Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3247015
Timestamp: 2020-05-25 12:32:52+00:00
Document Index: 24581383

Matched Legal Cases: ['art. 29', 'art. 44', 'art. 168', 'art. 29', 'art. 13', 'art. 7', 'art. 44']

Autorizzazione al trasferimento dei dati mediante BCR da parte di... - Garante Privacy
Autorizzazione al trasferimento dei dati mediante BCR da parte di Distribuzione Previdenza s.r.l. - 15 maggio 2014 [3247015]
3247015
Autorizzazione al trasferimento dei dati mediante BCR da parte di Citibank N. A., Citigroup Global Markets Limited e Citibank International Plc - 26 giugno 2014 [3320773]
Autorizzazione al trasferimento dei dati mediante BCR da parte di AXA Assicurazioni S.p.A. e AXA Interlife S.p.A. - 15 maggio 2014 [3233476]
Autorizzazione al trasferimento dei dati mediante BCR da parte di ING BANK N.V. Milan Branch e ING Lease (Italia) S.p.A.- 4 dicembre 2014 [3668436]
Autorizzazione al trasferimento dei dati mediante BCR da parte di AXA MPS Assicurazioni Vita S.p.A. e AXA MPS Assicurazioni Danni S.p.A. - 3 aprile 2014 [3128124]
Autorizzazione al trasferimento dei dati mediante BCR da parte di Centurion Immobiliare S.p.A. - 15 maggio 2014 [3243319]
[doc. web n. 3247015]
Autorizzazione al trasferimento dei dati mediante BCR da parte di Distribuzione Previdenza s.r.l. - 15 maggio 2014
n. 248 del 15 maggio 2014
VISTO il d.lg. 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice");
VISTA la richiesta, contenuta nelle Application form, di cui al WP 133 del 10 gennaio 2007, pervenuta al Garante in data 6 giugno 2012, presentata da AXA SA – società capogruppo (con sede in Francia) dell´AXA Group (di seguito "Gruppo AXA") operante nel settore di servizi assicurativi e di gestione patrimoniale, dinanzi all´Autorità francese di protezione dei dati personali (Commission nationale de l´informatique et des libertés, di seguito "CNIL"), individuata quale lead Authority della relativa procedura;
RILEVATO che tale richiesta è stata presentata da AXA SA in nome e per conto di tutte le società controllate, direttamente o indirettamente (c.d. "Società AXA"), dalla medesima, ed è volta a ottenere l´autorizzazione al trasferimento intra-gruppo verso paesi terzi dei dati personali relativi a "clienti, potenziali clienti, sinistrati, dipendenti AXA, candidati a posti di lavoro, agenti, fornitori e altre terze parti" per le finalità indicate nel dettaglio nell´Application Form (Sezione 7), mediante l´adozione delle Norme vincolanti di impresa, c.d. "Bcr AXA";
PRESO ATTO che le Bcr AXA consistono in una Policy definita "Binding Corporate Rules del Gruppo AXA" (di seguito "Policy Bcr") comprensiva di due appendici: dell´Appendice 1, inerente l´accordo infragruppo denominato "Contratto Intragruppo per la definizione di Corporate Binding Rules per il trasferimento di dati personali all´interno del Gruppo AXA" (di seguito "Contratto Bcr"), a sua volta contenente l´Allegato 1 "Elenco delle società parti del Contratto Bcr" e l´Allegato 2 "Modello di contratto di accettazione delle Bcr" (di seguito "Contratto di accettazione"); dell´Appendice 2 relativa al "Programma di verifica della conformità";
PRESO ATTO, altresì, che al fine di rendere vincolanti le Bcr AXA nei confronti di tutte le società AXA, il Gruppo ha previsto un sistema di adesione progressiva alle clausole contenute nel "Contratto Bcr", mediante l´iniziale sottoscrizione dello stesso da parte di AXA SA e delle società AXA elencate nell´Allegato 1, e la successiva sottoscrizione del "Contratto di accettazione" da parte delle società AXA che aderiscono alle Bcr AXA dopo l´entrata in vigore delle stesse;
PRESO ATTO che la "Policy Bcr" è pubblicata nella "versione per il pubblico" sulla Intranet del Gruppo AXA e sul relativo sito Internet (v. "Policy Bcr", art. VI, par. 4);
RILEVATO che la CNIL in data 24 settembre 2013, all´esito della procedura europea concernente le Bcr AXA, attivata secondo le forme del mutuo riconoscimento, ha inoltrato alle Autorità di protezione dei dati personali interessate il relativo final draft, attestandone la conformità ai requisiti individuati dai documenti del Gruppo ex art. 29 sopra citati;
CONSIDERATO che il Garante in data 9 ottobre 2013 ha confermato di aver ricevuto il testo definitivo delle Bcr AXA, riservandosi di valutare, in sede di procedura nazionale, la conformità di tale final draft alla normativa italiana;
VISTA l´istanza del 29 novembre 2013 presentata, ai sensi dell´art. 44, comma 1, lett. a), da AXA Assicurazioni S.p.A. in nome e per conto di Distribuzione Previdenza s.r.l. (con sede in Milano), volta a ottenere il rilascio dell´autorizzazione nazionale ai trasferimenti infragruppo da parte delle società del Gruppo AXA, mediante le Bcr AXA, con riferimento ai dati personali relativi a: il "personale" "per finalità di gestione del rapporto di lavoro, di selezione del personale e della carica assegnata e per finalità amministrativo contabili"; gli "intermediari assicurativi" "per finalità di gestione del rapporto di mandato, di intermediazione, [di gestione della] selezione di candidati [e] per finalità amministrativo contabili"; i "fornitori e partner" "per finalità di gestione del rapporto di fornitura del servizio [e per] finalità amministrativo contabili";
PRESO ATTO che per "personale", si intendono: dipendenti, tirocinanti, stagisti, lavoratori autonomi, collaboratori, lavoratori inquadrati secondo altri istituti, candidati, amministratori; per "intermediari assicurativi", si intendono anche quelli potenziali;
RILEVATO, altresì, che l´istanza sopra menzionata ha ad oggetto anche il trasferimento infragruppo dei dati personali relativi agli "intermediari assicurativi" e ai "fornitori e partner" per il perseguimento di "finalità commerciali, di marketing" e "di ricerche di mercato", eventualmente mediante l´utilizzo di tecniche di comunicazione a distanza, previa acquisizione del consenso dell´interessato;
VISTE la richiesta di informazioni avanzata dal Garante in data 25 febbraio 2014 nei confronti della menzionata società, volta ad ottenere specifici chiarimenti in merito a:
- il sistema di responsabilità prescelto dal Gruppo AXA e il criterio di scelta della giurisdizione (v. nota del 25 febbraio 2014, punti (b) e (d));
- le limitazioni contenute nella clausola di responsabilità 5, par. 2 di cui al "Contratto Bcr" e al "Contratto di accettazione delle Bcr" (v. nota del 25 febbraio 2014, punto (c));
- la conformità al Codice in materia di protezione dei dati personali dei "Principi di trattamento" di cui all´ art. IV, par. 1 delle Bcr AXA (v. nota del 25 febbraio 2014, punto (e));
CONSIDERATO che la società, nel rendere riscontro al Garante in ordine ai punti sopra menzionati, assumendo ogni responsabilità ai sensi dell´art. 168 del Codice, con nota del 20 marzo 2014, ha espressamente dichiarato quanto segue:
- in merito ai criteri di responsabilità e di scelta della giurisdizione, il Gruppo AXA ha adottato un sistema che, in ragione delle peculiarità della propria struttura, prevede che l´esportatore assuma "sia una responsabilità diretta per quanto ad esso strettamente riferibile sia una responsabilità per il fatto del terzo («Importatore»)" e che l´interessato può, in ogni caso, "adire l´Autorità di protezione dei dati o altra Autorità secondo le regole previste nelle Bcr AXA (art. XII, par. 4)" (v. nota della società del 20 marzo 2014, punti (b) e (d));
- con riferimento alla clausola di responsabilità 5, par. 2 di cui ai contratti menzionati, che la suddetta clausola "non comporta in alcun modo limiti ai diritti attribuiti all´interessato in base alle previsioni contenute nei documenti del Gruppo ex art. 29 (ed in particolare nel WP 153 punti 1.3-1.7)" (v. nota della società del 20 marzo 2014, punto (c));
- in ordine ai "Principi di trattamento" di cui all´ art. IV, par. 1 delle Bcr AXA, che essi "saranno interpretati e applicati in conformità con il D.Lgs. 196/2003, recante il Codice in materia di protezione dei dati personali, in particolare con riferimento al rilascio dell´informativa all´interessato (art. 13) e al riconoscimento del diritto di opposizione al trattamento per finalità di carattere promozionale (art. 7, comma 4, lett. b)" (v. nota della società del 20 marzo 2014, punto (e));
a) ai sensi dell´art. 44, comma 1, lett. a) del Codice, autorizza Distribuzione Previdenza s.r.l. a trasferire, nell´ambito del Gruppo AXA, i dati personali relativi al "personale", agli "intermediari assicurativi" e ai "fornitori e partner", dal territorio dello Stato verso i soggetti facenti parte del Gruppo AXA aventi la loro sede in paesi non appartenenti all´Unione europea, secondo le modalità fissate nelle Bcr AXA e per il perseguimento delle sole finalità ivi dichiarate;