This document is an excerpt from the EUR-Lex website
Document 32010D0087
2010/87/: Commission Decision of 5 February 2010 on standard contractual clauses for the transfer of personal data to processors established in third countries under Directive 95/46/EC of the European Parliament and of the Council (notified under document C(2010) 593) (Text with EEA relevance)
2010/87/: Decisione della Commissione, del 5 febbraio 2010 , relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio [notificata con il numero C(2010) 593] (Testo rilevante ai fini del SEE)
2010/87/: Decisione della Commissione, del 5 febbraio 2010 , relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio [notificata con il numero C(2010) 593] (Testo rilevante ai fini del SEE)
GU L 39 del 12.2.2010, p. 5–18
(BG, ES, CS, DA, DE, ET, EL, EN, FR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV) Questo documento è stato pubblicato in edizioni speciali
(HR)
No longer in force, Date of end of validity: 26/09/2021; abrogato da 32021D0914
12.2.2010 |
IT |
Gazzetta ufficiale dell'Unione europea |
L 39/5 |
DECISIONE DELLA COMMISSIONE
del 5 febbraio 2010
relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio
[notificata con il numero C(2010) 593]
(Testo rilevante ai fini del SEE)
(2010/87/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l’articolo 26, paragrafo 4,
sentito il garante europeo della protezione dei dati,
considerando quanto segue:
(1) |
In base alla direttiva 95/46/CE, gli Stati membri devono provvedere affinché il trasferimento di dati personali verso un paese terzo possa avere luogo soltanto se il paese terzo di cui trattasi garantisce un livello adeguato di protezione dei dati e se vengono osservate, previamente al trasferimento, le disposizioni adottate dagli Stati membri in attuazione di altre norme della direttiva. |
(2) |
L’articolo 26, paragrafo 2, della direttiva 95/46/CE prevede che gli Stati membri possano autorizzare, subordinatamente a talune garanzie, il trasferimento di dati personali verso paesi terzi che non garantiscono un livello adeguato di protezione dei dati. Tali garanzie possono segnatamente risultare da clausole contrattuali appropriate. |
(3) |
A norma della direttiva 95/46/CE, il livello di protezione dei dati deve essere valutato con riguardo a tutte le circostanze relative al trasferimento. Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali costituito in forza della direttiva ha elaborato una serie di orientamenti per tale valutazione. |
(4) |
È opportuno che le clausole contrattuali tipo riguardino soltanto la protezione dei dati. Gli esportatori e gli importatori dei dati sono pertanto liberi di inserire qualsiasi altra clausola commerciale ritenuta pertinente ai fini del contratto, purché non incompatibile con le clausole tipo. |
(5) |
La presente decisione non deve incidere sulle autorizzazioni nazionali che gli Stati membri possono concedere in base alle disposizioni nazionali adottate in attuazione dell’articolo 26, paragrafo 2, della direttiva 95/46/CE. Essa deve semplicemente prevedere che gli Stati membri riconoscono come garanzie sufficienti le clausole contrattuali tipo in essa contenute e non deve produrre effetti sulle clausole contrattuali di altra natura. |
(6) |
La decisione 2002/16/CE della Commissione, del 27 dicembre 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi, a norma della direttiva 95/46/CE (2), è stata adottata per agevolare il trasferimento di dati personali da responsabili del trattamento stabiliti nell’Unione europea a incaricati del trattamento stabiliti in paesi terzi che non garantiscono un livello di protezione adeguato. |
(7) |
È stata acquisita molta esperienza da quando è stata adottata la decisione 2002/16/CE. Dalla relazione sull’applicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi (3) è per giunta emerso un interesse crescente per l’uso delle clausole contrattuali tipo nei trasferimenti internazionali di dati personali verso paesi terzi che non garantiscono un livello di protezione adeguato. Le parti interessate hanno poi presentato proposte per aggiornare le clausole contrattuali tipo della decisione 2002/16/CE affinché tengano conto dell’ambito in rapida espansione nel mondo delle attività di trattamento dei dati e affrontino questioni che tale decisione non ricomprende (4). |
(8) |
La presente decisione deve limitarsi a stabilire che il responsabile del trattamento stabilito nell’Unione europea può avvalersi delle clausole da quella previste per presentare garanzie sufficienti, ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE, per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi. |
(9) |
La presente decisione non si applica al trasferimento di dati personali da responsabili del trattamento stabiliti nell’Unione europea a responsabili del trattamento stabiliti al di fuori dell’Unione europea, che rientra invece nel campo di applicazione della decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a caratteri personale verso paesi terzi a norma della direttiva 95/46/CE (5). |
(10) |
La presente decisione deve attuare l’articolo 17, paragrafo 3, della direttiva 95/46/CE e non deve pregiudicare il contenuto dei contratti o degli atti giuridici adottati in forza di quella disposizione. Appare tuttavia opportuno prevedere determinate clausole tipo, riguardanti in particolare gli obblighi dell’esportatore, affinché vi sia maggiore chiarezza sulle disposizioni che possono essere inserite nei contratti fra i responsabili e gli incaricati del trattamento. |
(11) |
Le autorità di controllo degli Stati membri svolgono un ruolo fondamentale in tale ambito contrattuale garantendo che i dati personali siano adeguatamente tutelati in seguito al trasferimento. Nei casi eccezionali in cui gli esportatori si rifiutino o non siano in grado di impartire le istruzioni necessarie agli importatori, e le persone cui si riferiscono i dati siano esposte ad un imminente rischio di gravi danni, le clausole tipo devono consentire alle autorità di controllo di vigilare sugli importatori e sui subincaricati e di adottare, se del caso, decisioni vincolanti nei loro confronti. Le autorità di controllo devono avere la facoltà di vietare o sospendere i trasferimenti di dati effettuati in base alle clausole contrattuali tipo nei casi eccezionali in cui il trasferimento su base contrattuale rischi di pregiudicare le garanzie e gli obblighi destinati a garantire protezione adeguata agli interessati. |
(12) |
Le clausole contrattuali tipo devono prevedere le misure tecniche e organizzative di sicurezza che è tenuto ad applicare l’incaricato del trattamento stabilito in un paese terzo che non garantisce un livello di protezione adeguato, affinché il livello di sicurezza sia commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare. Nel contratto le parti devono prevedere le misure tecniche e organizzative necessarie che, tenuto conto della normativa sulla protezione dei dati, della più recente tecnologia e dei costi di attuazione, sono necessarie a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale, dall’alterazione, dalla diffusione o dall’accesso non autorizzati, o da qualsiasi altra forma illecita di trattamento di dati personali. |
(13) |
Onde agevolare i flussi di dati in uscita dall’Unione europea è auspicabile che gli incaricati del trattamento che effettuano operazioni di trattamento per più responsabili nell’Unione europea siano autorizzati ad applicare le stesse misure tecniche e organizzative di sicurezza indipendentemente dallo Stato membro da cui è effettuato il trasferimento, in particolare nel caso in cui l’importatore riceva i dati ai fini dell’ulteriore trattamento da diverse sedi dell’esportatore situate nell’Unione europea. In questa ipotesi deve applicarsi la legge dello Stato membro di stabilimento designato. |
(14) |
È opportuno definire le informazioni minime che le parti devono includere nel contratto relativo al trasferimento. Gli Stati membri hanno comunque la facoltà di precisare le informazioni che le parti sono tenute a fornire. Le modalità di applicazione della presente decisione andranno valutate alla luce dell’esperienza futura. |
(15) |
L’importatore è tenuto a trattare i dati personali trasferiti esclusivamente per conto dell’esportatore e in conformità delle istruzioni da questi impartite, nonché in ottemperanza agli obblighi stabiliti dalle clausole stesse. L’importatore deve astenersi segnatamente dal rivelare i dati personali a terzi, salvo previo consenso scritto dell’esportatore. L’esportatore è tenuto a trasmettere opportune istruzioni all’importatore per tutta la durata delle operazioni di trattamento affinché i dati siano trattati conformemente alle istruzioni impartite, alla normativa sulla protezione dei dati e agli obblighi contenuti nelle clausole tipo. |
(16) |
La relazione sull’applicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi raccomanda di adottare apposite clausole contrattuali tipo sui trasferimenti successivi da incaricati del trattamento stabiliti in paesi terzi ad altri incaricati del trattamento (subcontratto), affinché tengano conto delle tendenze e delle pratiche commerciali di un’attività di trattamento sempre più globalizzata. |
(17) |
È opportuno che la presente decisione contenga specifiche clausole contrattuali tipo sul subcontratto stipulato da incaricati stabiliti in paesi terzi (importatori) con altri incaricati del trattamento (subincaricati) stabiliti in paesi terzi. È altresì opportuno che fissi le condizioni del subcontratto affinché i dati personali trasferiti continuino ad essere protetti nonostante il trasferimento successivo al subincaricato. |
(18) |
È inoltre opportuno che il subcontratto riguardi solo i trattamenti previsti nel contratto contenente le clausole contrattuali tipo di cui alla presente decisione, concluso tra l’esportatore e l’importatore, e non comporti trattamenti o finalità diversi, così da garantire il rispetto del principio di finalità sancito dalla direttiva 95/46/CE. Nell’ipotesi poi che il subincaricato non adempia agli obblighi contemplati dal contratto, l’importatore deve rimanere responsabile nei confronti dell’esportatore. Il trasferimento di dati personali a incaricati del trattamento stabiliti al di fuori dell’Unione europea deve lasciare impregiudicato il fatto che le attività di trattamento debbano essere conformi alla normativa sulla protezione dei dati. |
(19) |
È opportuno che le clausole contrattuali tipo possano essere fatte valere non solo dalle organizzazioni che stipulano il contratto ma anche dalle persone cui si riferiscono i dati, in particolare laddove l’eventuale violazione del contratto rechi ad esse pregiudizio. |
(20) |
L’interessato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell’esportatore che è il responsabile del trattamento dei dati personali trasferiti. Eccezionalmente l’interessato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell’importatore per violazione da parte di questi o di un suo subincaricato degli obblighi stabiliti dalla clausola 3, paragrafo 2, qualora l’esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente. Eccezionalmente l’interessato deve potere agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti del subincaricato qualora sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi. La responsabilità civile del subincaricato deve essere limitata ai trattamenti da quello effettuati ai sensi delle clausole contrattuali. |
(21) |
Nelle controversie sorte con interessati che si avvalgano della clausola del terzo beneficiario, l’importatore, ove non sia possibile la composizione in via amichevole, deve consentire all’interessato di scegliere fra la mediazione o l’azione legale. L’effettiva possibilità di scelta dipenderà dall’esistenza di sistemi di mediazione affidabili e riconosciuti. La mediazione ad opera delle autorità di controllo dello Stato membro in cui è stabilito l’esportatore deve essere facoltativa, sempre che dette autorità prestino tale servizio. |
(22) |
Il contratto deve essere soggetto alla legge dello Stato membro in cui è stabilito l’esportatore, in modo che il terzo beneficiario possa far valere le disposizioni contrattuali. È opportuno che le persone cui si riferiscono i dati possano essere rappresentate da associazioni o altre organizzazioni, qualora lo desiderino e qualora ciò sia ammesso dalla normativa nazionale. La stessa legge deve inoltre applicarsi alle disposizioni sulla protezione dei dati contemplate dal contratto concluso con il subincaricato per il trattamento dei dati personali trasferiti dall’esportatore all’importatore ai sensi delle clausole contrattuali. |
(23) |
La presente decisione si applica solo ove l’incaricato del trattamento stabilito in un paese terzo affidi il trattamento a un subincaricato stabilito in un paese terzo e non ai casi in cui l’incaricato del trattamento stabilito nell’Unione europea, che tratta dati personali per conto di un responsabile stabilito nell’Unione europea, affidi il trattamento a un subincaricato stabilito in un paese terzo. In tali situazioni è facoltà degli Stati membri tenere conto del fatto che alla decisione di affidare il trattamento a un subincaricato stabilito in un paese terzo presiedono i principi e le garanzie delle clausole contrattuali tipo di cui alla presente decisione, nell’intento di garantire protezione adeguata ai diritti degli interessati i cui dati personali sono trasferiti per il trattamento. |
(24) |
Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha emesso un parere sul livello di protezione garantito dalle clausole contrattuali tipo allegate alla presente decisione, di cui si è tenuto conto nella stesura della decisione stessa. |
(25) |
Occorre abrogare la decisione 2002/16/CE. |
(26) |
Le misure previste dalla presente decisione sono conformi al parere del comitato istituito in forza dell’articolo 31 della direttiva 95/46/CE, |
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Le clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti per la tutela della vita privata e dei diritti e della libertà fondamentali delle persone, nonché per l’esercizio dei diritti connessi ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE.
Articolo 2
La presente decisione concerne esclusivamente l’adeguatezza della tutela conferita dalle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento, riportate in allegato. Essa lascia impregiudicata l’applicazione delle disposizioni nazionali sul trattamento dei dati personali negli Stati membri adottate in attuazione della direttiva 95/46/CE.
La presente decisione si applica al trasferimento dei dati personali effettuato da responsabili del trattamento stabiliti nell’Unione europea a destinatari stabiliti al di fuori dell’Unione europea che agiscano esclusivamente in veste di incaricati del trattamento.
Articolo 3
Ai fini della presente decisione si intende per:
a) |
«categorie particolari di dati» i dati di cui all’articolo 8 della direttiva 95/46/CE; |
b) |
«autorità di controllo» l’autorità di cui all’articolo 28 della direttiva 95/46/CE; |
c) |
«esportatore» il responsabile del trattamento che trasferisce i dati personali; |
d) |
«importatore» l’incaricato del trattamento stabilito in un paese terzo che s’impegni a ricevere dall’esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell’esportatore stesso, nonché a norma della presente decisione, e che non sia assoggettato dal paese terzo a un sistema che garantisca una protezione adeguata ai sensi dell’articolo 25, paragrafo 1, della direttiva 95/46/CE; |
e) |
«subincaricato» l’incaricato del trattamento designato dall’importatore o da altro suo subincaricato, che s’impegni a ricevere dall’importatore o da altro suo subincaricato dati personali al solo fine di trattarli per conto e secondo le istruzioni dell’esportatore, nonché a norma delle clausole contrattuali tipo di cui in allegato e delle disposizioni del subcontratto scritto; |
f) |
«normativa sulla protezione dei dati» la normativa che protegge i diritti e le libertà fondamentali del singolo, in particolare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui è stabilito l’esportatore; |
g) |
«misure tecniche e organizzative di sicurezza» le misure destinate a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali. |
Articolo 4
1. Fatto salvo il potere di provvedere all’osservanza delle disposizioni nazionali adottate in attuazione dei capi II, III, V e VI della direttiva 95/46/CE, le autorità competenti degli Stati membri possono avvalersi dei poteri loro attribuiti per vietare o sospendere i flussi di dati verso paesi terzi allo scopo di proteggere le persone con riguardo al trattamento dei dati personali, qualora:
a) |
sia accertato che, in base alla legge ad esso applicabile, l’importatore o il subincaricato è tenuto ad applicare deroghe alla normativa sulla protezione dei dati che eccedono le restrizioni ritenute necessarie in una società democratica ai sensi dell’articolo 13 della direttiva 95/46/CE e pregiudicano significativamente le garanzie previste dalla normativa sulla protezione dei dati e dalle clausole contrattuali tipo; |
b) |
un’autorità competente abbia accertato che l’importatore o il subincaricato non ha rispettato le clausole contrattuali tipo riportate in allegato; oppure |
c) |
sia probabile che le clausole contrattuali tipo in allegato non vengano rispettate e che la prosecuzione del trasferimento determini un imminente rischio di gravi danni per le persone cui i dati si riferiscono. |
2. Il divieto o la sospensione ai sensi del paragrafo 1 sono revocati non appena ne vengano meno le ragioni.
3. Quando prende i provvedimenti di cui ai paragrafi 1 e 2, lo Stato membro informa senza indugio la Commissione; questa trasmette l’informazione agli altri Stati membri.
Articolo 5
Decorsi tre anni dall’adozione della presente decisione, la Commissione ne valuta le modalità di applicazione sulla base delle informazioni disponibili. Essa riferisce in merito alle risultanze della valutazione al comitato istituito in forza dell’articolo 31 della direttiva 95/46/CE. La relazione comprende qualsiasi circostanza rilevante ai fini della valutazione dell’adeguatezza delle clausole contrattuali tipo riportate in allegato nonché qualsiasi eventuale circostanza indicante che la presente decisione viene applicata in maniera discriminatoria.
Articolo 6
La presente decisione si applica a decorrere dal 15 maggio 2010.
Articolo 7
1. La decisione 2002/16/CE è abrogata a decorrere dal 15 maggio 2010.
2. Il contratto concluso tra l’esportatore e l’importatore ai sensi della decisione 2002/16/CE prima del 15 maggio 2010 resta valido ed efficace purché rimangano immutati i trasferimenti e il trattamento dei dati che ne costituiscono l’oggetto e purché continui tra le parti il trasferimento dei dati personali contemplati dalla presente decisione. Qualora decidano di apportare modifiche ovvero decidano di subcontrattare il trattamento oggetto del contratto, i contraenti sono tenuti a concludere un nuovo contratto che dovrà conformarsi alle clausole contrattuali tipo riportate in allegato.
Articolo 8
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 5 febbraio 2010.
Per la Commissione
Jacques BARROT
Vicepresidente
(1) GU L 281 del 23.11.1995, pag. 31.
(2) GU L 6 del 10.1.2002, pag. 52.
(3) SEC(2006) 95 del 20.1.2006.
(4) Camera di commercio internazionale (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce in Belgium (Amcham) e Federation of European Direct Marketing Associations (FEDMA).
(5) GU L 181 del 4.7.2001, pag. 19.
ALLEGATO
CLAUSOLE CONTRATTUALI TIPO («INCARICATI DEL TRATTAMENTO»)
Ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE per il trasferimento di dati personali a responsabili del trattamento stabiliti in paesi terzi che non garantiscono un livello adeguato di protezione dei dati
Nome dell’organizzazione esportatrice: …
Indirizzo: …
Tel. …; Fax …; E-mail: …
Altre informazioni identificative:
…
(«l’esportatore»)
e
Nome dell’organizzazione importatrice: …
Indirizzo: …
Tel. …; Fax …; E-mail: …
Altre informazioni identificative:
…
(«l’importatore»)
denominato ciascuno «parte» e congiuntamente «parti»,
HANNO CONVENUTO le seguenti clausole contrattuali («le clausole») al fine di prestare garanzie sufficienti con riguardo alla tutela della vita privata e dei diritti e delle libertà fondamentali delle persone per il trasferimento dall’esportatore all’importatore dei dati personali indicati nell’appendice 1.
Clausola 1
Definizioni
Ai fini delle presenti clausole:
a) |
I termini «dati personali», «categorie particolari di dati», «trattamento», «responsabile del trattamento», «incaricato del trattamento», «interessato/persona interessata» e «autorità di controllo» hanno la stessa accezione attribuita nella direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1); |
b) |
con «esportatore» s’intende il responsabile del trattamento che trasferisce i dati personali; |
c) |
con «importatore» s’intende l’incaricato del trattamento stabilito in un paese terzo che s’impegni a ricevere dall’esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell’esportatore stesso, nonché a norma delle presenti clausole, e che non sia assoggettato dal paese terzo a un sistema che garantisca una protezione adeguata ai sensi dell’articolo 25, paragrafo 1, della direttiva 95/46/CE; |
d) |
con «subincaricato» s’intende l’incaricato del trattamento designato dall’importatore o da altro suo subincaricato, che s’impegni a ricevere dall’importatore o da altro suo subincaricato dati personali al solo fine di trattarli per conto e secondo le istruzioni dell’esportatore, nonché a norma delle presenti clausole e del subcontratto scritto; |
e) |
con «normativa sulla protezione dei dati» si intende la normativa che protegge i diritti e le libertà fondamentali del singolo, in particolare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui è stabilito l’esportatore; |
f) |
con «misure tecniche e organizzative di sicurezza» s’intendono le misure destinate a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali. |
Clausola 2
Particolari del trasferimento
I particolari del trasferimento, segnatamente le categorie particolari di dati personali, sono indicati nell’appendice 1 che costituisce parte integrante delle presenti clausole.
Clausola 3
Clausola del terzo beneficiario
1. |
L’interessato può far valere, nei confronti dell’esportatore, la presente clausola, la clausola 4, lettere da b) a i), la clausola 5, lettere da a) ad e) e da g) a j), la clausola 6, paragrafi 1 e 2, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 in qualità di terzo beneficiario. |
2. |
L’interessato può far valere, nei confronti dell’importatore, la presente clausola, la clausola 5, lettere da a) ad e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 qualora l’esportatore sia scomparso di fatto o abbia giuridicamente cessato di esistere, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore che di conseguenza assume i diritti e gli obblighi dell’esportatore, nel qual caso l’interessato può far valere le suddette clausole nei confronti del successore. |
3. |
L’interessato può far valere, nei confronti del subincaricato, la presente clausola, la clausola 5, lettere da a) ad e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 qualora sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore che di conseguenza assume i diritti e gli obblighi dell’esportatore, nel qual caso l’interessato può far valere le suddette clausole nei confronti del successore. La responsabilità civile del subincaricato è limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole. |
4. |
Le parti non si oppongono a che l’interessato sia rappresentato da un’associazione o altra organizzazione, ove siffatta rappresentanza corrisponda alla esplicita volontà dell’interessato e sia ammessa dalla legislazione nazionale. |
Clausola 4
Obblighi dell’esportatore
L’esportatore dichiara e garantisce quanto segue:
a) |
che il trattamento, compreso il trasferimento, dei dati personali, è e continua ad essere effettuato in conformità di tutte le pertinenti disposizioni della normativa sulla protezione dei dati (e viene comunicato, se del caso, alle competenti autorità dello Stato membro in cui è stabilito l’esportatore) nel pieno rispetto delle leggi vigenti in quello Stato; |
b) |
che ha prescritto all’importatore, e continuerà a farlo per tutta la durata delle operazioni di trattamento, di trattare i dati personali trasferiti soltanto per suo conto e conformemente alla normativa sulla protezione dei dati e alle presenti clausole; |
c) |
che l’importatore fornirà sufficienti garanzie per quanto riguarda le misure tecniche e organizzative di sicurezza indicate nell’appendice 2; |
d) |
che, alla luce della normativa sulla protezione dei dati, le misure di sicurezza sono atte a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali, e che tali misure garantiscono un livello di sicurezza commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare, tenuto conto della più recente tecnologia e dei costi di attuazione; |
e) |
che provvederà all’osservanza delle misure di sicurezza; |
f) |
che, qualora il trasferimento riguardi categorie particolari di dati, gli interessati sono stati o saranno informati prima del trasferimento, o immediatamente dopo, che i dati che li riguardano potrebbero essere trasmessi a un paese terzo che non garantisce una protezione adeguata ai sensi della direttiva 95/46/CE; |
g) |
di trasmettere all’autorità di controllo l’eventuale comunicazione presentata dall’importatore o dal subincaricato ai sensi della clausola 5, lettera b), e della clausola 8, paragrafo 3, qualora decida di proseguire il trasferimento o revocare la sospensione; |
h) |
che fornirà, su richiesta degli interessati, copia delle presenti clausole, esclusa l’appendice 2, e una descrizione generale delle misure di sicurezza, nonché copia dei subcontratti aventi ad oggetto il trattamento da effettuarsi in conformità delle presenti clausole, omettendo le informazioni commerciali eventualmente contenute nelle clausole o nel contratto; |
i) |
che, in caso di subcontratto, il subincaricato svolge l’attività di trattamento in conformità della clausola 11 garantendo un livello di protezione dei dati personali e dei diritti dell’interessato quanto meno uguale a quello cui è tenuto l’importatore ai sensi delle presenti clausole; |
j) |
che provvederà all’osservanza della clausola 4, lettere da a) ad i). |
Clausola 5
Obblighi dell’importatore (2)
L’importatore dichiara e garantisce quanto segue:
a) |
di trattare i dati personali esclusivamente per conto e secondo le istruzioni dell’esportatore, nonché a norma delle presenti clausole, e di impegnarsi a informare prontamente l’esportatore qualora non possa per qualsiasi ragione ottemperare a tale disposizione, nel qual caso l’esportatore ha facoltà di sospendere il trasferimento e/o risolvere il contratto; |
b) |
di non avere motivo di ritenere che la normativa ad esso applicabile impedisca di seguire le istruzioni dell’esportatore o di adempiere agli obblighi contrattuali, e di comunicare all’esportatore, non appena ne abbia conoscenza, qualsiasi modificazione di tale normativa che possa pregiudicare le garanzie e gli obblighi previsti dalle presenti clausole, nel qual caso l’esportatore ha facoltà di sospendere il trasferimento e/o di risolvere il contratto; |
c) |
di aver applicato le misure tecniche e organizzative di sicurezza indicate nell’appendice 2 prima di procedere al trattamento dei dati personali trasferiti; |
d) |
che comunicherà prontamente all’esportatore:
|
e) |
che risponderà prontamente e adeguatamente a tutte le richieste dell’esportatore relative al trattamento dei dati personali soggetti a trasferimento e che si conformerà al parere dell’autorità di controllo per quanto riguarda il trattamento dei dati trasferiti; |
f) |
che sottoporrà i propri impianti di trattamento, su richiesta dell’esportatore, al controllo dell’esportatore o di un organismo ispettivo composto da soggetti indipendenti, in possesso delle necessarie qualificazioni professionali, vincolati da obbligo di riservatezza e selezionati dall’esportatore, eventualmente di concerto con l’autorità di controllo; |
g) |
che fornirà, su richiesta degli interessati, copia delle presenti, esclusa l’appendice 2, e una descrizione generale delle misure di sicurezza qualora gli interessati non siano in grado di ottenerne copia direttamente dall’esportatore, o copia dei subcontratti del trattamento, omettendo le informazioni commerciali contenute nelle clausole o nel contratto; |
h) |
che, in caso di subcontratto, ha provveduto a informare l’esportatore e ha da questi ottenuto il consenso scritto; |
i) |
che il subincaricato svolgerà l’attività di trattamento in conformità della clausola 11; |
j) |
che invierà prontamente all’esportatore copia dei subcontratti conclusi ai sensi delle presenti clausole. |
Clausola 6
Responsabilità
1. |
Le parti convengono che l’interessato che abbia subito un pregiudizio per violazione degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera di una parte o del subincaricato ha diritto di ottenere dall’esportatore il risarcimento del danno sofferto. |
2. |
Qualora l’interessato non sia in grado di proporre l’azione di risarcimento di cui al paragrafo 1 nei confronti dell’esportatore per violazione di uno degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera dell’importatore o del subincaricato, in quanto l’esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente, l’importatore riconosce all’interessato stesso il diritto di agire nei suoi confronti così come se egli fosse l’esportatore, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore, nel qual caso l’interessato può far valere i suoi diritti nei confronti del successore. L’importatore non può far valere la violazione degli obblighi ad opera del subincaricato al fine di escludere la propria responsabilità. |
3. |
Qualora l’interessato non sia in grado di agire in giudizio, ai fini dei paragrafi 1 e 2, nei confronti dell’esportatore o dell’importatore per violazione di uno degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera del subincaricato, in quanto sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, il subincaricato riconosce all’interessato stesso il diritto di agire nei suoi confronti per quanto riguarda i trattamenti da quello effettuati ai sensi delle presenti clausole così come se egli fosse l’esportatore o l’importatore, a meno che tutti gli obblighi dell’esportatore o dell’importatore siano stati trasferiti, per contratto o per legge, all’eventuale successore, nel qual caso l’interessato può far valere i suoi diritti nei confronti del successore. La responsabilità del subincaricato è limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole. |
Clausola 7
Mediazione e giurisdizione
1. |
L’importatore dichiara che qualora l’interessato faccia valere il diritto del terzo beneficiario e/o chieda il risarcimento dei danni in base alle presenti clausole, egli accetterà la decisione dello stesso interessato:
|
2. |
Le parti dichiarano che la scelta compiuta dall’interessato non pregiudica i diritti sostanziali o procedurali spettanti allo stesso relativamente ai rimedi giuridici previsti dalla normativa nazionale o internazionale. |
Clausola 8
Collaborazione con le autorità di controllo
1. |
L’esportatore si impegna a depositare una copia del presente contratto presso l’autorità di controllo, qualora questa ne faccia richiesta o qualora il deposito sia prescritto dalla normativa sulla protezione dei dati. |
2. |
Le parti dichiarano che l’autorità di controllo ha il diritto di sottoporre a controlli l’importatore e i subincaricati nella stessa misura e secondo le stesse modalità previste per l’esportatore dalla normativa sulla protezione dei dati. |
3. |
L’importatore informa prontamente l’esportatore dell’esistenza di disposizioni normative applicabili all’importatore o ai subincaricati, che impediscono di sottoporli a controlli ai sensi del paragrafo 2. In tale ipotesi l’esportatore ha facoltà di prendere le misure di cui alla clausola 5, lettera b). |
Clausola 9
Legge applicabile
Le presenti clausole sono soggette alla legge dello Stato membro in cui è stabilito l’esportatore, ossia …
Clausola 10
Modifica del contratto
Le parti si impegnano a non alterare o non modificare le presenti clausole. Ciò non osta a che le parti inseriscano altre clausole commerciale ritenute necessarie, purché non siano in contrasto con le clausole.
Clausola 11
Subcontratto
1. |
L’importatore non può subcontrattare i trattamenti effettuati per conto dell’esportatore ai sensi delle presenti clausole senza il previo consenso scritto dell’esportatore stesso. L’importatore che, con il consenso dell’esportatore, affidi in subcontratto l’esecuzione degli obblighi ai sensi delle presenti clausole stipula, a tal fine, con il subincaricato un accordo scritto che imponga a quest’ultimo gli obblighi cui è egli stesso tenuto in virtù delle clausole (3). L’importatore rimane pienamente responsabile nei confronti dell’esportatore per l’inadempimento, da parte del subincaricato, degli obblighi di protezione dei dati previsti dall’accordo scritto. |
2. |
Nell’accordo scritto tra l’importatore e il subincaricato è inserita la clausola del terzo beneficiario, di cui alla clausola 3, a favore dell’interessato che non sia in grado di proporre l’azione di risarcimento di cui alla clausola 6, paragrafo 1, nei confronti dell’esportatore o dell’importatore in quanto l’esportatore e l’importatore siano entrambi scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, e nessun successore abbia assunto, per contratto o per legge, l’insieme dei loro obblighi. La responsabilità civile del subincaricato è limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole. |
3. |
Le disposizioni sulla protezione dei dati ai fini del subcontratto di cui al paragrafo 1 sono soggette alla legge dello Stato membro in cui è stabilito l’esportatore, ossia … |
4. |
L’esportatore tiene un elenco dei subcontratti conclusi ai sensi delle presenti clausole e comunicati dall’importatore a norma della clausola 5, lettera j), e lo aggiorna almeno una volta all’anno. L’elenco sarà tenuto a disposizione dell’autorità di controllo dell’esportatore. |
Clausola 12
Obblighi al termine dell’attività di trattamento dei dati personali
1. |
Le parti convengono che al termine dell’attività di trattamento l’importatore e il subincaricato provvedono, a scelta dell’esportatore, a restituire a quest’ultimo tutti i dati personali trasferiti e le relative copie ovvero a distruggere tali dati, certificando all’esportatore l’avvenuta distruzione, salvo che gli obblighi di legge impediscano di restituire o distruggere in tutto o in parte i dati personali trasferiti. In questo caso, l’importatore si impegna a garantire la riservatezza dei dati personali trasferiti e ad astenersi dal trattare di propria iniziativa tali dati. |
2. |
L’importatore e il subincaricato si impegnano a sottoporre a controllo i propri impianti di trattamento su richiesta dell’esportatore e/o dell’autorità di controllo, ai fini della verifica dell’esecuzione dei provvedimenti di cui al paragrafo 1. |
Per conto dell’esportatore:
Cognome e nome: …
Qualifica: …
Indirizzo: …
Altre informazioni necessarie per convalidare il contratto:
|
Firma … |
Per conto dell’importatore:
Cognome e nome: …
Qualifica: …
Indirizzo: …
Altre informazioni necessarie per convalidare il contratto:
|
Firma … |
(1) Le parti hanno facoltà di avvalersi delle definizioni di cui alla direttiva 95/46/CE nell’ambito della presente clausola se ritenuto preferibile ai fini del contratto.
(2) Disposizioni vincolanti della legislazione nazionale applicabile all’importatore che non vanno oltre quanto è necessario in una società democratica sulla base di uno degli interessi di cui all’articolo 13, paragrafo 1, della direttiva 95/46/CE; in altri termini, le restrizioni necessarie alla salvaguardia della sicurezza dello Stato, della difesa, della pubblica sicurezza, della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate, di un rilevante interesse economico o finanziario dello Stato, della protezione della persona cui si riferiscono i dati o dei diritti o delle libertà altrui, non sono in contraddizione con le clausole contrattuali tipo. Costituiscono esempi di disposizioni vincolanti che non vanno oltre quanto è necessario in una società democratica le sanzioni internazionalmente riconosciute, gli obblighi di informazione in materia fiscale o contro il riciclaggio di capitali.
(3) Tale prescrizione può considerarsi soddisfatta qualora il subincaricato sottoscriva il contratto concluso tra l’esportatore e l’importatore ai sensi della presente decisione.
Appendice 1
Alle clausole contrattuali tipo
La presente appendice costituisce parte integrante delle clausole contrattuali e deve essere compilata e sottoscritta dalle parti
(Gli Stati membri hanno facoltà di integrare o specificare ulteriormente, conformemente alle rispettive procedure nazionali, qualsiasi altra informazione che debba fare parte della presente appendice)
Esportatore
(specificare brevemente le attività pertinenti al trasferimento):
…
…
…
Importatore
(specificare brevemente le attività pertinenti al trasferimento):
…
…
…
Interessati
I dati personali trasferiti interessano le seguenti categorie di persone (specificare):
…
…
…
Categorie di dati oggetto di trasferimento
I dati trasferiti interessano le seguenti categorie di dati (specificare):
…
…
…
Categorie particolari di dati (se del caso)
Il trasferimento interessa le seguenti categorie particolari di dati (specificare):
…
…
…
Trattamento
I dati personali trasferiti saranno sottoposti alle seguenti attività principali di trattamento (specificare):
…
…
…
|
L’ESPORTATORE Nome: … Firma del rappresentante autorizzato … |
|
L’IMPORTATORE Nome: … Firma del rappresentante autorizzato … |
Appendice 2
alle clausole contrattuali tipo
La presente appendice costituisce parte integrante delle clausole contrattuali e deve essere compilata e sottoscritta dalle parti
Descrizione delle misure tecniche e organizzative di sicurezza attuate dall’importatore in conformità della clausola 4, lettera d), e della clausola 5, lettera c) (o del documento/atto legislativo allegato):
…
…
…
…
CLAUSOLA ESEMPLIFICATIVA DI INDENNIZZO (FACOLTATIVA)
Responsabilità
Le parti convengono che se una di esse viene riconosciuta responsabile di una violazione delle clausole commessa dall’altra parte, quest’ultima, nei limiti della sua responsabilità, è tenuta a indennizzare la prima per ogni costo, onere, danno, spesa o perdita sostenuti.
Tale indennizzo è subordinato al fatto che:
a) |
l’esportatore informi prontamente l’importatore in merito alle istanze presentate; |
b) |
l’importatore abbia la possibilità di collaborare con l’esportatore nella difesa e nella risoluzione della controversia (1). |
(1) Il paragrafo sulla responsabilità è facoltativo.