| Garante per la protezione dei dati personali Clausole contrattuali tipo etrasferimento dei dati all'estero tramite responsabile stabilito in UE PROVVEDIMENTO DEL 15 NOVEMBRE 2012 Registro dei provvedimenti n. 342 del 15 novembre 2012 IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI Indata odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssaAugusta Iannini, vice presidente, della prof.ssa Licia Califano, componente, edel dott. Giuseppe Busia, segretario generale; VISTOil Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003,n. 196 – di seguito "Codice") e, in particolare, gli artt. 2,comma 2, e 29; VISTOl'art. 44, comma 1, lett. b) del Codice, ai sensi del quale il trasferimentodei dati personali diretto verso Paesi non appartenenti all'Unione europea puòavvenire quando é autorizzato dal Garante sulla base di adeguate garanzie per idiritti dell'interessato, individuate dalla Commissione Europea con ledecisioni previste dall'art. 26, paragrafo 4 della direttiva 95/46/CE delParlamento e del Consiglio del 24 ottobre 1995; VISTOl'art. 154, comma 1, lett. c) del Codice, in base al quale il Garante, anched'ufficio, può prescrivere ai titolari del trattamento misure necessarie edopportune per rendere il trattamento conforme alle disposizioni vigenti; VISTAla delibera del Garante del 27 maggio 2010, n. 35 (pubblicata sulla GazzettaUfficiale n. 141 del 19 giugno 2010), con la quale sono stati autorizzati itrasferimenti di dati personali effettuati da un titolare del trattamento(soggetto esportatore) avente sede nel territorio dello Stato ad unresponsabile del trattamento stabilito in un Paese non appartenente all'Unioneeuropea che non assicuri un livello di protezione adeguato (soggettoimportatore), in conformità alle clausole contrattuali tipo di cui all'allegatoalla decisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE(pubblicata sulla Gazzetta Ufficiale delle Comunità europee L39/5 del 12febbraio 2010); RILEVATOche la citata delibera concerne anche il caso in cui il responsabile deltrattamento stabilito nel Paese terzo, che tratti i dati personali per contodel titolare stabilito nell'Unione europea, affidi il trattamento ad un altroresponsabile (di seguito "sub-incaricato") stabilito in un Paeseterzo che non assicuri un livello di protezione adeguato; CONSIDERATOche, a seguito dell'adozione di siffatta delibera, sono pervenuti a questaAutorità vari quesiti volti a conoscere se sia possibile utilizzare ilmodello di clausole contrattuali tipo di cui alla decisione della Commissioneeuropea del 5 febbraio 2010, n. 87/2010/UE anche nel caso in cui ilresponsabile, che affidi il trattamento ad un "sub-incaricato"stabilito in un Paese terzo che non assicuri un livello di protezione adeguato,sia stabilito nella Unione europea; RILEVATOche tali richieste sono motivate dalla crescente diffusione nella realtàeconomica e commerciale di forme di affidamento delle attività di trattamentodei dati personali a terzi (in particolare, a società di servizi) e dallaconsequenziale esigenza del settore privato di disporre di strumenti comuni edi modalità uniformi da utilizzare in tutti i casi in cui tale affidamentocomporti un trasferimento di dati personali verso Paesi terzi che nonassicurano un livello di protezione adeguato; RILEVATOche, ai sensi del considerando 23 della decisione della Commissione Europea del5 febbraio 2010, n. 2010/87/UE, il modello di clausole allegato alla suddettadecisione non può essere applicato ad una situazione diversa da quella in cuil'importatore sia stabilito sul territorio di un Paese non appartenenteall'Unione europea; RILEVATOche tale previsione è stata, tra l'altro, richiamata dal Gruppo di lavoroistituito dall'art. 29 della direttiva 95/46/CE (di seguito Gruppo di lavoro exart. 29) con il documento RITENUTA,comunque, la necessità di fornire una risposta alle esigenze rappresentate dalsettore privato, promuovendo alcune misure di semplificazione in relazione alleattività di trasferimento dei dati personali all'estero, con specifico riguardoai casi in cui il responsabile del trattamento stabilito nell'Unione europea,che tratti dati personali per conto di un titolare stabilito nell'Unioneeuropea, affidi il trattamento ad un "sub-incaricato" stabilito in unPaese terzo che non assicuri un livello di protezione adeguato (art. 2, comma2, del Codice); CONSIDERATO,a tale ultimo proposito, che la Commissione, in base a quanto già stabilito dalGruppo di lavoro ex art. 29 (cfr. par. 1.1 del Parere 3/2009, documento WP 161del 5 marzo 2009), ha comunque rimesso agli Stati membri la facoltà di tenereconto del fatto che, in caso di affidamento del trattamento ad un"sub-incaricato", debbono trovare applicazione "i principi e legaranzie delle clausole contrattuali tipo di cui alla presente decisione,nell'intento di garantire protezione adeguata ai diritti degli interessati icui dati personali sono trasferiti per il trattamento" (considerando 23della decisione n. 2010/87/UE); CONSTATATA,pertanto, l'opportunità–come già rilevato dal Garante con la delibera del27 maggio 2010, n. 35 (cfr. punto 1 del dispositivo)– di consentire altitolare del trattamento, che ponga in essere operazioni di trasferimento datipersonali dal territorio dello Stato verso Paesi non appartenenti all'Unioneeuropea, di utilizzare il modello di clausole contrattuali tipo allegato alladecisione della Commissione Europea del 5 febbraio 2010, n. 2010/87/UE, e ciòanche nel caso in cui tale trasferimento sia dovuto all'affidamento deltrattamento dei dati, da parte di un responsabile designato dal suddettotitolare e stabilito nell'Unione europea, ad un "sub-incaricato"avente sede in un Paese terzo che non assicuri un livello di protezioneadeguato; CONSIDERATOche, per il perseguimento di tale scopo, è possibile prevedere -come suggeritoanche dal Gruppo ex art. 29 nel citato documento WP 176 (cfr. FAQ I.3. lett.b), p. 4)- che il responsabile stabilito nell'Unione europea sottoscriva leclausole contrattuali tipo utilizzate nel rapporto con il"sub-incaricato" sulla base di un esplicito mandato conferito daltitolare del trattamento ai sensi dell'art. 1704 c.c.; PRESOATTO, altresì, delle ulteriori indicazioni rese dal Gruppo ex art. 29 in ordineal fatto che, nell'ipotesi sopra descritta, il titolare debba "accettarepreviamente il contenuto delle Appendici 1 e 2 alle Clausole Modello di cuialla decisione 2010/87/UE" e che spetti "all'esportatore stabilire sedebba trattarsi di un mandato generale (ossia tale da consentire in viagenerale di affidare a sub-incaricati il trattamento dei dati di cui alleAppendici 1 e 2) oppure di un mandato specifico (ossia di un mandato specificoper ciascun sub-incaricato che sia di volta in volta individuato)"; VISTOche, ai sensi dell'art. 29, commi 1 e 4 del Codice, il responsabile deltrattamento è designato dal titolare e che i compiti al medesimo affidatidebbono essere analiticamente specificati per iscritto; RAVVISATAl'esigenza che, nell'ambito dei predetti compiti, sia fatta menzione delmandato che il titolare conferisce al responsabile per sottoscrivere, in suonome e per suo conto, le clausole contrattuali tipo di cui alla decisionecitata, qualora debbano essere effettuate operazioni di trasferimento di datipersonali verso un "sub-incaricato" che ha sede in un Paese terzo chenon assicuri un livello di protezione adeguato; RILEVATOche il responsabile è tenuto ad effettuare il trattamento dei dati attenendosialle istruzioni del titolare, e ciò anche in riferimento a quanto deve essereindicato nelle Appendici 1 e 2 delle clausole contrattuali tipo menzionate(cfr. art. 29, comma 5, del Codice e FAQ I.3. lett. b), p. 4 del documento WP176 del 12 luglio 2010 del Gruppo ex art. 29); ATTESOche, nella peculiare fattispecie in esame, rispetto alle operazioni ditrasferimento di dati personali, si deve considerare: "esportatore", il titolare del trattamento che conferisce mandato alresponsabile stabilito nella Unione europea per sottoscrivere le suddetteclausole, secondo quanto previsto dalla clausola 1, lett. b);"importatore", il "sub-incaricato" stabilito nel Paese terzo che non assicuri un livello di protezione adeguato, nei termini dicui alla clausola 1 lett. c) (in tal senso, v. anche FAQ I.3. lett. b), p. 4del documento WP 176 del 12 luglio 2010 del Gruppo ex art. 29); VISTAla documentazione d'ufficio; VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante, n. 1/2000; Relatoreil dott. Antonello Soro; TUTTO CIŅ PREMESSO, IL GARANTE: 1)fatta salva l'autonomia negoziale delle parti nella gestione dei proprirapporti commerciali, ai sensi degli artt. 2, comma 2 e 154, comma 1, lett. c)del Codice, prescrive al titolare del trattamento stabilito nel territoriodello Stato (c.d. "esportatore"), il quale abbia designato unresponsabile stabilito nell'Unione europea che intenda affidare, a sua volta,il trattamento dei dati ad un altro responsabile stabilito in un Paese terzoche non assicuri un livello di protezione adeguato (c.d."importatore"), di conferire al responsabile con sede nella Unioneeuropea un apposito mandato, ai sensi dell'art. 1704 c.c., per lasottoscrizione delle clausole contrattuali tipo di cui all'allegato delladecisione della Commissione europea del 5 febbraio 2010, n. 87/2010/UE,approvate dal Garante con delibera del 27 maggio 2010, n. 35; restacomunque ferma la facoltà, per il titolare del trattamento che intendatrasferire i dati personali senza avvalersi del mandato, di chiedereall'Autorità una specifica autorizzazione ai sensi dell'art. 44, comma 1, lett.a) del Codice; 2)dispone che il titolare del trattamento, a sensi dell'art. 29, comma 4, delCodice, menzioni tale incarico tra i compiti attribuiti al responsabilestabilito nell'Unione europea e che il mandatario proceda alla compilazionedelle Appendici 1 e 2 contenute nello schema delle clausole contrattuali tipoin ossequio alle istruzioni impartitegli dal titolare ai sensi dell'art. 29,comma 5, del Codice. Roma, 15 novembre 2012
|