InsightPublications

Vi informiamo che la Commissione Europea il mese scorso ha pubblicato il documento “The New Standard Contractual Clauses - Questions and Answers”, costituente una guida pratica all'uso delle clausole contrattuali standard (“CCS”), atte alla regolamentazione del trasferimento dei dati personali da e verso paesi situati fuori dallo Spazio Economico Europeo.

Come già segnalato con Alert n. 15/2021, il 4 giugno 2021 la Commissione Europea ha approvato i nuovi modelli di CCS, destinati a sostituire le previgenti clausole contrattuali standard stipulate in data anteriore. Tra le diverse criticità che potrebbero emergere sul tema, in questa sede, ci preme segnalarVi le seguenti:

MODALITA' DI COMPILAZIONE DELLE CCS
Le CCS garantiscono quattro diverse tipologie di trasferimenti:

• Modulo 1, trasferimento da Titolare a Titolare;
• Modulo 2, trasferimento da Titolare a Responsabile;
• Modulo 3, trasferimento da Responsabile a sub-responsabile;
• Modulo 4, trasferimento da Responsabile a Titolare.

Dunque, l’operatore delegato alla redazione delle CCS sarà tenuto a:

• selezionare solamente i moduli e le opzioni applicabili al caso di specie, a seconda del tipo di trasferimento dei dati personali ed eliminare dal documento i moduli e le opzioni non applicabili;
• completare il testo, ove necessario, ad esempio scegliendo il giudice e l’autorità di controllo competenti, così come indicato nelle parentesi quadre all’interno delle CCS;
• inserire le informazioni inerenti al trattamento all’interno degli allegati alle CCS.

VALUTAZIONE D'IMPATTO DEL TRASFERIMENTO
Le parti che stipulano le CCS devono effettuare una valutazione circa l'impatto del trasferimento che documenti in particolare:

• le circostanze specifiche del trasferimento;
• le leggi del paese di destinazione;
• le garanzie aggiuntive messe in atto per proteggere i dati personali.

Nell'effettuare questa operazione, si suggerisce alle parti di tenere conto delle circostanze specifiche del trasferimento (es. categorie dei dati, destinatari, il settore economico etc...) e delle leggi applicabili.

RAPPORTO TRA SCC, DECISIONE DI ADEGUATEZZA E DATA PROCESSING AGREEMENT
Nel caso in cui il trasferimento dei dati personali sia regolato dai moduli 2 e 3 di cui sopra, la Commissione Europea dichiara che le parti non hanno l’obbligo di stipulare un separato accordo sul trattamento dei dati personali, in quanto tali moduli assicurano la conformità sia all’art. 28 GDPR, sia all’art. 46 GDPR.
Nel caso in cui il trasferimento riguardi un paese soggetto a decisione di adeguatezza, l’esportatore – per garantire la conformità all’art. 28 GDPR - dovrà utilizzare le c.d. SCC for controllers and processors in the EU/EEA, in quanto tale fattispecie è assimilabile al trasferimento di dati personali all’interno dello Spazio Economico Europeo.

 ***

In attesa di ulteriori aggiornamenti, Vi ricordiamo che le previgenti clausole contrattuali standard saranno considerate valide fino al 27 dicembre 2022, dunque, entro tale data occorrerà provvedere a sostituirle.