Trasferimento di dati personali in paesi terzi: clausole contrattuali tipo

SINTESI DI:

Decisione 2010/87/UE relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE

QUAL È LO SCOPO DELLA DECISIONE?

Stabilisce clausole contrattuali tipo che possono essere utilizzate dai responsabili del trattamento dei dati personali* (esportatori) stabiliti nell’Unione europea (Unione) che trasferiscono dati personali* a incaricati del trattamento* (importatori) stabiliti in un paese terzo o all’esterno del SEE, per fornire garanzie appropriate di protezione dei dati e in tal modo soddisfare i requisiti della normativa sulla protezione dei dati [regolamento generale sulla protezione dei dati — regolamento (UE) 2016/679 (si veda la sintesi)].

PUNTI CHIAVE

Le clausole contrattuali tipo sono definite nell’allegato alla decisione (si veda di seguito). Le clausole contrattuali tipo riguardano esclusivamente la protezione dei dati e possono essere incluse dalle parti in un contratto più ampio o essere integrate con altre clausole o garanzie aggiuntive, a condizione che non siano in contraddizione, direttamente o indirettamente, con le clausole contrattuali tipo adottate con la decisione.

Clausola 1: Definizioni

Sono elencate qui le definizioni dei concetti chiave utilizzati nelle clausole contrattuali tipo.

Clausola 2: Particolari del trasferimento

Le parti dovrebbero elencare, in un allegato alle clausole contrattuali, i dettagli dei trasferimenti, comprese le attività pertinenti dell’importatore e dell’esportatore di dati, le categorie di dati personali trasferiti e le operazioni di trattamento a cui i dati personali saranno soggetti una volta trasferiti.

Clausola 3: Clausola del terzo beneficiario

La clausola consente agli interessati di far valere diverse clausole nei confronti dell’esportatore, dell’importatore o del subincaricato come terzo beneficiario. Prevede inoltre che le parti non si oppongano al fatto che un interessato sia rappresentato da un’associazione o altra organizzazione, se ammesso dalla legislazione nazionale.

Clausola 4: Obblighi dell’esportatore

Questa clausola stabilisce gli obblighi contrattuali per l’esportatore di dati, che deve accettare e garantire quanto segue:

il trattamento dei dati personali effettuato in conformità con la normativa sulla protezione dei dati;
di avere prescritto all’importatore di trattare i dati soltanto per conto dell’esportatore e conformemente alla normativa sulla protezione dei dati e alle presenti clausole;
che l’importatore fornisce (e rispetta) sufficienti garanzie per quanto riguarda le misure tecniche e organizzative di sicurezza per la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale, dall’alterazione, dalla diffusione o dall’accesso non autorizzati, in particolare quando il trattamento comporta trasmissioni di dati all’interno di una rete;
che l’interessato è informato se il trasferimento riguarda categorie particolari di dati, che potrebbero essere trasmessi a un paese terzo che non garantisce una protezione dei dati adeguata;
di trasmettere la comunicazione che ha ricevuto dall’importatore dei dati riguardo all’incapacità di quest’ultimo di rispettare le clausole all’autorità di controllo competente, qualora decida di proseguire il trasferimento;
di rendere disponibile, su richiesta degli interessati, copia delle presenti clausole, con una descrizione riepilogativa delle misure di sicurezza;
che, in caso di subcontratto, il subincaricato fornisce un medesimo livello di protezione dei dati personali quanto meno uguale a quello cui è tenuto l’importatore.

Clausola 5: Obblighi dell’importatore

Questa clausola stabilisce gli obblighi contrattuali per l’importatore di dati, che deve accettare e garantire quanto segue:

di trattare i dati personali esclusivamente per conto e secondo le istruzioni dell’esportatore, nonché a norma delle presenti clausole;
di non avere motivo di ritenere che la normativa applicabile impedisca di seguire le istruzioni dell’esportatore o di adempiere agli obblighi contrattuali;
che comunicherà prontamente qualsiasi modificazione di tale normativa che possa pregiudicare significativamente le garanzie e gli obblighi previsti dalle clausole contrattuali tipo, nel qual caso l’esportatore ha facoltà di sospendere il trasferimento e/o risolvere il contratto;
di aver applicato le misure tecniche e organizzative di sicurezza prima di procedere al trattamento dei dati personali trasferiti;
di comunicare prontamente all’esportatore qualsiasi richiesta presentata da autorità giudiziarie o di polizia ai fini della comunicazione di dati personali, qualsiasi accesso accidentale o non autorizzato e qualsiasi richiesta ricevuta direttamente dagli interessati cui non abbia risposto, salvo che sia stato autorizzato a non rispondere;
di rispondere prontamente a tutte le richieste dell’esportatore e che si conformerà al parere dell’autorità di controllo;
di sottoporre i propri impianti di trattamento, su richiesta dell’esportatore, al controllo delle attività di trattamento coperte dalle clausole;
di rendere disponibile, su richiesta degli interessati, copia delle presenti clausole, con una descrizione riepilogativa delle misure di sicurezza;
di incaricare un subincaricato solo con il previo consenso scritto dell’esportatore;

Clausola 6: Responsabilità

La clausola prevede che le parti convengano che l’interessato che abbia subito un pregiudizio per violazione degli obblighi ha diritto di ottenere dall’esportatore il risarcimento del danno sofferto.

Clausola 7: Mediazione e giurisdizione

L’importatore dichiara che qualora l’interessato faccia valere il diritto del terzo beneficiario e/o chieda il risarcimento dei danni, egli accetterà la decisione dello stesso interessato di sottoporre la controversia alla mediazione di un terzo indipendente o agli organi giurisdizionali del paese dell’Unione in cui è stabilito l’esportatore (con il diritto di ricorrere rimedi giuridici previsti dalla normativa nazionale o internazionale).

Clausola 8: Collaborazione con le autorità di controllo

Questa clausola disciplina la collaborazione con l’autorità di controllo competente e prevede quanto segue:

l’autorità di controllo ha il diritto di condurre controlli sull’importatore di dati e su qualsiasi subincaricato;
l’importatore accetta di informare l’esportatore dell’esistenza di disposizioni normative che impediscono di sottoporre l’importatore ai controlli. In questo caso, l’esportatore di dati ha il diritto di sospendere il trasferimento dei dati o risolvere il contratto.

Clausola 9: Legge applicabile

Le clausole sono soggette alla legge del paese dell’Unione in cui è stabilito l’esportatore.

Clausola 10: Modifica del contratto

Le parti si impegnano a non alterare, modificare o contraddire le clausole.

Clausola 11: Subcontratto

Le disposizioni sul subcontratto sono soggette alla legge del paese dell’Unione in cui è stabilito l’esportatore.

Clausola 12: Obblighi al termine dell’attività di trattamento dei dati personali

La clausola regola gli obblighi delle parti al termine dell’attività di trattamento dei dati. In particolare, le parti convengono che al termine dell’attività di trattamento l’importatore e il subincaricato provvedano a restituire (o a distruggere su richiesta) tutti i dati personali trasferiti salvo i casi in cui gli obblighi di legge lo impediscano.

DA QUANDO VIENE APPLICATA LA DECISIONE?

Viene applicata a partire dal 15 maggio 2010.

CONTESTO

Nota: la decisione è stata oggetto di una richiesta di pronuncia pregiudiziale che ha portato alla sentenza della Corte di giustizia dell’Unione europea (Causa C-311/18) del 16 luglio 2020, in cui la Corte ha confermato la validità della decisione.
La Commissione europea ha inoltre emesso due insiemi di clausole contrattuali tipo per i trasferimenti di dati dai responsabili del trattamento dei dati nell’UE ai responsabili del trattamento dei dati stabiliti al di fuori dell’UE o del SEE.
Si veda anche:
- Protezione dei dati (Commissione europea).

TERMINI CHIAVE

Responsabile del trattamento dei dati personali: persona fisica o giuridica, autorità pubblica, servizio o qualsiasi altro organismo che determina le finalità e i mezzi del trattamento di dati personali.

Dati personali: qualsiasi informazione concernente una persona fisica (l’interessato) che può essere identificata, direttamente o indirettamente, da un nome, un numero di identificazione, dati di localizzazione, un identificatore online o da fattori specifici di carattere fisico, fisiologico, genetico, mentale, di identità economica, culturale o sociale di quella persona.

Incaricato del trattamento dei dati personali: persona fisica o giuridica, autorità pubblica, servizio o qualsiasi altro organismo che tratta dati personali per conto del responsabile del trattamento dei dati.

DOCUMENTO PRINCIPALE

Decisione 2010/87/UE della Commissione, del 5 febbraio 2010, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio (GU L 39 del 12.2.2010, pag. 5).

Le successive modifiche alla decisione 2010/87/UE sono state incorporate nel testo originale. La versione consolidata ha esclusivamente valore documentale.

DOCUMENTI CORRELATI

Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche in materia di trattamento dei dati personali e alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, pag. 1).

Si veda la versione consolidata.

Decisione 2004/915/CE della Commissione, del 27 dicembre 2004, che modifica la decisione 2001/497/CE per quanto riguarda l’introduzione di un insieme alternativo di clausole contrattuali tipo per il trasferimento di dati personali a paesi terzi (GU L 385 del 29.12.2004, pag. 74).

Decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a carattere personale verso paesi terzi a norma della direttiva 95/46/CE (GU L 181 del 4.7.2001, pag. 19).

Si veda la versione consolidata.

Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281 del 23.11.1995, pag. 31).

Si veda la versione consolidata.

Ultimo aggiornamento: 07.10.2020