Parere 3/2009 - WP 161

sulla proposta di decisione dellaCommissione relativa alle clausole contrattuali tipo per il trasferimento didati personali a incaricati del trattamento stabiliti in paesi terzi, a norma della direttiva 95/46/CE (trasferimento da responsabile a incaricato del trattamento)

adottato il 5 marzo 2009

IL GRUPPO PER LA TUTELA DELLE PERSONE CONRIGUARDO AL TRATTAMENTO DEI DATI PERSONALI

istituito con direttiva 95/46/CE delParlamento europeo e del Consiglio del 24 ottobre 1995¹,

visti l'articolo 29, l'articolo 30,paragrafo 1, lettera a), e l'articolo 30, paragrafo 3, della richiamata direttiva,

visto il suo regolamento interno, inparticolare gli articoli 12 e 14,

ha adottato il presente parere:

I. Introduzione

Da molti anni le società e le autoritàper la protezione dei dati si basano sulle clausole contrattuali tipo per iltrasferimento di dati personali a incaricati del trattamento stabiliti in paesiterzi, a norma della direttiva 95/46/CE (trasferimento da responsabile aincaricato del trattamento ai sensi della decisione 2002/16/CE), approvatedalla Commissione europea il 27 dicembre 2001².

Sebbene le clausole contrattuali tipopreviste dalla decisione 2002/16/CE forniscano una base solida per iltrasferimento dei dati personali, di anno in anno si è fatta più urgente lanecessità di un aggiornamento.

Il motivo principale dell'esigenza di aggiornaretali clausole è, beninteso, l'avvento dell' "esternalizzazioneglobale". Sempre più società, infatti, trasferiscono dati non solo a incaricatidel trattamento ma anche a "subincaricati" e talvolta a "subsubincaricati", e le clausole contrattuali tipo della decisione 2002/16/CEnon offrono uno strumento adeguato a questi complessi trasferimenti successivi.La Commissione europea ritiene pertanto necessario modificare le clausolecontrattuali tipo della decisione 2002/16/CE per rendere il contratto più idoneoalle attuali pratiche commerciali, adottando una nuova decisione basatasull'articolo 26, paragrafo 4, della direttiva 95/46/CE.

II. Osservazioni sul progetto didecisione della Commissione

1. Questioni principali

1.1. Subappalto da parte di incaricatidel trattamento stabiliti nella Comunità e subappalto da parte di incaricatidel trattamento stabiliti al di fuori della Comunità Il gruppo di lavoro intendesoffermarsi sulla pratica di subappalto internazionale del trattamento dei datial di fuori del SEE, ad opera di incaricati del trattamento stabiliti nell'UE/SEE.Si tratta di una situazione non contemplata dal progetto di decisione della Commissionema molto comune al giorno d'oggi.

Il gruppo di lavoro riconosce chel'adozione del progetto di decisione in esame introdurrà una notevoleflessibilità nei servizi di trattamento in relazione al sistema diautorizzazione di cui all'articolo 26, paragrafo 2, della direttiva. Di taleflessibilità, tuttavia, non beneficeranno equamente tutti gli attori di unmercato ormai sempre più globale. Il progetto di decisione della Commissione,infatti, consente all'incaricato del trattamento stabilito in un paese terzo dieffettuare trasferimenti successivi a fini di subappalto, semplicemente conl'autorizzazione del responsabile del trattamento, mentre l'incaricato deltrattamento stabilito nell'UE/SEE che intende subappaltare parte delle attivitàdi trattamento a subincaricati stabiliti in un paese terzo continua asottostare all'attuale normativa. Questa situazione può comportare uno svantaggiocompetitivo per le società europee che, a parità di servizi prestati,dovrebbero sopportare un onere amministrativo maggiore rispetto ai loroomologhi in paesi terzi.

Il gruppo di lavoro non può comunqueignorare la diversa natura giuridica dei trasferimenti intracomunitari einternazionali, che la direttiva per l'appunto disciplina in due sezioni distinte.

Il gruppo di lavoro ritiene pertantonecessario trovare una soluzione giuridica che consenta agli incaricati deltrattamento stabiliti nell'UE/SEE di subappaltare il trattamento a livello internazionale,senza generare inutili disparità nel mercato. A tal fine il gruppo di lavoro invitala Commissione ad elaborare con urgenza un nuovo strumento giuridico, specificoe distinto, che permetta agli incaricati del trattamento stabiliti nell'UE/SEEdi subappaltare il trattamento a livello internazionale a incaricati stabilitiin un paese terzo. Tale strumento potrebbe consistere in un nuovo insieme diclausole contrattuali tipo, in forza delle quali il responsabile e l'incaricatodel trattamento stabiliti nell'UE/SEE potrebbero procedere a un subappaltotransfrontaliero con le dovute garanzie, adeguate a questo tipo ditrasferimenti.

Consapevole che l'elaborazione di unostrumento come quello proposto può richiedere tempo, il gruppo di lavorocapisce che, mancando uno specifico strumento giuridico comunitario, sia necessariauna risposta delle autorità di controllo nazionali alla questione delsubappalto transfrontaliero dei servizi di trattamento dati da parte diincaricati del trattamento stabiliti nell'UE/SEE. Il gruppo di lavoro sollecitapertanto le autorità nazionali di controllo, fatti salvi i loro diritti eobblighi ai sensi della legislazione interna di adottare le autorizzazioni dicui all'articolo 26, paragrafo 2, della direttiva, a considerare checostituisce garanzia adeguata per i contratti di subappalto internazionaleconclusi da un responsabile e da un incaricato del trattamento stabilitinell'UE/SEE il fatto che questi applichino per analogia gli stessi principi e lestesse garanzie delle attuali clausole contrattuali tipo. In altre parole,l'autorità nazionale per la protezione dei dati dovrebbe ritenere che ilcontratto stipulato tra il responsabile del trattamento nell'UE/SEE el'incaricato del trattamento nell'UE/SEE, con cui il responsabile del trattamentoautorizza il trasferimento di dati a un subincaricato stabilito al di fuori dell'UE/SEE,garantisce una protezione adeguata dei diritti degli interessati i cui datisono trasferiti, se tale contratto applica per analogia gli stessi principi ele stesse garanzie delle clausole contrattuali tipo di cui alla decisione 2002/16/CE.In tal modo si garantirebbe un regime analogo a quello disposto dal progetto didecisione per gli incaricati del trattamento al di fuori dell'UE.

A questo proposito il gruppo di lavoroinvita la Commissione a considerare la possibilità di inserire nella decisioneche adotta le clausole contrattuali tipo una spiegazione di ciò, prevedendo adesempio specifici considerando che consentano espressamente agli Stati membridi autorizzare trasferimenti internazionali basati sulle clausole contrattualitipo allegate alla decisione a subincaricati del trattamento stabiliti al difuori dell'UE/SEE, nel caso specifico in cui il responsabile e l'incaricato deltrattamento siano entrambi stabiliti nell'UE/SEE.

Nei medesimi riferimenti andrebbe inclusal'opportunità di consentire questo tipo di esternalizzazione con lo stessosistema di autorizzazione previsto per gli incaricati del trattamento stabilitial di fuori dell'UE/SEE.

1.2. Subappalto a più livelli

Il gruppo di lavoro è consapevole dellanecessità di adeguare le clausole contrattuali tipo alla nuova dimensionetransnazionale del trattamento dei dati personali – soprattutto in considerazionedella diffusa pratica di subappaltare alcune operazioni di trattamento.

Ciò premesso, il gruppo di lavoro prendeatto dell'inclusione nelle clausole contrattuali tipo "trasferimento daresponsabile a incaricato del trattamento" di una nuova clausola relativaal subappalto, elaborata in conformità dello schema previsto nella clausola 11del richiamato documento (ossia come accordo scritto tra importatore esubappaltatore basato sul previo consenso scritto dell'esportatore e modellatosulle clausole contrattuali tipo "trasferimento da responsabile aincaricato del trattamento").

Nella maggior parte dei casi ilsubappalto del trattamento avviene tramite la nomina a incaricato deltrattamento di un ente stabilito in un paese terzo; i paesi terzi spesso non fornisconogaranzie adeguate e i dati trattati sono soggetti all'applicazione dellanormativa locale.

Nel contempo, il gruppo di lavoro invitala Commissione a valutare attentamente l'opportunità di consentire alsubincaricato del trattamento di stipulare subappalti successivi con terzi, in particolarenel caso in cui siano trattati dati sensibili o il trattamento comporti rischi particolariper gli interessati (dati biometrici, genetici, giudiziari, finanziari, dati suminori, profilazione).

Di fatto, tale opportunità darebbe luogoa grandi catene di subincaricati del trattamento che potrebbero agireindipendentemente dalle istruzioni del responsabile del trattamento; per di piùsarebbe difficile controllare i vari subincaricati, soprattutto per stabilire icompiti e le responsabilità dei singoli enti.

Nel documento di lavoro "Pareripreliminari circa l’utilizzazione di disposizioni contrattuali nel contesto deltrasferimento di dati personali verso paesi terzi", il gruppo di lavoro haprecisato che i trasferimenti successivi verso enti o organizzazioni non legatedal contratto andrebbero specificatamente esclusi dal contratto in questione, ameno che non sia possibile vincolare per contratto tali terzi a rispettare glistessi principi in materia di protezione dei dati³. A ciò mira il progetto didecisione della Commissione.

Il gruppo di lavoro conosce benel'attuale modello organizzativo dei mercati mondiali, caratterizzato da lunghecatene di subappaltatori incaricati del trattamento che formano parte integrantedella struttura commerciale internazionale.

In questo contesto, un sistema diclausole contrattuali tipo che contempli un unico livello di subappalto(dall'importatore al subappaltatore) è inadeguato all'attuale scenario.

Di conseguenza, il gruppo di lavoro hadeciso di accettare l'introduzione di una clausola di subappalto "a piùlivelli", a condizione che siano disposte garanzie appropriate a tuteladegli interessati a fronte dei rischi considerati sopra.

L'applicazione di clausole contrattuali atutti i livelli di subappalto del trattamento introdurrà maggiore uniformitànel commercio, giacché tutti i subappalti di operazioni di trattamento rientrantinelle clausole contrattuali tipo saranno soggetti alle stesse clausole e condizioni.Ne risulterà inoltre semplificata la situazione attuale in quanto aumenterà lacertezza giuridica, non essendo affatto ovvio che l'importatore che incaricadel trattamento un subappaltatore chieda preventivamente il consenso scrittodel responsabile del trattamento e imponga obblighi contrattuali chegarantiscono lo stesso livello di tutela previsto dalle clausole contrattuali.

Seguendo questo ragionamento, unaclausola di subappalto "a più livelli" può considerarsi legittima sela decisione di affidare il trattamento a dei subincaricati va di pari passocon una valutazione accurata dei requisiti e delle caratteristiche specifichedelle operazioni di trattamento che giustificano tale decisione. La valutazionedovrà essere quanto più accurata quanto maggiore è il numero di livelli disubappalto e tenere debito conto del principio della limitazione delle finalità,in modo da garantire che la finalità iniziale per la quale il responsabile deltrattamento ha trasferito i dati all'importatore per i servizi di trattamentonon venga alterata da eventuali contratti di subappalto successivi.

Ciò premesso, la previsione di un sistemadi subappalto del trattamento in cui più subappaltatori possono essereincaricati sequenzialmente di parti del trattamento è un'opzione interessanteche il gruppo di lavoro può anche approvare, a condizione che ricorrano, come appenadescritto, specifici requisiti tecnici e organizzativi in capo al responsabiledel trattamento. A questo proposito, l'esportatore dovrebbe altresì introdurresoluzioni organizzative che facilitino l'esercizio dei diritti degliinteressati (accesso, rettifica, opposizione, cancellazione, ecc.). Ciòpotrebbe implicare, ad esempio, l'indicazione di un unico referente cui possanorivolgersi gli interessati per esercitare i loro diritti di accesso ai dati(nella sede del responsabile del trattamento), oppure l'elaborazione diprocedure chiare – da portare a conoscenza di tutti gli incaricati esubincaricati del trattamento – cha forniscano agli interessati i datipersonali cui questi intendono accedere.

Il gruppo di lavoro ritiene che laclausola 11 (subappalto) del progetto di decisione della Commissione contienegli elementi necessari per garantire in maniera adeguata il livello di tutelaprevisto dalle clausole contrattuali tipo lungo tutta la catena dei possibilisubappalti.

Inoltre gli obblighi imposti nellaclausola 4 (obblighi dell'esportatore) e nella clausola 5 (obblighidell'importatore) garantiranno che il responsabile e l'incaricato deltrattamento siano tenuti ad assicurare tale tutela a tutti i livelli delsubappalto. Al riguardo, il gruppo di lavoro suggerisce che parallelamenteall'obbligo dell'importatore (incaricato del trattamento) di trasmettereall'esportatore copia dei subappalti conclusi, l'esportatore debba tenere unelenco aggiornato dei singoli incaricati e subincaricati che costituiscono la"catena contrattuale".

In quest'ottica, la competenza delleautorità per la protezione dei dati a vigilare sull'importatore e sui suoisubappaltatori sarà fondamentale per garantire l'osservanza delle clausolecontrattuali e il livello di tutela imposto a tutti i subappaltatori coinvoltinelle attività di trattamento dei dati personali trasferiti secondo le clausolecontrattuali tipo.

2. Altre questioni

2.1 Audit:

Le clausole contrattuali tipo proposteprevedono la possibilità di attribuire alle autorità per la protezione dei datila competenza a controllare l'intera catena del subappalto (responsabile del trattamento,incaricato o incaricati del trattamento e subincaricato o subincaricati) e, sedel caso, adottare decisioni vincolanti. Il gruppo di lavoro raccomandapertanto di adeguare la clausola 8 (collaborazione con le autorità dicontrollo).

2.2 Legge applicabile

Ai sensi della clausola 9 delle attualiclausole contrattuali tipo, le clausole sono soggette alla legge dello Statomembro in cui ha sede l'esportatore. Al fine di garantire la certezza e la coerenzadel diritto, la stessa clausola dovrebbe prevedere che siano soggetti allalegge dello Stato membro in cui ha sede l'esportatore anche i contrattistipulati per subappaltare servizi di trattamento.

2.3 Conseguenze per l'attuale insieme diclausole contrattuali

Il progetto di decisione dellaCommissione contempla l'abrogazione della decisione 2002/16/CE. Si pone quindiil problema di stabilire se i contratti di trasferimento stipulati tra responsabilidel trattamento nell'UE/SEE e incaricati del trattamento in paesi terzi, in applicazionedelle clausole contrattuali della decisione 2002/16/CE, vengano meno e debbano diconseguenza essere ristipulati conformemente al nuovo insieme di clausolecontrattuali "trasferimento da responsabile a incaricato deltrattamento". L'obbligo di adeguare tutti i contratti esistenti conclusiin conformità delle clausole contrattuali della decisione 2002/16/CE creerebbeun onere significativo e sproporzionato a carico sia delle parti interessateche delle autorità per la protezione dei dati.

Tuttavia la soluzione di mantenere leclausole contrattuali approvate dalla decisione 2002/16/CE potrebbe non esseremigliore rispetto a quella di dover riautorizzare gli attuali contrattiinternazionali di trasferimento, in quanto potrebbe generare incertezzagiuridica.

Per risolvere il problema, il gruppo dilavoro raccomanda alla Commissione di includere nella decisione stessa (adesempio nell'articolo 6) disposizioni transitorie che prevedano che i trasferimentiinternazionali autorizzati ai sensi dell'abrogata decisione 2002/16/CErimangano validi finché i trasferimenti e il trattamento dei dati descrittinelle clausole contrattuali firmate originariamente non vengono modificati.Tuttavia, le società che hanno usato le "vecchie" clausole e cheintendono modificarle o introdurre disposizioni in materia di subappalto del trattamentosaranno tenute a modificare le "vecchie" clausole per conformarlealle nuove clausole contrattuali tipo e a chiedere una nuova autorizzazione aisensi della legislazione nazionale.

Conclusioni

Su riserva del rispetto delle precedentiraccomandazioni, il gruppo di lavoro emette un parere favorevole in marito alprogetto di decisione della Commissione relativa alle clausole contrattualitipo per il trasferimento di dati personali a incaricati del trattamentostabiliti in paesi terzi, e invita il comitato dell'articolo 31 a proseguire ilavori in vista dell'adozione del progetto di decisione della Commissione inquestione.

Fatto a Bruxelles il 5 marzo 2009

Per il gruppo di lavoro

Il Presidente

Alex TÜRK

NOTE              
1 GU L 281 del 23.11.1995, pag. 31, disponibile sul sito Internet:

http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:IT:HTML

2 GU L 6 del 10.1.2002,pag. 52. Si veda il parere del gruppo di lavoro n. 7/2001, WP 47, disponibilesul sito Internet: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2001/wp47it.pdf

3 Documento WP 9 del 22aprile 1998, disponibile sul sito Internet:

http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/1998/wp47it.pdf