Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/6186347
Timestamp: 2019-08-24 17:48:24+00:00
Document Index: 80095483

Matched Legal Cases: ['art. 44', 'art. 11', 'art. 13', 'art. 26', 'art. 29', 'art. 168', 'art. 4', 'art. 4', 'art. 29', 'art. 44']

Autorizzazione al trasferimento di dati personali nell'ambito del Gruppo... - Garante Privacy
[doc. web n. 6186347]
Autorizzazione al trasferimento di dati personali nell´ambito del Gruppo BMW secondo le modalità fissate nelle Bcr - 16 gennaio 2017
n. 61 del 16 febbraio 2017
VISTA l´istanza del 14 luglio 2015 presentata, ai sensi dell´art. 44, comma 1, lett. a) del Codice, da BMW Italia S.p.A. (con sede in San Donato Milanese), BMW Milano S.r.l. (con sede in San Donato Milanese), BMW Roma S.r.l. (con sede in Roma) e Alphabet Italia Fleet Management S.p.A. (con sede in Roma) volta ad ottenere il rilascio dell´autorizzazione nazionale al trasferimento infragruppo dei dati personali relativi al personale dipendente posto in essere per il perseguimento di finalità di selezione e gestione del personale, anche sotto il profilo amministrativo, così come individuate nel dettaglio nell´"Allegato 2 – Flussi di dati e scopi del Trattamento dei Dati dei Dipendenti" delle Bcr BMW;
VISTE le richieste di informazioni avanzate dal Garante in data 19 febbraio, 5 maggio e 15 luglio 2016 nei confronti delle menzionate società, volte ad ottenere specifici chiarimenti in particolare con riferimento ai seguenti aspetti:
- l´ambito del trasferimento, con particolare riguardo alle categorie di interessati e alle finalità oggetto delle operazioni di trasferimento di cui alla presente autorizzazione (v. nota del Garante del 19 febbraio 2016);
- le nozioni di "Responsabile del trattamento dei dati" e di "Incaricato del trattamento dei dati" menzionate nelle "Definizioni" delle Bcr BMW (v. nota del Garante del 5 maggio 2016, punto (a));
- l´interpretazione e l´applicazione delle Bcr BMW in conformità ai principi in materia di protezione dei dati personali previsti nel d. lg. 196/2003, concernenti: le "modalità del trattamento e requisiti dei dati" (art. 11); l´"informativa" (art. 13), soprattutto in ordine ai casi in cui essa non è dovuta o può essere fornita con modalità semplificate; il "diritto di accesso ai dati personali e altri diritti" (artt. 7–10), ciò anche con specifico riguardo ai termini (di regola 15 gg) previsti dalla normativa nazionale ai fini della presentazione del ricorso al Garante (artt. 145 e ss.); il "consenso al trattamento" (artt. 23 e 24), il "trattamento dei dati sensibili" (art. 26); le "misure di sicurezza" (artt. 31 e ss.) e i "trasferimenti di dati verso Paesi terzi" (artt. 43 e ss.) (v. nota del Garante del 5 maggio 2016, punto (b));
- la previsione di cui al Capitolo II, par. 1.3 "Diritti dei terzi beneficiari" delle Bcr BMW contenente il richiamo alla procedura di reclamo di cui al par. 1.2 del medesimo Capitolo (v. nota del Garante del 5 maggio 2016, punto (c));
- la conformità della clausola del terzo beneficiario rispetto a quanto previsto nei documenti WP 74 (punti 3.3.2 e 5.5.1), WP 108 (punti 5.12 ss.) e WP 155 (punto 9) del Gruppo ex art. 29 (v. nota del Garante del 15 luglio 2016 punto (a));
- il sistema di responsabilità prescelto dal Gruppo e il connesso criterio della giurisdizione (v. nota del Garante del 15 luglio 2016, punto (b));
CONSIDERATO che le società, nel rendere riscontro al Garante in ordine ai punti sopra menzionati, assumendo ogni responsabilità ai sensi dell´art. 168 del Codice, con note del 16 marzo, 30 maggio e 29 settembre 2016 hanno espressamente dichiarato che:
- con riferimento alle categorie dei soggetti interessati, i dati oggetto della richiesta di autorizzazione si riferiscono al "personale dipendente", categoria che ricomprende, come indicato nelle "Definizioni - Dipendente" delle Bcr BMW, esclusivamente i soggetti "attualmente alle dipendenze di BMW AG o di un´Affiliata BMW in virtù di un contratto di lavoro" e pertanto debbono essere escluse da tale ambito ulteriori figure quali i candidati all´assunzione, gli ex dipendenti, le risorse temporanee (dovendosi intendere per "risorse temporanee" esclusivamente i lavoratori in somministrazione lavoro), i soggetti in pensione, i familiari a carico, eventuali beneficiari di prestazioni; mentre per quanto concerne i relativi trasferimenti quest´ultimi sono volti a consentire al Gruppo il perseguimento delle finalità individuate nel Capitolo I, par. 1.3 e specificate nell´"Allegato 2 – Flussi di dati e scopi del Trattamento dei Dati dei Dipendenti" delle Bcr BMW, così come elencate dalle stesse società, ossia: "1) amministrazione delle risorse umane e contabilità delle retribuzioni (allo scopo di gestire i conteggi delle retribuzioni) ; 2) selezione interna al BMW Group (allo scopo di coprire le posizioni vacanti a livello internazionale); 3) gestione delle risorse umane (allo scopo di allineare gli obiettivi personali e aziendali); 4) pianificazione e gestione delle risorse umane, rendicontazione (allo scopo di soddisfare la gestione delle risorse ed i requisiti di rendicontazione interni ed esterni al gruppo); 5) health management (allo scopo di mantenere e migliorare la salute dei dipendenti), 6) sicurezza e salute nel luogo di lavoro (allo scopo di registrare gli infortuni e le malattie legate al lavoro); 7) corporate security (allo scopo di garantire la sicurezza fisica dei locali aziendali); 8) attività anticorruzione (allo scopo di riconoscere le pratiche anticorruzione); 9) collaborazioni internazionali e suddivisione del lavoro all´interno del BMW Group (allo scopo di suddividere e coordinare il lavoro dei dipendenti nel gruppo)" (v. nota della società del 16 marzo 2016);
- le nozioni di "Responsabile del trattamento dei dati" e "Incaricato del trattamento dei dati" indicate nelle Bcr BMW sono riconducibili rispettivamente a quella di "titolare" di cui all´art. 4, comma 1, lett. f) del Codice e a quella di "responsabile" di cui all´art. 4, comma 1, lett. g) del Codice (v. nota delle società del 30 maggio 2016, punto (a));
- il trattamento dei dati personali sarà effettuato in conformità ai principi in materia di protezione dei dati personali individuati nel Codice; ciò con particolare riferimento a quelli sopra richiamati (v. note della società 30 maggio 2016, punto (b));
- con riferimento alla previsione, in ordine alla procedura di reclamo che può essere instaurata dal dipendente, di cui al Capitolo II, par. 1.3 "Diritti dei terzi beneficiari" delle Bcr BMW, la medesima non è volta a limitare il diritto dell´interessato di adire, in caso di violazione delle suddette Bcr BMW, direttamente l´Autorità giudiziaria o amministrativa competente (v. nota delle società del 30 maggio 2016, punto (c));
- le Bcr BMW sono conformi a quanto stabilito nei documenti WP 74 (punti 3.3.2 e 5.5.1) e WP 108 (punti 5.12 ss.) del Gruppo ex art. 29 in ordine alla clausola del terzo beneficiario e che nella relativa previsione di cui al Capitolo I, par. 1.3 devono intendersi richiamati anche i principi indicati al Capitolo I, par. 1.6.1, lettere a) e h) delle suddette Bcr (v. note della società del 29 settembre 2016, punto (a));
- in merito alla clausola di responsabilità e al connesso criterio di giurisdizione, il Gruppo BMW ha adottato un sistema che, come indicato anche nel Capitolo II par. 1.3, prevede che nel caso di una violazione delle Bcr BMW posta in essere da un´Affiliata BMW Importatrice "il dipendente avrà gli stessi diritti valevoli in caso di violazione da parte di un´Affiliata di BMW con sede nel SEE" ed inoltre che il medesimo "può scegliere di promuovere l´azione legale presso il foro competente dell´Affiliata di BMW Esportatrice, la quale potrà ritenersi responsabile conformemente a quanto previsto dal Capitolo II sez. 4 [ossia par. 1.4]" (v. nota della società del 29 settembre 2016, punto (b));
a) ai sensi dell´art. 44, comma 1, lett. a) del Codice, autorizza BMW Italia S.p.A., BMW Milano S.r.l. BMW Roma S.r.l. e Alphabet Italia Fleet Management S.p.A. a trasferire, nell´ambito del Gruppo BMW, i dati personali relativi al "personale dipendente" dal territorio dello Stato verso i soggetti facenti parte del Gruppo BMW aventi la loro sede in paesi non appartenenti all´Unione europea, secondo le modalità fissate nelle Bcr BMW e per il perseguimento delle sole finalità ivi dichiarate;