Home

Internal

Global

Contatto

Rödl & Partner ha prestato la propria consulenza per il perfezionamento dell'acquisizione del Gruppo italiano FGV da parte di Hettich |

In tutto il mondo

Utilizziamo cookie tecnici per personalizzare il sito web e offrire all’utente un servizio di maggior valore. Chiudendo il banner e continuando con la navigazione verranno installati nel Suo dispositivo i cookie tecnici necessari ai fini della navigazione nel Sito. L’installazione dei cookie tecnici non richiede alcun consenso da parte Sua. Ulteriori informazioni sono contenute nella nostra Cookie Policy.

Trasferimento dati extra-UE: le nuove clausole contrattuali standard

Ultimo aggiornamento del 21.06.2021 | Tempo di lettura ca. 5 minuti

The article is available also in English »

Der Text ist auch auf Deutsch verfügbar »

La Commissione Europea ha stabilito che, a far data dal 27 settembre 2021, i nuovi contratti stipulati dovranno essere corredati delle nuove clausole contrattuali standard (note come SCC) in caso comportino trasferimenti di dati extra UE.

Di cosa parliamo?

La Decisione di esecuzione (UE) n. 2021/914 dello scorso 4 Giugno 2021 stabilisce da un lato che i nuovi contratti stipulati dovranno essere corredati delle nuove SCC, in caso comportino trasferimenti di dati extra UE, dall’altro che i contratti conclusi prima del 27 settembre 2021 sulla base della decisione 2001/497/CE o della decisione 2010/87/UE forniscono garanzie adeguate ai sensi dell’art. 46, paragrafo 1, del GDPR fino al 27 dicembre 2022, purché i trattamenti oggetto dei contratti rimangano invariati e il ricorso a tali clausole garantisca che il trasferimento di dati personali sia soggetto a garanzie adeguate.

Successivamente al 27 dicembre 2022, sarà necessario aggiornarli con le nuove SCC.

Le Parti possono includere le clausole contrattuali tipo in un contratto più ampio e/o aggiungere altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le SCC o ledano i diritti o le libertà fondamentali degli interessati. In caso di contraddizione, anche per gli accordi conclusi successivamente, prevalgono le presenti clausole contrattuali tipo.

A seguito della sentenza della CGUE del 16 luglio u.s. (Schrems II), le clausole contrattuali tipo forniscono garanzie adeguate se è garantito un livello di protezione equivalente a quello all’interno dell’UE. Va, pertanto, sempre valutata la situazione normativa del paese importatore, al fine di valutare l’opportunità di corredare le SCC con una DTIA.

Nel merito, è opportuno segnalare che le clausole contrattuali tipo prevedono che:

informazione: gli interessati siano informati in merito al trasferimento dei propri dati personali verso un paese terzo (artt. 13, par. 1, lettera f, e 14, par. 1, lettera f, del GDPR);
diritti: gli interessati (terzi beneficiari) devono poter invocare e, se necessario, far valere le clausole contrattuali tipo; pertanto, la legge applicabile alle clausole contrattuali tipo, deve tutelare i loro diritti;
ricorso individuale: l’importatore deve informare gli interessati circa un punto di contatto e di trattare prontamente eventuali reclami o richieste. È possibile proporre reclamo all’autorità di controllo competente o deferire la controversia agli organi giurisdizionali competenti dell’UE;
giurisdizione: l’importatore è tenuto a sottoporsi alla giurisdizione dell’autorità di controllo competente o degli organi giurisdizionali dell’UE e attenersi alla legislazione applicabile dello Stato membro;
rappresentanza: gli interessati dovrebbero essere autorizzati a farsi rappresentare, se lo desiderano, da associazioni o altri organismi nelle controversie contro l’importatore.
risarcimento: in caso di danno materiale o immateriale causato da una violazione dei diritti del terzo beneficiario, l’interessato dovrebbe avere diritto al risarcimento;
trasferimento a un responsabile o sub-responsabile del trattamento: è stabilita la procedura per l’autorizzazione generale o specifica e il requisito di un contratto scritto con il sub responsabile;
accountability: le parti devono dimostrare il rispetto delle clausole contrattuali tipo;
inadempienza importatore: se l’esportatore riceve la notifica o viene a conoscenza del fatto che l’importatore non è in grado di rispettare le clausole contrattuali tipo, l’esportatore individua le misure appropriate per far fronte alla situazione, se necessario in consultazione con l’autorità di controllo competente, fino a sospendere il trasferimento o risolvere il contratto nei casi particolarmente gravi;
verifica dell’adeguatezza del Paese terzo: le leggi del paese terzo non devono interferire con il rispetto delle clausole contrattuali tipo. La verifica deve essere effettuata per tutta la durata del rapporto.

Cosa dobbiamo fare?

Tenuto conto della decisione, occorre quindi:

Quanto ai contratti esistenti:

Mantenere immodificati i contratti esistenti che implichino trasferimenti dati e includano le vecchie SCC fino al 27 dicembre 2022, purché i trattamenti rimangano invariati. Andrà aggiunto alle SCC esistenti – ove non ancora stilato - anche un Data Transfer Impact Assessment (“DTIA”);
Incominciare ad aggiornare, in base alle nuove SCC, i contratti esistenti e in scadenza nel breve periodo, prevedendo, se del caso ed in base ad analisi relative all’adeguatezza della normativa del paese importatore, anche una DTIA
Mappare tutti i contratti esistenti che implichino trasferimenti dati e, a far data dal 27 Dicembre 2022, adeguare definitivamente tutti i contratti esistenti per i trasferimenti in corso alle nuove SCC prevedendo, se del caso ed in base ad analisi relative all’adeguatezza della normativa del paese importatore, anche un DTIA.

Quanto ai contratti nuovi:

A partire dal 27 settembre 2021, allegare ai nuovi contratti che implichino trasferimenti dati solo le nuove SCC prevedendo, se del caso ed in base ad analisi relative all’adeguatezza della normativa del paese importatore, una DTIA
In casi di stipula di contratti corredati dalle nuove SCC, individuare i ruoli privacy e la tipologia di trasferimento applicabile tra le quattro ipotesi (“moduli”) indicate dalla Commissione e applicare le disposizioni specifiche (artt. da 8 a 18) delle clausole contrattuali tipo.

La decisione, visionabile per intero al seguente link, consta dei seguenti allegati:

Allegato Clausole contrattuali tipo con un complesso di clausole generali agli artt. 1-7 e clausole specifiche (ai sensi degli artt. 8- 18) da adattare a seconda dei quattro specifici casi di trasferimento già individuati dalla Commissione, quali:

Trasferimento da un titolare del trattamento verso un altro titolare (“modulo uno”);
Trasferimento da un titolare verso un responsabile del trattamento (“modulo due”);
Trasferimento da un responsabile del trattamento verso un altro responsabile (“modulo tre”);
Trasferimento da un responsabile verso un titolare (“modulo quattro”).

Allegato I che disciplina l’elenco delle parti e la descrizione del trattamento, nonché l’Autorità di controllo competente (valido per modulo uno, due e tre);
Allegato II – misure tecniche e organizzative, comprese misure tecniche e organizzative per garantire la sicurezza dei dati solo per modulo uno, due e tre;
Allegato III – elenco dei sub-responsabili (solo per modulo due o tre).

Autori:

Nadia Martini - Partner

Gabriella D'Amico - of Counsel

Flavia Terenzi - Senior Associate