dati effettuati a partire dal territorio dello Stato da un titolare del trattamento avente sede nella Unione europea (soggetto esportatore) ad un responsabile del medesimo trattamento (soggetto importatore) stabilito in un paese terzo che non assicura un livello di protezione adeguato;
RILEVATO, altresì, che la medesima decisione contiene specifiche clausole contrattuali tipo concernenti anche i successivi trasferimenti di dati personali posti in essere da un responsabile del trattamento (soggetto importatore), stabilito in un paese terzo che non assicura un livello di protezione adeguato, ad un altro responsabile del trattamento, stabilito in un paese terzo che non assicura un livello di protezione adeguato (c.d. subincaricato), sulla base di un apposito accordo (c.d. "subcontratto") stipulato tra i predetti soggetti;
TENUTO CONTO che con il termine "subincaricato" deve intendersi il responsabile del trattamento designato dall´importatore o da altro suo subincaricato, che s´impegna a ricevere dall´importatore o da altro suo subincaricato dati personali al solo fine di trattarli per conto e secondo le istruzioni dell´esportatore, nonché in base alle clausole contrattuali tipo allegate alla citata decisione e in virtù delle disposizioni contenute nel relativo subcontratto (art. 3, lett. e) e clausola n. 1, lett. d) della decisione n. 2010/87/UE);
CONSIDERATO che la decisione della Commissione fissa le condizioni affinché "i dati personali trasferiti continuino ad essere protetti nonostante il trasferimento successivo al subincaricato" posto in essere sulla base di un subcontratto, stabilendo, altresì, che quest´ultimo riguardi solo i trattamenti previsti nel contratto contenente le menzionate clausole contrattuali tipo, concluso tra l´esportatore e l´importatore, e non comporti trattamenti o finalità diversi, così da garantire il rispetto del principio di finalità sancito dalla direttiva 95/46/CE (cfr. considerando 17 e 18 della decisione n. 2010/87/UE);
VISTO che la decisione della Commissione, in particolare, prevede che l´importatore si impegni, in caso di subcontratto, a informare l´esportatore e a ottenere da quest´ultimo un previo consenso scritto in mancanza del quale non potrà subcontrattare i trattamenti effettuati per conto dell´esportatore (clausola n. 5, lett. h) e clausola n. 11, paragrafo 1 della decisione n. 2010/87/UE);
CONSIDERATO, inoltre, che ove l´importatore, con il consenso dell´esportatore, affidi in subcontratto l´esecuzione degli obblighi ai sensi delle citate clausole, è tenuto a stipulare con il subincaricato un accordo scritto che imponga a quest´ultimo il rispetto degli stessi obblighi cui lo stesso è vincolato in virtù della sottoscrizione delle clausole, e che tale prescrizione può considerarsi soddisfatta anche qualora il subincaricato si limiti a sottoscrivere il contratto concluso tra l´esportatore e l´importatore (clausola n. 11, paragrafo 1 della decisione n. 2010/87/UE);
RILEVATO, altresì, che l´importatore si obbliga ad inviare all´esportatore copia dei subcontratti conclusi e che quest´ultimo, a sua volta, si impegna a tenere un elenco aggiornato di tali subcontratti e a tenerlo a disposizione della relativa autorità di controllo (clausola n. 5, lett. j) e clausola n. 11, paragrafo 4 della decisione n. 2010/87/UE);
RILEVATO, inoltre, che la Commissione, anche alla luce di quanto stabilito dal Gruppo di lavoro istituito dall´art. 29 della direttiva 95/46/CE (cfr. par. 1.1 del Parere 3/2009, documento WP 161 del 5 marzo 2009), ha rimesso agli Stati membri la facoltà − con riguardo ai casi in cui il responsabile del trattamento stabilito nell´Unione europea, che tratta dati personali per conto di un titolare stabilito nell´Unione europea, affidi il trattamento a un subincaricato stabilito in un paese terzo che non assicuri un livello di protezione adeguato − di tenere conto del fatto che alla decisione di affidare il trattamento al suddetto subincaricato "presiedono i principi e le garanzie delle clausole contrattuali tipo di cui alla presente decisione, nell´intento di garantire protezione adeguata ai diritti degli interessati i cui dati personali sono trasferiti per il trattamento" (considerando 23 della decisione n. 2010/87/UE);
VISTO l´art. 44, comma 1, lett. b) del decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali) secondo il quale il trasferimento dei dati personali diretto verso paesi non appartenenti all´Unione europea può avvenire quando é autorizzato dal Garante sulla base di adeguate garanzie per i diritti dell´interessato individuate con le decisioni della Commissione previste dagli artt. 25, paragrafo 6, e 26, paragrafo 4 della direttiva 95/46/CE;
RILEVATO che questa Autorità, con deliberazione n. 3 del 10 aprile 2002, ha autorizzato il trasferimento dei dati verso responsabili stabiliti in paesi terzi in conformità alle clausole contrattuali tipo allegate alla decisione del 27 dicembre 2001, n. 2002/16/CE abrogata dalla Commissione con la decisione n. 2010/87/UE;
RITENUTO che le clausole contrattuali tipo, contenute nell´allegato alla decisione n. 2010/87/UE, su cui il 5 febbraio 2010 si è espressa la Commissione, prevedono anch´esse alcune garanzie per i diritti dell´interessato che possono essere ritenute adeguate ai sensi del citato art. 44, comma 1, lett. b);
RITENUTA la necessità di assicurare ulteriore pubblicità alle clausole contrattuali tipo di cui alla decisione della Commissione n. 2010/87/UE, disponendo la loro pubblicazione sulla Gazzetta Ufficiale della Repubblica italiana in allegato alla presente autorizzazione;
RITENUTA la necessità di formulare alcune prescrizioni inerenti alle informazioni da fornire a questa Autorità in ragione ai compiti ad essa affidati e richiamati dalla citata decisione della Commissione, nei limiti necessari per la prima fase di applicazione del presente provvedimento e nei termini di cui al seguente dispositivo;
RITENUTO che l´Autorità si riserva la scelta di svolgere o meno, caso per caso, il ruolo di mediazione previsto dalla clausola n. 7, paragrafo 1, lett. a) della decisione n. 2010/87/UE;
1) fatta salva l´applicazione delle ulteriori disposizioni previste dal Codice in materia di protezione dei dati personali, autorizza, con effetto dal 15 maggio 2010, i trasferimenti di dati personali dal territorio dello Stato verso paesi non appartenenti all´Unione europea effettuati in conformità alle clausole contrattuali tipo di cui all´allegato alla decisione della Commissione europea del 5 febbraio 2010, n. 2010/87/UE e sulla base dei presupposti indicati nella medesima decisione (art. 6 della decisione della Commissione europea del 5 febbraio 2010, n. 2010/87/UE); ciò anche con riguardo ai casi in cui il responsabile del trattamento stabilito nell´Unione europea, che tratta dati personali per conto di un titolare stabilito nell´Unione europea, affidi il trattamento a un subincaricato stabilito in un paese terzo che non assicura un livello di protezione adeguato (considerando 23 della decisione della Commissione europea del 5 febbraio 2010, n. 2010/87/UE);
2) abroga, a decorrere dalla medesima data, la deliberazione del Garante n. 3 del 10 aprile 2002 in materia di clausole contrattuali tipo per il trasferimento di dati personali verso responsabili stabiliti in paesi terzi (art. 7, paragrafo 1, della decisione della Commissione europea del 5 febbraio 2010, n. 2010/87/UE);
3) dispone che:
a) il contratto concluso, ai sensi della deliberazione del Garante n. 3 del 10 aprile 2002, tra l´esportatore e l´importatore prima del 15 maggio 2010, resti valido ed efficace purché rimangano immutati i trasferimenti e il trattamento dei dati che ne costituiscono l´oggetto e purché continui tra le parti il trasferimento dei dati personali contemplati dalla presente autorizzazione (art. 7, paragrafo 2, della decisione della Commissione europea del 5 febbraio 2010, n. 2010/87/UE);
b) la copia del contratto relativo al trasferimento e le altre informazioni necessarie debbano essere fornite al Garante solo su sua richiesta (art. 157 del Codice e clausola n. 8, paragrafo 1 della decisione della Commissione europea del 5 febbraio 2010, n. 2010/87/UE);
c) l´esportatore comunichi al Garante l´avvenuta designazione in successione di più di un subincaricato del trattamento a seguito dell´adozione delle clausole contrattuali tipo di cui alla presente autorizzazione (art. 157 del Codice);
d) l´esportatore informi il Garante in ordine alla scelta effettuata dall´interessato, in caso di controversia non risolta in via amichevole, di sottoporne l´esame ad un soggetto diverso dal Garante o dall´autorità giudiziaria (clausola n. 7, paragrafo 1, lett. a) della decisione della Commissione europea del 5 febbraio 2010, n. 2010/87/UE);
4) si riserva di svolgere i necessari controlli sulla liceità e correttezza dei trasferimenti di dati e di adottare, eventualmente, provvedimenti di blocco o di divieto di trasferimento in conformità al Codice in materia di protezione dei dati personali ed alla normativa comunitaria (artt. 154, comma 1, lettere a) e d) e art. 4 della decisione della Commissione del 5 febbraio 2010, n. 2010/87/UE);
5) dispone la trasmissione del presente provvedimento e dell´allegata decisione della Commissione all´Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica Italiana.