32002D0016

Decisione della Commissione

del 27 dicembre 2001

relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi, a norma della direttiva 95/46/CE

[notificata con il numero C(2001) 4540]

(Testo rilevante ai fini del SEE)

(2002/16/CE)

LA COMMISSIONE DELLE COMUNITÀ EUROPEE,

visto il trattato che istituisce la Comunità europea,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati(1), in particolare l'articolo 26, paragrafo 4,

considerando quanto segue:

(1) In base alla direttiva 95/46/CE, gli Stati membri devono provvedere affinché il trasferimento di dati personali verso un determinato paese terzo possa avere luogo soltanto se tale paese garantisce un livello adeguato di protezione dei dati, e se vengono osservate, previamente al trasferimento, le disposizioni adottate dagli Stati membri in attuazione di altre norme della direttiva.

(2) L'articolo 26, paragrafo 2, della direttiva 95/46/CE prevede che gli Stati membri possano autorizzare, subordinatamente a talune garanzie, il trasferimento di dati personali verso paesi terzi che non garantiscono un livello adeguato di protezione dei dati. Tali garanzie possono essere costituite in particolare da apposite clausole contrattuali.

(3) A norma della direttiva 95/46/CE, il livello di protezione dei dati deve essere valutato alla luce di tutte le circostanze relative all'operazione di trasferimento. Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali costituito in forza della direttiva(2) ha elaborato una serie di orientamenti per tale valutazione(3).

(4) Le clausole contrattuali tipo riguardano soltanto la protezione dei dati. Ma gli esportatori e gli importatori dei dati sono liberi di inserire qualsiasi altra clausola commerciale ritenuta pertinente ai fini del contratto, purché non incompatibile con le clausole tipo.

(5) La presente decisione non incide sulle autorizzazioni nazionali che gli Stati membri possono concedere in base alle disposizioni nazionali adottate in attuazione dell'articolo 26, paragrafo 2, della direttiva 95/46/CE. Essa prevede semplicemente che gli Stati membri riconoscano come garanzie sufficienti le clausole contrattuali in essa contenute e non produce alcun effetto sulle clausole contrattuali di altra natura.

(6) La presente decisione si limita a stabilire che le clausole da essa previste possano essere utilizzate dal responsabile del trattamento con sede nella Comunità come garanzie sufficienti per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi ai sensi dell'articolo 26, paragrafo 2, della direttiva 95/46/CE.

(7) Essa attua pertanto l'articolo 17, paragrafo 3, della direttiva e non pregiudica il contenuto dei contratti o degli atti giuridici adottati in materia. Appare tuttavia opportuno prevedere determinate clausole tipo, riguardanti in particolare gli obblighi dell'esportatore, affinché vi sia maggiore chiarezza sulle disposizioni che possono essere inserite nei contratti fra i responsabili e gli incaricati del trattamento.

(8) Le autorità di controllo degli Stati membri svolgono un ruolo fondamentale in tale ambito garantendo che i dati personali siano adeguatamente tutelati in seguito al trasferimento. Nei casi eccezionali in cui gli esportatori si rifiutino o non siano in grado di impartire le istruzioni necessarie agli importatori, e le persone cui si riferiscono i dati siano esposte ad un imminente rischio di gravi danni, le clausole tipo devono consentire alle autorità di controllo di vigilare sugli importatori dei dati ed adottare, se del caso, decisioni vincolanti nei loro confronti. Le autorità di controllo devono avere la facoltà di vietare o sospendere i trasferimenti di dati effettuati in base alle clausole contrattuali tipo nei casi eccezionali in cui il trasferimento su base contrattuale possa pregiudicare le garanzie e gli obblighi destinati a fornire adeguata protezione alle persone interessate dai dati.

(9) La Commissione potrà valutare in futuro se le garanzie sufficienti ai sensi dell'articolo 26, paragrafo 2, della direttiva 95/46/CE possano altresì essere costituite da altre clausole contrattuali tipo, proposte da organizzazioni di categoria o da altri soggetti interessati per il trasferimento di dati personali ad incaricati del trattamento residenti in paesi terzi che non garantiscono un livello adeguato di protezione.

(10) La comunicazione di dati personali ad incaricati del trattamento residenti al di fuori della Comunità costituisce un trasferimento internazionale protetto ai sensi del capo IV della direttiva 95/46/CE. La presente decisione non riguarda il trasferimento di dati personali da responsabili del trattamento residenti nella Comunità a responsabili del trattamento residenti al di fuori della Comunità. Tale trasferimento rientra nel campo di applicazione della decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a caratteri personale verso paesi terzi a norma della direttiva 95/46/CE(4).

(11) Le clausole contrattuali tipo devono prevedere le misure tecniche e organizzative di sicurezza che devono essere applicate dall'incaricato del trattamento, residente in un paese terzo che non garantisce un livello di protezione adeguato, affinché il livello di sicurezza sia commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare. Nel contratto le parti devono prevedere le misure tecniche e organizzative che, tenuto conto della normativa sulla protezione dei dati, della più recente tecnologia e dei costi di attuazione, sono necessarie allo scopo di proteggere i dati personali contro la distruzione accidentale o illecita, la perdita accidentale, l'alterazione, l'accesso o la rivelazione non autorizzati, e qualsiasi altra forma di trattamento illecito.

(12) Allo scopo di agevolare i flussi di dati in uscita dalla Comunità deve essere consentito agli incaricati del trattamento, che forniscano servizi di trattamento a più responsabili nella Comunità, d'applicare le stesse misure tecniche e organizzative di sicurezza indipendentemente dallo Stato membro da cui si effettua il trasferimento, in particolare nel caso in cui l'importatore riceva i dati ai fini dell'ulteriore trattamento da diverse sedi dell'esportatore situate nella Comunità. In questa ipotesi deve applicarsi la legge dello Stato designato.

(13) Devono essere previste le informazioni minime che le parti devono includere nel contratto relativo al trasferimento. Gli Stati membri hanno comunque la facoltà di specificare in termini più particolareggiati le informazioni che le parti sono tenute a fornire. Il funzionamento del sistema istituito dalla presente decisione sarà valutato alla luce dell'esperienza futura.

(14) L'importatore è tenuto a trattare i dati personali trasferiti esclusivamente per conto dell'esportatore e in conformità alle istruzioni da questi impartite, nonché in ottemperanza agli obblighi stabiliti dalle clausole stesse. L'importatore deve astenersi segnatamente dal rivelare i dati personali a terzi, salvo che sussistano determinate circostanze. L'esportatore è tenuto a trasmettere opportune istruzioni all'importatore durante l'intero periodo in cui vengano prestati i servizi di trattamento affinché i dati siano trattati conformemente alle istruzioni impartite, alla normativa sulla protezione dei dati e agli obblighi contenuti nelle clausole tipo. Il trasferimento di dati personali a incaricati del trattamento residenti al di fuori della Comunità lascia impregiudicato il fatto che le attività di trattamento debbano comunque essere conformi alla normativa sulla protezione dei dati.

(15) È opportuno che le clausole contrattuali tipo possano essere fatte valere non solo dalle organizzazioni che stipulano il contratto ma anche dalle persone interessate dai dati, in particolare laddove l'eventuale violazione del contratto rechi ad esse pregiudizio.

(16) Le persone interessate dai dati devono poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell'esportatore che è il responsabile del trattamento dei dati personali trasferiti. Eccezionalmente le persone interessate dai dati devono potere agire in giudizio nei confronti dell'importatore, anche ai fini del risarcimento dei danni, per la violazione degli obblighi stabiliti dalla clausola 3, qualora l'esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente.

(17) Nelle controversie sorte con persone interessate dai dati che si avvalgano della clausola del terzo beneficiario, l'importatore, ove non sia possibile la composizione in via amichevole, deve consentire all'interessato di scegliere fra la mediazione, l'arbitrato o l'azione legale. L'effettiva possibilità di scelta dipenderà dall'esistenza di sistemi di mediazione ed arbitrato affidabili e riconosciuti. La mediazione ad opera delle autorità di controllo dello Stato membro in cui ha sede l'esportatore deve essere ammessa, sempre che dette autorità prestino tale servizio.

(18) Il contratto deve essere soggetto alla legge dello Stato membro in cui ha sede l'esportatore, di modo che il terzo beneficiario possa far valere le disposizioni contrattuali. È opportuno che le persone interessate dai dati possano essere rappresentate da associazioni o altre organizzazioni, qualora lo desiderino e qualora ciò sia ammesso dalla normativa nazionale.

(19) Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali istituito in forza dell'articolo 29 della direttiva 95/46/CE ha emesso un parere sul livello di protezione garantito dalle clausole contrattuali tipo allegate alla presente decisione, che è stato preso in considerazione nella stesura della decisione stessa(5).

(20) Le misure previste dalla presente decisione sono conformi al parere del comitato istituito in forza dell'articolo 31 della direttiva 95/46/CE,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1

Le clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti ai fini della tutela della riservatezza, dei diritti fondamentali e della libertà delle persone nonché per l'esercizio dei relativi diritti ai sensi dell'articolo 26, paragrafo 2, della direttiva 95/46/CE.

Articolo 2

La presente decisione concerne esclusivamente l'adeguatezza della tutela conferita dalle clausole contrattuali tipo per il trasferimento di dati personali riportate in allegato. Essa lascia impregiudicata l'applicazione delle disposizioni nazionali sul trattamento dei dati personali negli Stati membri adottate in attuazione della direttiva 95/46/CE.

La presente decisione si applica al trasferimento dei dati personali effettuato da responsabili del trattamento residenti nella Comunità a destinatari residenti al di fuori della Comunità che agiscano esclusivamente in veste di incaricati del trattamento.

Articolo 3

Ai fini della presente decisione:

a) si applicano le definizioni di cui alla direttiva 95/46/CE; inoltre

b) per "speciali categorie di dati" s'intendono i dati di cui all'articolo 8 di detta direttiva;

c) per "autorità di controllo" s'intende l'autorità di cui all'articolo 28 di detta direttiva;

d) per "esportatore" s'intende il responsabile del trattamento che trasferisce i dati personali;

e) per "importatore" s'intende l'incaricato del trattamento residente in un paese terzo, che s'impegni a ricevere dall'esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell'esportatore stesso nonché a norma della presente decisione e che non sia assoggettato dal paese terzo ad un sistema che garantisca una protezione adeguata;

f) per "normativa sulla protezione dei dati" s'intende la normativa che protegge i diritti e le libertà fondamentali delle persone fisiche e in particolare il diritto alla riservatezza riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui ha sede l'esportatore;

g) per "misure tecniche e organizzative di sicurezza" s'intendono le misure destinate a proteggere i dati personali contro la distruzione accidentale o illecita, la perdita accidentale, l'alterazione e la rivelazione o l'accesso non autorizzati, in particolare ove il trattamento comporti la trasmissione di dati su rete, nonché contro qualsiasi altra forma di trattamento illecito.

Articolo 4

1. Fatto salvo il potere di provvedere all'osservanza delle disposizioni nazionali adottate in attuazione dei capi II, III, V e VI della direttiva 95/46/CE, le autorità competenti degli Stati membri possono avvalersi dei poteri loro attribuiti per vietare o sospendere i flussi di dati verso paesi terzi allo scopo di proteggere le persone con riguardo al trattamento dei dati personali, qualora:

a) sia accertato che, in base alla legge ad esso applicabile, l'importatore è tenuto ad applicare deroghe alla normativa sulla protezione dei dati che eccedano le restrizioni ritenute necessarie in una società democratica ai sensi dell'articolo 13 della direttiva 95/46/CE, e pregiudichino significativamente le garanzie previste dalla normativa sulla protezione dei dati e dalle clausole contrattuali tipo, oppure

b) un'autorità competente abbia accertato che l'importatore non ha rispettato le clausole contrattuali riportate in allegato, oppure

c) sia probabile che le clausole contrattuali tipo in allegato non vengano rispettate, e che la prosecuzione del trasferimento determini un imminente rischio di gravi danni per le persone interessate dai dati.

2. Il divieto o la sospensione ai sensi del paragrafo 1 sono revocati non appena ne vengano meno le ragioni.

3. Quando prende i provvedimenti di cui ai paragrafi 1 e 2, lo Stato membro informa senza indugio la Commissione; questa trasmette l'informazione agli altri Stati membri.

Articolo 5

Decorsi tre anni dalla notificazione della presente decisione agli Stati membri, la Commissione valuta il funzionamento del sistema previsto dalla decisione stessa sulla base delle informazioni disponibili. Essa riferisce in merito alle risultanze della valutazione al comitato istituito in forza dell'articolo 31 della direttiva 95/46/CE. La relazione comprende qualsiasi circostanza rilevante ai fini della valutazione dell'adeguatezza delle clausole contrattuali tipo riportate in allegato nonché qualsiasi eventuale circostanza indicante che la presente decisione viene applicata in maniera discriminatoria.

Articolo 6

La presente decisione si applica a decorrere dal 3 aprile 2002.

Articolo 7

Gli Stati membri sono destinatari della presente decisione.

Fatto a Bruxelles, il 27 dicembre 2001.

Per la Commissione

Frederik Bolkestein

Membro della Commissione

(1) GU L 281 del 23.11.1995, pag. 31.

(2) Indirizzo Internet del gruppo di lavoro:

http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/index.htm.

(3) WP 4 (5020/97): "Primi orientamenti sui trasferimenti di dati personali verso paesi terzi - possibili modalità di verifica dell'adeguatezza", documento di discussione approvato dal gruppo di lavoro il 26 giugno 1997.

WP 7 (5057/97) Documento di lavoro: "Valutazione dell'autoregolamentazione dell'industria: quando reca un contributo significativo al livello di protezione dei dati in un paese terzo?", approvato dal gruppo di lavoro il 14 gennaio 1998.

WP 9 (5005/98) Documento di lavoro: "Pareri preliminari sull'impiego delle clausole contrattuali nel contesto dei trasferimenti di dati personali a paesi terzi", approvato dal gruppo di lavoro il 22 aprile 1998.

WP 12: Trasferimenti di dati personali a paesi terzi: applicazione degli articoli 25 e 26 della direttiva UE per la protezione dei dati, approvato dal gruppo di lavoro il 24 luglio 1998, disponibile sul sito Internet della Commissione europea:

http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wp12en.htm

(4) GU L 181 del 4.7.2001, pag. 19.

(5) Parere n. 7/2001 approvato dal gruppo di lavoro in data 13 settembre 2001 (DG MARKT...), disponibile sul sito Internet "Europa" della Commissione europea.

ALLEGATO

>PIC FILE= "L_2002006IT.005702.TIF">

>PIC FILE= "L_2002006IT.005801.TIF">

>PIC FILE= "L_2002006IT.005901.TIF">

>PIC FILE= "L_2002006IT.006001.TIF">

Appendice 1

>PIC FILE= "L_2002006IT.006102.TIF">

Appendice 2

>PIC FILE= "L_2002006IT.006202.TIF">