Source: https://www.studiocerbone.com/garante-privacy-deliberazione-10-ottobre-2013-n-444-utilizzo-di-call-center-siti-paesi-al-di-fuori-dellunione-europea/
Timestamp: 2018-03-22 17:45:18+00:00
Document Index: 136432851

Matched Legal Cases: ['art. 44', 'art. 29', 'art.44', 'art. 24', 'art. 24', 'art. 42', 'art. 24']

GARANTE PRIVACY - Deliberazione 10 ottobre 2013, n. 444 - utilizzo di call center siti in Paesi al di fuori dell'Unione europea - Studio Cerbone
GARANTE PRIVACY – Deliberazione 10 ottobre 2013, n. 444 – utilizzo di call center siti in Paesi al di fuori dell’Unione europea
Sei qui: Home » GARANTE PRIVACY – Deliberazione 10 ottobre 2013, n. 444 – utilizzo di call center siti in Paesi al di fuori dell’Unione europea
GARANTE PRIVACY – Deliberazione 10 ottobre 2013, n. 444
Provvedimento prescrittivo in materia di trattamento dei dati personali effettuato mediante l’utilizzo di call center siti in Paesi al di fuori dell’Unione europea.
Conseguentemente la disciplina nazionale condiziona il trasferimento dei dati, anche temporaneo, verso un Paese terzo che non garantisca un livello di protezione adeguato (artt. 42, 43 e 45 del Codice) all’adozione di stringenti misure. E’ infatti previsto che il trasferimento sia consentito se autorizzato dal Garante qualora il livello di garanzia offerto dal Paese terzo sia stato ritenuto idoneo da apposite decisioni della Commissione europea oppure qualora il titolare presti opportune garanzie in sede contrattuale mediante l’adozione di regole di condotta infragruppo (le cosiddette binding corporate rules, BCR) o mediante la sottoscrizione fra le parti delle clausole contrattuali tipo previste dalle relative decisioni della Commissione europea (art. 44 del Codice).
– per il trasferimento dei dati da un titolare stabilito nel territorio europeo ad un responsabile stabilito in un Paese extra-UE, è stata adottata la decisione 2002/16/CE (pubblicata sulla G.U.C.E.L 6/52 del 10 gennaio 2002) abrogata a decorrere dal 15 maggio 2010 dalla decisione 2010/87/UE (pubblicata sulla G.U.U.E. L 39/5 del 12 febbraio 2010).
Le suddette decisioni introducono nuove definizioni: “esportatore” è il titolare che trasferisce i dati personali e “importatore” è il responsabile o il titolare stabilito nel Paese terzo che riceve i dati. La decisione 2010/87/UE in particolare, prende in esame l’eventualità del subappalto effettuato in conseguenza di un rapporto contrattuale fra un titolare stabilito nella Unione europea ed un responsabile, residente in un Paese extra-UE che non fornisca adeguate garanzie, il quale affidi il trattamento ad un soggetto terzo, anch’esso residente in un Paese extra-UE; tale decisione, in particolare, definisce “sub-incaricato” il soggetto designato dall’importatore che si impegni a ricevere i dati dall’importatore stesso per trattarli secondo le istruzioni dell’esportatore. E’ previsto inoltre che il subcontratto possa effettuarsi, previo consenso scritto dell’esportatore, solo se l’importatore faccia sottoscrivere al sub-incaricato le medesime clausole contrattuali tipo e fermo restando che l’importatore rimane l’unico responsabile nei confronti dell’esportatore per eventuali inadempimenti da parte del sub-incaricato.
Queste indicazioni, tuttavia, valgono solo (ai sensi del considerando 23 della decisione 2010/87/UE) nel caso in cui l’importatore che trasmette i dati ad un sub-incaricato, sia stabilito in un Paese non appartenente all’Unione europea; tuttavia è più frequente, nell’attuale situazione di mercato dei call-center, la condizione per cui l’importatore sia residente all’interno dell’Unione europea e subappalti tutto o parte del trattamento ad un soggetto terzo extracomunitario. Al fine di dare risposta ai numerosi quesiti conseguenti proprio l’esclusione di questa particolare condizione, il Gruppo “Articolo 29” dei Garanti europei ha adottato il documento WP 176 del 12 luglio 2010 (in www.garanteprivacy.it, doc. web n. 1791942); in tale documento si suggerisce l’adozione di tre soluzioni alternative: sottoscrizione diretta delle clausole contrattuali tipo tra il titolare ed il soggetto terzo; conferimento da parte del titolare di un mandato al responsabile per la sottoscrizione delle clausole contrattuali tipo con il terzo; sottoscrizione di contratti ad hoc tra il titolare ed il terzo.
Si ricorda, inoltre, che con il provvedimento del 15 giugno 2011 (doc. web n. 1821257), il Garante ha prescritto a tutti i committenti – cui possa essere imputato nella pratica un effettivo potere decisionale sul trattamento, agendo quindi in qualità di titolari -di designare quali responsabili, ai sensi dell’art. 29 del Codice, gli outsourcer di cui si avvalgano per la realizzazione di iniziative di carattere commerciale; ciò anche in considerazione del legittimo affidamento dell’interessato nell’identificare col committente il soggetto da cui viene contattato.
3. sottoscrizione di contratti ad hoc tra il titolare ed il sub-incaricato che siano però in grado di fornire le stesse garanzie previste dalle clausole contrattuali tipo: solo in questo caso il contratto deve essere vagliato dall’Autorità che potrà o meno autorizzare il trattamento (come previsto anche dal Codice all’art.44, comma 1, lett. a).
In caso di trasferimenti infragruppo, questi possono essere realizzati utilizzando lo schema di BCR elaborato dal Gruppo “Articolo 29” dei Garanti europei (cfr. i WP 74, WP 153, WP 154 e WP 155) integrato dal WP 195 del 6 giugno 2012 contenente un nuovo modello di norme vincolanti d’impresa definito «BCR for processor».
4. Il trasferimento dei dati personali fuori dall’Unione europea per i trattamenti operati dai call center e prescrizioni derivanti dall’attuazione del decreto-legge n. 83/2012
L’art. 24-bis del decreto-legge 22 giugno 2012, n. 83, convertito con modificazioni, dalla legge 7 agosto 2012, n. 134, ha introdotto dei nuovi adempimenti per le aziende con almeno venti dipendenti che intendano trasferire la propria attività al di fuori del territorio nazionale. In particolare, la richiamata disposizione prevede che queste sono tenute a darne comunicazione al Ministero del lavoro e delle politiche sociali e al Garante per la protezione dei dati personali 120 giorni prima del trasferimento, stabilendo, altresì, che gli interessati, nel rivolgersi a (o nell’essere contattati da) un call center, siano sempre informati del fatto che l’operatore possa essere collocato in un Paese estero. Nel caso in cui l’interessato che effettua la chiamata ad un call center venga messo in contatto con un operatore collocato all’estero, inoltre, è stato previsto che deve sempre essere fornita a questi la possibilità di scegliere che il servizio sia reso tramite un operatore collocato nel territorio nazionale.
L’Autorità, concordando con l’interpretazione fornita dal Ministero del lavoro e delle politiche sociali, ritiene innanzitutto che l’art. 24-bis del decreto-legge 22 giugno 2012, n. 83 debba essere interpretato come riguardante il solo trasferimento di dati personali verso Paesi che sono al di fuori della Unione europea, ciò anche in conformità all’art. 42 del Codice e all’articolo 1, comma 2 della stessa direttiva 95/46/CE; diversamente interpretando, infatti, il maggior onere connesso al rispetto delle prescrizioni del suddetto art. 24-bis- se applicato anche agli Stati membri dell’Unione europea – comporterebbe restrizioni alla libertà di stabilimento ed alla libera prestazione dei servizi e sarebbe, altresì, incompatibile con la disciplina europea in materia di protezione dei dati personali.
b) di effettuare, in caso di trasferimento (o di affidamento del trattamento) di dati personali ad un call center sito al di fuori dell’Unione europea, un’apposita comunicazione al Garante prima del trasferimento o dell’affidamento, utilizzando il modello pubblicato sul sito istituzionale www.garanteprivacy.it;
Provvedimento pubblicato nella G.U. 13 novembre 2013, n. 266.
Garante della Privacy, Provvedimento 4 aprile 2013, n. 161
GARANTE PROTEZIONE DATI PERSONALI – Nota 24 maggio 2013, n. 373
GARANTE PROTEZIONE DATI PERSONALI – Provvedimento 01 agosto 2013, n. 384 – Sistema biometrico di rilevazione delle presenze dei dipendenti in una scuola
Autorizzazione n. 3/2013 – Autorizzazione al trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni
Autorizzazione n. 4/2013 – Autorizzazione al trattamento dei dati sensibili da parte dei liberi professionisti
Autorizzazione n. 5/2013 – Autorizzazione al trattamento dei dati sensibili da parte di diverse categorie di titolari
DECRETO PRESIDENTE REPUBBLICA 15 gennaio 2018, n.
GARANTE PRIVACY – Provvedimento 01 febbraio
GARANTE PROTEZIONE DATI PERSONALI – Nota 28
GARANTE PROTEZIONE DATI PERSONALI – Nota 26