Il 4 giugno 2021 la Commissione Europea ha adottato nuove decisioni relative alle Clausole Contrattuali Standard. Nello specifico ha adottato nuove clausole che regoleranno il trasferimento dei dati presso Paesi Terzi, in seguito alla sentenza Schrems II che ha invalidato il c.d. Privacy Shield, cioè quel sistema di protezione tra UE e USA che prevedeva il ricorso ad una autocertificazione per le società americane che intendevano ricevere dati personali dai Paesi dell’Unione europea.
La nuova decisione in oggetto comprende due set di clausole: uno riguardante i rapporti tra titolari del trattamento e responsabili del trattamento, l’altro finalizzato a regolare il trasferimento dei dati personali a Paesi Terzi.
Gli scenari di trasferimento dati oggetto di regolamentazione saranno i seguenti:
– da Titolare a Titolare;
– da Titolare a Responsabile;
– da Responsabile a Responsabile;
– da Responsabile a Titolare.
Le nuove clausole contrattuali risultano essere in linea con i principi generali del GDPR (artt. da 5 a 11), tengono in considerazione i principi della sentenza Schrems II della Corte di Giustizia, del parere congiunto del Comitato europeo per la protezione dei dati (EDPB), del Garante europeo della protezione dei dati (EDPS) e del feedback delle parti interessate.

Il nuovo approccio sarà “modulare”, dunque i soggetti titolari del trasferimento potranno scegliere autonomamente quali moduli applicare per l’implementazione dei propri contratti e,
in caso di danni causati da eventuali violazioni, saranno previsti degli obblighi di indennizzo.

Dal punto di vista giurisdizionale, le nuove clausole contrattuali da un lato impongono al soggetto che trasferisce dati extra-UE di sottoporsi alla giurisdizione dello stato membro da cui proviene il dato trattato, ma d’altro lato viene imposto (ex art. 14) alle parti di effettuare delle verifiche riguardanti il fatto che le leggi in vigore nei paesi terzi non siano in contrasto con il rispetto delle clausole contrattuali standard, controllo che non deve essere attuato esclusivamente ab origine, ma deve essere attuato in modo costante per tutta la durata del rapporto.

Prima di diventare definitive e consentire alle aziende di regolare il trattamento dei dati sulla base delle nuove clausole contrattuali, è previsto un periodo di prova di 18 mesi dall’approvazione.

dott.ssa Elena Brizzola