|
COMMISSIONE EUROPEA DECISIONE del 5 febbraio 2010 relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio (notificata con il numero C(2010) 593 - Testo rilevante ai fini del SEE) (2010/87/UE - Pubblicata sulla GUUE n. L39 del 12/2/2010)
LA COMMISSIONE EUROPEA, visto il trattato sul funzionamento dellĠUnione europea, vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonch alla libera circolazione di tali dati ( 1 ), in particolare lĠarticolo 26, paragrafo 4, sentito il garante europeo della protezione dei dati, considerando quanto segue: (1) In base alla direttiva 95/46/CE, gli Stati membri devono provvedere affinch il trasferimento di dati personali verso un paese terzo possa avere luogo soltanto se il paese terzo di cui trattasi garantisce un livello adeguato di protezione dei dati e se vengono osservate, previamente al trasferimento, le disposizioni adottate dagli Stati membri in attuazione di altre norme della direttiva. (2) LĠarticolo 26, paragrafo 2, della direttiva 95/46/CE prevede che gli Stati membri possano autorizzare, subordinatamente a talune garanzie, il trasferimento di dati personali verso paesi terzi che non garantiscono un livello adeguato di protezione dei dati. Tali garanzie possono segnatamente risultare da clausole contrattuali appropriate. (3) A norma della direttiva 95/46/CE, il livello di protezione dei dati deve essere valutato con riguardo a tutte le circostanze relative al trasferimento. Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali costituito in forza della direttiva ha elaborato una serie di orientamenti per tale valutazione. (4) é opportuno che le clausole contrattuali tipo riguardino soltanto la protezione dei dati. Gli esportatori e gli importatori dei dati sono pertanto liberi di inserire qualsiasi altra clausola commerciale ritenuta pertinente ai fini del contratto, purch non incompatibile con le clausole tipo. (5) La presente decisione non deve incidere sulle autorizzazioni nazionali che gli Stati membri possono concedere in base alle disposizioni nazionali adottate in attuazione dellĠarticolo 26, paragrafo 2, della direttiva 95/46/CE. Essa deve semplicemente prevedere che gli Stati membri riconoscono come garanzie sufficienti le clausole contrattuali tipo in essa contenute e non deve produrre effetti sulle clausole contrattuali di altra natura. (6) La decisione 2002/16/CE della Commissione, del 27 dicembre 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi, a norma della direttiva 95/46/CE ( 2 ), stata adottata per agevolare il trasferimento di dati personali da responsabili del trattamento stabiliti nellĠUnione europea a incaricati del trattamento stabiliti in paesi terzi che non garantiscono un livello di protezione adeguato. (7) é stata acquisita molta esperienza da quando stata adottata la decisione 2002/16/CE. Dalla relazione sullĠapplicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi ( 3 ) per giunta emerso un interesse crescente per lĠuso delle clausole contrattuali tipo nei trasferimenti internazionali di dati personali verso paesi terzi che non garantiscono un livello di protezione adeguato. Le parti interessate hanno poi presentato proposte per aggiornare le clausole contrattuali tipo della decisione 2002/16/CE affinch tengano conto dellĠambito in rapida espansione nel mondo delle attivit di trattamento dei dati e affrontino questioni che tale decisione non ricomprende ( 4 ). (8) La presente decisione deve limitarsi a stabilire che il responsabile del trattamento stabilito nellĠUnione europea pu avvalersi delle clausole da quella previste per presentare garanzie sufficienti, ai sensi dellĠarticolo 26, paragrafo 2, della direttiva 95/46/CE, per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi. (9) La presente decisione non si applica al trasferimento di dati personali da responsabili del trattamento stabiliti nellĠUnione europea a responsabili del trattamento stabiliti al di fuori dellĠUnione europea, che rientra invece nel campo di applicazione della decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a caratteri personale verso paesi terzi a norma della direttiva 95/46/CE ( 5 ). (10) La presente decisione deve attuare lĠarticolo 17, paragrafo 3, della direttiva 95/46/CE e non deve pregiudicare il contenuto dei contratti o degli atti giuridici adottati in forza di quella disposizione. Appare tuttavia opportuno prevedere determinate clausole tipo, riguardanti in particolare gli obblighi dellĠesportatore, affinch vi sia maggiore chiarezza sulle disposizioni che possono essere inserite nei contratti fra i responsabili e gli incaricati del trattamento. (11) Le autorit di controllo degli Stati membri svolgono un ruolo fondamentale in tale ambito contrattuale garantendo che i dati personali siano adeguatamente tutelati in seguito al trasferimento. Nei casi eccezionali in cui gli esportatori si rifiutino o non siano in grado di impartire le istruzioni necessarie agli importatori, e le persone cui si riferiscono i dati siano esposte ad un imminente rischio di gravi danni, le clausole tipo devono consentire alle autorit di controllo di vigilare sugli importatori e sui subincaricati e di adottare, se del caso, decisioni vincolanti nei loro confronti. Le autorit di controllo devono avere la facolt di vietare o sospendere i trasferimenti di dati effettuati in base alle clausole contrattuali tipo nei casi eccezionali in cui il trasferimento su base contrattuale rischi di pregiudicare le garanzie e gli obblighi destinati a garantire protezione adeguata agli interessati. (12) Le clausole contrattuali tipo devono prevedere le misure tecniche e organizzative di sicurezza che tenuto ad applicare lĠincaricato del trattamento stabilito in un paese terzo che non garantisce un livello di protezione adeguato, affinch il livello di sicurezza sia commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare. Nel contratto le parti devono prevedere le misure tecniche e organizzative necessarie che, tenuto conto della normativa sulla protezione dei dati, della pi recente tecnologia e dei costi di attuazione, sono necessarie a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale, dallĠalterazione, dalla diffusione o dallĠaccesso non autorizzati, o da qualsiasi altra forma illecita di trattamento di dati personali. (13) Onde agevolare i flussi di dati in uscita dallĠUnione europea auspicabile che gli incaricati del trattamento che effettuano operazioni di trattamento per pi responsabili nellĠUnione europea siano autorizzati ad applicare le stesse misure tecniche e organizzative di sicurezza indipendentemente dallo Stato membro da cui effettuato il trasferimento, in particolare nel caso in cui lĠimportatore riceva i dati ai fini dellĠulteriore trattamento da diverse sedi dellĠesportatore situate nellĠUnione europea. In questa ipotesi deve applicarsi la legge dello Stato membro di stabilimento designato. (14) é opportuno definire le informazioni minime che le parti devono includere nel contratto relativo al trasferimento. Gli Stati membri hanno comunque la facolt di precisare le informazioni che le parti sono tenute a fornire. Le modalit di applicazione della presente decisione andranno valutate alla luce dellĠesperienza futura. (15) LĠimportatore tenuto a trattare i dati personali trasferiti esclusivamente per conto dellĠesportatore e in conformit delle istruzioni da questi impartite, nonch in ottemperanza agli obblighi stabiliti dalle clausole stesse. LĠimportatore deve astenersi segnatamente dal rivelare i dati personali a terzi, salvo previo consenso scritto dellĠesportatore. LĠesportatore tenuto a trasmettere opportune istruzioni allĠimportatore per tutta la durata delle operazioni di trattamento affinch i dati siano trattati conformemente alle istruzioni impartite, alla normativa sulla protezione dei dati e agli obblighi contenuti nelle clausole tipo. (16) La relazione sullĠapplicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi raccomanda di adottare apposite clausole contrattuali tipo sui trasferimenti successivi da incaricati del trattamento stabiliti in paesi terzi ad altri incaricati del trattamento (subcontratto), affinch tengano conto delle tendenze e delle pratiche commerciali di unĠattivit di trattamento sempre pi globalizzata. (17) é opportuno che la presente decisione contenga specifiche clausole contrattuali tipo sul subcontratto stipulato da incaricati stabiliti in paesi terzi (importatori) con altri incaricati del trattamento (subincaricati) stabiliti in paesi terzi. é altres opportuno che fissi le condizioni del subcontratto affinch i dati personali trasferiti continuino ad essere protetti nonostante il trasferimento successivo al subincaricato. (18) é inoltre opportuno che il subcontratto riguardi solo i trattamenti previsti nel contratto contenente le clausole contrattuali tipo di cui alla presente decisione, concluso tra lĠesportatore e lĠimportatore, e non comporti trattamenti o finalit diversi, cos da garantire il rispetto del principio di finalit sancito dalla direttiva 95/46/CE. NellĠipotesi poi che il subincaricato non adempia agli obblighi contemplati dal contratto, lĠimportatore deve rimanere responsabile nei confronti dellĠesportatore. Il trasferimento di dati personali a incaricati del trattamento stabiliti al di fuori dellĠUnione europea deve lasciare impregiudicato il fatto che le attivit di trattamento debbano essere conformi alla normativa sulla protezione dei dati. (19) é opportuno che le clausole contrattuali tipo possano essere fatte valere non solo dalle organizzazioni che stipulano il contratto ma anche dalle persone cui si riferiscono i dati, in particolare laddove lĠeventuale violazione del contratto rechi ad esse pregiudizio. (20) LĠinteressato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dellĠesportatore che il responsabile del trattamento dei dati personali trasferiti. Eccezionalmente lĠinteressato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dellĠimportatore per violazione da parte di questi o di un suo subincaricato degli obblighi stabiliti dalla clausola 3, paragrafo 2, qualora lĠesportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente. Eccezionalmente lĠinteressato deve potere agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti del subincaricato qualora sia lĠesportatore che lĠimportatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi. La responsabilit civile del subincaricato deve essere limitata ai trattamenti da quello effettuati ai sensi delle clausole contrattuali. (21) Nelle controversie sorte con interessati che si avvalgano della clausola del terzo beneficiario, lĠimportatore, ove non sia possibile la composizione in via amichevole, deve consentire allĠinteressato di scegliere fra la mediazione o lĠazione legale. LĠeffettiva possibilit di scelta dipender dallĠesistenza di sistemi di mediazione affidabili e riconosciuti. La mediazione ad opera delle autorit di controllo dello Stato membro in cui stabilito lĠesportatore deve essere facoltativa, sempre che dette autorit prestino tale servizio. (22) Il contratto deve essere soggetto alla legge dello Stato membro in cui stabilito lĠesportatore, in modo che il terzo beneficiario possa far valere le disposizioni contrattuali. é opportuno che le persone cui si riferiscono i dati possano essere rappresentate da associazioni o altre organizzazioni, qualora lo desiderino e qualora ci sia ammesso dalla normativa nazionale. La stessa legge deve inoltre applicarsi alle disposizioni sulla protezione dei dati contemplate dal contratto concluso con il subincaricato per il trattamento dei dati personali trasferiti dallĠesportatore allĠimportatore ai sensi delle clausole contrattuali. (23) La presente decisione si applica solo ove lĠincaricato del trattamento stabilito in un paese terzo affidi il trattamento a un subincaricato stabilito in un paese terzo e non ai casi in cui lĠincaricato del trattamento stabilito nellĠUnione europea, che tratta dati personali per conto di un responsabile stabilito nellĠUnione europea, affidi il trattamento a un subincaricato stabilito in un paese terzo. In tali situazioni facolt degli Stati membri tenere conto del fatto che alla decisione di affidare il trattamento a un subincaricato stabilito in un paese terzo presiedono i principi e le garanzie delle clausole contrattuali tipo di cui alla presente decisione, nellĠintento di garantire protezione adeguata ai diritti degli interessati i cui dati personali sono trasferiti per il trattamento. (24) Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dellĠarticolo 29 della direttiva 95/46/CE, ha emesso un parere sul livello di protezione garantito dalle clausole contrattuali tipo allegate alla presente decisione, di cui si tenuto conto nella stesura della decisione stessa. (25) Occorre abrogare la decisione 2002/16/CE. (26) Le misure previste dalla presente decisione sono conformi al parere del comitato istituito in forza dellĠarticolo 31 della direttiva 95/46/CE, HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1 Le clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti per la tutela della vita privata e dei diritti e della libert fondamentali delle persone, nonch per lĠesercizio dei diritti connessi ai sensi dellĠarticolo 26, paragrafo 2, della direttiva 95/46/CE. Articolo 2 La presente decisione concerne esclusivamente lĠadeguatezza della tutela conferita dalle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento, riportate in allegato. Essa lascia impregiudicata lĠapplicazione delle disposizioni nazionali sul trattamento dei dati personali negli Stati membri adottate in attuazione della direttiva 95/46/CE. La presente decisione si applica al trasferimento dei dati personali effettuato da responsabili del trattamento stabiliti nellĠUnione europea a destinatari stabiliti al di fuori dellĠUnione europea che agiscano esclusivamente in veste di incaricati del trattamento. Articolo 3 Ai fini della presente decisione si intende per: a) Çcategorie particolari di datiÈ i dati di cui allĠarticolo 8 della direttiva 95/46/CE; b) Çautorit di controlloÈ lĠautorit di cui allĠarticolo 28 della direttiva 95/46/CE; c) ÇesportatoreÈ il responsabile del trattamento che trasferisce i dati personali; d) ÇimportatoreÈ lĠincaricato del trattamento stabilito in un paese terzo che sĠimpegni a ricevere dallĠesportatore dati personali al fine di trattarli per conto e secondo le istruzioni dellĠesportatore stesso, nonch a norma della presente decisione, e che non sia assoggettato dal paese terzo a un sistema che garantisca una protezione adeguata ai sensi dellĠarticolo 25, paragrafo 1, della direttiva 95/46/CE; e) ÇsubincaricatoÈ lĠincaricato del trattamento designato dallĠimportatore o da altro suo subincaricato, che sĠimpegni a ricevere dallĠimportatore o da altro suo subincaricato dati personali al solo fine di trattarli per conto e secondo le istruzioni dellĠesportatore, nonch a norma delle clausole contrattuali tipo di cui in allegato e delle disposizioni del subcontratto scritto; f) Çnormativa sulla protezione dei datiÈ la normativa che protegge i diritti e le libert fondamentali del singolo, in particolare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui stabilito lĠesportatore; g) Çmisure tecniche e organizzative di sicurezzaÈ le misure destinate a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dallĠalterazione, dalla diffusione o dallĠaccesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati allĠinterno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali. Articolo 4 1. Fatto salvo il potere di provvedere allĠosservanza delle disposizioni nazionali adottate in attuazione dei capi II, III, V e VI della direttiva 95/46/CE, le autorit competenti degli Stati membri possono avvalersi dei poteri loro attribuiti per vietare o sospendere i flussi di dati verso paesi terzi allo scopo di proteggere le persone con riguardo al trattamento dei dati personali, qualora: a) sia accertato che, in base alla legge ad esso applicabile, lĠimportatore o il subincaricato tenuto ad applicare deroghe alla normativa sulla protezione dei dati che eccedono le restrizioni ritenute necessarie in una societ democratica ai sensi dellĠarticolo 13 della direttiva 95/46/CE e pregiudicano significativamente le garanzie previste dalla normativa sulla protezione dei dati e dalle clausole contrattuali tipo; b) unĠautorit competente abbia accertato che lĠimportatore o il subincaricato non ha rispettato le clausole contrattuali tipo riportate in allegato; oppure c) sia probabile che le clausole contrattuali tipo in allegato non vengano rispettate e che la prosecuzione del trasferimento determini un imminente rischio di gravi danni per le persone cui i dati si riferiscono. 2. Il divieto o la sospensione ai sensi del paragrafo 1 sono revocati non appena ne vengano meno le ragioni. 3. Quando prende i provvedimenti di cui ai paragrafi 1 e 2, lo Stato membro informa senza indugio la Commissione; questa trasmette lĠinformazione agli altri Stati Articolo 5 Decorsi tre anni dallĠadozione della presente decisione, la Commissione ne valuta le modalit di applicazione sulla base delle informazioni disponibili. Essa riferisce in merito alle risultanze della valutazione al comitato istituito in forza dellĠarticolo 31 della direttiva 95/46/CE. La relazione comprende qualsiasi circostanza rilevante ai fini della valutazione dellĠadeguatezza delle clausole contrattuali tipo riportate in allegato nonch qualsiasi eventuale circostanza indicante che la presente decisione viene applicata in maniera discriminatoria. Articolo 6 La presente decisione si applica a decorrere dal 15 maggio 2010. Articolo 7 1. La decisione 2002/16/CE abrogata a decorrere dal 15 maggio 2010. 2. Il contratto concluso tra lĠesportatore e lĠimportatore ai sensi della decisione 2002/16/CE prima del 15 maggio 2010 resta valido ed efficace purch rimangano immutati i trasferimenti e il trattamento dei dati che ne costituiscono lĠoggetto e purch continui tra le parti il trasferimento dei dati personali contemplati dalla presente decisione. Qualora decidano di apportare modifiche ovvero decidano di subcontrattare il trattamento oggetto del contratto, i contraenti sono tenuti a concludere un nuovo contratto che dovr conformarsi alle clausole contrattuali tipo riportate in allegato. Articolo 8 Gli Stati membri sono destinatari della presente decisione. Fatto a Bruxelles, il 5 febbraio 2010. Per la Commissione Jacques BARROT Vicepresidente
NOTE ( 1 ) GU L 281 del 23.11.1995, pag. 31. ( 2 ) GU L 6 del 10.1.2002, pag. 52. ( 3 ) SEC(2006) 95 del 20.1.2006. ( 4 ) Camera di commercio internazionale (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce in Belgium (Amcham) e Federation of European Direct Marketing Associations (FEDMA). ( 5 ) GU L 181 del 4.7.2001, pag. 19.
ALLEGATO CLAUSOLE CONTRATTUALI TIPO (ÇINCARICATI DEL TRATTAMENTOÈ) Ai sensi dellĠarticolo 26, paragrafo 2, della direttiva 95/46/CE per il trasferimento di dati personali a responsabili del trattamento stabiliti in paesi terzi che non garantiscono un livello adeguato di protezione dei dati
Nome dellĠorganizzazione esportatrice: ...................................................................................................................................................... Indirizzo: ....................................................................................................................................................... Tel. ................................................................;Fax ...............................................................; E-mail: ............................................................... Altre informazioni identificative: ............................................................................................................................................................ (ÇlĠesportatoreÈ) e Nome dellĠorganizzazione importatrice: .................................................................................................................................................... Indirizzo: ........................................................................................................................................................ Tel. ................................................................;Fax ...............................................................; E-mail: ............................................................... Altre informazioni identificative: ........................................................................................................................................................... (ÇlĠimportatoreÈ) denominato ciascuno ÇparteÈ e congiuntamente ÇpartiÈ, HANNO CONVENUTO
le seguenti clausole contrattuali (Çle clausoleÈ) al fine di prestare garanzie sufficienti con riguardo alla tutela della vita privata e dei diritti e delle libert fondamentali delle persone per il trasferimento dallĠesportatore allĠimportatore dei dati personali indicati nellĠappendice 1. Clausola 1 Definizioni Ai fini delle presenti clausole: a) I termini Çdati personaliÈ, Çcategorie particolari di datiÈ, ÇtrattamentoÈ, Çresponsabile del trattamentoÈ, Çincaricato del trattamentoÈ, Çinteressato/persona interessataÈ e Çautorit di controlloÈ hanno la stessa accezione attribuita nella direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonch alla libera circolazione di tali dati ( 1 ); b) con ÇesportatoreÈ sĠintende il responsabile del trattamento che trasferisce i dati personali; c) con ÇimportatoreÈ sĠintende lĠincaricato del trattamento stabilito in un paese terzo che sĠimpegni a ricevere dallĠesportatore dati personali al fine di trattarli per conto e secondo le istruzioni dellĠesportatore stesso, nonch a norma delle presenti clausole, e che non sia assoggettato dal paese terzo a un sistema che garantisca una protezione adeguata ai sensi dellĠarticolo 25, paragrafo 1, della direttiva 95/46/CE; ( 1 ) Le parti hanno facolt di avvalersi delle definizioni di cui alla direttiva 95/46/CE nellĠambito della presente clausola se ritenuto preferibile ai fini del contratto.
d) con ÇsubincaricatoÈ sĠintende lĠincaricato del trattamento designato dallĠimportatore o da altro suo subincaricato, che sĠimpegni a ricevere dallĠimportatore o da altro suo subincaricato dati personali al solo fine di trattarli per conto e secondo le istruzioni dellĠesportatore, nonch a norma delle presenti clausole e del subcontratto scritto; e) con Çnormativa sulla protezione dei datiÈ si intende la normativa che protegge i diritti e le libert fondamentali del singolo, in particolare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui stabilito lĠesportatore; f) con Çmisure tecniche e organizzative di sicurezzaÈ sĠintendono le misure destinate a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dallĠalterazione, dalla diffusione o dallĠaccesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati allĠinterno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.
Clausola 2 Particolari del trasferimento I particolari del trasferimento, segnatamente le categorie particolari di dati personali, sono indicati nellĠappendice 1 che costituisce parte integrante delle presenti clausole.
Clausola 3 Clausola del terzo beneficiario 1. LĠinteressato pu far valere, nei confronti dellĠesportatore, la presente clausola, la clausola 4, lettere da b) a i), la clausola 5, lettere da a) ad e) e da g) a j), la clausola 6, paragrafi 1 e 2, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 in qualit di terzo beneficiario. 2. LĠinteressato pu far valere, nei confronti dellĠimportatore, la presente clausola, la clausola 5, lettere da a) ad e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 qualora lĠesportatore sia scomparso di fatto o abbia giuridicamente cessato di esistere, a meno che tutti gli obblighi dellĠesportatore siano stati trasferiti, per contratto o per legge, allĠeventuale successore che di conseguenza assume i diritti e gli obblighi dellĠesportatore, nel qual caso lĠinteressato pu far valere le suddette clausole nei confronti del successore. 3. LĠinteressato pu far valere, nei confronti del subincaricato, la presente clausola, la clausola 5, lettere da a) ad e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 qualora sia lĠesportatore che lĠimportatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, a meno che tutti gli obblighi dellĠesportatore siano stati trasferiti, per contratto o per legge, allĠeventuale successore che di conseguenza assume i diritti e gli obblighi dellĠesportatore, nel qual caso lĠinteressato pu far valere le suddette clausole nei confronti del successore. La responsabilit civile del subincaricato limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole. 4. Le parti non si oppongono a che lĠinteressato sia rappresentato da unĠassociazione o altra organizzazione, ove siffatta rappresentanza corrisponda alla esplicita volont dellĠinteressato e sia ammessa dalla legislazione nazionale.
Clausola 4 Obblighi dellĠesportatore LĠesportatore dichiara e garantisce quanto segue: a) che il trattamento, compreso il trasferimento, dei dati personali, e continua ad essere effettuato in conformit di tutte le pertinenti disposizioni della normativa sulla protezione dei dati (e viene comunicato, se del caso, alle competenti autorit dello Stato membro in cui stabilito lĠesportatore) nel pieno rispetto delle leggi vigenti in quello Stato; b) che ha prescritto allĠimportatore, e continuer a farlo per tutta la durata delle operazioni di trattamento, di trattare i dati personali trasferiti soltanto per suo conto e conformemente alla normativa sulla protezione dei dati e alle presenti clausole; c) che lĠimportatore fornir sufficienti garanzie per quanto riguarda le misure tecniche e organizzative di sicurezza indicate nellĠappendice 2; d) che, alla luce della normativa sulla protezione dei dati, le misure di sicurezza sono atte a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dallĠalterazione, dalla diffusione o dallĠaccesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati allĠinterno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali, e che tali misure garantiscono un livello di sicurezza commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare, tenuto conto della pi recente tecnologia e dei costi di attuazione; e) che provveder allĠosservanza delle misure di sicurezza; f) che, qualora il trasferimento riguardi categorie particolari di dati, gli interessati sono stati o saranno informati prima del trasferimento, o immediatamente dopo, che i dati che li riguardano potrebbero essere trasmessi a un paese terzo che non garantisce una protezione adeguata ai sensi della direttiva 95/46/CE; g) di trasmettere allĠautorit di controllo lĠeventuale comunicazione presentata dallĠimportatore o dal subincaricato ai sensi della clausola 5, lettera b), e della clausola 8, paragrafo 3, qualora decida di proseguire il trasferimento o revocare la sospensione; h) che fornir, su richiesta degli interessati, copia delle presenti clausole, esclusa lĠappendice 2, e una descrizione generale delle misure di sicurezza, nonch copia dei subcontratti aventi ad oggetto il trattamento da effettuarsi in conformit delle presenti clausole, omettendo le informazioni commerciali eventualmente contenute nelle clausole o nel contratto; i) che, in caso di subcontratto, il subincaricato svolge lĠattivit di trattamento in conformit della clausola 11 garantendo un livello di protezione dei dati personali e dei diritti dellĠinteressato quanto meno uguale a quello cui tenuto lĠimportatore ai sensi delle presenti clausole; j) che provveder allĠosservanza della clausola 4, lettere da a) ad i).
Clausola 5 Obblighi dellĠimportatore (2) LĠimportatore dichiara e garantisce quanto segue: a) di trattare i dati personali esclusivamente per conto e secondo le istruzioni dellĠesportatore, nonch a norma delle presenti clausole, e di impegnarsi a informare prontamente lĠesportatore qualora non possa per qualsiasi ragione ottemperare a tale disposizione, nel qual caso lĠesportatore ha facolt di sospendere il trasferimento e/o risolvere il contratto; b) di non avere motivo di ritenere che la normativa ad esso applicabile impedisca di seguire le istruzioni dellĠesportatore o di adempiere agli obblighi contrattuali, e di comunicare allĠesportatore, non appena ne abbia conoscenza, qualsiasi modificazione di tale normativa che possa pregiudicare le garanzie e gli obblighi previsti dalle presenti clausole, nel qual caso lĠesportatore ha facolt di sospendere il trasferimento e/o di risolvere il contratto; c) di aver applicato le misure tecniche e organizzative di sicurezza indicate nellĠappendice 2 prima di procedere al trattamento dei dati personali trasferiti; ( 2 ) Disposizioni vincolanti della legislazione nazionale applicabile allĠimportatore che non vanno oltre quanto necessario in una societ democratica sulla base di uno degli interessi di cui allĠarticolo 13, paragrafo 1, della direttiva 95/46/CE; in altri termini, le restrizioni necessarie alla salvaguardia della sicurezza dello Stato, della difesa, della pubblica sicurezza, della prevenzione, della ricerca, dellĠaccertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate, di un rilevante interesse economico o finanziario dello Stato, della protezione della persona cui si riferiscono i dati o dei diritti o delle libert altrui, non sono in contraddizione con le clausole contrattuali tipo. Costituiscono esempi di disposizioni vincolanti che non vanno oltre quanto necessario in una societ democratica le sanzioni internazionalmente riconosciute, gli obblighi di informazione in materia fiscale o contro il riciclaggio di capitali.tamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate, di un rilevante interesse economico o finanziario dello Stato, della protezione della persona cui si riferiscono i dati o dei diritti o delle libert altrui, non sono in contraddizione con le clausole contrattuali tipo. Costituiscono esempi di disposizioni vincolanti che non vanno oltre quanto necessario in una societ democratica le sanzioni internazionalmente riconosciute, gli obblighi di informazione in materia fiscale o contro il riciclaggio di capitali. d) che comunicher prontamente allĠesportatore: i) qualsiasi richiesta giuridicamente vincolante presentata da autorit giudiziarie o di polizia ai fini della comunicazione di dati personali, salvo che la comunicazione sia vietata da norme specifiche, ad esempio da norme di diritto penale miranti a tutelare il segreto delle indagini; ii) qualsiasi accesso accidentale o non autorizzato; e iii) qualsiasi richiesta ricevuta direttamente dagli interessati cui non abbia risposto, salvo che sia stato autorizzato a non rispondere; e) che risponder prontamente e adeguatamente a tutte le richieste dellĠesportatore relative al trattamento dei dati personali soggetti a trasferimento e che si conformer al parere dellĠautorit di controllo per quanto riguarda il trattamento dei dati trasferiti; f) che sottoporr i propri impianti di trattamento, su richiesta dellĠesportatore, al controllo dellĠesportatore o di un organismo ispettivo composto da soggetti indipendenti, in possesso delle necessarie qualificazioni professionali, vincolati da obbligo di riservatezza e selezionati dallĠesportatore, eventualmente di concerto con lĠautorit di controllo; g) che fornir, su richiesta degli interessati, copia delle presenti, esclusa lĠappendice 2, e una descrizione generale delle misure di sicurezza qualora gli interessati non siano in grado di ottenerne copia direttamente dallĠesportatore, o copia dei subcontratti del trattamento, omettendo le informazioni commerciali contenute nelle clausole o nel contratto; h) che, in caso di subcontratto, ha provveduto a informare lĠesportatore e ha da questi ottenuto il consenso scritto; i) che il subincaricato svolger lĠattivit di trattamento in conformit della clausola 11; j) che invier prontamente allĠesportatore copia dei subcontratti conclusi ai sensi delle presenti clausole.
Clausola 6 Responsabilit 1. Le parti convengono che lĠinteressato che abbia subito un pregiudizio per violazione degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera di una parte o del subincaricato ha diritto di ottenere dallĠesportatore il risarcimento del danno sofferto. 2. Qualora lĠinteressato non sia in grado di proporre lĠazione di risarcimento di cui al paragrafo 1 nei confronti dellĠesportatore per violazione di uno degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera dellĠimportatore o del subincaricato, in quanto lĠesportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente, lĠimportatore riconosce allĠinteressato stesso il diritto di agire nei suoi confronti cos come se egli fosse lĠesportatore, a meno che tutti gli obblighi dellĠesportatore siano stati trasferiti, per contratto o per legge, allĠeventuale successore, nel qual caso lĠinteressato pu far valere i suoi diritti nei confronti del successore. LĠimportatore non pu far valere la violazione degli obblighi ad opera del subincaricato al fine di escludere la propria responsabilit. 3. Qualora lĠinteressato non sia in grado di agire in giudizio, ai fini dei paragrafi 1 e 2, nei confronti dellĠesportatore o dellĠimportatore per violazione di uno degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera del subincaricato, in quanto sia lĠesportatore che lĠimportatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, il subincaricato riconosce allĠinteressato stesso il diritto di agire nei suoi confronti per quanto riguarda i trattamenti da quello effettuati ai sensi delle presenti clausole cos come se egli fosse lĠesportatore o lĠimportatore, a meno che tutti gli obblighi dellĠesportatore o dellĠimportatore siano stati trasferiti, per contratto o per legge, allĠeventuale successore, nel qual caso lĠinteressato pu far valere i suoi diritti nei confronti del successore. La responsabilit del subincaricato limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole.
Clausola 7 Mediazione e giurisdizione 1. LĠimportatore dichiara che qualora lĠinteressato faccia valere il diritto del terzo beneficiario e/o chieda il risarcimento dei danni in base alle presenti clausole, egli accetter la decisione dello stesso interessato: a) di sottoporre la controversia alla mediazione di un terzo indipendente o eventualmente dellĠautorit di controllo; b) di deferire la controversia agli organi giurisdizionali dello Stato membro in cui stabilito lĠesportatore. 2. Le parti dichiarano che la scelta compiuta dallĠinteressato non pregiudica i diritti sostanziali o procedurali spettanti allo stesso relativamente ai rimedi giuridici previsti dalla normativa nazionale o internazionale.
Clausola 8 Collaborazione con le autorit di controllo 1. LĠesportatore si impegna a depositare una copia del presente contratto presso lĠautorit di controllo, qualora questa ne faccia richiesta o qualora il deposito sia prescritto dalla normativa sulla protezione dei dati. 2. Le parti dichiarano che lĠautorit di controllo ha il diritto di sottoporre a controlli lĠimportatore e i subincaricati nella stessa misura e secondo le stesse modalit previste per lĠesportatore dalla normativa sulla protezione dei dati. 3. LĠimportatore informa prontamente lĠesportatore dellĠesistenza di disposizioni normative applicabili allĠimportatore o ai subincaricati, che impediscono di sottoporli a controlli ai sensi del paragrafo 2. In tale ipotesi lĠesportatore ha facolt di prendere le misure di cui alla clausola 5, lettera b).
Clausola 9 Legge applicabile Le presenti clausole sono soggette alla legge dello Stato membro in cui stabilito lĠesportatore, ossia ................................
Clausola 10 Modifica del contratto Le parti si impegnano a non alterare o non modificare le presenti clausole. Ci non osta a che le parti inseriscano altre clausole commerciale ritenute necessarie, purch non siano in contrasto con le clausole.
Clausola 11 Subcontratto 1. LĠimportatore non pu subcontrattare i trattamenti effettuati per conto dellĠesportatore ai sensi delle presenti clausole senza il previo consenso scritto dellĠesportatore stesso. LĠimportatore che, con il consenso dellĠesportatore, affidi in subcontratto lĠesecuzione degli obblighi ai sensi delle presenti clausole stipula, a tal fine, con il subincaricato un accordo scritto che imponga a questĠultimo gli obblighi cui egli stesso tenuto in virt delle clausole ( 1 ). LĠimportatore rimane pienamente responsabile nei confronti dellĠesportatore per lĠinadempimento, da parte del subincaricato, degli obblighi di protezione dei dati previsti dallĠaccordo scritto. 2. NellĠaccordo scritto tra lĠimportatore e il subincaricato inserita la clausola del terzo beneficiario, di cui alla clausola 3, a favore dellĠinteressato che non sia in grado di proporre lĠazione di risarcimento di cui alla clausola 6, paragrafo 1, nei confronti dellĠesportatore o dellĠimportatore in quanto lĠesportatore e lĠimportatore siano entrambi scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, e nessun successore abbia assunto, per contratto o per legge, lĠinsieme dei loro obblighi. La responsabilit civile del subincaricato limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole. 3. Le disposizioni
sulla protezione dei dati ai fini del subcontratto di cui al paragrafo 1 sono
soggette alla legge dello Stato membro in cui stabilito lĠesportatore, ossia
...............................................................................................................................
( 1
) Tale prescrizione pu considerarsi soddisfatta qualora il
subincaricato sottoscriva il contratto concluso tra lĠesportatore e
lĠimportatore ai sensi della presente decisione. 4.
LĠesportatore tiene un elenco dei subcontratti conclusi ai sensi delle presenti
clausole e comunicati dallĠimportatore a norma della clausola 5, lettera j), e
lo aggiorna almeno una volta allĠanno. LĠelenco sar tenuto a disposizione
dellĠautorit di controllo dellĠesportatore. Clausola
12 Obblighi al termine dellĠattivit di trattamento dei dati personali 1. Le parti
convengono che al termine dellĠattivit di trattamento lĠimportatore e il
subincaricato provvedono, a scelta dellĠesportatore, a restituire a questĠultimo
tutti i dati personali trasferiti e le relative copie ovvero a distruggere tali
dati, certificando allĠesportatore lĠavvenuta distruzione, salvo che gli
obblighi di legge impediscano di restituire o distruggere in tutto o in parte i
dati personali trasferiti. In questo caso, lĠimportatore si impegna a garantire
la riservatezza dei dati personali trasferiti e ad astenersi dal trattare di
propria iniziativa tali dati. 2. LĠimportatore e il
subincaricato si impegnano a sottoporre a controllo i propri impianti di
trattamento su richiesta dellĠesportatore e/o dellĠautorit di controllo, ai
fini della verifica dellĠesecuzione dei provvedimenti di cui al paragrafo 1. Per conto dellĠesportatore: Cognome e nome:
.........................................................................................................................................................................................
Qualifica:
...........................................................................................................................................................................................................
Indirizzo:
...........................................................................................................................................................................................................
Altre informazioni
necessarie per convalidare il contratto: (timbro
dellĠorganizzazione) Firma
................................................................................................
Per conto dellĠimportatore: Cognome e nome:
.........................................................................................................................................................................................
Qualifica:
...........................................................................................................................................................................................................
Indirizzo:
...........................................................................................................................................................................................................
Altre informazioni
necessarie per convalidare il contratto: (timbro
dellĠorganizzazione) Firma ................................................................................................
Appendice
1 Alle clausole contrattuali tipo La presente appendice
costituisce parte integrante delle clausole contrattuali e deve essere
compilata e sottoscritta dalle parti (Gli Stati membri
hanno facolt di integrare o specificare ulteriormente, conformemente alle
rispettive procedure nazionali, qualsiasi altra informazione che debba fare
parte della presente appendice) Esportatore
(specificare brevemente le attivit pertinenti al trasferimento): LĠESPORTATORE
Nome:
....................................................................................................................
Firma del
rappresentante autorizzato
............................................................ LĠIMPORTATORE Nome:
....................................................................................................................
Firma del
rappresentante autorizzato
............................................................ Appendice 2 alle clausole contrattuali tipo La presente appendice
costituisce parte integrante delle clausole contrattuali e deve essere
compilata e sottoscritta dalle parti Descrizione delle misure tecniche e organizzative di sicurezza attuate
dallĠimportatore in conformit della clausola 4, lettera d), e della clausola
5, lettera c) (o del documento/atto legislativo allegato): ..............................................................................................................................................................................................................................
..............................................................................................................................................................................................................................
..............................................................................................................................................................................................................................
..............................................................................................................................................................................................................................
CLAUSOLA ESEMPLIFICATIVA DI INDENNIZZO (FACOLTATIVA) Responsabilit Le parti convengono
che se una di esse viene riconosciuta responsabile di una violazione delle
clausole commessa dallĠaltra parte, questĠultima, nei limiti della sua
responsabilit, tenuta a indennizzare la prima per ogni costo, onere, danno,
spesa o perdita sostenuti. Tale indennizzo
subordinato al fatto che: a) lĠesportatore
informi prontamente lĠimportatore in merito alle istanze presentate; b) lĠimportatore
abbia la possibilit di collaborare con lĠesportatore nella difesa e nella
risoluzione della controversia ( 1 ). ( 1 ) Il paragrafo sulla
responsabilit facoltativo. |