25 Nov Trasferimento di dati personali extra UE – raccomandazioni 01/2020 e misure supplementari da adottare
Il Comitato europeo per la Protezione dei Dati (EDPB), nel corso della 41° sessione Plenaria con i Garanti Europei, con la pubblicazione delle Raccomandazioni 01/2020, ha voluto fornire indicazioni in merito alle misure adeguate da adottare da tutti i soggetti pubblici e privati che “esportano dati personali” verso paesi terzi (extra UE).
Le imprese coinvolte nel trasferimenti di dati personali (ad es. di di clienti, fornitori, dipendenti) extra UE, sono chiamate a rivedere i propri processi e verificare che le misure adottate per il trasferimento dei dati personali siano conformi alle norme europee ed alle succitate raccomandazioni.
******
Comunicato Stampa EDPB dell’11 novembre 2020
Bruxelles, 11 novembre – Durante la sua 41a sessione plenaria, l’EDPB ha adottato raccomandazioni sulle misure che integrano gli strumenti di trasferimento per garantire la conformità con il livello di protezione dei dati personali dell’UE, nonché raccomandazioni sulle garanzie essenziali europee per le misure di sorveglianza.
Entrambi i documenti sono stati adottati come seguito alla sentenza “Schrems II” della CGUE. A seguito della sentenza del 16 luglio, i titolari del trattamento che si basano sulle clausole contrattuali standard (SCC) sono tenuti a verificare, caso per caso e, se del caso, in collaborazione con il destinatario dei dati nel paese terzo, se la legge del paese terzo garantisce un livello di protezione dei dati personali trasferiti sostanzialmente equivalente a quello garantito nello Spazio economico europeo (SEE).
La CGUE ha consentito agli esportatori di aggiungere misure supplementari alle SCC per garantire l’effettivo rispetto di quel livello di protezione laddove le garanzie contenute nelle SCC non fossero sufficienti.
Le raccomandazioni mirano ad assistere i titolari del trattamento e i responsabili del trattamento che agiscono in qualità di esportatori di dati con il loro dovere di identificare e attuare misure supplementari appropriate laddove siano necessarie per garantire un livello di protezione sostanzialmente equivalente ai dati che trasferiscono a paesi terzi. In tal modo, l’EDPB cerca un’applicazione coerente del GDPR e della sentenza della Corte in tutto il SEE.
Il presidente dell’EDPB, Andrea Jelinek, ha dichiarato: “L’EDPB è perfettamente consapevole dell’impatto della sentenza Schrems II su migliaia di imprese dell’UE e dell’importante responsabilità che attribuisce agli esportatori di dati. L’EDPB spera che queste raccomandazioni possano aiutare gli esportatori di dati a identificare e attuare misure supplementari efficaci laddove sono necessarie. Il nostro obiettivo è consentire trasferimenti legittimi di dati personali a paesi terzi garantendo al contempo che ai dati trasferiti sia offerto un livello di protezione essenzialmente equivalente a quello garantito all’interno del SEE “.
******
Le raccomandazioni contengono una tabella di marcia delle misure che gli esportatori di dati devono intraprendere per scoprire se hanno bisogno di mettere in atto misure supplementari per poter trasferire i dati al di fuori del SEE in conformità con il diritto dell’UE e aiutarli a identificare quelle che potrebbero essere efficaci. Per assistere gli esportatori di dati, le raccomandazioni contengono anche un elenco non esaustivo di esempi di misure supplementari e alcune delle condizioni necessarie per essere efficaci.
Tuttavia, alla fine, gli esportatori di dati sono responsabili di effettuare la valutazione concreta nel contesto del trasferimento, del diritto del paese terzo e dello strumento di trasferimento su cui si basano.
Gli esportatori di dati devono procedere con la dovuta diligenza e documentare accuratamente il loro processo, poiché saranno ritenuti responsabili delle decisioni che prendono su tale base, in linea con il principio di responsabilità del GDPR. Inoltre, gli esportatori di dati dovrebbero sapere che potrebbe non essere possibile attuare misure supplementari sufficienti in ogni caso.
Le raccomandazioni sulle misure supplementari sono attualmente sottoposte a consultazione pubblica. Saranno applicabili immediatamente dopo la loro pubblicazione.
L’EDPB ha inoltre adottato raccomandazioni sulle garanzie essenziali europee per le misure di sorveglianza. Le raccomandazioni sulle garanzie essenziali europee sono complementari alle raccomandazioni sulle misure supplementari. Le raccomandazioni sulle garanzie essenziali europee forniscono agli esportatori di dati elementi per determinare se il quadro giuridico che disciplina l’accesso delle autorità pubbliche ai dati a fini di sorveglianza nei paesi terzi può essere considerato come un’interferenza giustificabile con i diritti alla privacy e alla protezione dei dati personali, e quindi in quanto non pregiudica gli impegni dello strumento di trasferimento dell’articolo 46 del GDPR su cui fanno affidamento l’esportatore e l’importatore di dati.
Gli esportatori di dati dovranno valutare le loro operazioni di elaborazione e trasferimento dei dati e adottare misure efficaci tenendo conto dell’ordinamento giuridico dei paesi terzi a cui trasferiscono o intendono trasferire i dati. “
Le autorità di controllo della protezione dei dati dell’AEA continueranno a coordinare le loro azioni nell’EDPB per garantire la coerenza nell’applicazione della legislazione dell’UE sulla protezione dei dati.
Per maggiori informazioni potete contattarci al numero 011.5534737 oppure via e-mail info@tutelaprivacy.com