Nuove Clausole Contrattuali Standard per il trasferimento di dati verso Paesi terzi, un passo nella giusta direzione
Il 4 giugno 2021, dopo oltre 11 anni dall’ultima decisione sul punto, la Commissione Europea ha adottato una nuova Decisione riguardante le Standard Contractual Clauses (d’ora in avanti SCC), per la quale si attende oramai, giusti alcuni accorgimenti, solamente la pubblicazione sulla Gazzetta Ufficiale dell’Unione Europea.
(Nella foto: Matteo Alessandro Pagani, Delegato Federprivacy nell'area metropolitana di Milano)
La decisione comprende due set di SCC, uno per i rapporti tra titolari del trattamento e responsabili del trattamento e l’altro, oggetto del presente articolo, riguardante il trasferimento di dati verso paesi terzi. La necessità di una nuova Decisione sulla questione dei trasferimenti di dati personali al di fuori dallo spazio UE-SEE verso Paesi non coperti da una decisione di adeguatezza ex art. 45 del GDPR era, oramai, di vitale importanza.
Non solo, nello scorso decennio, sono avvenuti cambiamenti epocali nell’ambito della protezione dei dati personali, prima fra tutti l’entrata in vigore del GDPR, ma vi sono state anche sentenze, come la Schrems II, che hanno richiamato l’attenzione delle istituzioni Europee sull’impellente necessità di intervenire sul punto. Vale anche la pena notare come, nel corso dell’ultimo decennio, sia la Data Economy che la sensibilità e le esigenze di rispetto della protezione dei dati personali sono cresciute in maniera esponenziale, occorrendo pertanto un nuovo bilanciamento e, di conseguenza, anche nuove SCC.
Passando ora, nello specifico, alle SCC relative ai trasferimenti verso paesi terzi, rispetto alle versioni precedenti, che prevedevano solo due situazioni, le nuove SCC presentano quattro diversi scenari di trasferimento da regolare: da Titolare a Titolare, da Titolare a Responsabile, da Responsabile a Responsabile e, infine, da Responsabile a Titolare. Ciò permetterà, certamente, una volta presa dimestichezza con questo nuovo strumento, di regolare in maniera più precisa e puntuale i rapporti fra i vari soggetti coinvolti nel trasferimento.
Una delle novità presenti nelle nuove SCC è quella della clausola di c.d. “docking”, che permette l’aggiunta di ulteriori parti rispetto a quelle che avevano preso parte all’accordo originario.
Ciò permette di salvaguardare l’accordo originario in un’ottica di economia contrattuale e di maggiore rapidità, senza, però, sacrificare o mettere a rischio la protezione dei dati degli interessati.
Il periodo di transizione previsto per il passaggio dalle vecchie SCC alle nuove è, in totale, di 18 mesi. Dall’entrata in vigore della Decisione, corrispondente a venti giorni dalla pubblicazione della stessa sulla Gazzetta Ufficiale dell’Unione Europea, scatterà il termine trimestrale, alla scadenza del quale la Decisione 2001/497/CE e la Decisione 2010/87/UE dovranno considerarsi abrogate.
Le vecchie SCC inserite nei contratti manterranno la loro validità per i 15 mesi successivi alla data dell’abrogazione. Il periodo di “grazia” garantito dalla Decisione sembra, in questo caso, congruo rispetto agli obblighi che dovranno sopportare i vari soggetti coinvolti per aggiornare le SCC da loro utilizzate.
Infine, la Decisione prende in considerazione quanto espresso dalla Corte di Giustizia nella sentenza Schrems II, coordinando il testo delle Clausole Contrattuali con il dettato dei Giudici di Lussemburgo e con alcune indicazioni e raccomandazioni dell’EDPB su tale tematica. Pertanto, le parti, tra i vari adempimenti in tale ambito, dovranno accertare e garantire che non vi siano situazioni o condizioni applicabili al soggetto stabilito al di fuori dell’Unione Europea che impediscano a quest’ultimo di rispettare le SCC. A supporto di questa valutazione le parti dovranno tenere conto delle specifiche circostanze del trasferimento, delle prassi o leggi applicabili, di cui nel Paese terzo e di ogni misura supplementare applicata o applicabile.
In conclusione, in relazione all’attuale stato del testo così come reso disponibile al pubblico, non si può che esprimere apprezzamento in relazione a questo nuovo sviluppo. La circolazione dei dati, ormai carburante essenziale dell’Industria 4.0, anche al di fuori dell’Unione Europea, è un obbiettivo di importanza strategica. Allo stesso tempo, il rispetto del diritto fondamentale alla protezione dei dati personali non può essere sacrificato nel nome delle logiche del mercato e del profitto. Pertanto, riuscire a coniugare queste due esigenze deve divenire una priorità dell’Unione Europea, e questa decisione sembra essere un passo nella giusta direzione.
