Francia: Trasferimento di dati extra UE: le vecchie clausole contrattuali tipo (SCC) non sono più valide

A partire dal 27 dicembre 2022, gli esportatori e gli importatori di dati non potranno più utilizzare le vecchie clausole contrattuali standard della Commissione europea e dovranno utilizzare le clausole aggiornate nel 2021 o utilizzare un altro strumento di trasferimento.

L'autorità francese per la protezione dei dati ("CNIL") ha rilasciato, il 21 dicembre 2022, una dichiarazione riguardante la conclusione del periodo di 15 mesi, il 27 dicembre 2022, che consente alle organizzazioni di passare alle nuove clausole contrattuali tipo della Commissione europea ("SCC" ) per i trasferimenti di dati personali al di fuori dell'UE.

In particolare, CNIL ha sottolineato che, dopo il 27 dicembre 2022, gli esportatori e gli importatori di dati non potranno più utilizzare i precedenti SCC della Commissione europea, ovvero quelli firmati prima di giugno 2021. Di conseguenza, ha evidenziato CNIL, gli esportatori e gli importatori di dati dovranno utilizzare il SCC aggiornate o un meccanismo di trasferimento alternativo.

Le clausole contrattuali standard sono contratti tipo per il trasferimento di dati personali adottati dalla Commissione Europea.

Le clausole contrattuali tipo modello sono state aggiornate dalla Commissione Europea il 4 giugno 2021.

Tali clausole contrattuali standard sono destinate a sostituire le precedenti adottate nel 2001 e nel 2004. È stato previsto un periodo transitorio di tre mesi dall'entrata in vigore delle nuove clausole contrattuali standard (ossia fino a settembre 2021).

Per ulteriori 15 mesi, esportatori e importatori di dati potrebbero continuare a invocare le vecchie clausole contrattuali standard. Alla fine di questo periodo, tutti dovrebbero aver aggiornato le proprie clausole contrattuali standard o un altro strumento di trasferimento.

Pertanto, a partire dal 27 dicembre 2022, le vecchie clausole contrattuali standard, comprese quelle sottoscritte prima di giugno 2021, non potranno più essere utilizzate per disciplinare i trasferimenti di dati extra UE .

CNIL -Autorità amministrativa indipendente creata nel 1978, composta da un collegio pluralista di 17 commissari, di varia estrazione (4 parlamentari, 2 membri del Consiglio economico e sociale, 6 rappresentanti delle alte corti, 5 personalità qualificate nominate dal Presidente dell'Assemblea nazionale (1), dal Presidente del Senato (1), dal Consiglio dei ministri (3) Il mandato dei suoi membri è di 5 anni. www.cnil.fr/

Trasferimento dei dati: clausole contrattuali tipo (SCC) della Commissione europea

Le clausole contrattuali standard sono contratti tipo per il trasferimento di dati personali adottati dalla Commissione Europea.

Aggiornamento a seguito della sentenza Schrems II della Corte di Giustizia dell'Unione Europea

La Corte di Giustizia dell'Unione Europea (CGUE), nella sua sentenza del 16 luglio 2020, ha indicato che come regola generale, le clausole contrattuali tipo (SCC) possono sempre essere utilizzate per trasferire dati verso un paese terzo (sia esso il Stati Uniti o altro paese terzo). Tuttavia, la CGUE ha sottolineato che spetta all'esportatore e all'importatore di dati valutare in pratica se la legislazione del paese terzo consenta di rispettare il livello di protezione richiesto dal diritto dell'UE e le garanzie fornite dai CCT .

Se questo livello non può essere raggiunto, le imprese devono prevedere misure aggiuntive per garantire un livello di protezione sostanzialmente equivalente a quello fornito nello Spazio economico europeo e devono garantire che la legislazione del paese terzo non invada tali misure aggiuntive in un tale modo da privarli di efficacia.

Per quanto riguarda gli Stati Uniti, la Corte ha ritenuto che la normativa americana sull'accesso ai dati da parte dei servizi di intelligence (in particolare la sezione 702 del FISA e l'Executive Order 12333) non consenta di assicurare un livello di protezione sostanzialmente equivalente (cfr. in particolare considerando 145 della sentenza della Corte , clausola 4(g) della decisione 2010/87/UE della Commissione , clausola 5(a) della decisione 2001/497/CE della Commissione e allegato II (c) della decisione 2004/915 della Commissione /CE ).

I continui trasferimenti di dati personali verso gli Stati Uniti sulla base di SCC dipenderanno quindi dalle misure aggiuntive che potresti mettere in atto. L'insieme formato dalle misure aggiuntive e dalle SCC, dopo un'analisi caso per caso delle circostanze relative al trasferimento, deve garantire che la normativa americana non comprometta l'adeguato livello di protezione che le clausole e queste misure garantiscono.

In tutti i casi di trasferimento (verso gli Stati Uniti o verso qualsiasi paese terzo), se si giunge alla conclusione che il rispetto delle garanzie appropriate non sarà assicurato tenendo conto delle circostanze del trasferimento e nonostante eventuali misure aggiuntive, sei tenuto a sospendere o terminare il trasferimento dei dati personali .

Approfondisci : Invalidazione del Privacy shield: le conseguenze della sentenza della CGUE

Dove posso trovare le clausole contrattuali standard della Commissione Europea?

Le clausole contrattuali standard sono accessibili sul sito web della Commissione Europea. LINGUA FRANCESE

Quali situazioni di trasferimento coprono le clausole contrattuali standard della Commissione europea?

Le clausole contrattuali standard riguardano:

• trasferimenti tra titolari UE e titolari extra UE;
• trasferimenti da titolari del trattamento UE a responsabili del trattamento extra UE.

Includono anche due nuove situazioni:

• trasferimenti da responsabili del trattamento dell'UE a responsabili del trattamento extra UE;
• trasferimenti tra subappaltatori UE e subappaltatori extra UE.

Queste nuove clausole contrattuali standard sostituiscono le precedenti?

Le nuove clausole contrattuali standard sostituiscono le precedenti risalenti al 2001 e al 2004 . È stato previsto un periodo transitorio di tre mesi dall'entrata in vigore delle nuove clausole contrattuali tipo (ossia fino a settembre 2021).

Per altri 15 mesi, gli esportatori e gli importatori di dati potevano continuare a invocare le vecchie clausole contrattuali standard, ma oltre questo periodo tutti dovevano aggiornare le proprie clausole contrattuali standard o un altro strumento di trasferimento.

Dal 27 dicembre 2022 non potranno più essere utilizzate le vecchie clausole contrattuali standard.

Cosa cambia con le nuove clausole contrattuali standard?

Le nuove clausole contrattuali standard, oltre a ripetere le principali tutele dei diritti delle persone e delle clausole, apportano anche diverse modifiche, per tenere conto del GDPR e per integrare nuovi meccanismi.

Una struttura per modulo

In primo luogo, le clausole contrattuali standard combinano clausole generali con un approccio a blocchi per affrontare vari scenari di trasferimento .

Oltre alle clausole generali, i titolari e i responsabili del trattamento devono scegliere il modulo applicabile alla loro situazione tra i seguenti quattro moduli:

• modulo uno: trasferimento da titolare a titolare del trattamento;
• modulo due: trasferimento dal controllore al responsabile del trattamento;
• modulo tre: passaggio da subappaltatore a subappaltatore;
• modulo quattro: trasferimento dal responsabile al titolare del trattamento

Clausole multipartitiche o "clausole di ormeggio"

Le nuove clausole contrattuali standard consentono inoltre a nuovi soggetti, qualunque essi siano, di accedere alle clausole contrattuali standard e di diventare una nuova parte contrattuale, in qualità di responsabile o titolare del trattamento.

Consentono a più parti esportatrici di dati di stipulare un contratto e di aggiungervi nuove parti nel tempo, oltre ai firmatari iniziali.

Una nuova parte può stipulare il contratto solo con l'accordo delle altre parti del contratto.

Considerazione della legislazione del paese terzo di destinazione dei trasferimenti di dati applicabile all'importatore

Le nuove clausole contrattuali tipo incorporano anche la giurisprudenza della CGUE nel cosiddetto caso "Schrems II" e impongono all'esportatore di dati di tenere conto della legislazione applicabile all'importatore di dati per determinare se le clausole contrattuali tipo possono produrre tutte le loro effetti.

Maggiori informazioni: www.cnil.fr/fr/tra...mmission-europeenne

Source by Redazione