Decisione di esecuzione (UE) 2021/915 della Commissione del 4 giugno 2021 relativa alle clausole contrattuali tipo tra titolari del trattamento e responsabili del trattamento a norma dell'articolo 28, paragrafo 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio e dell'articolo 29, paragrafo 7, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (Testo rilevante ai fini del SEE)

visto il trattato sul funzionamento dell'Unione europea,

visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)¹, in particolare l'articolo 28, paragrafo 7,

visto il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE2, in particolare l'articolo 29, paragrafo 7,

I concetti di titolare del trattamento e di responsabile del trattamento hanno un ruolo cruciale nell'applicazione del regolamento (UE) 2016/679 e del regolamento (UE) 2018/1725. Il titolare del trattamento è la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. Ai fini del regolamento (UE) 2018/1725, per titolare del trattamento si intende l'istituzione o l'organo dell'Unione, la direzione generale o qualunque altra entità organizzativa che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. Quando le finalità e i mezzi di tale trattamento sono determinati da un atto specifico dell'Unione, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione. Il responsabile del trattamento è la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento.

Al rapporto tra titolari del trattamento e responsabili del trattamento soggetti al regolamento (UE) 2016/679 e tra titolari del trattamento e responsabili del trattamento soggetti al regolamento (UE) 2018/1725 dovrebbe applicarsi lo stesso insieme di clausole contrattuali tipo. Questo perché, per assicurare un approccio coerente alla protezione dei dati personali in tutta l'Unione e la libera circolazione dei dati personali all'interno dell'Unione, le norme sulla protezione dei dati del regolamento (UE) 2016/679, applicabili al settore pubblico negli Stati membri, e le norme sulla protezione dei dati del regolamento (UE) 2018/1725, applicabili alle istituzioni, agli organi e agli organismi dell'Unione, sono state per quanto possibile allineate tra loro.

Per garantire il rispetto delle prescrizioni dei regolamenti (UE) 2016/679 e (UE) 2018/1725, quando affida delle attività di trattamento a un responsabile del trattamento, il titolare del trattamento dovrebbe ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti, in particolare in termini di conoscenza specialistica, affidabilità e risorse, per mettere in atto misure tecniche e organizzative che soddisfino i requisiti dei regolamenti (UE) 2016/679 e (UE) 2018/1725, anche per la sicurezza del trattamento.

I trattamenti da parte di un responsabile del trattamento devono essere disciplinati da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli gli elementi elencati all'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 o all'articolo 29, paragrafi 3 e 4, del regolamento (UE) 2018/1725. Tale contratto o atto è stipulato in forma scritta, anche in formato elettronico.

A norma dell'articolo 28, paragrafo 6, del regolamento (UE) 2016/679 e dell'articolo 29, paragrafo 6, del regolamento (UE) 2018/1725, il titolare del trattamento e il responsabile del trattamento possono scegliere di negoziare un contratto individuale contenente gli elementi obbligatori di cui, rispettivamente, all'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 o all'articolo 29, paragrafi 3 e 4, del regolamento (UE) 2018/1725, oppure di utilizzare, in tutto o in parte, le clausole contrattuali tipo adottate dalla Commissione in conformità dell'articolo 28, paragrafo 7, del regolamento (UE) 2016/679 e dell'articolo 29, paragrafo 7, del regolamento (UE) 2018/1725.

Il titolare del trattamento e il responsabile del trattamento dovrebbero essere liberi di includere le clausole contrattuali tipo stabilite nella presente decisione in un contratto più ampio e di aggiungere altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le clausole contrattuali tipo o pregiudichino i diritti o le libertà fondamentali degli interessati. L'utilizzo delle clausole contrattuali tipo lascia impregiudicato qualunque obbligo contrattuale del titolare del trattamento e/o del responsabile del trattamento di garantire il rispetto dei privilegi e delle immunità applicabili.

Le clausole contrattuali tipo dovrebbero contenere norme sia sostanziali che procedurali. In linea con l'articolo 28, paragrafo 3, del regolamento (UE) 2016/679 e l'articolo 29, paragrafo 3, del regolamento (UE) 2018/1725, le clausole contrattuali tipo dovrebbero inoltre imporre al titolare del trattamento e al responsabile del trattamento di indicare la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali in questione e le categorie di interessati, nonché gli obblighi e i diritti del titolare del trattamento.

In conformità dell'articolo 28, paragrafo 3, del regolamento (UE) 2016/679 e dell'articolo 29, paragrafo 3, del regolamento (UE) 2018/1725, il responsabile del trattamento deve informare immediatamente il titolare del trattamento qualora, a suo parere, un'istruzione del titolare del trattamento violi il regolamento (UE) 2016/679 o il regolamento (UE) 2018/1725 o altre disposizioni, nazionali o dell'Unione, relative alla protezione dei dati.

Quando un responsabile del trattamento ricorre a un altro responsabile del trattamento per l'esecuzione di specifiche attività, si dovrebbero applicare i requisiti specifici di cui all'articolo 28, paragrafi 2 e 4, del regolamento (UE) 2016/679 o all'articolo 29, paragrafi 2 e 4, del regolamento (UE) 2018/1725. In particolare, è necessaria un'autorizzazione preliminare scritta, specifica o generale. A prescindere dal carattere specifico o generale di tale autorizzazione, il primo responsabile del trattamento dovrebbe tenere un elenco aggiornato degli altri responsabili del trattamento.

Per soddisfare i requisiti di cui all'articolo 46, paragrafo 1, del regolamento (UE) 2016/679, la Commissione ha adottato clausole contrattuali tipo in conformità dell'articolo 46, paragrafo 2, lettera c), dello stesso regolamento (UE) 2016/679. Tali clausole soddisfano anche i requisiti di cui all'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 per i trasferimenti di dati da titolari del trattamento soggetti al regolamento (UE) 2016/679 a responsabili del trattamento che non rientrano nell'ambito di applicazione territoriale di tale regolamento, o da responsabili del trattamento soggetti al regolamento (UE) 2016/679 a sub-responsabili del trattamento che non rientrano nell'ambito di applicazione territoriale di tale regolamento. Le presenti clausole contrattuali tipo non possono essere utilizzate come clausole contrattuali tipo ai fini del capo V del regolamento (UE) 2016/679.

I terzi dovrebbero poter diventare parti delle clausole contrattuali tipo durante l'intero ciclo di vita del contratto.

Il funzionamento delle clausole contrattuali tipo dovrebbe essere valutato nell'ambito della valutazione periodica del regolamento (UE) 2016/679 di cui all'articolo 97 di tale regolamento.

Il garante europeo della protezione dei dati e il comitato europeo per la protezione dei dati sono stati consultati a norma dell'articolo 42, paragrafi 1 e 2, del regolamento (UE) 2018/1725 e hanno espresso un parere congiunto il 14 gennaio 2021³, di cui si è tenuto conto nella preparazione della presente decisione.

Le misure di cui alla presente decisione sono conformi al parere del comitato istituito a norma dell'articolo 93 del regolamento (UE) 2015/679 e dell'articolo 96, paragrafo 2, del regolamento (UE) 2015/1725,