Clausole contrattuali standard nell'UE per i trasferimenti da paesi terzi

Clausole contrattuali standard

Se un'azienda vuole Dati personali Se i dati vengono trasferiti in un cosiddetto paese terzo al di fuori dell'Unione europea o dello Spazio economico europeo, oltre alla base giuridica per il trattamento dei dati è necessaria anche una garanzia di protezione dei dati per il trasferimento stesso. Qualora manchi una Decisione di appropriatezza La Commissione europea lamenta quindi già da anni la mancanza di...Clausole contrattuali standard, note anche come clausole contrattuali standard della Commissione europea (in breve „SCC“, dall’inglese Standard Contractual Clauses), sono state ora aggiornate. Questi documenti, ormai vecchi di 25 anni, sono stati ora aggiornati.

Questo articolo intende rispondere alle domande che sono sorte in questo contesto e quindi fornire assistenza nell'uso conforme alla protezione dei dati delle nuove clausole.

Per ulteriori domande e qualora aveste bisogno di assistenza per le modifiche necessarie, non esitate a contattarci.

Quando la mia azienda ha bisogno di SCC?

Non appena un'azienda, nel ruolo di responsabile del trattamento e/o di incaricato del trattamento, si trova in una situazione di conflitto di interessi. Dati personali sono stati trasferiti in un cosiddetto „paese terzo“ ai sensi degli articoli 44 e seguenti del RGPD Garanzie adeguate necessario per la protezione di tali dati, al fine di garantire che non venga compromesso il livello di protezione dei dati delle persone fisiche garantito dal GDPR.

A meno che per il paese terzo non vi sia alcun Decisione di appropriatezza presentata alla Commissione europea, le SCC costituiranno nella maggior parte dei casi un elemento fondamentale in tal senso.

Come il cosiddetto Schrems Secondo la sentenza della Corte di giustizia europea (sentenza del 16.07.2020, causa C 311/18), le garanzie di cui agli artt. 44 e segg. GDPR non sono sufficienti da sole. Occorre piuttosto esaminare la situazione della protezione dei dati nel paese destinatario e stabilire quali ulteriori misure tecniche e organizzative (Crittografia, Anonimizzazione, Pseudonimizzazione) che sono inoltre necessari nel caso specifico.

Un possibile esito di tale valutazione dei rischi può essere anche la decisione di non procedere al trasferimento dei dati previsto e di trovare invece una soluzione europea.

Come si differenziano i nuovi SCC da quelli vecchi?

Il precedente Clausole contrattuali standard Le nuove SCC sono state adattate alla formulazione e ai requisiti del GDPR.

Le nuove SCC hanno una struttura modulare e offrono molte più possibilità di personalizzazione, ma richiedono anche un maggiore impegno prima di poter essere utilizzate per il trasferimento dei dati. Mentre nei precedenti SCC il lavoro di adattamento terminava solitamente con la compilazione dei dati relativi alle due parti contraenti, nei nuovi SCC è solo a quel punto che ha inizio la vera e propria stesura delle clausole contrattuali.

Nei nuovi SCC, per la prima volta altre istituzioni possono, sulla base del Clausole contrattuali standard Gli importatori ed esportatori di dati possono aderire al contratto come importatori o esportatori di dati.

Finora mancavano clausole relative alla configurazione „responsabile del trattamento e subresponsabile del trattamento“. Le nuove Clausole contrattuali standard sono strutturate in modo modulare, in modo da poter essere applicate a un numero maggiore di contratti rispetto al passato e comprendono anche i contratti a livello di rapporti di subappalto.

Se i fornitori di servizi elaborano i dati su istruzioni di un'azienda, ciò costituisce una Elaborazione dell'ordine ai sensi del RGPD. In tali casi è necessario stipulare un cosiddetto contratto di trattamento dei dati (in breve „CTD“). Le nuove Clausole contrattuali standard ora soddisfano anche i requisiti per un contratto di elaborazione degli ordini. Ciò significa che se un contratto basato sul Clausole contrattuali standard una volta concluso, non è più obbligatorio stipulare un ulteriore contratto di trattamento dei dati.

In particolare, le clausole 14 e 15 delle nuove SCC prevedono misure di sicurezza specifiche che corrispondono ad alcune delle integrazioni già apportate dalle autorità garanti della protezione dei dati e dal Comitato europeo per la protezione dei dati (“EDSA”) alle vecchie Clausole contrattuali standard sono stati proposti per soddisfare i requisiti della Schrems II giudizio.

Fortunatamente, nelle nuove SCC è ora stabilito che queste abbiano la precedenza e prevalgano su eventuali clausole contrattuali o delle condizioni generali di contratto in contrasto con esse (Sezione I, clausola 5).

Nella sezione II, il capitolo 12 contiene clausole di responsabilità modulari e stabilisce (insieme alla disposizione sulla priorità della SCC) in linea di principio che la Responsabilità civile delle parti contraenti non è limitata, ad esempio, da esclusioni esterne di responsabilità in termini e condizioni generali.

Le parti contraenti possono ora stabilire nella sezione IV (clausole 17 e 18) la validità di una specifica legge nazionale e il foro competente (all'interno dell'UE). Ad esempio, è possibile specificare la validità del diritto tedesco anche se il contratto è stato stipulato in Germania. Clausole contrattuali standard essere chiuso da una filiale in Italia.

Alla luce delle discussioni attualmente in corso in merito al trasferimento dei dati verso gli Stati Uniti o altri paesi terzi, il destinatario dei dati si impegna, nella clausola 15, tra l’altro, a:

• Impegnarsi al massimo per ottenere la revoca del divieto di informare l’esportatore dei dati / l’interessato. L’obiettivo è quello di poter comunicare il maggior numero possibile di informazioni nel minor tempo possibile. L’importatore di dati si impegna pertanto a documentare gli sforzi compiuti, al fine di poterli dimostrare su richiesta dell’esportatore di dati.
• Verificare la legittimità della richiesta di divulgazione, in particolare se la richiesta rientri nell’ambito delle competenze attribuite all’autorità richiedente, e contestare la richiesta qualora, dopo un'attenta valutazione, giunga alla conclusione che sussistano motivi sufficienti per ritenere che la richiesta sia illegittima ai sensi della normativa del paese di destinazione, in conformità con gli obblighi di diritto internazionale applicabili e secondo i principi della „cortesia internazionale“ (si tratta di atti, pratiche e norme che vengono osservati nei rapporti internazionali tra Stati, in ragione della loro sovranità, sulla base dell’amicizia, del vicinato e del rispetto reciproco) sia illegittima. Alle condizioni sopra indicate, l’importatore di dati deve presentare eventuali ricorsi. In caso di impugnazione di una richiesta, l’importatore di dati ottiene misure provvisorie per sospendere l’efficacia della richiesta fino a quando l’autorità giudiziaria competente non si sia pronunciata sulla sua fondatezza. Egli divulga i dati personali richiesti solo se ciò è necessario ai sensi delle norme procedurali vigenti.

Tale obbligo può comportare (qualora vengano effettivamente emesse le relative ordinanze di consegna) costi considerevoli a carico dell'importatore dei dati.

Entrambe le parti contraenti si impegnano, nella clausola 14, a tenere debitamente conto, in particolare, dei seguenti aspetti:

• le circostanze particolari della Trasmissionetra cui la lunghezza della catena di trattamento, il numero di soggetti coinvolti e i canali di trasmissione utilizzati, i trasferimenti successivi dei dati previsti, il tipo di destinatario, lo scopo del trattamento, la finalità del trattamento. Elaborazionele categorie e il formato dei dati personali trasmessi, il settore economico in cui avviene la trasmissione, il luogo di conservazione dei dati trasmessi,
• che, alla luce delle particolari circostanze della Trasmissione le disposizioni normative e le prassi pertinenti del paese terzo di destinazione (comprese quelle che impongono la comunicazione dei dati alle autorità o ne consentono l’accesso), nonché le restrizioni e le garanzie applicabili,
• tutte le garanzie contrattuali, tecniche o organizzative pertinenti, istituite a integrazione delle garanzie previste dalle presenti clausole, comprese le misure adottate durante il Trasmissione e con il Elaborazione dei dati personali nel paese di destinazione.

Questi tre punti devono quindi essere tenuti in considerazione, in particolare nel caso di trasferimenti verso paesi terzi, nell’ambito della valutazione dei rischi e delle considerazioni del caso, e ciò deve essere documentato.

Posso continuare a utilizzare i vecchi SCC?

Se siete attualmente impegnati in trattative contrattuali e una rinegoziazione delle nuove SCC comporterebbe dei ritardi, potete continuare a utilizzare le vecchie SCC fino al 27 settembre 2021. Queste dovranno tuttavia essere sostituite con le nuove SCC entro e non oltre il 27 dicembre 2022.

A partire dal 27 settembre 2021, i nuovi SCC dovranno essere utilizzati senza eccezioni.

Per quanto tempo posso utilizzare i vecchi SCC?

A partire dal 27 settembre 2021, per tutti i contratti di nuova stipula dovranno essere applicate le nuove Clausole contrattuali standard devono essere prese in considerazione. Fino ad allora si potrebbero ancora utilizzare le vecchie SCC, che dovrebbero però essere sostituite con le nuove SCC al più tardi entro il 27 dicembre 2022.

Ho un contratto con i vecchi SCC. Devo sostituirli con i nuovi SCC?

Sì, la sostituzione delle SCC attuali con quelle nuove deve avvenire entro e non oltre il 27 dicembre 2022. Se il contratto scade prima di tale data, la sostituzione non è quindi obbligatoria.
In caso di modifiche rilevanti al contratto, l’esportatore di dati dovrebbe cogliere immediatamente l’occasione e sostituire le SCC esistenti con quelle nuove. Ad esempio, in caso di subappalto di operazioni di trattamento oggetto del contratto a un sub-responsabile del trattamento o a un incaricato del trattamento.

Quando devo sostituire i vecchi SCC con quelli nuovi?

Per i contratti esistenti, la sostituzione deve avvenire entro 18 mesi, ovvero entro il 27 dicembre 2022. Se il contratto corrispondente o il Elaborazione Ciò significa che non è assolutamente necessario sostituirli prima.

Cosa devo fare se la controparte non intende aggiornare le SCC?

In particolare, qualora la collaborazione e il relativo scambio di dati con la controparte contrattuale dovessero protrarsi oltre il 27 dicembre 2022, è opportuno informare la controparte contrattuale dei rischi giuridici (cfr. punto 3.9) e chiedere chiarimenti sui motivi concreti del rifiuto.

Dopo 25 anni di ottimo servizio, le vecchie SCC non sono più al passo con i tempi e non sono quasi più in grado di soddisfare le diverse configurazioni contrattuali in un formato aggiornato e personalizzato. Le nuove SCC rispondono meglio alle sfide attuali e supportano le parti contraenti nella definizione di trasferimenti verso paesi terzi conformi alle norme sulla protezione dei dati. Pertanto, l’aggiornamento delle SCC sarebbe nell’interesse di entrambe le parti.

Se la controparte dovesse comunque rifiutarsi, sarebbe opportuno rivalutare l’opportunità di proseguire il rapporto contrattuale, tenendo conto dei rischi aggiuntivi che ciò comporterebbe per la propria azienda.

Con chi devono essere stipulati i contratti SCC?

Non appena si prevede un trasferimento di dati verso un Paese al di fuori dell’UE o del SEE, le nuove clausole contrattuali standard (SCC) devono essere stipulate tra le parti interessate.

Le nuove SCC prevedono quattro diverse configurazioni di elaborazione (moduli), che devono essere selezionate di conseguenza nelle SCC:

• Modulo uno Da controllore a controllore C2C
  Trasmissione da un responsabile del trattamento (nell'UE) a un altro responsabile del trattamento (in un paese terzo)
• Modulo due Da controllore a processore C2P
  Trasmissione dal responsabile del trattamento (nell'UE) all'incaricato del trattamento (nel paese terzo)
• Modulo tre Processore P2P a processore
  Trasmissione da un incaricato del trattamento (nell'UE) a un altro (sub)incaricato del trattamento (nel paese terzo)
• Modulo 4 Da processore a controllore P2C
  Trasmissione da un incaricato del trattamento (nell'UE) al responsabile del trattamento (nel paese terzo)

Posso modificare o eliminare le clausole dell'SCC?

I nuovi SCC hanno una struttura modulare e devono essere personalizzati in base ai moduli disponibili.

Ad eccezione della scelta del modulo o dei moduli pertinenti o dell'integrazione o dell'aggiornamento delle informazioni contenute nell'allegato, non è consentito apportare ulteriori modifiche o cancellazioni.

Ma il Clausole contrattuali standard possono essere incluse in un contratto più esteso (ad esempio come allegato). È inoltre possibile aggiungere ulteriori clausole o garanzie aggiuntive, purché non siano incluse direttamente o indirettamente nel contratto. Contraddizione sono contrari ad altre disposizioni del CP o limitano i diritti o le libertà fondamentali delle persone interessate, come ad esempio il diritto alla privacy. Diritti degli interessati (Art. 15-22 e seguenti del GDPR).

In quale lingua devo utilizzare il nuovo SCC?

La nuova versione dell'SCC è disponibile all'indirizzo https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?locale=en È disponibile in tutte le lingue europee e può essere utilizzata di conseguenza. Raccomandiamo di utilizzare la versione linguistica che impiegate prevalentemente nelle vostre comunicazioni con il rispettivo contraente, ovvero la lingua in cui avete redatto gli altri documenti contrattuali.

Qualora desideriate utilizzare contemporaneamente due versioni linguistiche (ad esempio, l’inglese per la copia destinata al vostro partner contrattuale nel Regno Unito e il tedesco per la vostra copia), è opportuno stabilire quale dei due documenti abbia la precedenza in caso di eventuali controversie relative all’interpretazione.

Devo consegnare i nuovi SCC alle persone interessate?

Come già in precedenza, l’art. 13, comma 1, lett. f del RGPD prevede che all’interessato venga fornita „un’indicazione delle garanzie adeguate o appropriate e delle modalità per ottenerne una copia o per sapere dove sono disponibili“. Ad esempio:

Nei casi in cui si verifichi una Trasmissione poiché i dati provengono da paesi al di fuori dell'UE, abbiamo adottato le opportune misure conformi alle norme UEClausole contrattuali standard stipulato. È possibile richiedere una copia di tali clausole inviandoci un’e-mail all’indirizzo SCC-Kopie@unternehmen.de oppure consultarla sul nostro sito web all’indirizzo www.unternehmen.de/scc.

Posso ora trasferire i dati personali verso paesi terzi come gli Stati Uniti in base alle nuove SCC senza adottare ulteriori misure? Posso fare a meno di misure di protezione aggiuntive?

No. Nell’ambito di una valutazione dei rischi che deve essere obbligatoriamente effettuata, occorre valutare la situazione in materia di protezione dei dati nel paese destinatario e, sulla base di tale valutazione, definire misure di protezione adeguate; in caso contrario, il trattamento dei dati non è consentito, tra l’altro secondo il parere della presidente della Conferenza sulla protezione dei dati, in linea di principio non si svolgono.

A quali rischi va incontro la mia azienda se non utilizzo l'SCC o se lo utilizzo in modo non corretto?

Oltre al rischio di Lettera di avvertimento da parte di gruppi di interesse e concorrenti (diritto della concorrenza) e danni alla reputazione in caso di copertura mediatica di un trattamento dei dati non conforme, vi è un particolare rischio di sanzioni da parte delle autorità competenti. Autorità di vigilanza nel Protezione dei dati.

Le misure sanzionatorie previste (art. 58 del regolamento DS) comprendono:

• la possibilità di effettuare verifiche sotto forma di controlli sulla protezione dei dati,
• per lanciare un avvertimento,
• di disporre che, se del caso, le operazioni di trattamento siano rese conformi alle disposizioni di legge secondo modalità specifiche ed entro un determinato periodo di tempo,
• la sospensione del Trasmissione di ordinare il trasferimento di dati a un destinatario in un paese terzo o a un'organizzazione internazionale,
• una restrizione temporanea o permanente del Elaborazionecompreso il divieto, e/o
• in caso di violazione delle disposizioni relative a Trasmissione dati personali a un destinatario in un paese terzo o a un’organizzazione internazionale (articoli da 44 a 49 del RGPD), può infliggere un’ammenda fino a 20.000.000 EUR oppure, nel caso di un’impresa o di un gruppo di imprese, fino al 4 % del suo fatturato annuo globale realizzato nell’esercizio precedente, a seconda di quale dei due importi sia maggiore.

Quando si seleziona una sanzione, il Autorità di vigilanza occorre certamente tenere conto anche del fatto che vi siano stati tentativi di utilizzare correttamente le SCC o che, nonostante l’evidente necessità, si sia rinunciato del tutto alle SCC.