Possono essere utilizzate le Standard Contractual Clauses tra titolare e responsabile anche da un responsabile del trattamento per un trasferimento a un sub-responsabile?
di Alessandro Amoroso
Come è noto ad ogni esperto in materia di privacy il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali dipende da tre meccanismi:
- una decisione d’adeguatezza da parte della Commissione europea (art. 45 GDPR);
- alcune deroghe in specifiche situazioni (art. 49 GDPR);
- la previsione di strumenti che costituiscano garanzie adeguate di protezione e tutela per il trasferimento (art. 46 GDPR).
Con riferimento a quest’ultima ipotesi, l’art. 46 lett. c) del GDPR prevede che la Commissione europea possa approvare set di clausole contrattuali tipo, più note con l’espressione inglese di Standard Contractual Clauses (“SCC”).
Ad oggi, la Commissione europea ha approvato:
- due set di clausole tipo per il trasferimento di dati personali da titolari del trattamento siti nell’Unione europea verso titolari al di fuori dell’Unione europea o dello Spazio economico europeo (“SEE”) (decisione 2001/497/EC e decisione 2004/915/EC);
- un set di clausole tipo per il trasferimento di dati personali da titolari del trattamento siti nell’Unione europea verso responsabili del trattamento al di fuori dell’Unione europea o dello Spazio economico europeo (decisione 2010/87/EU).
Emerge subito, dunque, la mancanza di clausole tipo in relazione ai trasferimenti tra responsabili e sub-responsabili del trattamento[1]. Nel 2014, il Gruppo di lavoro articolo 29 (“Working Party Art. 29” o “WP29”) aveva adottato una bozza di SCC da stipulare tra responsabili nell’UE e sub-responsabili del trattamento non nell’UE ma la Commissione non approvò tali clausole contrattuali tipo.
E dunque, non essendoci uno specifico modello, le SCC tra titolare e responsabile della decisione 2010/87/EU possono essere utilizzate anche dal responsabile nel caso di un trasferimento a un sub-responsabile?
Ai sensi del considerando 23 della decisione 2010/87/EU, le SCC ivi contenute possono essere utilizzate solo nel caso di un responsabile del trattamento e un sub-responsabile siti entrambi in un paese terzo (cfr. grafico sotto)[2].
È espressamente vietato, invece, l’utilizzo delle stesse tra un responsabile sito nell’Unione e un sub-responsabile sito al di fuori (cfr. grafico sotto).