Clausole contrattuali per export di dati

Nel novembre 2001 sono state rese esecutive nel nostro Paese, con un'autorizzazione del Garante per la privacy, le clausole contrattuali standard riguardanti il trasferimento di dati da Paesi membri dell 'UE verso titolari di trattamento aventi sede in Paesi extracomunitari.
Uno strumento teso a facilitare i flussi di dati verso Paesi nei quali, sinora, la Commissione non ha ritenuto che esista un livello di protezione dei dati 'adeguato' ai sensi della Direttiva 95/46, recepita in Italia dalla legge 675/96.
Ad oggi infatti, tra tutti i Paesi al di fuori dello Spazio economico europeo, solo a Ungheria e Svizzera la Commissione ha riconosciuto l'adeguatezza della legislazione nazionale in termini di protezione dei dati.

Ulteriori possibilita' per l'esportazione dei dati si apriranno con l'approvazione delle nuove clausole contrattuali per il trasferimento di dati personali effettuato da un titolare di trattamento ('azienda madre') situato sul territorio dell'UE verso un incaricato del trattamento ('filiale') situato in un Paese terzo.

La newsletter del Garante per la privacy italiano ha infatti dato notizia che ''la Commissione europea ha ottenuto il via libera del Comitato consultivo formato da rappresentanti dei governi dei Paesi membri dell'UE rispetto al progetto di decisione che riguarda l'adeguatezza delle clausole contrattuali standard per il trasferimento di dati personali verso incaricati (i 'responsabili' della legge italiana) in Paesi terzi. Dopo il parere favorevole del Gruppo dei Garanti europei, ottenuto lo scorso settembre, si attende la comunicazione del Parlamento europeo sul testo. Secondo i servizi della Commissione, è molto probabile che la decisione possa essere pubblicata sulla Gazzetta Ufficiale delle Comunità Europee entro la fine di quest'anno. In tal caso, le clausole saranno applicabili dal 3 aprile 2002. ''
In Italia probabilmente queste clausole saranno rese esecutive con un'autorizzazione del Garante.

Le clausole contrattuali tipo saranno utilizzabili nel quadro di un accordo fra l'esportatore dei dati (il titolare che trasferisce i dati personali) e l'importatore dei dati (il responsabile che riceve i dati personali dall'esportatore ai fini di un trattamento da effettuarsi per conto del titolare-esportatore e in conformità alle clausole stesse) situato in un Paese terzo.

Il principio fondamentale è che la legge regolatrice del contratto è quella dello Stato membro in cui ha sede l'esportatore dei dati (quindi, la legge di uno dei Paesi dell'UE). Rispetto alle clausole contrattuali standard riferite ai trattamenti fra 'titolari UE' e 'titolari non-UE', in questo caso gli obblighi e le responsabilità di esportatore ed importatore non sono in tutto identici proprio perché l'importatore agisce comunque sul presupposto del rispetto di istruzioni impartite dal 'titolare UE'.

Tra gli obblighi dell'esportatore compaiono quelli di fornire al responsabile istruzioni coerenti con il rispetto della normativa sulla protezione dei dati nel Paese di origine; di verificare che l'importatore offra garanzie adeguate in termini di misure di sicurezza, di informarlo di ogni correzione, cancellazione, aggiornamento o altra modifica apportata ai dati personali oggetto del trasferimento.

L'importatore, a sua volta, è tenuto ''al rispetto delle istruzioni impartite dal titolare-esportatore, ad impegnarsi a non trasferire a terzi i dati ricevuti dall'esportatore senza l'autorizzazione di quest'ultimo, a dare formale garanzia (attraverso la sottoscrizione delle clausole contrattuali stesse) di avere adottato le misure tecniche ed organizzative previste dalla legge dello Stato in cui ha sede l'esportatore, comprese le misure di sicurezza necessarie, ed ogni altro provvedimento eventualmente opportuno alla luce degli specifici rischi per il trattamento derivanti dal fatto che esso si svolge nel Paese terzo in questione. La pertinente documentazione deve essere allegata al contratto e ne costituisce parte integrante.''
Inoltre alla conclusione del contratto, ossia al termine dei trattamenti che hanno reso necessaria la sottoscrizione delle clausole, l'importatore è tenuto a restituire all'esportatore tutti i dati personali trasferiti e le eventuali copie, ovvero a distruggerli dandone attestazione all'esportatore.
Nel caso la normativa del Paese terzo vieti la distruzione o la cessione dei dati personali trasferiti, l'importatore si impegna a garantirne la riservatezza e a non utilizzarli per alcun trattamento.

Il testo completo della newsletter settimanale del Garante per la protezione dei dati personali e' consultabile sul sito dell'Autorita'.