PILLOLA 12

IL REGISTRO DEI TRATTAMENTI

TRASFERIMENTI DI DATI ALL’ESTERO

Il trasferimento di dati personali a un’entità o a una sede situata all’estero è ammesso in presenza di adeguate condizioni o garanzie.

Il Regolamento è ugualmente applicabile in tutti i paesi dell’Unione europea e, poiché le regole sono le stesse per tutti, il trasferimento all’interno di questi paesi è per definizione consentito.

Il discorso cambia quando i dati escono dai confini UE.

Diventa allora importante verificare se l’Autorità Garante ha emesso una decisione di adeguatezza per il paese destinatario dei dati; l’esistenza di una simile decisione attesta che le condizioni con le quali avvengono i trattamenti di dati personali all’interno di uno specifico stato sono state verificate e sono considerate congrue.

La situazione è diversa se tale decisione non esiste: in questi casi, spetta al titolare del trattamento verificare l’esistenza di forme di garanzia ammesse dalla legge (quali, ad esempio, la sottoscrizione di clausole contrattuali standard o l’esistenza di norme vincolanti d’impresa).

In assenza di garanzie adeguate di tutela dei diritti e delle libertà fondamentali degli individui, il trasferimento è vietato.

È compito del titolare del trattamento compiere le necessarie verifiche e agire nel rispetto della legge.

AFFIDAMENTO A TERZI DI TRATTAMENTI

È probabile che un’organizzazione decida di affidare, in tutto o in parte, operazioni di trattamento ad attori esterni; sia nel caso di esternalizzazioni complete di un servizio (pensiamo, ad esempio, all’elaborazione delle buste paga) sia nel caso di collaborazioni parziali (pensiamo, ad esempio, alla raccolta dei dati di possibili donatori affidata dalle ONLUS a società specializzate), il titolare del trattamento deve fare in modo che il coinvolgimento di terzi avvenga con regole chiare e responsabilità definite.

L’affidamento a terzi non può essere fatto a cuor leggero ma presuppone una serie di verifiche preliminari, a carico del Titolare, relativamente alla competenza e alla sicurezza offerta dal soggetto scelto.

Il terzo deve essere inoltre nominato, mediante atto formale, Responsabile del trattamento. La nomina riporta informazioni dettagliate sugli obblighi assunti e sul rapporto che lega le due parti e l’accordo è formalizzato mediante un contratto o un atto giuridico, che  contiene una descrizione dettagliata delle attività di trattamento che saranno svolte dal Responsabile esclusivamente dietro istruzione documentata del Titolare.

Il Responsabile dovrà garantire che le persone autorizzate a trattare i dati personali si siano impegnate alla riservatezza e dovrà impegnarsi a non affidare ad altri Responsabili specifiche attività di trattamento senza la preventiva autorizzazione del Titolare. Eventuali affidamenti a cascata dovranno essere formalizzati sulla base di contratto o atto giuridico che contenga gli stessi obblighi, in materia di protezione dati, sottoscritti dal terzo con il Titolare.

Il Responsabile ha l’obbligo di cancellare o restituire i dati in suo possesso al termine delle attività di trattamento effettuate per conto del Titolare e di assisterlo nel dare seguito alle richieste per l’esercizio dei diritti dell’interessato; tra le altre cose, deve garantire la sicurezza del trattamento e collaborare per la notifica di violazioni dei dati personali.

Il Responsabile, inoltre, può incorrere in sanzioni amministrative rilevanti in caso di violazioni degli obblighi previsti dalla normativa.

… (continua)