Torniamo a esaminare le nuove clausole tipo adottate dalla Commissione UE volte a legittimare il trasferimento di dati personali verso paesi terzi (v. Alert del 10/6/2021). Il trasferimento di dati personali verso un paese terzo (cioè nè appartenente all’UE nè al SEE) che non sia stato oggetto di una dichiarazione di adeguatezza della Commissione, può effettuarsi legittimamente se si ricorre a garanzie adeguate (art. 46, GDPR) o, in casi circoscritti e occasionali, in presenza di deroghe tassative (art. 49, GDPR). Le cosiddette SCC rappresentano una delle garanzie adeguate più diffuse. Ne esaminiamo struttura e modalità d’uso.

 

Figura 1 – La struttura delle SCC oggetto della Decisione 2021/914.

Decisione e SCC

Come indicato nella figura sopra, la Decisione di esecuzione della Commissione n. 2021/914 che contiene le nuove SCC, è composta da 26 Considerando e dalla parte dispositiva suddivisa in quattro articoli.

Le SCC propriamente dette, cioè il testo contrattuale che deve essere utilizzato da esportatore e importatore che intendono avvalersi di questa forma di garanzia, è contenuto nell’allegato alla decisione. Questo allegato, con qualche rischio di confusione, è a sua volta strutturato in: 

• una parte principale composta da 14 clausole e 4 moduli i quali affrontano le corrispondenti ipotesi di trasferimenti di dati fra:
  • titolare (esportatore) e titolare (importatore)
  • titolare e responsabile
  • responsabile e sub-responsabile
  • responsabile e titolare straniero non soggetto a GDPR.
• un’appendice che a sua volta è suddivisa in tre allegati:
  • l’allegato I che contiene l’elenco delle parti, la descrizione del trasferimento e l’indicazione dell’autorità competente
  • l’allegato II che elenca le misure tecnico-organizzative adottate per rendere sicuro il trasferimento
  • l’allegato III che contiene l’elenco degli eventuali sub-responsabili.

Tecnica redazionale

Diversamente dal passato in cui furono adottate distinte SCC per ciascun tipo di trasferimento (titolare/titolare e titolare/responsabile), l’attuale versione intende coprire e, quindi, essere utilizzabile per tutte le quattro ipotesi di trasferimento sopra citate. 

Per raggiungere questo scopo, è stata adottata una tecnica redazionale caratterizzata da una parte testuale valida in via generale, insieme a quattro distinti moduli (quante sono le quattro opzioni cui si faceva riferimento) da utilizzare in via alternativa, secondo la tipologia di trasferimento pertinente. 

Completa la struttura l’appendice che contiene 3 allegati: 

• i primi due sono da compilare per qualsiasi tipologia di trasferimento considerato, 
• il terzo è da compilare solo nel caso di trasferimenti tra titolare e responsabile o tra responsabile e sub-responsabile e solo allorquando viene scelta l’opzione dell’autorizzazione specifica del titolare al ricorso a determinati sub-responsabili già individuati.

Di conseguenza, le SCC non possono essere utilizzate “come sono” ma richiedono un intervento redazionale, ancorchè minimo, consistente 

• nell’individuazione del modulo corrispondente alla tipologia di trasferimento in oggetto, 
• nell’utilizzo del testo pertinente, selezionando alcune opzioni di scelta disponibili 
• nella contestuale eliminazione della parte di testo contenuta nei moduli non pertinenti riferiti alle altre tipologie di trasferimento
• nella compilazione degli allegati dell’appendice.

Checklist operativo-redazionale

Per una corretta compilazione delle SCC questi sono i passaggi più rilevanti:

• MODULO – Scegliere il modulo SCC giusto (per ogni tipo di trasferimento).
• DESCRIZIONE – Documentare bene i trasferimenti nell’Allegato I.B.
• AUTORITA’ – Indicare l’autorità di controllo competente nell’Allegato I.C.
• TIA – Fare una valutazione di impatto del trasferimento in modo da adempiere consapevolmente alla clausola 14.
• MISURE – Documentare in via specifica le misure adottate nell’allegato II.
• PARTI MULTIPLE – Stabilire se acconsentire ad ulteriori parti l’adesione alle SCC in qualsiasi momento, completando l’appendice e firmando l’allegato I.A (clausola 7 (a)). 
• SUB-RESPONSABILI – Se pertinente, documentare i sub-responsabili autorizzati nell’allegato III e tenere aggiornato l’allegato.