|
GRUPPO DI LAVORO PER LA TUTELA DEI DATI EX ART. 29
Parere 3/2009 - WP 161 sulla proposta di decisione della Commissione relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi, a norma della direttiva 95/46/CE (trasferimento da responsabile a incaricato del trattamento) adottato il 5 marzo 2009
IL GRUPPO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI istituito con direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 19951, visti l'articolo 29, l'articolo 30, paragrafo 1, lettera a), e l'articolo 30, paragrafo 3, della richiamata direttiva, visto il suo regolamento interno, in particolare gli articoli 12 e 14, ha adottato il presente parere: I. Introduzione Da molti anni le societ e le autorit per la protezione dei dati si basano sulle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi, a norma della direttiva 95/46/CE (trasferimento da responsabile a incaricato del trattamento ai sensi della decisione 2002/16/CE), approvate dalla Commissione europea il 27 dicembre 20012. Sebbene le clausole contrattuali tipo previste dalla decisione 2002/16/CE forniscano una base solida per il trasferimento dei dati personali, di anno in anno si fatta pi urgente la necessit di un aggiornamento. Il motivo principale dell'esigenza di aggiornare tali clausole , beninteso, l'avvento dell' "esternalizzazione globale". Sempre pi societ, infatti, trasferiscono dati non solo a incaricati del trattamento ma anche a "subincaricati" e talvolta a "sub subincaricati", e le clausole contrattuali tipo della decisione 2002/16/CE non offrono uno strumento adeguato a questi complessi trasferimenti successivi. La Commissione europea ritiene pertanto necessario modificare le clausole contrattuali tipo della decisione 2002/16/CE per rendere il contratto pi idoneo alle attuali pratiche commerciali, adottando una nuova decisione basata sull'articolo 26, paragrafo 4, della direttiva 95/46/CE. II. Osservazioni sul progetto di decisione della Commissione 1. Questioni principali 1.1. Subappalto da parte di incaricati del trattamento stabiliti nella Comunit e subappalto da parte di incaricati del trattamento stabiliti al di fuori della Comunit Il gruppo di lavoro intende soffermarsi sulla pratica di subappalto internazionale del trattamento dei dati al di fuori del SEE, ad opera di incaricati del trattamento stabiliti nell'UE/SEE. Si tratta di una situazione non contemplata dal progetto di decisione della Commissione ma molto comune al giorno d'oggi. Il gruppo di lavoro riconosce che l'adozione del progetto di decisione in esame introdurr una notevole flessibilit nei servizi di trattamento in relazione al sistema di autorizzazione di cui all'articolo 26, paragrafo 2, della direttiva. Di tale flessibilit, tuttavia, non beneficeranno equamente tutti gli attori di un mercato ormai sempre pi globale. Il progetto di decisione della Commissione, infatti, consente all'incaricato del trattamento stabilito in un paese terzo di effettuare trasferimenti successivi a fini di subappalto, semplicemente con l'autorizzazione del responsabile del trattamento, mentre l'incaricato del trattamento stabilito nell'UE/SEE che intende subappaltare parte delle attivit di trattamento a subincaricati stabiliti in un paese terzo continua a sottostare all'attuale normativa. Questa situazione pu comportare uno svantaggio competitivo per le societ europee che, a parit di servizi prestati, dovrebbero sopportare un onere amministrativo maggiore rispetto ai loro omologhi in paesi terzi. Il gruppo di lavoro non pu comunque ignorare la diversa natura giuridica dei trasferimenti intracomunitari e internazionali, che la direttiva per l'appunto disciplina in due sezioni distinte. Il gruppo di lavoro ritiene pertanto necessario trovare una soluzione giuridica che consenta agli incaricati del trattamento stabiliti nell'UE/SEE di subappaltare il trattamento a livello internazionale, senza generare inutili disparit nel mercato. A tal fine il gruppo di lavoro invita la Commissione ad elaborare con urgenza un nuovo strumento giuridico, specifico e distinto, che permetta agli incaricati del trattamento stabiliti nell'UE/SEE di subappaltare il trattamento a livello internazionale a incaricati stabiliti in un paese terzo. Tale strumento potrebbe consistere in un nuovo insieme di clausole contrattuali tipo, in forza delle quali il responsabile e l'incaricato del trattamento stabiliti nell'UE/SEE potrebbero procedere a un subappalto transfrontaliero con le dovute garanzie, adeguate a questo tipo di trasferimenti. Consapevole che l'elaborazione di uno strumento come quello proposto pu richiedere tempo, il gruppo di lavoro capisce che, mancando uno specifico strumento giuridico comunitario, sia necessaria una risposta delle autorit di controllo nazionali alla questione del subappalto transfrontaliero dei servizi di trattamento dati da parte di incaricati del trattamento stabiliti nell'UE/SEE. Il gruppo di lavoro sollecita pertanto le autorit nazionali di controllo, fatti salvi i loro diritti e obblighi ai sensi della legislazione interna di adottare le autorizzazioni di cui all'articolo 26, paragrafo 2, della direttiva, a considerare che costituisce garanzia adeguata per i contratti di subappalto internazionale conclusi da un responsabile e da un incaricato del trattamento stabiliti nell'UE/SEE il fatto che questi applichino per analogia gli stessi principi e le stesse garanzie delle attuali clausole contrattuali tipo. In altre parole, l'autorit nazionale per la protezione dei dati dovrebbe ritenere che il contratto stipulato tra il responsabile del trattamento nell'UE/SEE e l'incaricato del trattamento nell'UE/SEE, con cui il responsabile del trattamento autorizza il trasferimento di dati a un subincaricato stabilito al di fuori dell'UE/SEE, garantisce una protezione adeguata dei diritti degli interessati i cui dati sono trasferiti, se tale contratto applica per analogia gli stessi principi e le stesse garanzie delle clausole contrattuali tipo di cui alla decisione 2002/16/CE. In tal modo si garantirebbe un regime analogo a quello disposto dal progetto di decisione per gli incaricati del trattamento al di fuori dell'UE. A questo proposito il gruppo di lavoro invita la Commissione a considerare la possibilit di inserire nella decisione che adotta le clausole contrattuali tipo una spiegazione di ci, prevedendo ad esempio specifici considerando che consentano espressamente agli Stati membri di autorizzare trasferimenti internazionali basati sulle clausole contrattuali tipo allegate alla decisione a subincaricati del trattamento stabiliti al di fuori dell'UE/SEE, nel caso specifico in cui il responsabile e l'incaricato del trattamento siano entrambi stabiliti nell'UE/SEE. Nei medesimi riferimenti andrebbe inclusa l'opportunit di consentire questo tipo di esternalizzazione con lo stesso sistema di autorizzazione previsto per gli incaricati del trattamento stabiliti al di fuori dell'UE/SEE. 1.2. Subappalto a pi livelli Il gruppo di lavoro consapevole della necessit di adeguare le clausole contrattuali tipo alla nuova dimensione transnazionale del trattamento dei dati personali – soprattutto in considerazione della diffusa pratica di subappaltare alcune operazioni di trattamento. Ci premesso, il gruppo di lavoro prende atto dell'inclusione nelle clausole contrattuali tipo "trasferimento da responsabile a incaricato del trattamento" di una nuova clausola relativa al subappalto, elaborata in conformit dello schema previsto nella clausola 11 del richiamato documento (ossia come accordo scritto tra importatore e subappaltatore basato sul previo consenso scritto dell'esportatore e modellato sulle clausole contrattuali tipo "trasferimento da responsabile a incaricato del trattamento"). Nella maggior parte dei casi il subappalto del trattamento avviene tramite la nomina a incaricato del trattamento di un ente stabilito in un paese terzo; i paesi terzi spesso non forniscono garanzie adeguate e i dati trattati sono soggetti all'applicazione della normativa locale. Nel contempo, il gruppo di lavoro invita la Commissione a valutare attentamente l'opportunit di consentire al subincaricato del trattamento di stipulare subappalti successivi con terzi, in particolare nel caso in cui siano trattati dati sensibili o il trattamento comporti rischi particolari per gli interessati (dati biometrici, genetici, giudiziari, finanziari, dati su minori, profilazione). Di fatto, tale opportunit darebbe luogo a grandi catene di subincaricati del trattamento che potrebbero agire indipendentemente dalle istruzioni del responsabile del trattamento; per di pi sarebbe difficile controllare i vari subincaricati, soprattutto per stabilire i compiti e le responsabilit dei singoli enti. Nel documento di lavoro "Pareri preliminari circa lutilizzazione di disposizioni contrattuali nel contesto del trasferimento di dati personali verso paesi terzi", il gruppo di lavoro ha precisato che i trasferimenti successivi verso enti o organizzazioni non legate dal contratto andrebbero specificatamente esclusi dal contratto in questione, a meno che non sia possibile vincolare per contratto tali terzi a rispettare gli stessi principi in materia di protezione dei dati3. A ci mira il progetto di decisione della Commissione. Il gruppo di lavoro conosce bene l'attuale modello organizzativo dei mercati mondiali, caratterizzato da lunghe catene di subappaltatori incaricati del trattamento che formano parte integrante della struttura commerciale internazionale. In questo contesto, un sistema di clausole contrattuali tipo che contempli un unico livello di subappalto (dall'importatore al subappaltatore) inadeguato all'attuale scenario. Di conseguenza, il gruppo di lavoro ha deciso di accettare l'introduzione di una clausola di subappalto "a pi livelli", a condizione che siano disposte garanzie appropriate a tutela degli interessati a fronte dei rischi considerati sopra. L'applicazione di clausole contrattuali a tutti i livelli di subappalto del trattamento introdurr maggiore uniformit nel commercio, giacch tutti i subappalti di operazioni di trattamento rientranti nelle clausole contrattuali tipo saranno soggetti alle stesse clausole e condizioni. Ne risulter inoltre semplificata la situazione attuale in quanto aumenter la certezza giuridica, non essendo affatto ovvio che l'importatore che incarica del trattamento un subappaltatore chieda preventivamente il consenso scritto del responsabile del trattamento e imponga obblighi contrattuali che garantiscono lo stesso livello di tutela previsto dalle clausole contrattuali. Seguendo questo ragionamento, una clausola di subappalto "a pi livelli" pu considerarsi legittima se la decisione di affidare il trattamento a dei subincaricati va di pari passo con una valutazione accurata dei requisiti e delle caratteristiche specifiche delle operazioni di trattamento che giustificano tale decisione. La valutazione dovr essere quanto pi accurata quanto maggiore il numero di livelli di subappalto e tenere debito conto del principio della limitazione delle finalit, in modo da garantire che la finalit iniziale per la quale il responsabile del trattamento ha trasferito i dati all'importatore per i servizi di trattamento non venga alterata da eventuali contratti di subappalto successivi. Ci premesso, la previsione di un sistema di subappalto del trattamento in cui pi subappaltatori possono essere incaricati sequenzialmente di parti del trattamento un'opzione interessante che il gruppo di lavoro pu anche approvare, a condizione che ricorrano, come appena descritto, specifici requisiti tecnici e organizzativi in capo al responsabile del trattamento. A questo proposito, l'esportatore dovrebbe altres introdurre soluzioni organizzative che facilitino l'esercizio dei diritti degli interessati (accesso, rettifica, opposizione, cancellazione, ecc.). Ci potrebbe implicare, ad esempio, l'indicazione di un unico referente cui possano rivolgersi gli interessati per esercitare i loro diritti di accesso ai dati (nella sede del responsabile del trattamento), oppure l'elaborazione di procedure chiare – da portare a conoscenza di tutti gli incaricati e subincaricati del trattamento – cha forniscano agli interessati i dati personali cui questi intendono accedere. Il gruppo di lavoro ritiene che la clausola 11 (subappalto) del progetto di decisione della Commissione contiene gli elementi necessari per garantire in maniera adeguata il livello di tutela previsto dalle clausole contrattuali tipo lungo tutta la catena dei possibili subappalti. Inoltre gli obblighi imposti nella clausola 4 (obblighi dell'esportatore) e nella clausola 5 (obblighi dell'importatore) garantiranno che il responsabile e l'incaricato del trattamento siano tenuti ad assicurare tale tutela a tutti i livelli del subappalto. Al riguardo, il gruppo di lavoro suggerisce che parallelamente all'obbligo dell'importatore (incaricato del trattamento) di trasmettere all'esportatore copia dei subappalti conclusi, l'esportatore debba tenere un elenco aggiornato dei singoli incaricati e subincaricati che costituiscono la "catena contrattuale". In quest'ottica, la competenza delle autorit per la protezione dei dati a vigilare sull'importatore e sui suoi subappaltatori sar fondamentale per garantire l'osservanza delle clausole contrattuali e il livello di tutela imposto a tutti i subappaltatori coinvolti nelle attivit di trattamento dei dati personali trasferiti secondo le clausole contrattuali tipo. 2. Altre questioni 2.1 Audit: Le clausole contrattuali tipo proposte prevedono la possibilit di attribuire alle autorit per la protezione dei dati la competenza a controllare l'intera catena del subappalto (responsabile del trattamento, incaricato o incaricati del trattamento e subincaricato o subincaricati) e, se del caso, adottare decisioni vincolanti. Il gruppo di lavoro raccomanda pertanto di adeguare la clausola 8 (collaborazione con le autorit di controllo). 2.2 Legge applicabile Ai sensi della clausola 9 delle attuali clausole contrattuali tipo, le clausole sono soggette alla legge dello Stato membro in cui ha sede l'esportatore. Al fine di garantire la certezza e la coerenza del diritto, la stessa clausola dovrebbe prevedere che siano soggetti alla legge dello Stato membro in cui ha sede l'esportatore anche i contratti stipulati per subappaltare servizi di trattamento. 2.3 Conseguenze per l'attuale insieme di clausole contrattuali Il progetto di decisione della Commissione contempla l'abrogazione della decisione 2002/16/CE. Si pone quindi il problema di stabilire se i contratti di trasferimento stipulati tra responsabili del trattamento nell'UE/SEE e incaricati del trattamento in paesi terzi, in applicazione delle clausole contrattuali della decisione 2002/16/CE, vengano meno e debbano di conseguenza essere ristipulati conformemente al nuovo insieme di clausole contrattuali "trasferimento da responsabile a incaricato del trattamento". L'obbligo di adeguare tutti i contratti esistenti conclusi in conformit delle clausole contrattuali della decisione 2002/16/CE creerebbe un onere significativo e sproporzionato a carico sia delle parti interessate che delle autorit per la protezione dei dati. Tuttavia la soluzione di mantenere le clausole contrattuali approvate dalla decisione 2002/16/CE potrebbe non essere migliore rispetto a quella di dover riautorizzare gli attuali contratti internazionali di trasferimento, in quanto potrebbe generare incertezza giuridica. Per risolvere il problema, il gruppo di lavoro raccomanda alla Commissione di includere nella decisione stessa (ad esempio nell'articolo 6) disposizioni transitorie che prevedano che i trasferimenti internazionali autorizzati ai sensi dell'abrogata decisione 2002/16/CE rimangano validi finch i trasferimenti e il trattamento dei dati descritti nelle clausole contrattuali firmate originariamente non vengono modificati. Tuttavia, le societ che hanno usato le "vecchie" clausole e che intendono modificarle o introdurre disposizioni in materia di subappalto del trattamento saranno tenute a modificare le "vecchie" clausole per conformarle alle nuove clausole contrattuali tipo e a chiedere una nuova autorizzazione ai sensi della legislazione nazionale. Conclusioni Su riserva del rispetto delle precedenti raccomandazioni, il gruppo di lavoro emette un parere favorevole in marito al progetto di decisione della Commissione relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi, e invita il comitato dell'articolo 31 a proseguire i lavori in vista dell'adozione del progetto di decisione della Commissione in questione. Fatto a Bruxelles il 5 marzo 2009 Per il gruppo di lavoro Il Presidente Alex TRK
NOTE http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:IT:HTML 2 GU L 6 del 10.1.2002, pag. 52. Si veda il parere del gruppo di lavoro n. 7/2001, WP 47, disponibile sul sito Internet: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2001/wp47it.pdf 3 Documento WP 9 del 22 aprile 1998, disponibile sul sito Internet: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/1998/wp47it.pdf
|