Ubicazione dei dati e trasferimenti extra UE: clausole da inserire nel capitolato

Perché ubicazione e trasferimenti extra UE entrano nel capitolato

Lo Spazio Economico Europeo comprende, oltre all'Unione europea, Norvegia, Liechtenstein e Islanda. I trasferimenti di dati personali verso Paesi non appartenenti al SEE o verso organizzazioni internazionali sono consentiti solo se ricorrono le condizioni del capo V del GDPR. Restano fermi gli altri obblighi: base giuridica del trattamento, misure di sicurezza e minimizzazione dei dati.

La prima scelta di impostazione del capitolato è distinguere tre piani spesso confusi: la sede legale del fornitore; le sedi effettive di trattamento e conservazione; i posti da cui si accede ai dati in modalità remota.

Un fornitore italiano può ospitare i dati in Italia e renderli disponibili a un'altra organizzazione situata in un Paese terzo. È il caso, ad esempio, di un sub-fornitore di supporto tecnico stabilito fuori dal SEE. Il fornitore può allora realizzare un trasferimento, quando ricorrono i criteri cumulativi individuati dall'EDPB.

Il solo accesso remoto da parte del personale della stessa organizzazione del fornitore non integra automaticamente un trasferimento secondo tali criteri. La qualificazione va verificata caso per caso.

Clausole minime da inserire nel capitolato. Fermo restando quanto previsto dal capo V del GDPR, il capitolato può richiedere al fornitore di:

(a) Dichiarare in un allegato i Paesi e le sedi in cui i dati personali sono trattati, conservati e accessibili. Indicare se l'accesso avviene da personale o sistemi situati fuori dal SEE.

(b) Impegnarsi a non trasferire dati personali fuori dal SEE senza aver prima esperito una delle condizioni del capo V. Tra queste, ove applicabili, le clausole contrattuali tipo adottate dalla Commissione europea o altro strumento previsto dall'art. 46 del GDPR.

(c) Riconoscere che le condizioni del capo V si applicano in aggiunta agli obblighi generali del GDPR, e non in loro sostituzione.

(d) Disciplinare il ricorso a sub-responsabili ai sensi dell'art. 28 del GDPR. Imporre loro obblighi di riservatezza, sicurezza, istruzioni, assistenza e sorte dei dati equivalenti a quelli assunti dal fornitore.

(e) Notificare preventivamente al titolare ogni modifica dei luoghi di trattamento, degli accessi remoti o dei sub-responsabili. Fornire le informazioni necessarie per la valutazione del trasferimento.

Clausola 1 — Mappa delle ubicazioni. Il fornitore allega al capitolato l'elenco dei Paesi e delle sedi in cui i dati personali sono trattati, conservati e accessibili. Distingue il personale e i sistemi propri dagli accessi riconducibili ad altre organizzazioni.

Clausola 2 — Base del trasferimento. Il fornitore non trasferisce dati fuori dal SEE senza una decisione di adeguatezza della Commissione europea ai sensi dell'art. 45, garanzie adeguate ai sensi dell'art. 46 o, nei casi residuali, una deroga ai sensi dell'art. 49.

Clausola 3 — Clausole contrattuali standard. Se il trasferimento si fonda su SCC, il fornitore adotta i due set di clausole contrattuali standard adottati dalla Commissione europea il 4 giugno 2021. Il primo disciplina il rapporto titolare-responsabile; il secondo i trasferimenti verso Paesi terzi.

Clausola 4 — Sub-responsabili. Il fornitore disciplina il ricorso ai sub-responsabili ai sensi dell'art. 28 del GDPR. Impone obblighi di riservatezza, sicurezza, istruzioni, assistenza e sorte dei dati equivalenti a quelli assunti dal fornitore.

Clausola 5 — Notifica preventiva. Il fornitore notifica preventivamente al titolare ogni modifica dei luoghi di trattamento, degli accessi remoti o dei sub-responsabili. Fornisce le informazioni necessarie per la valutazione del trasferimento.

Clausola 6 — Autorizzazione. Le clausole contrattuali tipo rientrano tra le garanzie adeguate che non richiedono autorizzazione del Garante. Il capitolato può richiamare questa condizione per semplificare l'approvazione del contratto.

Clausole obbligatorie da inserire nel capitolato per trasferimenti extra-UE

Ricognizione di sedi, accessi e catena dei sub-fornitori

La qualificazione di un'operazione come trasferimento extra SEE non dipende dalla volontà delle parti né dal titolo del documento.

L'EDPB ha individuato tre criteri cumulativi. Primo: un titolare o un responsabile applica il GDPR per il trattamento in essere. Secondo: questi divulga mediante trasmissione, o mette a disposizione, dati personali a un'altra organizzazione. Terzo: questa altra organizzazione si trova in un Paese fuori dal SEE o è un'organizzazione internazionale.

Se manca anche uno solo dei tre elementi, le clausole del capo V non sono necessarie. Il capitolato può quindi modulare gli obblighi, invece di imporre la stessa architettura a ogni fornitore.

Sul piano operativo, la ricognizione richiesta dal capitolato deve chiedere al fornitore di censire le sedi di conservazione e trattamento dei dati. Deve censire anche i posti da cui i dati sono accessibili in modalità remota. Qui va distinto tra personale e sistemi del fornitore e accessi riconducibili ad altre organizzazioni.

Va censita anche la catena dei sub-fornitori e degli eventuali sub-responsabili. Per ciascuno servono ruolo e Paese in cui opera.

L'art. 28 del GDPR richiede che il rapporto con chi tratta dati personali per conto del titolare sia disciplinato da un contratto o altro atto giuridico. Questo atto deve vincolare il responsabile. Tra i contenuti necessari indica il ricorso a eventuali sub-responsabili, gli obblighi di riservatezza, sicurezza, assistenza al titolare e la sorte dei dati al termine del rapporto.

La mappa non serve solo a documentare. Se i dati sono divulgati o messi a disposizione di un'altra organizzazione situata fuori dal SEE, il capitolato deve chiarire quale strumento del capo V sorregge il trasferimento. Può essere una decisione di adeguatezza ai sensi dell'art. 45, garanzie adeguate ai sensi dell'art. 46 — come le clausole contrattuali tipo — o, nei casi residuali, una deroga ai sensi dell'art. 49.

Per i sub-responsabili la catena va mantenuta tracciabile. Così il titolare può verificare che le garanzie seguano i dati anche presso i soggetti successivi.

La sentenza Schrems II ha decretato la fine del Privacy Shield. Le clausole contrattuali standard adottate dalla Commissione europea il 4 giugno 2021 tengono conto di quella sentenza e dei principi del GDPR, anche per le catene di trattamento complesse.

Le Raccomandazioni 01/2020 dell'EDPB riguardano le misure supplementari per i trasferimenti dopo Schrems II. Il capitolato può richiedere al fornitore di documentare le misure supplementari adottate per garantire il rispetto del livello di protezione europeo.

Le clausole contrattuali ad hoc ai sensi dell'art. 46, par. 3, lett. a, richiedono autorizzazione del Garante. Le clausole tipo ai sensi dell'art. 46, par. 2, lett. c e d, non richiedono autorizzazione. Il capitolato può richiamare questa distinzione per orientare la scelta dello strumento.

Strumenti di trasferimento dati extra-UE: differenze e requisiti

Verifica del trasferimento extra-UE: passaggi obbligatori