Garante per la protezione
    dei dati personali


INDAGINE SUL TRASFERIMENTO DEI DATI ALL'ESTERO DA PARTE DELLE PRINCIPALI IMPRESE ITALIANE (Aprile 2002 - Marzo 2003)

A seguito della definizione di un quadro più completo ed articolato degli strumenti utilizzabili dagli operatori economici per il trasferimento di dati personali all'estero (verso, cioè, Paesi terzi al di fuori dell'Unione europea), l'Autorità ha iniziato a svolgere un attento monitoraggio su operazioni ed attività di esportazione di dati effettuate dagli operatori italiani, con particolare riguardo al tipo di garanzie adottate per tutelare i diritti degli interessati (cittadini, lavoratori, professionisti, imprenditori ed altre società).

Dopo aver svolto, nell'aprile 2002, una preliminare verifica circa il rispetto delle disposizioni nazionali e comunitarie in materia nei confronti di alcune importanti società che avevano inviato comunicazioni o notificazioni sul trasferimento di dati all'estero (in particolare negli U.S.A.), lo scorso marzo l'Autorità ha disposto una più ampia attività di indagine a carattere conoscitivo, tuttora in corso, nei riguardi dei principali gruppi societari e società industriali e di servizi. Tale indagine è risultata necessaria al fine di verificare lo stato di attuazione delle disposizioni sui flussi di dati all'estero, prima di avviare specifici accertamenti relativi a singole società.

L'indagine si è svolta presso 52 società e di queste hanno già fornito riscontri 42, ossia 1'80,8% (le risposte, in caso di gruppi societari, sono state fornite anche per le società collegate o controllate). Ben 36 società hanno evidenziato di effettuare operazioni di trasferimento di dati all'estero (1'85,7% delle società che hanno risposto). L'indagine si incentra sull'analisi, in termini generali, dei presupposti, delle finalità e modalità del trasferimento di dati all'estero, delle categorie di dati trasferiti e delle persone interessate, degli estremi e delle attività dei soggetti importatori, nonché degli strumenti utilizzati per la tutela dei dati personali in rapporto a ciascuna tipologia di trasferimento.

I primi risultati delle indagini svolte sono stati sintetizzati, anche in termini percentuali, nelle tabelle e nei grafici allegati, dai quali emerge in breve che:

a) Europa dell'Est e U.S.A. sono le principali destinazioni geografiche dei trasferimenti di dati (rispettivamente 80,6 e 61,1% in rapporto singolarmente al totale delle risposte pervenute, in cui sono state però indicate più aree geografiche di destinazione)

b) in un 80,6% delle risposte, i dati personali oggetto di trasferimento all'estero riguardano principalmente dipendenti o collaboratori e, in misura minore ma sempre rilevante, anche altre società o imprese (clienti e concorrenti o fornitori, in rispettivamente 18 e 16 risposte);

c) i trasferimenti sono effettuati, per un 83,3%, previa acquisizione del consenso degli interessati (o sulla base degli altri casi previsti dalla legge 675/1996, ad esempio in 18 risposte, anche per l'adempimento di obblighi contrattuali);

d) in alcune ipotesi (6 risposte) di trasferimento di dati negli U.S.A., gli importatori dei dati (società capogruppo o comunque collegate o controllate) hanno aderito all'accordo sui principi del Safe Harbor ("Approdo sicuro") o hanno prospettato tale possibilità per il futuro, dichiarandosi in genere disponibili a cooperare con le Autorità di vigilanza europee;

e) soltanto in un numero per ora limitato dei casi esaminati (3 risposte), le società interpellate hanno utilizzato le clausole contrattuali standard indicate dalla Commissione europea, ma il dato è comprensibile visto che si tratta di strumenti introdotti solo più recentemente (taluni operatori starebbero sviluppando appositi contratti, anche per le imprese consociate o affiliate, da sottoporre al parere del Garante o delle altre Autorità di vigilanza europee);

f) in cinque risposte, viene fornita l'indicazione aggiuntiva relativamente all'adozione di una Privacy Policy nell'ambito del gruppo societario.

Trasferimento dati all'estero. Informazioni statistiche del campione di società interpellate nelle due indagini

Tabella 1

Società o gruppi societari oggetto dell'indagine

dati assoluti

% sul totale

Totale
Risposte pervenute*
Risposte non pervenute

52
42
10

100,0
80,8
19,2

*Alcuni gruppi hanno risposto anche per le varie società controllate o collegate. In realtà, le risposte relative ad ogni singola società sono complessivamente 60

Tabella 2

Società che effettuano il trasferimento di dati all'estero*

dati assoluti

% sul totale risposte pervenute


No

36
6

85,7
14,3

*verso Paesi al di fuori dell'Unione europea.

Tabella 3

Aree geografiche in cui sono esportati i dati

dati assoluti

% sul totale

Oceania
Svizzera
Medio Oriente
Africa
America centro-meridionale
Asia
Non specificata
USA
Europa dell'Est

1
5
6
8
9
10
14
22
29

2,8
13,9
16,7
22,2
25,0
27,8
38,9
61,1
80,6

Tabella 4

Tipologie di dati trasferiti

dati assoluti

% sul totale

Risorse umane
Clienti
Fornitori/Partner commerciali
Altro

29
18
16
8

80,6
50,0
44,4
22,2

Tabella 5

Strumenti utilizzati per il trasferimento di dati all'estero*

dati assoluti

% sul totale **

Scopi di ricerca scientifica
Salvaguardia dell'interesse pubblico
Clausole contrattuali tipo
Safe Harbor
Esecuzione di obblighi contrattuali
Consenso

1
1
3
6
18
30

2,8
2,8
8,3
16,7
50,0
83,3

* Sono stati indicati dalle singole società uno o più strumenti (poche hanno specificato l'incidenza percentuale sul trasferimento svolto)
** Le percentuali sono rapportate sempre al totale delle società che operano il trasferimento di dati all'estero.
NOTA: si ritiene significativo riportare anche il dato relativo allo strumento della Privacy Policy, che viene effettuato da 5 società, con un incidenza del 13,9% sul totale.

Grafico 1: aree geografiche in cui sono esportati i dati


Grafico 2: strumenti utilizzati per il trasferimento di dati all'estero*

* Sono stati indicati dalle singole società uno o più strumenti