Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/01078.jsonl.gz/886

Accade spesso che i dati vengano trasferiti verso soggetti diversi dal titolare, per svolgere alcune specifiche operazioni di trattamento sotto l'autorità del titolare, nel caso dei responsabili del trattamento, ovvero quando il trattamento viene svolto a parità di responsabilità, nel caso dei contitolari. Può darsi che questi soggetti abbiano la loro sede fuori dall'Unione, o che comunque i dati vengano memorizzati su infrastrutture poste al di fuori del suo territorio.
Il GDPR (Art. 44) prevede alcuni requisiti riguardo ai luoghi in cui i dati personali possono essere trasferiti, e le misure che devono essere messe in atto affinché tale trasferimento sia legale, per proteggere i dati personali dei cittadini dell'Unione ovunque essi siano detenuti.
Il principio generale per ogni trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale (compresi i trasferimenti successivi da un paese terzo o un’organizzazione internazionale verso un altro paese terzo o un’altra organizzazione internazionale), è garantire che quando i dati personali dei cittadini europei vengono trasferiti all’estero, la protezione si sposti con i dati, cioè rispetti sempre i requisiti previsti per il territorio di applicazione del GDPR; per questo, sono ammessi solamente i trasferimenti effettuati:
- sulla base di una decisione di adeguatezza, oppure
- soggetti a garanzie adeguate, o ancora
- effettuati in base alle deroghe previste, o infine
- rispondenti ai requisiti dei cosiddetti trasferimenti eccezionali.
In questo modo è istituito un regime di libera circolazione dei dati all'interno dell'Unione europea e di circolazione controllata al di fuori del territorio europeo. Il territorio europeo non coincide con quello dell'Unione, ma con quello dello Spazio economico europeo (European Economic Area, EEA).
Questa procedura deve essere utilizzata per nuovi accordi per il trasferimento di dati personali verso un paese al di fuori dell'Unione europea o verso un'organizzazione internazionale, o anche per verificare se gli accordi esistenti soddisfano i requisiti del regolamento generale sulla protezione dei dati (GDPR).
Essa serve a sostenere e documentare le decisioni prese con riguardo ai requisiti che disciplinano i luoghi in cui i dati personali possono essere trasferiti, e le misure che devono essere messe in atto affinché il trasferimento sia legale, per proteggere i dati personali dei cittadini dell'UE ovunque essi siano detenuti.
La scheda viene presentata sinotticamente, in modo da abbracciare con un unico sguardo l'esistenza eventuale di diverse garanzie concorrenti; ma può anche essere usata in sequenza, secondo la numerazione assegnata alle diverse sezioni. Così per ogni trattamento è possibile indagare se esistono garanzie legate a decisioni di adeguatezza, all'adesione al Privacy Shield o alla sussistenza di altre adeguate garanzie, all'applicazione di deroghe o alla sussistenza dei requisiti per trasferimenti eccezionali, con un accesso semplice ed immediato alle risorse necessarie per la decisione.
Il GDPR (Art. 46) prevede che possano costituire garanzie adeguate senza necessità di autorizzazione dell'autorità di controllo:
- uno strumento giuridicamente vincolante e avente efficacia esecutiva tra autorità pubbliche o organismi pubblici;
- norme vincolanti d'impresa o Binding Corporate Rules (BCR);
- clausole tipo di protezione dati adottate dalla Commissione;
- clausole tipo di protezione dati adottate da un'autorità di controllo e approvate dalla Commissione;
- un codice di condotta approvato, o un meccanismo di certificazione approvato, con l'impegno vincolante ed esigibile da parte del titolare o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati.
Richiedono invece l'autorizzazione dell'autorità di controllo competente, ma possono altresì costituire garanzie adeguate:
- le clausole contrattuali tra il titolare o il responsabile del trattamento e il titolare, il responsabile del trattamento o il destinatario dei dati personali nel paese terzo o nell'organizzazione internazionale;
oppure
- le disposizioni da inserire in accordi amministrativi tra autorità pubbliche o organismi pubblici che comprendono diritti effettivi e azionabili per gli interessati.