Decisione di esecuzione (UE) 2021/914 della Commissione del 4 giugno 2021 relativa alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi a norma del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (Testo rilevante ai fini del SEE)

visto il trattato sul funzionamento dell’Unione europea,

visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)¹, in particolare l’articolo 28, paragrafo 7, e l’articolo 46, paragrafo 2, lettera c),

Gli sviluppi tecnologici facilitano i flussi transfrontalieri di dati necessari per l’espansione della cooperazione internazionale e del commercio internazionale. Nel contempo occorre assicurare che il livello di protezione delle persone fisiche garantito dal regolamento (UE) 2016/679 non sia pregiudicato qualora i dati personali siano trasferiti verso paesi terzi, anche in caso di trasferimenti successivi². Le disposizioni sui trasferimenti di dati di cui al capo V del regolamento (UE) 2016/679 sono intese a garantire la continuità di tale livello elevato di protezione quando i dati personali sono trasferiti verso un paese terzo³.

In conformità dell’articolo 46, paragrafo 1, del regolamento (UE) 2016/679, in mancanza di una decisione di adeguatezza della Commissione ai sensi dell’articolo 45, paragrafo 3, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi. Possono costituire siffatte garanzie le clausole tipo di protezione dei dati adottate dalla Commissione a norma dell’articolo 46, paragrafo 2, lettera c).

Il ruolo delle clausole contrattuali tipo è limitato ad assicurare garanzie adeguate in materia di protezione dei dati per i trasferimenti internazionali di dati. Pertanto, il titolare del trattamento o il responsabile del trattamento che trasferisce i dati personali verso un paese terzo («esportatore») e il titolare del trattamento o il responsabile del trattamento che riceve i dati personali («importatore») sono liberi di includere tali clausole contrattuali tipo in un contratto più ampio e di aggiungere altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le clausole contrattuali tipo o pregiudichino i diritti o le libertà fondamentali degli interessati. I titolari del trattamento e i responsabili del trattamento sono incoraggiati a fornire garanzie supplementari attraverso impegni contrattuali che integrino le clausole contrattuali tipo⁴. L’utilizzo delle clausole contrattuali tipo lascia impregiudicato qualunque obbligo contrattuale dell’esportatore e/o dell’importatore di garantire il rispetto dei privilegi e delle immunità applicabili.

Oltre ad utilizzare clausole contrattuali tipo per fornire garanzie adeguate per i trasferimenti in conformità dell’articolo 46, paragrafo 1, del regolamento (UE) 2016/679, l’esportatore deve adempiere alle responsabilità generali che gli incombono in quanto titolare del trattamento o responsabile del trattamento a norma del regolamento (UE) 2016/679. Tali responsabilità comprendono l’obbligo del titolare del trattamento di fornire agli interessati informazioni in merito alla sua intenzione di trasferire i dati personali verso un paese terzo in conformità dell’articolo 13, paragrafo 1, lettera f), e dell’articolo 14, paragrafo 1, lettera f), del regolamento (UE) 2016/679. Nel caso di trasferimenti in conformità dell’articolo 46 del regolamento (UE) 2016/679, tali informazioni devono includere un riferimento alle garanzie adeguate e ai mezzi per ottenere una copia di tali dati o informazioni sul luogo dove sono stati resi disponibili.

La decisione 2001/497/CE della Commissione⁵ e la decisione 2010/87/UE della Commissione⁶ contengono clausole contrattuali tipo per facilitare il trasferimento di dati personali da un titolare del trattamento stabilito nell’Unione a un titolare del trattamento o un responsabile del trattamento stabilito in un paese terzo che non offre un livello di protezione adeguato. Tali decisioni si basavano sulla direttiva 95/46/CE del Parlamento europeo e del Consiglio⁷.

In conformità dell’articolo 46, paragrafo 5, del regolamento (UE) 2016/679, la decisione 2001/497/CE e la decisione 2010/87/UE restano in vigore fino a quando non vengono modificate, sostituite o abrogate, se necessario, da una decisione della Commissione adottata a norma dell’articolo 46, paragrafo 2, del medesimo regolamento. Le clausole contrattuali tipo contenute nelle decisioni hanno reso necessario un aggiornamento alla luce dei nuovi requisiti di cui al regolamento (UE) 2016/679. Inoltre, dall’adozione di tali decisioni si sono verificati importanti sviluppi nell’economia digitale, con l’uso diffuso di nuovi e più complessi trattamenti che coinvolgono spesso numerosi importatori ed esportatori, lunghe e complesse catene di trattamento e relazioni commerciali in evoluzione. Ciò richiede una modernizzazione delle clausole contrattuali tipo per rispecchiare meglio tali realtà, contemplando ulteriori situazioni di trattamento e trasferimento, e consentire un approccio più flessibile, ad esempio per quanto riguarda il numero di parti che possono aderire al contratto.

Il titolare del trattamento o il responsabile del trattamento può utilizzare le clausole contrattuali tipo figuranti nell’allegato della presente decisione per fornire garanzie adeguate ai sensi dell’articolo 46, paragrafo 1, del regolamento (UE) 2016/679 ai fini del trasferimento di dati personali a un responsabile del trattamento o a un titolare del trattamento stabilito in un paese terzo, fatta salva l’interpretazione della nozione di trasferimento internazionale ai sensi del regolamento (UE) 2016/679. Le clausole contrattuali tipo possono essere utilizzate per tali trasferimenti soltanto nella misura in cui il trattamento da parte dell’importatore non rientri nell’ambito di applicazione del regolamento (UE) 2016/679. Ciò comprende anche il trasferimento di dati personali ad opera di un titolare del trattamento o un responsabile del trattamento che non è stabilito nell’Unione, nella misura in cui il trattamento sia soggetto al regolamento (UE) 2016/679 (in conformità dell’articolo 3, paragrafo 2, del medesimo), in quanto si riferisce all’offerta di beni o servizi ad interessati nell’Unione o al monitoraggio del loro comportamento nella misura in cui questo abbia luogo all’interno dell’Unione.

Dato l’allineamento generale del regolamento (UE) 2016/679 e del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio⁸, dovrebbe essere possibile utilizzare le clausole contrattuali tipo anche nel contesto di un contratto di cui all’articolo 29, paragrafo 4, del regolamento (UE) 2018/1725 per il trasferimento di dati personali a un sub-responsabile del trattamento in un paese terzo ad opera di un responsabile del trattamento che non sia un’istituzione o un organo dell’Unione ma che sia soggetto al regolamento (UE) 2016/679 e che tratti dati personali per conto di un’istituzione o di un organo dell’Unione conformemente all’articolo 29 del regolamento (UE) 2018/1725. A condizione che il contratto rifletta gli stessi obblighi in materia di protezione dei dati stabiliti nel contratto o altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento in conformità dell’articolo 29, paragrafo 3, del regolamento (UE) 2018/1725, in particolare fornendo garanzie sufficienti per le misure tecniche e organizzative volte ad assicurare che il trattamento soddisfi i requisiti di tale regolamento, ciò garantirà il rispetto dell’articolo 29, paragrafo 4, del regolamento (UE) 2018/1725. Si tratta, segnatamente, del caso in cui il titolare del trattamento e il responsabile del trattamento utilizzano le clausole contrattuali tipo stabilite nella decisione di esecuzione della Commissione relativa alle clausole contrattuali tipo tra titolari del trattamento e responsabili del trattamento a norma dell’articolo 28, paragrafo 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio e dell’articolo 29, paragrafo 7, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio⁹.

Qualora il trattamento comporti trasferimenti di dati da titolari del trattamento soggetti al regolamento (UE) 2016/679 a responsabili del trattamento che non rientrano nell’ambito di applicazione territoriale di tale regolamento, o da responsabili del trattamento soggetti al regolamento (UE) 2016/679 a sub-responsabili del trattamento che non rientrano nell’ambito di applicazione territoriale di tale regolamento, le clausole contrattuali tipo figuranti nell’allegato della presente decisione dovrebbero consentire di soddisfare anche i requisiti di cui all’articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679.

Le clausole contrattuali tipo figuranti nell’allegato della presente decisione combinano clausole generali con un approccio modulare per rispondere ai diversi scenari di trasferimento e alla complessità delle moderne catene di trattamento. Oltre alle clausole generali, i titolari del trattamento e i responsabili del trattamento dovrebbero scegliere il modulo applicabile alla loro situazione, in modo da adattare gli obblighi derivanti dalle clausole contrattuali tipo al loro ruolo e alle loro responsabilità in relazione al trattamento di dati in questione. Alle clausole contrattuali tipo dovrebbero poter aderire più di due parti. Inoltre, dovrebbe essere consentito a ulteriori titolari del trattamento e responsabili del trattamento di aderire alle clausole contrattuali tipo in qualità di esportatori o importatori durante l’intero ciclo di vita del contratto di cui tali clausole fanno parte.

Al fine di offrire garanzie adeguate, le clausole contrattuali tipo dovrebbero assicurare che ai dati personali trasferiti sulla loro base sia assicurato un livello di protezione sostanzialmente equivalente a quello assicurato all’interno dell’Unione¹⁰. Per garantire la trasparenza del trattamento, gli interessati dovrebbero ricevere una copia delle clausole contrattuali tipo ed essere informati, in particolare, delle categorie di dati personali trattati, del diritto di ottenere una copia delle clausole contrattuali tipo e di eventuali trasferimenti successivi. I trasferimenti successivi dall’importatore a un terzo in un altro paese terzo dovrebbero essere consentiti solo se il terzo aderisce alle clausole contrattuali tipo, se la continuità della protezione è garantita in altro modo, o in situazioni specifiche, ad esempio sulla base del consenso esplicito e informato dell’interessato.

Con alcune eccezioni, in particolare per quanto concerne determinati obblighi che riguardano esclusivamente il rapporto tra l’esportatore e l’importatore, gli interessati dovrebbero poter invocare e, se necessario far valere, le clausole contrattuali tipo in qualità di terzi beneficiari. Pertanto, anche se le parti devono poter scegliere la legge di uno degli Stati membri quale legge applicabile alle clausole contrattuali tipo, tale legge deve prevedere i diritti del terzo beneficiario. Al fine di facilitare il ricorso individuale, le clausole contrattuali tipo dovrebbero imporre all’importatore di informare gli interessati circa un punto di contatto e di trattare prontamente eventuali reclami o richieste. In caso di controversia tra l’importatore e un interessato che invochi i propri diritti in qualità di terzo beneficiario, l’interessato dovrebbe poter proporre reclamo all’autorità di controllo competente o deferire la controversia agli organi giurisdizionali competenti dell’UE.

Al fine di garantire un’applicazione efficace, l’importatore dovrebbe essere tenuto a sottoporsi alla giurisdizione di tali autorità e organi giurisdizionali e a impegnarsi ad attenersi a qualunque decisione vincolante a norma della legislazione applicabile dello Stato membro. In particolare, l’importatore dovrebbe accettare di rispondere alle richieste di informazioni, sottoporsi ad attività di revisione e rispettare le misure adottate dall’autorità di controllo, comprese le misure di riparazione e risarcimento. Inoltre, l’importatore dovrebbe avere l’opzione di offrire agli interessati la possibilità di rivolgersi gratuitamente a un organismo indipendente di risoluzione delle controversie. In linea con l’articolo 80, paragrafo 1, del regolamento (UE) 2016/679, gli interessati dovrebbero essere autorizzati a farsi rappresentare, se lo desiderano, da associazioni o altri organismi nelle controversie contro l’importatore.

Le clausole contrattuali tipo dovrebbero prevedere norme sulla responsabilità tra le parti e nei confronti degli interessati, e norme sull’indennizzo tra le parti. Qualora subisca un danno materiale o immateriale causato da una violazione dei diritti del terzo beneficiario derivanti dalle clausole contrattuali tipo, l’interessato dovrebbe avere diritto al risarcimento. Ciò dovrebbe lasciare impregiudicata qualunque responsabilità ai sensi del regolamento (UE) 2016/679.

In caso di trasferimento a un importatore che agisce in qualità di responsabile del trattamento o sub-responsabile del trattamento, dovrebbero applicarsi requisiti specifici conformemente all’articolo 28, paragrafo 3, del regolamento (UE) 2016/679. Le clausole contrattuali tipo dovrebbero imporre all’importatore di mettere a disposizione tutte le informazioni necessarie per dimostrare il rispetto degli obblighi stabiliti dalle clausole e di consentire e contribuire alle attività di revisione delle sue attività di trattamento da parte dell’esportatore. Per quanto riguarda il ricorso dell’importatore a un sub-responsabile del trattamento, conformemente all’articolo 28, paragrafi 2 e 4, del regolamento (UE) 2016/679, le clausole contrattuali tipo dovrebbero stabilire in particolare la procedura per l’autorizzazione generale o specifica da parte dell’esportatore e il requisito di un contratto scritto con il sub-responsabile del trattamento che garantisca lo stesso livello di protezione previsto dalle clausole.

È opportuno prevedere nelle clausole contrattuali tipo garanzie diverse che coprano la situazione specifica di un trasferimento di dati personali da un responsabile del trattamento nell’Unione al suo titolare del trattamento in un paese terzo, e che rispecchino i limitati obblighi autonomi per i responsabili del trattamento a norma del regolamento (UE) 2016/679. In particolare, le clausole contrattuali tipo dovrebbero fare obbligo al responsabile del trattamento di informare il titolare del trattamento qualora non sia in grado di seguire le sue istruzioni, compreso se tali istruzioni violano la legislazione dell’Unione in materia di protezione dei dati, e al titolare del trattamento di astenersi da qualunque azione che impedisca al responsabile del trattamento di adempiere ai propri obblighi a norma del regolamento (UE) 2016/679. Dovrebbero inoltre imporre alle parti di prestarsi reciproca assistenza nel rispondere alle richieste di informazioni e alle richieste presentate dagli interessati a norma della legislazione locale applicabile all’importatore o, per il trattamento dei dati nell’Unione, a norma del regolamento (UE) 2016/679. Qualora il responsabile del trattamento dell’Unione combini i dati personali ricevuti dal titolare del trattamento del paese terzo con dati personali che ha raccolto nell’Unione, si dovrebbero applicare ulteriori requisiti per far fronte a eventuali effetti della legislazione del paese terzo di destinazione sul rispetto delle clausole da parte del titolare del trattamento, in particolare per quanto riguarda il modo in cui trattare le richieste vincolanti di autorità pubbliche del paese terzo di comunicare i dati personali trasferiti. Per contro, tali requisiti non sono giustificati quando l’esternalizzazione comporta unicamente il trattamento e il ritrasferimento di dati personali che sono stati ricevuti dal titolare del trattamento e che, in ogni caso, sono stati e rimarranno soggetti alla giurisdizione del paese terzo in questione.

Le parti dovrebbero essere in grado di dimostrare il rispetto delle clausole contrattuali tipo. In particolare, l’importatore dovrebbe essere tenuto a conservare documentazione adeguata delle attività di trattamento sotto la sua responsabilità e a informare prontamente l’esportatore qualora, per qualunque motivo, non sia in grado di rispettare le clausole. A sua volta, l’esportatore dovrebbe sospendere il trasferimento e, nei casi particolarmente gravi, avere il diritto di risolvere il contratto, per quanto riguarda il trattamento di dati personali nell’ambito delle clausole contrattuali tipo, qualora l’importatore violi le clausole o non sia in grado di rispettarle. Si dovrebbero applicare norme specifiche qualora la legislazione locale incida sul rispetto delle clausole. I dati personali che sono stati trasferiti prima della risoluzione del contratto e le loro eventuali copie dovrebbero, a scelta dell’esportatore, essere restituiti all’esportatore o distrutti integralmente.

Le clausole contrattuali tipo dovrebbero prevedere garanzie specifiche, in particolare alla luce della giurisprudenza della Corte di giustizia¹¹, per far fronte a eventuali effetti della legislazione del paese terzo di destinazione sul rispetto delle clausole da parte dell’importatore, in particolare per quanto riguarda il modo in cui trattare le richieste vincolanti di autorità pubbliche del paese terzo di comunicare i dati personali trasferiti.

Il trasferimento e il trattamento dei dati personali nell’ambito delle clausole contrattuali tipo non dovrebbero aver luogo se la legislazione e le prassi del paese terzo di destinazione impediscono all’importatore di rispettare le clausole. In tale contesto, la legislazione e le prassi che rispettano l’essenza dei diritti e delle libertà fondamentali e non vanno oltre quanto necessario e proporzionato in una società democratica per salvaguardare uno degli obiettivi di cui all’articolo 23, paragrafo 1, del regolamento (UE) 2016/679 non dovrebbero ritenersi in conflitto con le clausole contrattuali tipo. Le parti dovrebbero garantire che, al momento dell’accettazione delle clausole contrattuali tipo, non hanno motivo di ritenere che la legislazione e le prassi applicabili all’importatore non sono in linea con tali requisiti.

Le parti dovrebbero tenere conto in particolare delle circostanze specifiche del trasferimento (quali il contenuto e la durata del contratto, la natura dei dati da trasferire, il tipo di destinatario, la finalità del trattamento), della legislazione e delle prassi del paese terzo di destinazione pertinenti alla luce delle circostanze del trasferimento, e delle eventuali garanzie messe in atto per integrare le garanzie previste dalle clausole contrattuali tipo (comprese le pertinenti misure contrattuali, tecniche e organizzative che si applicano alla trasmissione e al trattamento dei dati personali nel paese di destinazione). Per quanto riguarda l’impatto della legislazione e delle prassi sul rispetto delle clausole contrattuali tipo, possono essere presi in considerazione diversi elementi nell’ambito di una valutazione globale, tra cui informazioni affidabili sull’applicazione pratica della legislazione (come la giurisprudenza e le relazioni di organismi di vigilanza indipendenti), l’esistenza o l’assenza di richieste nello stesso settore e, in condizioni rigorose, l’esperienza pratica documentata dell’esportatore e/o dell’importatore.

L’importatore dovrebbe informare l’esportatore se, dopo aver accettato le clausole contrattuali tipo, ha motivo di ritenere di non essere in grado di rispettarle. Se riceve tale notifica o viene altrimenti a conoscenza del fatto che l’importatore non è più in grado di rispettare le clausole contrattuali tipo, l’esportatore dovrebbe individuare le misure appropriate per far fronte alla situazione, se necessario in consultazione con l’autorità di controllo competente. Tali misure possono comprendere l’adozione di misure supplementari ad opera dall’esportatore e/o dell’importatore, quali misure tecniche o organizzative per garantire la sicurezza e la riservatezza. L’esportatore dovrebbe essere tenuto a sospendere il trasferimento se ritiene che non possano essere assicurate garanzie adeguate o su istruzione dell’autorità di controllo competente.

Se riceve una richiesta giuridicamente vincolante di un’autorità pubblica (anche giudiziaria), a norma della legislazione del paese di destinazione, di comunicare dati personali trasferiti in conformità delle clausole contrattuali tipo, l’importatore dovrebbe informarne l’esportatore e l’interessato, ove possibile. Analogamente, dovrebbe informarli se viene a conoscenza di un accesso diretto a tali dati personali da parte di autorità pubbliche, conformemente alla legislazione del paese terzo di destinazione. Se, pur avendo fatto tutto il possibile, non è in grado di informare l’esportatore e/o l’interessato di specifiche richieste di comunicazione, l’importatore dovrebbe fornire all’esportatore quante più informazioni pertinenti possibili sulle richieste. Inoltre dovrebbe fornire periodicamente all’esportatore informazioni aggregate. L’importatore dovrebbe altresì essere tenuto a documentare tutte le richieste di comunicazione ricevute e le risposte fornite e a mettere tali informazioni a disposizione dell’esportatore o dell’autorità di controllo competente, o di entrambi, su richiesta. Se, a seguito di un riesame della legittimità di una siffatta richiesta a norma della legislazione del paese di destinazione, conclude che sussistono fondati motivi per ritenere che essa sia illegittima a norma della legislazione del paese terzo di destinazione, l’importatore dovrebbe contestarla, se del caso anche esaurendo le possibilità di ricorso disponibili. In ogni caso, se non è più in grado di rispettare le clausole contrattuali tipo, l’importatore dovrebbe informarne l’esportatore, anche qualora tale incapacità sia la conseguenza di una richiesta di comunicazione.

Poiché le esigenze dei portatori di interessi, la tecnologia e i trattamenti possono cambiare, la Commissione dovrebbe valutare il funzionamento delle clausole contrattuali tipo alla luce dell’esperienza, nell’ambito della valutazione periodica del regolamento (UE) 2016/679 prevista all’articolo 97 di tale regolamento.

La decisione 2001/497/CE e la decisione 2010/87/UE dovrebbero essere abrogate tre mesi dopo l’entrata in vigore della presente decisione. Durante tale periodo gli esportatori e gli importatori dovrebbero, ai fini dell’articolo 46, paragrafo 1, del regolamento (UE) 2016/679, poter continuare a utilizzare le clausole contrattuali tipo di cui alle decisioni 2001/497/CE e 2010/87/UE. Per un ulteriore periodo di 15 mesi, gli esportatori e gli importatori dovrebbero, ai fini dell’articolo 46, paragrafo 1, del regolamento (UE) 2016/679, poter continuare a basarsi sulle clausole contrattuali tipo di cui alle decisioni 2001/497/CE e 2010/87/UE per l’esecuzione di contratti conclusi tra loro prima della data di abrogazione di tali decisioni, purché i trattamenti oggetto dei contratti rimangano invariati e il ricorso alle clausole garantisca che il trasferimento di dati personali sia soggetto a garanzie adeguate ai sensi dell’articolo 46, paragrafo 1, del regolamento (UE) 2016/679. In caso di modifiche rilevanti del contratto, l’esportatore dovrebbe essere tenuto a basarsi su un nuovo fondamento per i trasferimenti di dati in virtù del contratto, in particolare sostituendo le clausole contrattuali tipo esistenti con le clausole contrattuali tipo figuranti nell’allegato della presente decisione. Lo stesso dovrebbe valere per qualunque subcontratto che affidi i trattamenti oggetto del contratto a un (sub-)responsabile del trattamento.

Il garante europeo della protezione dei dati e il comitato europeo per la protezione dei dati sono stati consultati a norma dell’articolo 42, paragrafi 1 e 2, del regolamento (UE) 2018/1725 e hanno espresso un parere congiunto il 14 gennaio 2021¹², di cui si è tenuto conto nella preparazione della presente decisione.

Le misure di cui alla presente decisione sono conformi al parere del comitato istituito a norma dell’articolo 93 del regolamento (UE) 2016/679,]