IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, in presenza del Prof. Francesco Pizzetti,
presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del
dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del
dott. Giovanni Buttarelli, segretario generale;
Visto l'art. 25, paragrafi 1 e 2, della direttiva 95/46/CE del
Parlamento europeo e del Consiglio del 24 ottobre 1995, secondo cui i
dati personali possono essere trasferiti in un Paese non appartenente
all'Unione europea qualora il Paese terzo garantisca un livello di
protezione adeguato, secondo quanto previsto nel paragrafo 2 del
medesimo articolo;
Visto l'art. 26 della predetta direttiva il quale individua alcune
deroghe al menzionato principio, prevedendo anche che uno Stato
membro possa autorizzare un trasferimento o una categoria di
trasferimenti di dati personali verso un Paese terzo che non
garantisce un livello di protezione adeguato, qualora il titolare del
trattamento presenti garanzie sufficienti per la tutela della vita
privata e dei diritti e delle liberta' fondamentali delle persone,
nonche' per l'esercizio dei diritti connessi, risultanti anche da
clausole contrattuali appropriate;
Visto il paragrafo 4 del medesimo art. 26 relativo alle decisioni
della Commissione europea in materia di clausole contrattuali tipo;
Rilevato che la Commissione europea, con la decisione del 15 giugno
2001, n. 2001/497/CE, ha individuato un primo insieme di clausole
contrattuali tipo, allegate alla medesima decisione, che
costituiscono garanzie sufficienti per la tutela della vita privata e
dei diritti e delle liberta' fondamentali delle persone, nonche' per
l'esercizio dei diritti connessi in caso di trasferimento di dati
personali verso paesi terzi a norma della direttiva 95/46/CE;
Vista la decisione della Commissione europea del 27 dicembre 2004,
n. 2004/915/CE (pubblicata nella Gazzetta Ufficiale delle Comunita'
europee L 385/74 del 29 dicembre 2004) che modifica la citata
decisione della Commissione n. 2001/497/CE introducendo un insieme
alternativo di clausole contrattuali tipo, allegate alla medesima
decisione, che secondo la Commissione costituiscono anch'esse
garanzie sufficienti ai fini della tutela della riservatezza, dei
diritti e delle liberta' fondamentali delle persone, nonche' per
l'esercizio dei diritti connessi in caso di trasferimento di dati
personali verso Paesi terzi a norma della direttiva 95/46/CE;
Considerato che gli Stati membri europei devono adottare le misure
necessarie per conformarsi alla decisione della Commissione, ai sensi
del paragrafo 4, del citato art. 26 della direttiva;
Visti gli articoli 43, 44 e 45 del codice in materia di protezione
dei dati personali (decreto-legge n. 196/2003), secondo i quali il
trasferimento dei dati personali diretto verso Paesi non appartenenti
all'Unione europea puo' avvenire qualora ricorra uno dei casi
previsti dall'art. 43 oppure, ai sensi degli articoli 44, comma 1 e
45, quando sia autorizzato dal Garante sulla base di adeguate
garanzie per i diritti dell'interessato: a) individuale dalla
medesima Autorita' anche in relazione a garanzie prestate con un
contratto; b) individuale con le decisioni della Commissione previste
dagli articoli 25, paragrafo 6, e 26, paragrafo 4, della direttiva
95/46/CE; c) altrimenti, fuori dai casi di cui agli articoli 43 e 44,
qualora l'ordinamento dello Stato di destinazione o di transito dei
dati assicuri un livello di tutela delle persone adeguato nei termini
di cui all'art. 45;
Vista la deliberazione n. 35 del 10 ottobre 2001, con la quale
questa Autorita' ha autorizzato il trasferimento di dati personali
dal territorio dello Stato verso Paesi non appartenenti all'Unione
europea in conformita' alle clausole contrattuali tipo di cui
all'allegato alla decisione della Commissione n. 2001/497/CE, ora
denominato «Insieme I» ai sensi dell'art. 1, paragrafo 4, della
decisione della Commissione n. 2004/915/CE;
Ritenuto che le clausole contrattuali tipo, contenute nell'«Insieme
II» dell'allegato alla decisione n. 2004/915/CE, su cui si e'
espressa la Commissione, prevedono alcune garanzie per i diritti
dell'interessato da ritenere adeguate ai sensi del citato art. 44,
comma 1, lettera b);
Rilevato che la decisione della Commissione riguarda unicamente
l'adeguatezza della tutela dei dati garantita dall'uso delle clausole
contrattuali tipo in caso di trasferimenti di dati effettuati a
partire dal territorio dello Stato da un titolare del trattamento
avente sede nella Comunita' (soggetto esportatore) ad un diverso
titolare del trattamento (soggetto importatore) residente in un Paese
terzo che non assicura un livello di protezione adeguato;
Rilevato che i soggetti che intendono utilizzare le clausole
contrattuali tipo possono optare per uno degli insiemi di clausole -
I o II - contenuti nell'allegato alla decisione della Commissione n.
2001/497/CE, cosi' come modificato dall'art. 1 della decisione n.
2004/915/CE;
Considerato che i soggetti che utilizzano le citate clausole non
possono modificarle, ne' combinare singole clausole, ne' gli insiemi
citati;
Ritenuta la necessita' di assicurare ulteriore pubblicita' alle
clausole contrattuali tipo di cui all'«Insieme II», disponendo la
loro pubblicazione nella Gazzetta Ufficiale della Repubblica italiana
in allegato alla presente autorizzazione;
Ritenuta la necessita' di formulare alcune prescrizioni inerenti
alle informazioni da fornire a questa Autorita' in relazione ai
compiti ad essa affidati e richiamati dalla citata decisione della
Commissione, nei limiti necessari per la prima fase di applicazione
del presente provvedimento e nei termini di cui al seguente
dispositivo;
Ritenuto di dover riservare la scelta del Garante di svolgere o
meno, caso per caso, il ruolo di mediazione previsto dalla clausola
V, lettera b), della decisione n. 2004/915/CE;
Riservata la specificazione di ulteriori criteri e modalita' in
base all'esperienza maturata nell'utilizzazione delle clausole, anche
in sede comunitaria;
Vista la documentazione d'ufficio;
Viste le osservazioni dell'Ufficio, formulate dal segretario
generale ai sensi dell'art. 15 del regolamento del Garante, n.
1/2000;
Relatore il dott. Giuseppe Chiaravallotti;
Tutto cio' premesso il Garante:
1) Fatta salva l'applicazione delle ulteriori disposizioni
previste dal codice in materia di protezione dei dati personali,
autorizza, con effetto dal 1° aprile 2005, i trasferimenti di dati
personali dal territorio dello Stato verso Paesi non appartenenti
all'Unione europea, effettuati in conformita' alle clausole
contrattuali tipo di cui all'allegato alla decisione della
Commissione europea del 27 dicembre 2004, n. 2004/915/CE sulla base
dei presupposti indicati nella medesima decisione;
2) Dispone che:
a) la copia del contratto relativo al trasferimento e le altre
informazioni necessarie devono essere fornite al Garante solo su sua
richiesta (clausola I, lettera e), e art. 157 del codice);
b) deve essere comunicata al Garante la scelta che e' stata
effettuata in caso di controversia non risolta in via amichevole e
sottoposta all'esame di un soggetto diverso dal Garante o
dall'autorita' giudiziaria (clausola V, e art. 157 del codice);
3) Si riserva di svolgere i necessari controlli sulla liceita' e
correttezza dei trasferimenti di dati e di adottare eventuali
provvedimenti di blocco o di divieto di trasferimento in conformita'
al codice in materia di protezione dei dati personali ed alla
normativa comunitaria (art. 4 della decisione della Commissione n.
2001/497/CE, come modificato dall'art. 1, paragrafo 2, della
decisione n. 2004/915/CE);
4) Dispone la trasmissione del presente provvedimento e
dell'allegata decisione della Commissione all'Ufficio pubblicazione
leggi e decreti del Ministero della giustizia per la sua
pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 9 giugno 2005
Il Presidente
Pizzetti
Il relatore
Chiaravalloti
Il segretario generale
Buttarelli