Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8043179
Timestamp: 2020-07-12 01:17:02+00:00
Document Index: 74218290

Matched Legal Cases: ['arte 3', 'art. 29', 'art. 44', 'art. 13', 'art. 26', 'art. 44', 'art. 157']

8043179
Trasferimento di dati all'estero - Richiesta di autorizzazione - 17 dicembre 1997
Trasferimento di dati all'estero -Chiarimenti sulla notificazione - giugno 1998 [1057753]
Flussi di dati fuori dell'Unione europea. Il garante fissa le tutele per i cittadini e semplifica l'attivita' delle imprese - 12 ottobre 2001
[doc. web n. 8043179]
Autorizzazione al trasferimento dei dati mediante BCR nell´ambito del Gruppo Mastercard - 1° febbraio 2018
n. 51 del 1° febbraio 2018
VISTA la richiesta (c.d. "Application form") presentata da Mastercard Europe SA (con sede in Belgio) −società del Gruppo Mastercard operante nel settore dei pagamenti, la cui capogruppo Mastercard International Incorporated ha sede negli Stati Uniti d´America−, dinanzi all´Autorità belga di protezione dei dati personali (Commissie voor de bescherming van de persoonlijke levenssfeer), che è stata individuata quale lead Authority della relativa procedura;
RILEVATO che tale richiesta è stata presentata da Mastercard Europe SA, in quanto entità del gruppo cui è stata delegata per l´area SEE la responsabilità in materia di protezione dei dati personali, in nome e per conto di tutte le società del Gruppo Mastercard (di seguito "Mastercard Bcr Entities"), ed è volta ad ottenere l´autorizzazione al trasferimento intra-gruppo verso paesi terzi mediante l´adozione delle Norme vincolanti di impresa c.d. "Bcr Mastercard", dei dati personali −rispetto ai quali le "Mastercard Bcr Entities" agiscono in qualità di "data controller" − relativi a: il personale dipendente; i titolari di carta; il personale degli istituti finanziari, dei clienti, dei partner, dei commercianti, dei fornitori e venditori; i consumatori e gli utenti dei siti web, per il perseguimento delle finalità indicate nell´Application Form (v. WP 153, Parte II, par. 7 e Appendice 1 - "Titolari delle Bcr");
PRESO ATTO che le suddette Bcr (di seguito "Bcr Mastercard for Controller", cfr., al riguardo, anche la nota di Mastercard Europe S.A. del 22 giugno 2017) consistono in una policy denominata "Norme vincolanti d´impresa Mastercard", resa vincolante per il tramite di un contratto infragruppo, "Accordo Infra-gruppo", sottoscritto da tutte le "Mastercard Bcr Entities"; la suddetta policy comprende: l´"Appendice 1 – Entità di Mastercard coperte dalle Bcr" e l´"Appendice 2 – Glossario";
CONSIDERATO inoltre che, con l´"Accordo Infra-gruppo", che include l´"Appendice 1- Ruoli Mastercard" e la "Parte 3 – Subresponsabili del trattamento dei dati", le "Mastercard Bcr Entities" hanno "il dovere di conformarsi alle Bcr di Mastercard" e assumono "tutte le misure necessarie (..) per attuare le Bcr di Mastercard, anche al fine di conferire alle Bcr un carattere vincolante internamente e di obbligare il personale di Mastercard al rispetto delle Bcr", ivi comprese le clausole di responsabilità e del terzo beneficiario (cfr. "Accordo Infra-gruppo", paragrafi 4, 5 e 6; v. anche "Norme vincolanti d´impresa Mastercard", par. VI. 2);
VISTO che le "Mastercard Bcr Entities" si sono impegnate a pubblicare sulla intranet e su internet "una versione pubblica" delle Bcr Mastercard for Controller, assicurando che tale versione sia coerente con la versione interna delle suddette Bcr (cfr. "Accordo Infra-gruppo", par. 11.3);
PRESO ATTO inoltre che le Bcr Mastercard for Controller, in sede di clausola del terzo beneficiario, con riferimento alla scelta della giurisdizione, prevedono che l´interessato possa far valere, nei confronti di Mastercard Europe SA, i propri diritti di fronte all´Autorità di protezione dei dati e/o all´autorità giurisdizionale del Belgio o del Paese di residenza dell´interessato (v. "Norme vincolanti d´impresa Mastercard", paragrafi VI. 2 e VIII.1-2);
RILEVATO che l´Autorità belga, in data 11 ottobre 2016, all´esito della procedura concernente le Bcr Mastercard for Controller, attivata secondo le forme del mutuo riconoscimento, ha approvato il suddetto testo di Bcr, attestandone la conformità ai requisiti individuati dai documenti del Gruppo ex art. 29 sopra citati;
VISTA l´istanza del 2 marzo 2017 presentata, ai sensi dell´art. 44, comma 1, lett. a) del Codice, da Mastercard Europe S.A.- Italy Branch Office (con sede in Roma), volta ad ottenere il rilascio dell´autorizzazione nazionale al trasferimento infragruppo dei dati personali relativi a: il personale dipendente (categoria nella quale devono intendersi ricompresi anche i candidati, gli ex dipendenti, i consulenti, i lavoratori temporanei, gli appaltatori indipendenti, gli amministratori e i funzionari) per finalità di gestione del rapporto di lavoro; i titolari di carta per finalità di gestione delle operazioni, assistenza clienti, risoluzione delle controversie, adempimento di obblighi di legge/regolamento, frodi e gestione del rischio, "ricerca interna, reportistica e analisi" e "offerta di prodotti e servizi"; il personale degli istituti finanziari, i commercianti, i clienti e i partner per finalità di "contabilità, controllo e fatturazione", "gestione dei rapporti con i clienti e rendicontazione finanziaria", adempimenti di legge/regolamento, "offerta di prodotti e servizi"; il personale presso fornitori e venditori per la gestione dei rapporti con gli stessi; i consumatori e gli utenti del sito web per finalità di marketing (per il dettaglio delle tipologie dei dati personali oggetto di trasferimento e delle relative finalità, v. "Accordo Infra-gruppo", "Appendice 1- Ruoli Mastercard") dal territorio dello Stato verso paesi terzi, mediante le Bcr Mastercard for Controller;
VISTO che la società ha dichiarato che le Bcr Mastercard for Controller "dovranno essere interpretate e applicate in conformità al (..) Codice", con particolare riferimento alle condizioni di liceità del trattamento (artt. 11 e 23), i diritti dell´interessato (artt. 7-10), l´informativa (art. 13), le garanzie per il trattamento dei dati sensibili (art. 26), il trasferimento dei dati all´estero (artt. 43-44) (v. istanza della società del 2 marzo 2017, pag. 11);
RITENUTA, inoltre, la necessità di formulare alcune prescrizioni concernenti l´obbligo di comunicare a questa Autorità eventuali modifiche di carattere sostanziale apportate al testo delle Bcr Mastercard for Controller, in considerazione del fatto che le "Norme vincolanti d´impresa Mastercard" (v. par. VII) prevedono l´adempimento di tale obbligo esclusivamente nei confronti dell´Autorità belga di protezione dei dati personali;
a) ai sensi dell´art. 44, comma 1, lett. a) del Codice, autorizza Mastercard Europe S.A.- Italy Branch Office a trasferire, nell´ambito del Gruppo Mastercard, i dati personali relativi alle categorie di interessati di cui in premessa, dal territorio dello Stato verso i soggetti facenti parte del Gruppo Mastercard aventi la loro sede in paesi non appartenenti all´Unione europea, secondo le modalità fissate nelle Bcr Mastercard for Controller e per il perseguimento delle sole finalità ivi dichiarate;
b) ai sensi dell´art. 157 del Codice, dispone che Mastercard Europe S.A.- Italy Branch Office comunichi al Garante eventuali modifiche di carattere sostanziale apportate al testo delle Bcr Mastercard for Controller, entro 90 giorni dalla relativa approvazione;