800 561720
Le principali Autorità europee in materia di protezione dei dati personali, l’EDPB e l’EDPS hanno adottato pareri condivisi in merito alle Clausole Contrattuali Standard (SCC).
In seguito alla 44a sessione plenaria dell’EDPB, tenutasi lo scorso 14 gennaio 2021, le principali Autorità europee in materia di protezione dei dati personali, l’EDPB (European Data Protection Board) e l’EDPS (European Data Protection Supervisor), hanno adottato dei pareri condivisi: il primo sulle Clausole Contrattuali Standard (SCC) per contratti fra Titolari e Responsabili del trattamento, ed il secondo sulle SCC per il trasferimento di dati verso paesi terzi.
Le SCC Titolare – Responsabile
Le Clausole contrattuali Standard fra Titolari e Responsabili del trattamento mirano a garantire la piena armonizzazione e la certezza del diritto in tutta l’Unione Europea. Secondo EDPB ed EDPS, esse rappresentano un fondamentale strumento di accountability (“accountability tool”) per facilitare il rispetto delle normative in materia di data protection.
Fra le modifiche proposte alle SCC in esame, EDPB ed EDPS chiedono:
- Che sia fornita chiarezza alle parti in relazione alle situazioni in cui possono fare affidamento su queste SCC, enfatizzando allo stesso tempo i casi che comportano il trasferimento di dati al di fuori dell’UE;
- Che sia reso più chiaro il testo, in modo da incrementare l’effettiva utilità delle SCC nelle operazioni quotidiane fra Titolari e Responsabili. Le Autorità includono, fra i profili che necessitano di maggior chiarezza: l’interazione fra le varie SCC; la cosiddetta “docking clause” che consente ad ulteriori entità di accedere alle SCC; e altri aspetti relativi agli obblighi dei Responsabili;
- Che gli allegati alle SCC chiariscano il più possibile i ruoli e le responsabilità delle parti in relazione a ciascuna attività di trattamento. Qualsiasi ambiguità in tal senso costituirebbe un ostacolo alla compliance e al rispetto degli obblighi derivanti dal principio di accontability.
Le SCC per il trasferimento dei dati verso paesi terzi
Le Clausole Contrattuali Standard per il trasferimento di dati personali a paesi terzi ai sensi dell'art. 46, par. 2, lettera c), del GDPR, sono state di recente riviste dalla Commissione Europea, la quale, il 12 novembre, ha pubblicato la bozza di Decisione comprendente i nuovi modelli di SCC da utilizzare, integrati partendo da quanto definito dalla Corte di Giustizia dell’UE nel caso “Schrems II”.
La Decisione è stata quindi sottoposta a consultazione pubblica per 4 settimane (fino allo scorso 21 dicembre), e risulta ancora modificabile sulla base dei risultati della consultazione.
Le nuove SCC sostituiranno la versione attuale delle Clausole Contrattuali Standard, predisposta ai sensi della Direttiva 95/46/CE. Lo scopo delle nuove Clausole, oltre ad uniformarsi al GDPR ed al disposto della sopracitata Sentenza nel caso “Schrems II”, è quello di riflettere al meglio l’uso diffuso di nuovi e più complessi trattamenti di dati personali, che spesso ricomprendono una molteplicità di importatori ed esportatori di dati.
La versione aggiornata delle SCC prevede salvaguardie più specifiche nel caso in cui le leggi del paese di destinazione incidano sul rispetto delle clausole, in particolare in caso di richieste vincolanti di divulgazione di dati personali da parte delle autorità pubbliche.
In generale EDPB ed EDPS accolgono con favore le nuove disposizioni e riconoscono come queste incrementino il livello di protezione degli interessati coinvolti dalle attività di trattamento. Ciò nonostante, anche in questo caso, vi sono alcuni profili che, secondo le Autorità, potrebbero essere migliorati. Fra questi:
- Il campo di applicazione delle SCC;
- Alcuni diritti di terzi beneficiari;
- Alcuni obblighi relativi ad ulteriori e successivi trasferimenti;
- Gli aspetti relativi alla valutazione delle leggi dei paesi terzi, relativamente all’accesso ai dati da parte di Autorità pubbliche;
- La notifica all’Autorità di controllo.
Il presidente dell’EDPB, Andrea Jelinek, nel manifestare queste osservazioni, ha richiamato la necessità di chiarezza e di garantire mezzi di ricorso efficaci per gli interessati. In aggiunta, le SCC dovrebbero includere una chiara distribuzione dei ruoli e delle responsabilità fra le parti coinvolte, e dovrebbero essere utilizzate congiuntamente alle raccomandazioni dell’EDPB sulle misure supplementari.
Le raccomandazioni dell’EDPB sulle misure supplementari sono disponibili consultando il seguente link.
Il comunicato stampa dell’EDPB è disponibile al seguente link.
Dettagli sulla Decisione della Commissione di novembre e sulle nuove SCC sono spiegate al seguente link.
