Sono arrivate le nuove SCC e questa è una buona notizia, visto che la gestione del trasferimento di dati personali all’estero (fuori dall’area UE, in cui si applica il GDPR) rappresenta una questione spinosissima per parecchie aziende, anche di medie e piccole dimensioni.
Il GDPR consente il trasferimento all’estero, a condizione che il titolare del trattamento assicuri la protezione dei dati. In pratica, il titolare, che “spedisce” i dati ad un responsabile esterno del trattamento, deve fare in modo che quest’ultimo, che è soggetto ad una normativa diversa dal GDPR, assicuri comunque degli standard di sicurezza in grado di soddisfare i parametri del Regolamento Europeo. Le clausole contrattuali standard (SCC, appunto) rappresentano uno strumento rapido ed efficace per raggiungere questo obiettivo: il titolare, infatti, le può inserire nell’accordo contrattuale che regola i suoi rapporti con il responsabile ed in questo modo vincola quest’ultimo al rispetto del GDPR.
La sentenza Schrems II
La riformulazione delle SCC si è resa necessaria dopo la nota sentenza “Schrems II” resa dalla Corte di Giustizia UE. Questa decisione ha infatti invalidato il Privacy Shield, l’accordo USA-UE che consentiva un trasferimento di dati “sicuro” negli Stati Uniti. Non solo: la stessa decisione ha anche stabilito che le SCC, nella previgente formulazione, da sole non erano sufficienti ad assicurare gli standard di tutela dei dati imposti dal Regolamento UE.
Questa decisione ha impattato su tutti i soggetti che, nella gestione dei dati personali, effettuano un trasferimento all’estero. Operazione che, contrariamente a quanto si potrebbe pensare, si verifica nella pratica quotidiana. Il semplice fatto di utilizzare dei servizi che comportino l’hosting di dati in server che si trovano oltreoceano, per esempio, è un trasferimento extra UE.
Le nuove SCC
Le nuove SCC prendono in considerazione situazioni che in precedenza restavano fuori dal campo d’azione delle clausole, come i trasferimenti tra responsabili. Si può dire che la nuova formulazione cerchi di essere maggiormente in linea con quello che avviene nella prassi quotidiana. Lo scopo, ovviamente, è quello di garantire un controllo su tutta la supply chain.
L’adozione delle SCC deve essere accompagnata dalla valutazione sul trasferimento, come ha precisato la Corte di Giustizia nella sentenza Schrems. Il titolare, in particolare, dovrà analizzare il tipo di operazione, le leggi applicabili nel paese di destinazione, gli strumenti utilizzati e le misure di sicurezza. Queste ultime, in particolare, andranno riportate in un elenco.
Le nuove SCC saranno efficaci tra tre mesi dopo un periodo di 21 giorni dalla pubblicazione sulla Gazzetta Ufficiale. In questi tre mesi si potranno ancora usare le vecchie SCC, ma queste andranno abbandonate dopo 15 mesi. Insomma, è opportuno che i titolari del trattamento comincino a fare le valutazioni e adeguare la modulistica in uso.
Avv. Andrea MARTINIS
diritto civile (responsabilità civile, assicurazioni, recupero crediti), privacy, diritto penale