Estratto SIG – La Commissione UE ha adottato le nuove SCC – 1
Previsto dall’art. 46.2, c) del GDPR, questo strumento giuridico-contrattuale rappresenta la soluzione di gran lunga preferita dalla prassi per superare il generale divieto di trasferimento di dati personali verso paesi che non assicurano una protezione essenzialmente equivalente a quella garantita dal diritto europeo. Le ragioni di questo successo sono state prevalentemente la facilità ed immediatezza d’uso, insieme alla disponibilità dello strumento senza oneri aggiuntivi.
Questa puntata risponde a taluni interrogativi riguardo a questa nuova versione, rinviando ad altra tornata per un esame di merito.
Il 4 giugno 2021 la Commissione UE ha adottato anche la decisione sulle clausole tipo tra titolari e responsabili.
Cosa sono le “SCC”?
Sono le clausole tipo per la protezione dei dati personali adottate dalla Commissione UE; nella prassi note come “SCC” secondo l’acronimo della locuzione inglese, Standard Contractual Clauses. L’articolo 46.2, lett. c) del GDPR le prevede come una garanzia adeguata per legittimare i trasferimenti di dati personali verso paesi terzi che non offrono una protezione dei dati personali essenzialmente equivalente a quella del diritto dell’Unione.
Perchè si parla di una nuova versione delle SCC?
Sotto la vigenza della direttiva 95/46/CE la Commissione aveva adottato due tipi di SCC con le Decisioni 2001/497/CE (cui aveva fatto seguito un ulteriore set di clausole con la Decisione 2004/915/CE) e 2010/87/UE, per le ipotesi di trasferimenti di dati personali da un titolare esportatore stabilito nella UE e, rispettivamente, un titolare o responsabile del trattamento presente in un paese terzo che non offre un adeguato livello di protezione.
Le nuove SCC sostituiscono i tre gruppi di SCC adottati ai sensi della direttiva 95/46/CE.
La Commissione era già intervenuta sulle nuove SCC?
La Commissione aveva pubblicato una prima versione delle nuove SCC sottoposte a consultazione pubblica il 12 novembre 2020. Il testo finale delle nuove SCC, oggetto della decisione 2021/914 del 4/6/2021, differisce di poco dalla prima versione, in particolare, avendo previsto un maggiore periodo di transizione nonchè gli aspetti conseguenti agli impatti derivanti dalla legislazione e prassi locale del paese terzo (adeguamento alla decisione Schrems II).
Quale il motivo di queste nuove versioni?
Le precedenti SCC erano state adottate avendo come riferimento la direttiva 95/46/CE che il GDPR ha abrogato e totalmente sostituito, innovando molte delle sue prescrizioni. In aggiunta, le precedenti SCC riguardavano solo due casistiche di trasferimento:
- quella tra titolari
- quella tra un titolare e il proprio responsabile del trattamento.
L’articolo 46.5 del GDPR aveva espressamente previsto che le precedenti SCC sarebbero rimaste in vigore fintanto che la Commissione non le avesse modificate, sostituite o abrogate con una propria decisione. Le modifiche normative e le nuove esigenze della prassi hanno reso necessario l’adozione della decisione della Commissione 2021/914.
Quali tipi di trasferimento coprono le nuove SCC?
Le nuove SCC coprono le seguenti casistiche di trasferimenti di dati personali verso paesi terzi che non offrono un sistema di protezione essenzialmente equivalente a quello assicurato dal diritto dell’Unione:
- tra titolari del trattamento
- tra titolare e suo responsabile del trattamento
- tra responsabile del trattamento e suo sub-responsabile
- tra responsabile del trattamento e suo titolare non soggetto al GDPR.