DECISIONE DELLA COMMISSIONE

del 5 febbraio 2010

relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio

[notificata con il numero C(2010) 593] (Testo rilevante ai fini del SEE) (2010/87/UE)

LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell’Unione europea,

vista la direttiva 95/46/CE del Parlamento europeo e del Consi glio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l’articolo 26, paragrafo 4,

sentito il garante europeo della protezione dei dati,

considerando quanto segue:

(1) In base alla direttiva 95/46/CE, gli Stati membri devono provvedere affinché il trasferimento di dati personali verso un paese terzo possa avere luogo soltanto se il paese terzo di cui trattasi garantisce un livello adeguato di protezione dei dati e se vengono osservate, previa mente al trasferimento, le disposizioni adottate dagli Stati membri in attuazione di altre norme della direttiva.

(2) L’articolo 26, paragrafo 2, della direttiva 95/46/CE pre vede che gli Stati membri possano autorizzare, subordi natamente a talune garanzie, il trasferimento di dati per sonali verso paesi terzi che non garantiscono un livello adeguato di protezione dei dati. Tali garanzie possono segnatamente risultare da clausole contrattuali appro priate.

(3) A norma della direttiva 95/46/CE, il livello di protezione dei dati deve essere valutato con riguardo a tutte le circo

(4) È opportuno che le clausole contrattuali tipo riguardino soltanto la protezione dei dati. Gli esportatori e gli im portatori dei dati sono pertanto liberi di inserire qualsiasi altra clausola commerciale ritenuta pertinente ai fini del contratto, purché non incompatibile con le clausole tipo.

(5) La presente decisione non deve incidere sulle autorizza zioni nazionali che gli Stati membri possono concedere in base alle disposizioni nazionali adottate in attuazione dell’articolo 26, paragrafo 2, della direttiva 95/46/CE. Essa deve semplicemente prevedere che gli Stati membri riconoscono come garanzie sufficienti le clausole contrat tuali tipo in essa contenute e non deve produrre effetti sulle clausole contrattuali di altra natura.

(6) La decisione 2002/16/CE della Commissione, del

27 dicembre 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi, a norma della direttiva 95/46/CE (2), è stata adottata per agevolare il trasferimento di dati personali da responsabili del tratta mento stabiliti nell’Unione europea a incaricati del trat tamento stabiliti in paesi terzi che non garantiscono un livello di protezione adeguato.

(7) È stata acquisita molta esperienza da quando è stata adottata la decisione 2002/16/CE. Dalla relazione sull’ap plicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi (3) è per giunta emerso un interesse crescente per l’uso delle clausole contrattuali tipo nei trasferimenti in ternazionali di dati personali verso paesi terzi che non garantiscono un livello di protezione adeguato. Le parti interessate hanno poi presentato proposte per aggiornare le clausole contrattuali tipo della decisione 2002/16/CE affinché tengano conto dell’ambito in rapida espansione nel mondo delle attività di trattamento dei dati e affron tino questioni che tale decisione non ricomprende (4).

stanze relative al trasferimento. Il gruppo di lavoro per la

tutela delle persone con riguardo al trattamento dei dati personali costituito in forza della direttiva ha elaborato una serie di orientamenti per tale valutazione.

(1) GU L 281 del 23.11.1995, pag. 31.

(2) GU L 6 del 10.1.2002, pag. 52.

(3) SEC(2006) 95 del 20.1.2006.

(4) Camera di commercio internazionale (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Com merce in Belgium (Amcham) e Federation of European Direct Mar keting Associations (FEDMA).

(8) La presente decisione deve limitarsi a stabilire che il re sponsabile del trattamento stabilito nell’Unione europea può avvalersi delle clausole da quella previste per presen tare garanzie sufficienti, ai sensi dell’articolo 26, para grafo 2, della direttiva 95/46/CE, per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi.

(9) La presente decisione non si applica al trasferimento di dati personali da responsabili del trattamento stabiliti nell’Unione europea a responsabili del trattamento stabi liti al di fuori dell’Unione europea, che rientra invece nel campo di applicazione della decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a caratteri personale verso paesi terzi a norma della direttiva 95/46/CE (1).

(10) La presente decisione deve attuare l’articolo 17, paragrafo 3, della direttiva 95/46/CE e non deve pregiudicare il contenuto dei contratti o degli atti giuridici adottati in forza di quella disposizione. Appare tuttavia opportuno prevedere determinate clausole tipo, riguardanti in parti colare gli obblighi dell’esportatore, affinché vi sia mag giore chiarezza sulle disposizioni che possono essere in serite nei contratti fra i responsabili e gli incaricati del trattamento.

(11) Le autorità di controllo degli Stati membri svolgono un ruolo fondamentale in tale ambito contrattuale garan tendo che i dati personali siano adeguatamente tutelati in seguito al trasferimento. Nei casi eccezionali in cui gli esportatori si rifiutino o non siano in grado di impartire le istruzioni necessarie agli importatori, e le persone cui si riferiscono i dati siano esposte ad un imminente ri schio di gravi danni, le clausole tipo devono consentire alle autorità di controllo di vigilare sugli importatori e sui subincaricati e di adottare, se del caso, decisioni vinco lanti nei loro confronti. Le autorità di controllo devono avere la facoltà di vietare o sospendere i trasferimenti di dati effettuati in base alle clausole contrattuali tipo nei casi eccezionali in cui il trasferimento su base contrat tuale rischi di pregiudicare le garanzie e gli obblighi de stinati a garantire protezione adeguata agli interessati.

(12) Le clausole contrattuali tipo devono prevedere le misure tecniche e organizzative di sicurezza che è tenuto ad applicare l’incaricato del trattamento stabilito in un paese terzo che non garantisce un livello di protezione ade guato, affinché il livello di sicurezza sia commisurato ai rischi inerenti al trattamento e alla natura dei dati da

(1) GU L 181 del 4.7.2001, pag. 19.

tutelare. Nel contratto le parti devono prevedere le mi sure tecniche e organizzative necessarie che, tenuto conto della normativa sulla protezione dei dati, della più re cente tecnologia e dei costi di attuazione, sono necessarie a garantire la protezione dei dati personali dalla distru zione accidentale o illecita, dalla perdita accidentale, dall’alterazione, dalla diffusione o dall’accesso non auto rizzati, o da qualsiasi altra forma illecita di trattamento di dati personali.

(13) Onde agevolare i flussi di dati in uscita dall’Unione eu ropea è auspicabile che gli incaricati del trattamento che effettuano operazioni di trattamento per più responsabili nell’Unione europea siano autorizzati ad applicare le stesse misure tecniche e organizzative di sicurezza indi pendentemente dallo Stato membro da cui è effettuato il trasferimento, in particolare nel caso in cui l’importatore riceva i dati ai fini dell’ulteriore trattamento da diverse sedi dell’esportatore situate nell’Unione europea. In questa ipotesi deve applicarsi la legge dello Stato membro di stabilimento designato.

(14) È opportuno definire le informazioni minime che le parti devono includere nel contratto relativo al trasferimento. Gli Stati membri hanno comunque la facoltà di precisare le informazioni che le parti sono tenute a fornire. Le modalità di applicazione della presente decisione an dranno valutate alla luce dell’esperienza futura.

(15) L’importatore è tenuto a trattare i dati personali trasferiti esclusivamente per conto dell’esportatore e in conformità delle istruzioni da questi impartite, nonché in ottempe ranza agli obblighi stabiliti dalle clausole stesse. L’impor tatore deve astenersi segnatamente dal rivelare i dati per sonali a terzi, salvo previo consenso scritto dell’esporta tore. L’esportatore è tenuto a trasmettere opportune istru zioni all’importatore per tutta la durata delle operazioni di trattamento affinché i dati siano trattati conforme mente alle istruzioni impartite, alla normativa sulla pro tezione dei dati e agli obblighi contenuti nelle clausole tipo.

(16) La relazione sull’applicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati per sonali verso paesi terzi raccomanda di adottare apposite clausole contrattuali tipo sui trasferimenti successivi da incaricati del trattamento stabiliti in paesi terzi ad altri incaricati del trattamento (subcontratto), affinché tengano conto delle tendenze e delle pratiche commerciali di un’attività di trattamento sempre più globalizzata.

(17) È opportuno che la presente decisione contenga specifi che clausole contrattuali tipo sul subcontratto stipulato da incaricati stabiliti in paesi terzi (importatori) con altri incaricati del trattamento (subincaricati) stabiliti in paesi terzi. È altresì opportuno che fissi le condizioni del sub contratto affinché i dati personali trasferiti continuino ad essere protetti nonostante il trasferimento successivo al subincaricato.

(18) È inoltre opportuno che il subcontratto riguardi solo i trattamenti previsti nel contratto contenente le clausole contrattuali tipo di cui alla presente decisione, concluso tra l’esportatore e l’importatore, e non comporti tratta menti o finalità diversi, così da garantire il rispetto del principio di finalità sancito dalla direttiva 95/46/CE. Nell’ipotesi poi che il subincaricato non adempia agli obblighi contemplati dal contratto, l’importatore deve rimanere responsabile nei confronti dell’esportatore. Il trasferimento di dati personali a incaricati del trattamento stabiliti al di fuori dell’Unione europea deve lasciare im pregiudicato il fatto che le attività di trattamento xxxx xxxx essere conformi alla normativa sulla protezione dei dati.

(19) È opportuno che le clausole contrattuali tipo possano essere fatte valere non solo dalle organizzazioni che sti pulano il contratto ma anche dalle persone cui si riferi scono i dati, in particolare laddove l’eventuale violazione del contratto rechi ad esse pregiudizio.

(20) L’interessato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell’esportatore che è il responsabile del trattamento dei dati personali tra sferiti. Eccezionalmente l’interessato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell’importatore per violazione da parte di que sti o di un suo subincaricato degli obblighi stabiliti dalla clausola 3, paragrafo 2, qualora l’esportatore sia scom parso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente. Eccezionalmente l’interessato deve potere agire in giudizio, anche ai fini del risarci mento dei danni, nei confronti del subincaricato qualora sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi. La responsabilità civile del subincari cato deve essere limitata ai trattamenti da quello effettuati ai sensi delle clausole contrattuali.

(21) Nelle controversie sorte con interessati che si avvalgano della clausola del terzo beneficiario, l’importatore, ove

non sia possibile la composizione in via amichevole, deve consentire all’interessato di scegliere fra la media zione o l’azione legale. L’effettiva possibilità di scelta di penderà dall’esistenza di sistemi di mediazione affidabili e riconosciuti. La mediazione ad opera delle autorità di controllo dello Stato membro in cui è stabilito l’esporta tore deve essere facoltativa, sempre che dette autorità prestino tale servizio.

(22) Il contratto deve essere soggetto alla legge dello Stato membro in cui è stabilito l’esportatore, in modo che il terzo beneficiario possa far valere le disposizioni contrat tuali. È opportuno che le persone cui si riferiscono i dati possano essere rappresentate da associazioni o altre or ganizzazioni, qualora lo desiderino e qualora ciò sia am messo dalla normativa nazionale. La stessa legge deve inoltre applicarsi alle disposizioni sulla protezione dei dati contemplate dal contratto concluso con il subincari cato per il trattamento dei dati personali trasferiti dall’esportatore all’importatore ai sensi delle clausole con trattuali.

(23) La presente decisione si applica solo ove l’incaricato del trattamento stabilito in un paese terzo affidi il tratta mento a un subincaricato stabilito in un paese terzo e non ai casi in cui l’incaricato del trattamento stabilito nell’Unione europea, che tratta dati personali per conto di un responsabile stabilito nell’Unione europea, affidi il trattamento a un subincaricato stabilito in un paese terzo. In tali situazioni è facoltà degli Stati membri tenere conto del fatto che alla decisione di affidare il tratta mento a un subincaricato stabilito in un paese terzo presiedono i principi e le garanzie delle clausole contrat tuali tipo di cui alla presente decisione, nell’intento di garantire protezione adeguata ai diritti degli interessati i cui dati personali sono trasferiti per il trattamento.

(24) Il gruppo di lavoro per la tutela delle persone con ri guardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha emesso un parere sul livello di protezione garantito dalle clausole contrattuali tipo allegate alla presente decisione, di cui si è tenuto conto nella stesura della decisione stessa.

(25) Occorre abrogare la decisione 2002/16/CE.

(26) Le misure previste dalla presente decisione sono con formi al parere del comitato istituito in forza dell’articolo 31 della direttiva 95/46/CE,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1

Le clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti per la tutela della vita privata e dei diritti e della libertà fondamentali delle persone, nonché per l’esercizio dei diritti connessi ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE.

Articolo 2

La presente decisione concerne esclusivamente l’adeguatezza della tutela conferita dalle clausole contrattuali tipo per il tra- sferimento di dati personali a incaricati del trattamento, ripor- tate in allegato. Essa lascia impregiudicata l’applicazione delle disposizioni nazionali sul trattamento dei dati personali negli Stati membri adottate in attuazione della direttiva 95/46/CE.

La presente decisione si applica al trasferimento dei dati perso- nali effettuato da responsabili del trattamento stabiliti nell’Unione europea a destinatari stabiliti al di fuori dell’Unione europea che agiscano esclusivamente in veste di incaricati del trattamento.

Articolo 3

Ai fini della presente decisione si intende per:

a) «categorie particolari di dati» i dati di cui all’articolo 8 della direttiva 95/46/CE;

b) «autorità di controllo» l’autorità di cui all’articolo 28 della direttiva 95/46/CE;

c) «esportatore» il responsabile del trattamento che trasferisce i dati personali;

d) «importatore» l’incaricato del trattamento stabilito in un paese terzo che s’impegni a ricevere dall’esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell’esportatore stesso, nonché a norma della presente deci- sione, e che non sia assoggettato dal paese terzo a un si- stema che garantisca una protezione adeguata ai sensi dell’articolo 25, paragrafo 1, della direttiva 95/46/CE;

e) «subincaricato» l’incaricato del trattamento designato dall’im- portatore o da altro suo subincaricato, che s’impegni a rice- vere dall’importatore o da altro suo subincaricato dati per- sonali al solo fine di trattarli per conto e secondo le istru- zioni dell’esportatore, nonché a norma delle clausole con- trattuali tipo di cui in allegato e delle disposizioni del sub- contratto scritto;

f) «normativa sulla protezione dei dati» la normativa che pro- xxxxx i diritti e le libertà fondamentali del singolo, in parti- colare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui è stabilito l’esporta- tore;

g) «misure tecniche e organizzative di sicurezza» le misure de- stinate a garantire la protezione dei dati personali dalla di- struzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autoriz- zati, segnatamente quando il trattamento comporta trasmis- sioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.

Articolo 4

1. Fatto salvo il potere di provvedere all’osservanza delle disposizioni nazionali adottate in attuazione dei capi II, III, V e VI della direttiva 95/46/CE, le autorità competenti degli Stati membri possono avvalersi dei poteri loro attribuiti per vietare o sospendere i flussi di dati verso paesi terzi allo scopo di pro- teggere le persone con riguardo al trattamento dei dati perso- nali, qualora:

a) sia accertato che, in base alla legge ad esso applicabile, l’im- portatore o il subincaricato è tenuto ad applicare deroghe alla normativa sulla protezione dei dati che eccedono le restrizioni ritenute necessarie in una società democratica ai sensi dell’articolo 13 della direttiva 95/46/CE e pregiudicano significativamente le garanzie previste dalla normativa sulla protezione dei dati e dalle clausole contrattuali tipo;

b) un’autorità competente abbia accertato che l’importatore o il subincaricato non ha rispettato le clausole contrattuali tipo riportate in allegato; oppure

c) sia probabile che le clausole contrattuali tipo in allegato non vengano rispettate e che la prosecuzione del trasferimento determini un imminente rischio di gravi danni per le persone cui i dati si riferiscono.

2. Il divieto o la sospensione ai sensi del paragrafo 1 sono revocati non appena ne vengano meno le ragioni.

3. Quando prende i provvedimenti di cui ai paragrafi 1 e 2, lo Stato membro informa senza indugio la Commissione; questa trasmette l’informazione agli altri Stati membri.

Articolo 5

Decorsi tre anni dall’adozione della presente decisione, la Com- missione ne valuta le modalità di applicazione sulla base delle informazioni disponibili. Essa riferisce in merito alle risultanze della valutazione al comitato istituito in forza dell’articolo 31 della direttiva 95/46/CE. La relazione comprende qualsiasi circo- stanza rilevante ai fini della valutazione dell’adeguatezza delle clausole contrattuali tipo riportate in allegato nonché qualsiasi eventuale circostanza indicante che la presente decisione viene applicata in maniera discriminatoria.

Articolo 6

La presente decisione si applica a decorrere dal 15 maggio 2010.

resta valido ed efficace purché rimangano immutati i trasferi- menti e il trattamento dei dati che ne costituiscono l’oggetto e purché continui tra le parti il trasferimento dei dati personali contemplati dalla presente decisione. Qualora decidano di ap- portare modifiche ovvero decidano di subcontrattare il tratta- mento oggetto del contratto, i contraenti sono tenuti a conclu- dere un nuovo contratto che dovrà conformarsi alle clausole contrattuali tipo riportate in allegato.

Articolo 8

Gli Stati membri sono destinatari della presente decisione.

Articolo 7

1. La decisione 2002/16/CE è abrogata a decorrere dal 15 maggio 2010.

2. Il contratto concluso tra l’esportatore e l’importatore ai sensi della decisione 2002/16/CE prima del 15 maggio 2010

Fatto a Bruxelles, il 5 febbraio 2010.

Per la Commissione Xxxxxxx XXXXXX Vicepresidente

ALLEGATO

CLAUSOLE CONTRATTUALI TIPO («INCARICATI DEL TRATTAMENTO»)

Ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE per il trasferimento di dati personali a responsabili del trattamento stabiliti in paesi terzi che non garantiscono un livello adeguato di protezione dei dati

Nome dell’organizzazione esportatrice: ........................................................................................................................................................

Indirizzo: .............................................................................................................................................................................................................

Tel. ................................................................;Fax ..............................................................;. E-mail: ...............................................................

Altre informazioni identificative:

................................................................................................................................................................................................................................

(«l’esportatore»)

Nome dell’organizzazione importatrice: ......................................................................................................................................................

Altre informazioni identificative:

(«l’importatore»)

denominato ciascuno «parte» e congiuntamente «parti»,

HANNO CONVENUTO le seguenti clausole contrattuali («le clausole») al fine di prestare garanzie sufficienti con riguardo alla tutela della vita privata e dei diritti e delle libertà fondamentali delle persone per il trasferimento dall’esportatore all’importatore dei dati personali indicati nell’appendice 1.

Clausola 1

Definizioni

Ai fini delle presenti clausole:

a) I termini «dati personali», «categorie particolari di dati», «trattamento», «responsabile del trattamento», «incaricato del trattamento», «interessato/persona interessata» e «autorità di controllo» hanno la stessa accezione attribuita nella direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1);

b) con «esportatore» s’intende il responsabile del trattamento che trasferisce i dati personali;

c) con «importatore» s’intende l’incaricato del trattamento stabilito in un paese terzo che s’impegni a ricevere dall’espor- tatore dati personali al fine di trattarli per conto e secondo le istruzioni dell’esportatore stesso, nonché a norma delle presenti clausole, e che non sia assoggettato dal paese terzo a un sistema che garantisca una protezione adeguata ai sensi dell’articolo 25, paragrafo 1, della direttiva 95/46/CE;

(1) Le parti hanno facoltà di avvalersi delle definizioni di cui alla direttiva 95/46/CE nell’ambito della presente clausola se ritenuto preferibile ai fini del contratto.

d) con «subincaricato» s’intende l’incaricato del trattamento designato dall’importatore o da altro suo subincaricato, che s’impegni a ricevere dall’importatore o da altro suo subincaricato dati personali al solo fine di trattarli per conto e secondo le istruzioni dell’esportatore, nonché a norma delle presenti clausole e del subcontratto scritto;

e) con «normativa sulla protezione dei dati» si intende la normativa che protegge i diritti e le libertà fondamentali del singolo, in particolare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui è stabilito l’esportatore;

f) con «misure tecniche e organizzative di sicurezza» s’intendono le misure destinate a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’ac- cesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.

Clausola 2

Particolari del trasferimento

I particolari del trasferimento, segnatamente le categorie particolari di dati personali, sono indicati nell’appendice 1 che costituisce parte integrante delle presenti clausole.

Clausola 3

Clausola del terzo beneficiario

1. L’interessato può far valere, nei confronti dell’esportatore, la presente clausola, la clausola 4, lettere da b) a i), la clausola 5, lettere da a) ad e) e da g) a j), la clausola 6, paragrafi 1 e 2, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 in qualità di terzo beneficiario.

2. L’interessato può far valere, nei confronti dell’importatore, la presente clausola, la clausola 5, lettere da a) ad e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 qualora l’esportatore sia scomparso di fatto o abbia giuridicamente cessato di esistere, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore che di conseguenza assume i diritti e gli obblighi dell’esportatore, nel qual caso l’interessato può far valere le suddette clausole nei confronti del successore.

3. L’interessato può far valere, nei confronti del subincaricato, la presente clausola, la clausola 5, lettere da a) ad e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 qualora sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore che di conseguenza assume i diritti e gli obblighi dell’esportatore, nel qual caso l’interessato può far valere le suddette clausole nei confronti del successore. La responsabilità civile del subincaricato è limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole.

4. Le parti non si oppongono a che l’interessato sia rappresentato da un’associazione o altra organizzazione, ove siffatta rappresentanza corrisponda alla esplicita volontà dell’interessato e sia ammessa dalla legislazione nazionale.

Clausola 4

Obblighi dell’esportatore

L’esportatore dichiara e garantisce quanto segue:

a) che il trattamento, compreso il trasferimento, dei dati personali, è e continua ad essere effettuato in conformità di tutte le pertinenti disposizioni della normativa sulla protezione dei dati (e viene comunicato, se del caso, alle competenti autorità dello Stato membro in cui è stabilito l’esportatore) nel pieno rispetto delle leggi vigenti in quello Stato;

b) che ha prescritto all’importatore, e continuerà a farlo per tutta la durata delle operazioni di trattamento, di trattare i dati personali trasferiti soltanto per suo conto e conformemente alla normativa sulla protezione dei dati e alle presenti clausole;

c) che l’importatore fornirà sufficienti garanzie per quanto riguarda le misure tecniche e organizzative di sicurezza indicate nell’appendice 2;

d) che, alla luce della normativa sulla protezione dei dati, le misure di sicurezza sono atte a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali, e che tali misure garantiscono un livello di sicurezza commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare, tenuto conto della più recente tecnologia e dei costi di attuazione;

e) che provvederà all’osservanza delle misure di sicurezza;

f) che, qualora il trasferimento riguardi categorie particolari di dati, gli interessati sono stati o saranno informati prima del trasferimento, o immediatamente dopo, che i dati che li riguardano potrebbero essere trasmessi a un paese terzo che non garantisce una protezione adeguata ai sensi della direttiva 95/46/CE;

g) di trasmettere all’autorità di controllo l’eventuale comunicazione presentata dall’importatore o dal subincaricato ai sensi della clausola 5, lettera b), e della clausola 8, paragrafo 3, qualora decida di proseguire il trasferimento o revocare la sospensione;

h) che fornirà, su richiesta degli interessati, copia delle presenti clausole, esclusa l’appendice 2, e una descrizione generale delle misure di sicurezza, nonché copia dei subcontratti aventi ad oggetto il trattamento da effettuarsi in conformità delle presenti clausole, omettendo le informazioni commerciali eventualmente contenute nelle clausole o nel contratto;

i) che, in caso di subcontratto, il subincaricato svolge l’attività di trattamento in conformità della clausola 11 garantendo un livello di protezione dei dati personali e dei diritti dell’interessato quanto meno uguale a quello cui è tenuto l’importatore ai sensi delle presenti clausole;

j) che provvederà all’osservanza della clausola 4, lettere da a) ad i).

Clausola 5

Obblighi dell’importatore (1) L’importatore dichiara e garantisce quanto segue:

a) di trattare i dati personali esclusivamente per conto e secondo le istruzioni dell’esportatore, nonché a norma delle presenti clausole, e di impegnarsi a informare prontamente l’esportatore qualora non possa per qualsiasi ragione ottemperare a tale disposizione, nel qual caso l’esportatore ha facoltà di sospendere il trasferimento e/o risolvere il contratto;

b) di non avere motivo di ritenere che la normativa ad esso applicabile impedisca di seguire le istruzioni dell’esportatore o di adempiere agli obblighi contrattuali, e di comunicare all’esportatore, non appena ne abbia conoscenza, qualsiasi modificazione di tale normativa che possa pregiudicare le garanzie e gli obblighi previsti dalle presenti clausole, nel qual caso l’esportatore ha facoltà di sospendere il trasferimento e/o di risolvere il contratto;

c) di aver applicato le misure tecniche e organizzative di sicurezza indicate nell’appendice 2 prima di procedere al trattamento dei dati personali trasferiti;

(1) Disposizioni vincolanti della legislazione nazionale applicabile all’importatore che non vanno oltre quanto è necessario in una società democratica sulla base di uno degli interessi di cui all’articolo 13, paragrafo 1, della direttiva 95/46/CE; in altri termini, le restrizioni necessarie alla salvaguardia della sicurezza dello Stato, della difesa, della pubblica sicurezza, della prevenzione, della ricerca, dell’accer- tamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate, di un rilevante interesse economico o finanziario dello Stato, della protezione della persona cui si riferiscono i dati o dei diritti o delle libertà altrui, non sono in contraddizione con le clausole contrattuali tipo. Costituiscono esempi di disposizioni vincolanti che non vanno oltre quanto è necessario in una società democratica le sanzioni internazionalmente riconosciute, gli obblighi di informazione in materia fiscale o contro il riciclaggio di capitali.

d) che comunicherà prontamente all’esportatore:

i) qualsiasi richiesta giuridicamente vincolante presentata da autorità giudiziarie o di polizia ai fini della comunica- zione di dati personali, salvo che la comunicazione sia vietata da norme specifiche, ad esempio da norme di diritto penale miranti a tutelare il segreto delle indagini;

ii) qualsiasi accesso accidentale o non autorizzato; e

iii) qualsiasi richiesta ricevuta direttamente dagli interessati cui non abbia risposto, salvo che sia stato autorizzato a non rispondere;

e) che risponderà prontamente e adeguatamente a tutte le richieste dell’esportatore relative al trattamento dei dati personali soggetti a trasferimento e che si conformerà al parere dell’autorità di controllo per quanto riguarda il trattamento dei dati trasferiti;

f) che sottoporrà i propri impianti di trattamento, su richiesta dell’esportatore, al controllo dell’esportatore o di un organismo ispettivo composto da soggetti indipendenti, in possesso delle necessarie qualificazioni professionali, vincolati da obbligo di riservatezza e selezionati dall’esportatore, eventualmente di concerto con l’autorità di controllo;

g) che fornirà, su richiesta degli interessati, copia delle presenti, esclusa l’appendice 2, e una descrizione generale delle misure di sicurezza qualora gli interessati non siano in grado di ottenerne copia direttamente dall’esportatore, o copia dei subcontratti del trattamento, omettendo le informazioni commerciali contenute nelle clausole o nel contratto;

h) che, in caso di subcontratto, ha provveduto a informare l’esportatore e ha da questi ottenuto il consenso scritto;

i) che il subincaricato svolgerà l’attività di trattamento in conformità della clausola 11;

j) che invierà prontamente all’esportatore copia dei subcontratti conclusi ai sensi delle presenti clausole.

Clausola 6

Responsabilità

1. Le parti convengono che l’interessato che abbia subito un pregiudizio per violazione degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera di una parte o del subincaricato ha diritto di ottenere dall’esportatore il risarcimento del danno sofferto.

2. Qualora l’interessato non sia in grado di proporre l’azione di risarcimento di cui al paragrafo 1 nei confronti dell’esportatore per violazione di uno degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera dell’importatore o del subincaricato, in quanto l’esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente, l’importatore riconosce all’interessato stesso il diritto di agire nei suoi confronti così come se egli fosse l’esportatore, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore, nel qual caso l’interessato può far valere i suoi diritti nei confronti del successore.

L’importatore non può far valere la violazione degli obblighi ad opera del subincaricato al fine di escludere la propria responsabilità.

3. Qualora l’interessato non sia in grado di agire in giudizio, ai fini dei paragrafi 1 e 2, nei confronti dell’esportatore o dell’importatore per violazione di uno degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera del subincaricato, in quanto sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, il subincaricato riconosce all’interessato stesso il diritto di agire nei suoi confronti per quanto riguarda i trattamenti da quello effettuati ai sensi delle presenti clausole così come se egli fosse l’esportatore o l’importatore, a meno che tutti gli obblighi dell’esportatore o dell’importatore siano stati trasferiti, per contratto o per legge, all’eventuale successore, nel qual caso l’interessato può far valere i suoi diritti nei confronti del successore. La responsabilità del subincaricato è limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole.

Clausola 7

Mediazione e giurisdizione

1. L’importatore dichiara che qualora l’interessato faccia valere il diritto del terzo beneficiario e/o chieda il risarcimento dei danni in base alle presenti clausole, egli accetterà la decisione dello stesso interessato:

a) di sottoporre la controversia alla mediazione di un terzo indipendente o eventualmente dell’autorità di controllo;

b) di deferire la controversia agli organi giurisdizionali dello Stato membro in cui è stabilito l’esportatore.

2. Le parti dichiarano che la scelta compiuta dall’interessato non pregiudica i diritti sostanziali o procedurali spettanti allo stesso relativamente ai rimedi giuridici previsti dalla normativa nazionale o internazionale.

Clausola 8

Collaborazione con le autorità di controllo

1. L’esportatore si impegna a depositare una copia del presente contratto presso l’autorità di controllo, qualora questa ne faccia richiesta o qualora il deposito sia prescritto dalla normativa sulla protezione dei dati.

2. Le parti dichiarano che l’autorità di controllo ha il diritto di sottoporre a controlli l’importatore e i subincaricati nella stessa misura e secondo le stesse modalità previste per l’esportatore dalla normativa sulla protezione dei dati.

3. L’importatore informa prontamente l’esportatore dell’esistenza di disposizioni normative applicabili all’importatore o ai subincaricati, che impediscono di sottoporli a controlli ai sensi del paragrafo 2. In tale ipotesi l’esportatore ha facoltà di prendere le misure di cui alla clausola 5, lettera b).

Clausola 9

Legge applicabile

Le presenti clausole sono soggette alla legge dello Stato membro in cui è stabilito l’esportatore, ossia ................................

Clausola 10

Modifica del contratto

Le parti si impegnano a non alterare o non modificare le presenti clausole. Ciò non osta a che le parti inseriscano altre clausole commerciale ritenute necessarie, purché non siano in contrasto con le clausole.

Clausola 11

Subcontratto

1. L’importatore non può subcontrattare i trattamenti effettuati per conto dell’esportatore ai sensi delle presenti clausole senza il previo consenso scritto dell’esportatore stesso. L’importatore che, con il consenso dell’esportatore, affidi in subcontratto l’esecuzione degli obblighi ai sensi delle presenti clausole stipula, a tal fine, con il subincaricato un accordo scritto che imponga a quest’ultimo gli obblighi cui è egli stesso tenuto in virtù delle clausole (1). L’importatore rimane pienamente responsabile nei confronti dell’esportatore per l’inadempimento, da parte del subincaricato, degli obblighi di protezione dei dati previsti dall’accordo scritto.

2. Nell’accordo scritto tra l’importatore e il subincaricato è inserita la clausola del terzo beneficiario, di cui alla clausola 3, a favore dell’interessato che non sia in grado di proporre l’azione di risarcimento di cui alla clausola 6, paragrafo 1, nei confronti dell’esportatore o dell’importatore in quanto l’esportatore e l’importatore siano entrambi scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, e nessun successore abbia assunto, per contratto o per legge, l’insieme dei loro obblighi. La responsabilità civile del subincaricato è limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole.

3. Le disposizioni sulla protezione dei dati ai fini del subcontratto di cui al paragrafo 1 sono soggette alla legge dello Stato membro in cui è stabilito l’esportatore, ossia ................................................................................................................................

(1) Tale prescrizione può considerarsi soddisfatta qualora il subincaricato sottoscriva il contratto concluso tra l’esportatore e l’importatore ai sensi della presente decisione.

4. L’esportatore tiene un elenco dei subcontratti conclusi ai sensi delle presenti clausole e comunicati dall’importatore a norma della clausola 5, lettera j), e lo aggiorna almeno una volta all’anno. L’elenco sarà tenuto a disposizione dell’autorità di controllo dell’esportatore.

Clausola 12

Obblighi al termine dell’attività di trattamento dei dati personali

1. Le parti convengono che al termine dell’attività di trattamento l’importatore e il subincaricato provvedono, a scelta dell’esportatore, a restituire a quest’ultimo tutti i dati personali trasferiti e le relative copie ovvero a distruggere tali dati, certificando all’esportatore l’avvenuta distruzione, salvo che gli obblighi di legge impediscano di restituire o distruggere in tutto o in parte i dati personali trasferiti. In questo caso, l’importatore si impegna a garantire la riservatezza dei dati personali trasferiti e ad astenersi dal trattare di propria iniziativa tali dati.

2. L’importatore e il subincaricato si impegnano a sottoporre a controllo i propri impianti di trattamento su richiesta dell’esportatore e/o dell’autorità di controllo, ai fini della verifica dell’esecuzione dei provvedimenti di cui al paragrafo 1.

Per conto dell’esportatore:

Cognome e nome: ...........................................................................................................................................................................................

Qualifica: .............................................................................................................................................................................................................

Altre informazioni necessarie per convalidare il contratto:

Firma ................................................................................................

(timbro dell’organizzazione)

Per conto dell’importatore:

Altre informazioni necessarie per convalidare il contratto:

Firma ................................................................................................

(timbro dell’organizzazione)

Appendice 1

Alle clausole contrattuali tipo

La presente appendice costituisce parte integrante delle clausole contrattuali e deve essere compilata e sottoscritta dalle parti

(Gli Stati membri hanno facoltà di integrare o specificare ulteriormente, conformemente alle rispettive procedure nazio- nali, qualsiasi altra informazione che debba fare parte della presente appendice)

Esportatore

(specificare brevemente le attività pertinenti al trasferimento):

Importatore

(specificare brevemente le attività pertinenti al trasferimento):

Interessati

I dati personali trasferiti interessano le seguenti categorie di persone (specificare):

Categorie di dati oggetto di trasferimento

I dati trasferiti interessano le seguenti categorie di dati (specificare):

Categorie particolari di dati (se del caso)

Il trasferimento interessa le seguenti categorie particolari di dati (specificare):

Trattamento

I dati personali trasferiti saranno sottoposti alle seguenti attività principali di trattamento (specificare):

L’ESPORTATORE

Nome: ....................................................................................................................

Firma del rappresentante autorizzato ............................................................

L’IMPORTATORE

Nome: ....................................................................................................................

Firma del rappresentante autorizzato ............................................................

Appendice 2

alle clausole contrattuali tipo

La presente appendice costituisce parte integrante delle clausole contrattuali e deve essere compilata e sottoscritta dalle parti

Descrizione delle misure tecniche e organizzative di sicurezza attuate dall’importatore in conformità della clausola 4, lettera d), e della clausola 5, lettera c) (o del documento/atto legislativo allegato):

CLAUSOLA ESEMPLIFICATIVA DI INDENNIZZO (FACOLTATIVA)

Responsabilità

Le parti convengono che se una di esse viene riconosciuta responsabile di una violazione delle clausole commessa dall’altra parte, quest’ultima, nei limiti della sua responsabilità, è tenuta a indennizzare la prima per ogni costo, onere, danno, spesa o perdita sostenuti.

Tale indennizzo è subordinato al fatto che:

a) l’esportatore informi prontamente l’importatore in merito alle istanze presentate;

b) l’importatore abbia la possibilità di collaborare con l’esportatore nella difesa e nella risoluzione della controversia (1).

(1) Il paragrafo sulla responsabilità è facoltativo.

Document Metadata

Table of Contents

DECISIONE DELLA COMMISSIONE

Document Metadata