<\/p>\n
Se un'azienda desidera trasferire dati personali in un cosiddetto Paese terzo al di fuori dell'Unione Europea o dello Spazio Economico Europeo, oltre alla base giuridica per il trattamento dei dati \u00e8 necessaria una garanzia di protezione dei dati per il trasferimento. In assenza di una decisione di adeguatezza da parte della Commissione europea, per anni sono state utilizzate le clausole contrattuali standard dell'UE, note anche come clausole standard di protezione dei dati della Commissione europea (\"SCC\" per Standard Contractual Clauses). Questi documenti, che hanno ormai 25 anni, sono stati ora aggiornati.<\/strong><\/p>\n Questo articolo intende rispondere alle domande che sono sorte in questo contesto e quindi fornire assistenza nell'uso conforme alla protezione dei dati delle nuove clausole.<\/p>\n <\/p>\n Contattateci se avete ulteriori domande o se desiderate assistenza per le regolazioni necessarie.<\/p>\n <\/p>\n <\/p>\n Nel momento in cui un'azienda, in qualit\u00e0 di responsabile del trattamento e\/o di incaricato del trattamento, trasferisce dati personali in un cosiddetto \"Paese terzo\", sono necessarie adeguate garanzie per la protezione di tali dati ai sensi dell'art. 44 e seguenti del GDPR. GDPR, sono necessarie adeguate garanzie per la protezione di questi dati per assicurare che il livello di protezione dei dati delle persone fisiche garantito dal GDPR non sia compromesso.<\/p>\n Se non c'\u00e8 una decisione di adeguatezza da parte della Commissione europea per il Paese terzo, le SCC saranno di solito un elemento essenziale per questo.<\/p>\n Come ha chiarito la cosiddetta sentenza Schrems II della Corte di giustizia europea (sentenza del 16.07.2020, causa C 311\/18), le garanzie elencate negli artt. 44 e segg. GDPR non sono sufficienti da sole. Occorre piuttosto esaminare la situazione della protezione dei dati nel Paese destinatario e stabilire quali ulteriori misure tecniche e organizzative (crittografia, anonimizzazione, pseudonimizzazione) sono necessarie per il caso specifico.<\/p>\n Un possibile risultato di tale valutazione del rischio pu\u00f2 anche essere la decisione di non effettuare il trasferimento di dati previsto e di trovare invece una soluzione europea.<\/p>\n <\/p>\n Le precedenti clausole contrattuali standard risalgono al 1996 e le nuove SCC sono state adattate alla formulazione e ai requisiti del GDPR.<\/p>\n Le nuove SCC hanno una struttura modulare e offrono un numero significativamente maggiore di opzioni di personalizzazione, ma anche pi\u00f9 lavoro prima di poter essere utilizzate per il rispettivo trasferimento di dati. Mentre con i precedenti SCC il lavoro di personalizzazione terminava solitamente una volta inseriti i dati delle due parti contraenti, con i nuovi SCC l'effettiva stesura delle clausole contrattuali inizia solo a questo punto.<\/p>\n Nelle nuove SCC, per la prima volta altre organizzazioni possono aderire a un contratto stipulato sulla base delle clausole contrattuali standard in qualit\u00e0 di importatori o esportatori di dati.<\/p>\n In precedenza, non esistevano clausole per la costellazione \"processore e subprocessore\". Le nuove clausole contrattuali standard hanno una struttura modulare e possono quindi essere applicate a un numero maggiore di contratti rispetto al passato, includendo anche i contratti a livello di subappaltatore.<\/p>\n Se i fornitori di servizi elaborano i dati su istruzioni di un'azienda, ci\u00f2 costituisce un'elaborazione dell'ordine ai sensi del GDPR. In questi casi, \u00e8 necessario stipulare un cosiddetto contratto di elaborazione degli ordini (\"AVV\" in breve). Le nuove clausole contrattuali standard soddisfano ora anche i requisiti per un contratto di elaborazione dati. Ci\u00f2 significa che se un contratto viene stipulato sulla base delle clausole contrattuali standard, non \u00e8 pi\u00f9 obbligatoria la stipula di un ulteriore contratto di elaborazione dati.<\/p>\n In particolare, le clausole 14 e 15 del nuovo SCC contengono speciali misure di sicurezza che corrispondono ad alcune delle aggiunte gi\u00e0 proposte dalle autorit\u00e0 per la protezione dei dati e dal Comitato europeo per la protezione dei dati (\"EDPB\") alle vecchie clausole contrattuali standard al fine di soddisfare i requisiti della sentenza Schrems II.<\/p>\n Fortunatamente, le nuove SCC stabiliscono che queste hanno la precedenza e sostituiscono qualsiasi clausola contrattuale o di condizioni generali in conflitto (Sezione I, Clausola 5).<\/p>\n Nella Sezione II, il Capitolo 12 contiene le clausole di responsabilit\u00e0 modulari e (insieme alla disposizione sul primato della SCC) stabilisce in linea di principio che la responsabilit\u00e0 delle parti contraenti non \u00e8 limitata, ad esempio, da esclusioni esterne di responsabilit\u00e0 nelle CGC.<\/p>\n Nella sezione IV (clausole 17 e 18), le parti contraenti possono ora specificare l'applicazione di una particolare legge nazionale e il foro competente (all'interno dell'UE). Ad esempio, \u00e8 possibile specificare la validit\u00e0 della legge tedesca anche se le clausole contrattuali standard sono stipulate da una filiale in Italia.<\/p>\n Per quanto riguarda le discussioni in corso sui trasferimenti di dati verso gli Stati Uniti o altri Paesi terzi, l'importatore di dati si impegna, tra l'altro, nella clausola 15, a farlo:<\/p>\n Questo obbligo pu\u00f2 comportare costi considerevoli per l'importatore di dati (se vengono effettivamente prese decisioni di divulgazione corrispondenti).<\/p>\n Nella clausola 14 entrambe le parti contraenti si impegnano a tenere in debita considerazione in particolare i seguenti aspetti:<\/p>\n Questi tre punti devono quindi essere presi in considerazione, in particolare nel caso di trasferimenti verso Paesi terzi, come parte della valutazione del rischio e delle considerazioni, e ci\u00f2 deve essere documentato.<\/p>\n Se siete attualmente in trattativa contrattuale e la rinegoziazione del nuovo SCC comporterebbe dei ritardi, potete ancora utilizzare il vecchio SCC fino al 27 settembre 2021. Tuttavia, questi dovranno essere sostituiti dai nuovi SCC entro il 27 dicembre 2022.<\/p>\n A partire dal 27 settembre 2021, i nuovi SCC dovranno essere utilizzati senza eccezioni.<\/p>\n <\/p>\n <\/p>\n Le nuove clausole contrattuali standard dovranno essere prese in considerazione per tutti i nuovi contratti stipulati a partire dal 27 settembre 2021. Fino ad allora si potranno ancora utilizzare le vecchie SCC, che dovranno per\u00f2 essere sostituite dalle nuove SCC entro il 27 dicembre 2022.<\/p>\n <\/p>\n <\/p>\n S\u00ec, i precedenti SCC devono essere sostituiti dai nuovi SCC entro il 27 dicembre 2022. Se il contratto termina prima di questa data, la sostituzione non \u00e8 quindi obbligatoria. <\/p>\n <\/p>\n Per i contratti esistenti, la sostituzione deve avvenire entro 18 mesi, ovvero entro il 27 dicembre 2022. Se il contratto o il trattamento corrispondente termina prima, la sostituzione non \u00e8 obbligatoria.<\/p>\n <\/p>\n <\/p>\n In particolare, se la collaborazione e il relativo scambio di dati con il partner contrattuale devono proseguire oltre il 27 dicembre 2022, il partner contrattuale deve essere informato dei rischi legali (cfr. punto 3.9) e devono essere chieste le ragioni specifiche del rifiuto.<\/p>\n Dopo 25 anni di buon servizio, i vecchi SCC non sono pi\u00f9 aggiornati e sono a malapena in grado di soddisfare le varie costellazioni contrattuali in un formato e in un'individualit\u00e0 attuali. I nuovi SCC sono pi\u00f9 adatti alle sfide attuali e supportano i partner contrattuali nell'organizzazione conforme alla protezione dei dati dei trasferimenti da paesi terzi. L'aggiornamento del CP sarebbe quindi nell'interesse di entrambe le parti.<\/p>\n Se il partner contrattuale rifiuta, \u00e8 opportuno rivalutare la prosecuzione del rapporto contrattuale, tenendo conto dei rischi aggiuntivi per la vostra azienda.<\/p>\n <\/p>\n Nel momento in cui deve avvenire un trasferimento di dati verso un paese al di fuori dell'UE\/SEE, le nuove SCC devono essere concluse tra le rispettive parti.<\/p>\n I nuovi SCC prevedono quattro diverse costellazioni di elaborazione (moduli), che devono essere selezionate di conseguenza negli SCC:<\/p>\n <\/p>\n I nuovi SCC hanno una struttura modulare e devono essere personalizzati individualmente nell'ambito dei moduli disponibili.<\/p>\n Ad eccezione della selezione del modulo o dei moduli pertinenti o dell'aggiunta o dell'aggiornamento delle informazioni nell'allegato, non \u00e8 possibile apportare ulteriori modifiche o cancellazioni.<\/p>\n Tuttavia, le clausole contrattuali standard possono essere incluse in un contratto pi\u00f9 completo (ad esempio come allegato). \u00c8 inoltre possibile aggiungere altre clausole o garanzie supplementari, a condizione che non siano direttamente o indirettamente in contrasto con le altre disposizioni del CP o che non limitino i diritti o le libert\u00e0 fondamentali degli interessati, come ad esempio i diritti degli interessati (artt. 15-22 e segg. GDPR).<\/p>\n <\/p>\n <\/p>\n La nuova versione dell'SCC \u00e8 disponibile all'indirizzo https:\/\/eur-lex.europa.eu\/eli\/dec_impl\/2021\/914\/oj?locale=en<\/strong><\/em> \u00e8 disponibile in tutte le lingue europee e pu\u00f2 essere utilizzato di conseguenza. Si consiglia di utilizzare la versione linguistica che si usa prevalentemente nelle comunicazioni con il rispettivo partner contrattuale o la lingua in cui sono stati creati gli altri documenti contrattuali.<\/p>\n Se desiderate utilizzare due versioni linguistiche in parallelo (ad esempio, l'inglese per il vostro partner contrattuale nel Regno Unito e il tedesco per la vostra copia), \u00e8 opportuno stabilire quale dei due documenti avr\u00e0 la precedenza nelle discussioni sull'interpretazione.<\/p>\n <\/p>\n <\/p>\n Come in precedenza, l'art. 13(1)(f) del GDPR richiede che all'interessato sia fornito \"un riferimento alle garanzie appropriate o idonee e alle modalit\u00e0 per ottenerne una copia o per sapere dove sono disponibili\". Ad esempio:<\/p>\n Nei casi in cui i dati vengono trasferiti al di fuori dell'UE, abbiamo stipulato le relative clausole contrattuali standard dell'UE. \u00c8 possibile richiedere una copia di tali clausole inviando un'e-mail a SCC-Kopie@unternehmen.de o trovarle sul nostro sito web all'indirizzo www.unternehmen.de\/scc.<\/p>\n <\/p>\n No. Nell'ambito di una valutazione obbligatoria del rischio, deve essere valutata la situazione della protezione dei dati nel Paese destinatario e su questa base devono essere definite misure di protezione adeguate, altrimenti il trattamento dei dati non pu\u00f2 essere effettuato in linea di principio, anche secondo il parere del presidente della Conferenza sulla protezione dei dati.<\/p>\n <\/p>\n\u00a0<\/h3>\n
\u00a0<\/h3>\n
Quando la mia azienda ha bisogno di SCC?<\/h3>\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Come si differenziano i nuovi SCC da quelli vecchi?<\/h3>\n
\n
\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Posso continuare a utilizzare i vecchi SCC?<\/h3>\n
\u00a0<\/h3>\n
Per quanto tempo posso utilizzare i vecchi SCC?<\/h3>\n
Ho un contratto con i vecchi SCC. Devo sostituirli con i nuovi SCC?<\/h3>\n
\nIn caso di modifiche rilevanti al contratto, l'esportatore di dati deve avvalersi immediatamente dell'opzione e sostituire gli SCC esistenti con quelli nuovi. Ad esempio, quando si subappaltano le operazioni di trattamento oggetto del contratto a un subappaltatore\/incaricato.<\/p>\n\u00a0<\/h3>\n
Quando devo sostituire i vecchi SCC con quelli nuovi?<\/h3>\n
\u00a0<\/h3>\n
Cosa devo fare se il mio partner contrattuale non vuole aggiornare l'SCC?<\/h3>\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Con chi devono essere stipulate le SCC?<\/h3>\n
\n
\nTrasferimento da un responsabile del trattamento (nell'UE) a un altro responsabile del trattamento (in un paese terzo)<\/li>\n
\nTrasferimento dal responsabile del trattamento (nell'UE) all'incaricato del trattamento (nel paese terzo)<\/li>\n
\nTrasferimento da un incaricato del trattamento (nell'UE) a un altro (sub)incaricato del trattamento (in un paese terzo)<\/li>\n
\nTrasferimento da un incaricato del trattamento (nell'UE) al responsabile del trattamento (nel paese terzo)<\/li>\n<\/ul>\nPosso modificare o eliminare le clausole dell'SCC?<\/h3>\n
\u00a0<\/h3>\n
In quale lingua devo utilizzare il nuovo SCC?<\/h3>\n
\u00a0<\/h3>\n
Devo consegnare i nuovi SCC alle persone interessate?<\/h3>\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Posso ora utilizzare il nuovo SCC per trasferire dati personali in paesi terzi come gli USA senza ulteriori misure? Posso fare a meno di ulteriori misure di protezione?
\n<\/strong><\/h3>\n\u00a0<\/h3>\n
\u00a0<\/h3>\n
A quali rischi va incontro la mia azienda se non utilizzo l'SCC o se lo utilizzo in modo non corretto?<\/h3>\n