Decisione della Commissione

Commission Decision

del 5 febbraio 2010

of 5 February 2010

relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio

on standard contractual clauses for the transfer of personal data to processors established in third countries under Directive 95/46/EC of the European Parliament and of the Council

[notificata con il numero C(2010) 593]

(notified under document C(2010) 593)

(Testo rilevante ai fini del SEE)

(Text with EEA relevance)

(2010/87/UE)

(2010/87/EU)

LA COMMISSIONE EUROPEA,

THE EUROPEAN COMMISSION,

visto il trattato sul funzionamento dell’Unione europea,

Having regard to the Treaty on the Functioning of the European Union,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati [1], in particolare l’articolo 26, paragrafo 4,

Having regard to Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data [1], and in particular Article 26(4) thereof,

sentito il garante europeo della protezione dei dati,

After consulting the European Data Protection Supervisor,

considerando quanto segue:

Whereas:

(1) In base alla direttiva 95/46/CE, gli Stati membri devono provvedere affinché il trasferimento di dati personali verso un paese terzo possa avere luogo soltanto se il paese terzo di cui trattasi garantisce un livello adeguato di protezione dei dati e se vengono osservate, previamente al trasferimento, le disposizioni adottate dagli Stati membri in attuazione di altre norme della direttiva.

(1) Pursuant to Directive 95/46/EC Member States are required to provide that a transfer of personal data to a third country may only take place if the third country in question ensures an adequate level of data protection and the Member States’ laws, which comply with the other provisions of the Directive, are respected prior to the transfer.

(2) L’articolo 26, paragrafo 2, della direttiva 95/46/CE prevede che gli Stati membri possano autorizzare, subordinatamente a talune garanzie, il trasferimento di dati personali verso paesi terzi che non garantiscono un livello adeguato di protezione dei dati. Tali garanzie possono segnatamente risultare da clausole contrattuali appropriate.

(2) However, Article 26(2) of Directive 95/46/EC provides that Member States may authorise, subject to certain safeguards, a transfer or a set of transfers of personal data to third countries which do not ensure an adequate level of protection. Such safeguards may in particular result from appropriate contractual clauses.

(3) A norma della direttiva 95/46/CE, il livello di protezione dei dati deve essere valutato con riguardo a tutte le circostanze relative al trasferimento. Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali costituito in forza della direttiva ha elaborato una serie di orientamenti per tale valutazione.

(3) Pursuant to Directive 95/46/EC the level of data protection should be assessed in the light of all the circumstances surrounding the data transfer operation or set of data transfer operations. The Working Party on the protection of individuals with regard to the processing of personal data established under that Directive has issued guidelines to aid with the assessment.

(4) È opportuno che le clausole contrattuali tipo riguardino soltanto la protezione dei dati. Gli esportatori e gli importatori dei dati sono pertanto liberi di inserire qualsiasi altra clausola commerciale ritenuta pertinente ai fini del contratto, purché non incompatibile con le clausole tipo.

(4) Standard contractual clauses should relate only to data protection. Therefore, the data exporter and the data importer are free to include any other clauses on business related issues which they consider as being pertinent for the contract as long as they do not contradict the standard contractual clauses.

(5) La presente decisione non deve incidere sulle autorizzazioni nazionali che gli Stati membri possono concedere in base alle disposizioni nazionali adottate in attuazione dell’articolo 26, paragrafo 2, della direttiva 95/46/CE. Essa deve semplicemente prevedere che gli Stati membri riconoscono come garanzie sufficienti le clausole contrattuali tipo in essa contenute e non deve produrre effetti sulle clausole contrattuali di altra natura.

(5) This Decision should be without prejudice to national authorisations Member States may grant in accordance with national provisions implementing Article 26(2) of Directive 95/46/EC. This Decision should only have the effect of requiring the Member States not to refuse to recognise, as providing adequate safeguards, the standard contractual clauses set out in it and should not therefore have any effect on other contractual clauses.

(6) La decisione 2002/16/CE della Commissione, del 27 dicembre 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi, a norma della direttiva 95/46/CE [2], è stata adottata per agevolare il trasferimento di dati personali da responsabili del trattamento stabiliti nell’Unione europea a incaricati del trattamento stabiliti in paesi terzi che non garantiscono un livello di protezione adeguato.

(6) Commission Decision 2002/16/EC of 27 December 2001 on standard contractual clauses for the transfer of personal data to processors established in third countries, under Directive 95/46/EC [2] was adopted in order to facilitate the transfer of personal data from a data controller established in the European Union to a processor established in a third country which does not offer adequate level of protection.

(7) È stata acquisita molta esperienza da quando è stata adottata la decisione 2002/16/CE. Dalla relazione sull’applicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi [3] è per giunta emerso un interesse crescente per l’uso delle clausole contrattuali tipo nei trasferimenti internazionali di dati personali verso paesi terzi che non garantiscono un livello di protezione adeguato. Le parti interessate hanno poi presentato proposte per aggiornare le clausole contrattuali tipo della decisione 2002/16/CE affinché tengano conto dell’ambito in rapida espansione nel mondo delle attività di trattamento dei dati e affrontino questioni che tale decisione non ricomprende [4].

(7) Much experience has been gained since the adoption of Decision 2002/16/EC. In addition, the report on the implementation of Decisions on standard contractual clauses for the transfers of personal data to third countries [3] has shown that there is an increasing interest in promoting the use of the standard contractual clauses for international transfers of personal data to third countries not providing an adequate level of protection. In addition, stakeholders have submitted proposals with a view to updating the standard contractual clauses set out in Decision 2002/16/EC in order to take account of the rapidly expanding scope of data-processing activities in the world and to address some issues that were not covered by that Decision [4].

(8) La presente decisione deve limitarsi a stabilire che il responsabile del trattamento stabilito nell’Unione europea può avvalersi delle clausole da quella previste per presentare garanzie sufficienti, ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE, per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi.

(8) The scope of this Decision should be limited to establishing that the clauses which it sets out may be used by a data controller established in the European Union in order to adduce adequate safeguards within the meaning of Article 26(2) of Directive 95/46/EC for the transfer of personal data to a processor established in a third country.

(9) La presente decisione non si applica al trasferimento di dati personali da responsabili del trattamento stabiliti nell’Unione europea a responsabili del trattamento stabiliti al di fuori dell’Unione europea, che rientra invece nel campo di applicazione della decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a caratteri personale verso paesi terzi a norma della direttiva 95/46/CE [5].

(9) This Decision should not apply to the transfer of personal data by controllers established in the European Union to controllers established outside the European Union which fall within the scope of Commission Decision 2001/497/EC of 15 June 2001 on standard contractual clauses for the transfer of personal data to third countries, under Directive 95/46/EC [5].

(10) La presente decisione deve attuare l’articolo 17, paragrafo 3, della direttiva 95/46/CE e non deve pregiudicare il contenuto dei contratti o degli atti giuridici adottati in forza di quella disposizione. Appare tuttavia opportuno prevedere determinate clausole tipo, riguardanti in particolare gli obblighi dell’esportatore, affinché vi sia maggiore chiarezza sulle disposizioni che possono essere inserite nei contratti fra i responsabili e gli incaricati del trattamento.

(10) This Decision should implement the obligation provided for in Article 17(3) of Directive 95/46/EC and should not prejudice the content of the contracts or legal acts established pursuant to that provision. However, some of the standard contractual clauses, in particular as regards the data exporter’s obligations, should be included in order to increase clarity as to the provisions which may be contained in a contract between a controller and a processor.

(11) Le autorità di controllo degli Stati membri svolgono un ruolo fondamentale in tale ambito contrattuale garantendo che i dati personali siano adeguatamente tutelati in seguito al trasferimento. Nei casi eccezionali in cui gli esportatori si rifiutino o non siano in grado di impartire le istruzioni necessarie agli importatori, e le persone cui si riferiscono i dati siano esposte ad un imminente rischio di gravi danni, le clausole tipo devono consentire alle autorità di controllo di vigilare sugli importatori e sui subincaricati e di adottare, se del caso, decisioni vincolanti nei loro confronti. Le autorità di controllo devono avere la facoltà di vietare o sospendere i trasferimenti di dati effettuati in base alle clausole contrattuali tipo nei casi eccezionali in cui il trasferimento su base contrattuale rischi di pregiudicare le garanzie e gli obblighi destinati a garantire protezione adeguata agli interessati.

(11) Supervisory authorities of the Member States play a key role in this contractual mechanism in ensuring that personal data are adequately protected after the transfer. In exceptional cases where data exporters refuse or are unable to instruct the data importer properly, with an imminent risk of grave harm to the data subjects, the standard contractual clauses should allow the supervisory authorities to audit data importers and sub-processors and, where appropriate, take decisions which are binding on data importers and sub-processors. The supervisory authorities should have the power to prohibit or suspend a data transfer or a set of transfers based on the standard contractual clauses in those exceptional cases where it is established that a transfer on contractual basis is likely to have a substantial adverse effect on the warranties and obligations providing adequate protection for the data subject.

(12) Le clausole contrattuali tipo devono prevedere le misure tecniche e organizzative di sicurezza che è tenuto ad applicare l’incaricato del trattamento stabilito in un paese terzo che non garantisce un livello di protezione adeguato, affinché il livello di sicurezza sia commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare. Nel contratto le parti devono prevedere le misure tecniche e organizzative necessarie che, tenuto conto della normativa sulla protezione dei dati, della più recente tecnologia e dei costi di attuazione, sono necessarie a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale, dall’alterazione, dalla diffusione o dall’accesso non autorizzati, o da qualsiasi altra forma illecita di trattamento di dati personali.

(12) Standard contractual clauses should provide for the technical and organisational security measures to be applied by data processors established in a third country not providing adequate protection, in order to ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected. Parties should make provision in the contract for those technical and organisational measures which, having regard to applicable data protection law, the state of the art and the cost of their implementation, are necessary in order to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access or any other unlawful forms of processing.

(13) Onde agevolare i flussi di dati in uscita dall’Unione europea è auspicabile che gli incaricati del trattamento che effettuano operazioni di trattamento per più responsabili nell’Unione europea siano autorizzati ad applicare le stesse misure tecniche e organizzative di sicurezza indipendentemente dallo Stato membro da cui è effettuato il trasferimento, in particolare nel caso in cui l’importatore riceva i dati ai fini dell’ulteriore trattamento da diverse sedi dell’esportatore situate nell’Unione europea. In questa ipotesi deve applicarsi la legge dello Stato membro di stabilimento designato.

(13) In order to facilitate data flows from the European Union, it is desirable for processors providing data-processing services to several data controllers in the European Union to be allowed to apply the same technical and organisational security measures irrespective of the Member State from which the data transfer originates, in particular in those cases where the data importer receives data for further processing from different establishments of the data exporter in the European Union, in which case the law of the designated Member State of establishment should apply.

(14) È opportuno definire le informazioni minime che le parti devono includere nel contratto relativo al trasferimento. Gli Stati membri hanno comunque la facoltà di precisare le informazioni che le parti sono tenute a fornire. Le modalità di applicazione della presente decisione andranno valutate alla luce dell’esperienza futura.

(14) It is appropriate to lay down the minimum information that the parties should specify in the contract dealing with the transfer. Member States should retain the power to particularise the information the parties are required to provide. The operation of this Decision should be reviewed in the light of experience.

(15) L’importatore è tenuto a trattare i dati personali trasferiti esclusivamente per conto dell’esportatore e in conformità delle istruzioni da questi impartite, nonché in ottemperanza agli obblighi stabiliti dalle clausole stesse. L’importatore deve astenersi segnatamente dal rivelare i dati personali a terzi, salvo previo consenso scritto dell’esportatore. L’esportatore è tenuto a trasmettere opportune istruzioni all’importatore per tutta la durata delle operazioni di trattamento affinché i dati siano trattati conformemente alle istruzioni impartite, alla normativa sulla protezione dei dati e agli obblighi contenuti nelle clausole tipo.

(15) The data importer should process the transferred personal data only on behalf of the data exporter and in accordance with his instructions and the obligations contained in the clauses. In particular the data importer should not disclose the personal data to a third party without the prior written consent of the data exporter. The data exporter should instruct the data importer throughout the duration of the data-processing services to process the data in accordance with his instructions, the applicable data protection laws and the obligations contained in the clauses.

(16) La relazione sull’applicazione delle decisioni relative alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi raccomanda di adottare apposite clausole contrattuali tipo sui trasferimenti successivi da incaricati del trattamento stabiliti in paesi terzi ad altri incaricati del trattamento (subcontratto), affinché tengano conto delle tendenze e delle pratiche commerciali di un’attività di trattamento sempre più globalizzata.

(16) The report on the implementation of Decisions on standard contractual clauses for the transfers of personal data to third countries recommended the establishment of appropriate standard contractual clauses on subsequent onwards transfers from a data processor established in a third country to another data processor (sub-processing), in order to take account of business trends and practices for more and more globalised processing activity.

(17) È opportuno che la presente decisione contenga specifiche clausole contrattuali tipo sul subcontratto stipulato da incaricati stabiliti in paesi terzi (importatori) con altri incaricati del trattamento (subincaricati) stabiliti in paesi terzi. È altresì opportuno che fissi le condizioni del subcontratto affinché i dati personali trasferiti continuino ad essere protetti nonostante il trasferimento successivo al subincaricato.

(17) This Decision should contain specific standard contractual clauses on the sub-processing by a data processor established in a third country (the data importer) of his processing services to other processors (sub-processors) established in third countries. In addition, this Decision should set out the conditions that the sub-processing should fulfil to ensure that the personal data being transferred continue to be protected notwithstanding the subsequent transfer to a sub-processor.

(18) È inoltre opportuno che il subcontratto riguardi solo i trattamenti previsti nel contratto contenente le clausole contrattuali tipo di cui alla presente decisione, concluso tra l’esportatore e l’importatore, e non comporti trattamenti o finalità diversi, così da garantire il rispetto del principio di finalità sancito dalla direttiva 95/46/CE. Nell’ipotesi poi che il subincaricato non adempia agli obblighi contemplati dal contratto, l’importatore deve rimanere responsabile nei confronti dell’esportatore. Il trasferimento di dati personali a incaricati del trattamento stabiliti al di fuori dell’Unione europea deve lasciare impregiudicato il fatto che le attività di trattamento debbano essere conformi alla normativa sulla protezione dei dati.

(18) In addition, the sub-processing should only consist of the operations agreed in the contract between the data exporter and the data importer incorporating the standard contractual clauses provided for in this Decision and should not refer to different processing operations or purposes so that the purpose limitation principle set out by Directive 95/46/EC is respected. Moreover, where the sub-processor fails to fulfil his own data-processing obligations under the contract, the data importer should remain liable toward the data exporter. The transfer of personal data to processors established outside the European Union should not prejudice the fact that the processing activities should be governed by the applicable data protection law.

(19) È opportuno che le clausole contrattuali tipo possano essere fatte valere non solo dalle organizzazioni che stipulano il contratto ma anche dalle persone cui si riferiscono i dati, in particolare laddove l’eventuale violazione del contratto rechi ad esse pregiudizio.

(19) Standard contractual clauses should be enforceable not only by the organisations which are parties to the contract, but also by the data subjects, in particular where the data subjects suffer damage as a consequence of a breach of the contract.

(20) L’interessato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell’esportatore che è il responsabile del trattamento dei dati personali trasferiti. Eccezionalmente l’interessato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell’importatore per violazione da parte di questi o di un suo subincaricato degli obblighi stabiliti dalla clausola 3, paragrafo 2, qualora l’esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente. Eccezionalmente l’interessato deve potere agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti del subincaricato qualora sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi. La responsabilità civile del subincaricato deve essere limitata ai trattamenti da quello effettuati ai sensi delle clausole contrattuali.

(20) The data subject should be entitled to take action and, where appropriate, receive compensation from the data exporter who is the data controller of the personal data transferred. Exceptionally, the data subject should also be entitled to take action, and, where appropriate, receive compensation from the data importer in those cases, arising out of a breach by the data importer or any sub-processor under it of any of its obligations referred to in the paragraph 2 of Clause 3, where the data exporter has factually disappeared or has ceased to exist in law or has become insolvent. Exceptionally, the data subject should be also entitled to take action, and, where appropriate, receive compensation from a sub-processor in those situations where both the data exporter and the data importer have factually disappeared or ceased to exist in law or have become insolvent. Such third-party liability of the sub-processor should be limited to its own processing operations under the contractual clauses.

(21) Nelle controversie sorte con interessati che si avvalgano della clausola del terzo beneficiario, l’importatore, ove non sia possibile la composizione in via amichevole, deve consentire all’interessato di scegliere fra la mediazione o l’azione legale. L’effettiva possibilità di scelta dipenderà dall’esistenza di sistemi di mediazione affidabili e riconosciuti. La mediazione ad opera delle autorità di controllo dello Stato membro in cui è stabilito l’esportatore deve essere facoltativa, sempre che dette autorità prestino tale servizio.

(21) In the event of a dispute between a data subject, who invokes the third-party beneficiary clause, and the data importer, which is not amicably resolved, the data importer should offer the data subject a choice between mediation or litigation. The extent to which the data subject will have an effective choice will depend on the availability of reliable and recognised systems of mediation. Mediation by the data protection supervisory authorities of the Member State in which the data exporter is established should be an option where they provide such a service.

(22) Il contratto deve essere soggetto alla legge dello Stato membro in cui è stabilito l’esportatore, in modo che il terzo beneficiario possa far valere le disposizioni contrattuali. È opportuno che le persone cui si riferiscono i dati possano essere rappresentate da associazioni o altre organizzazioni, qualora lo desiderino e qualora ciò sia ammesso dalla normativa nazionale. La stessa legge deve inoltre applicarsi alle disposizioni sulla protezione dei dati contemplate dal contratto concluso con il subincaricato per il trattamento dei dati personali trasferiti dall’esportatore all’importatore ai sensi delle clausole contrattuali.

(22) The contract should be governed by the law of the Member State in which the data exporter is established enabling a third-party beneficiary to enforce a contract. Data subjects should be allowed to be represented by associations or other bodies if they so wish and if authorised by national law. The same law should also govern the provisions on data protection of any contract with a sub-processor for the sub-processing of the processing activities of the personal data transferred by the data exporter to the data importer under the contractual clauses.

(23) La presente decisione si applica solo ove l’incaricato del trattamento stabilito in un paese terzo affidi il trattamento a un subincaricato stabilito in un paese terzo e non ai casi in cui l’incaricato del trattamento stabilito nell’Unione europea, che tratta dati personali per conto di un responsabile stabilito nell’Unione europea, affidi il trattamento a un subincaricato stabilito in un paese terzo. In tali situazioni è facoltà degli Stati membri tenere conto del fatto che alla decisione di affidare il trattamento a un subincaricato stabilito in un paese terzo presiedono i principi e le garanzie delle clausole contrattuali tipo di cui alla presente decisione, nell’intento di garantire protezione adeguata ai diritti degli interessati i cui dati personali sono trasferiti per il trattamento.

(23) Since this Decision applies only to subcontracting by a data processor established in a third country of his processing services to a sub-processor established in a third country, it should not apply to the situation by which a processor established in the European Union and performing the processing of personal data on behalf of a controller established in the European Union subcontracts his processing operations to a sub-processor established in a third country. In such situations, Member States are free whether to take account of the fact that the principles and safeguards of the standard contractual clauses set out in this Decision have been used to subcontract to a sub-processor established in a third country with the intention of providing adequate protection for the rights of data subjects whose personal data are being transferred for sub-processing operations.

(24) Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha emesso un parere sul livello di protezione garantito dalle clausole contrattuali tipo allegate alla presente decisione, di cui si è tenuto conto nella stesura della decisione stessa.

(24) The Working Party on the protection of individuals with regard to the processing of personal data established under Article 29 of Directive 95/46/EC has delivered an opinion on the level of protection provided under the standard contractual clauses annexed to this Decision, which has been taken into account in the preparation of this Decision.

(25) Occorre abrogare la decisione 2002/16/CE.

(25) Decision 2002/16/EC should be repealed.

(26) Le misure previste dalla presente decisione sono conformi al parere del comitato istituito in forza dell’articolo 31 della direttiva 95/46/CE,

(26) The measures provided for in this Decision are in accordance with the opinion of the Committee established under Article 31 of Directive 95/46/EC,

HA ADOTTATO LA PRESENTE DECISIONE:

HAS ADOPTED THIS DECISION:

Articolo 1

Article 1

Le clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti per la tutela della vita privata e dei diritti e della libertà fondamentali delle persone, nonché per l’esercizio dei diritti connessi ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE.

The standard contractual clauses set out in the Annex are considered as offering adequate safeguards with respect to the protection of the privacy and fundamental rights and freedoms of individuals and as regards the exercise of the corresponding rights as required by Article 26(2) of Directive 95/46/EC.

Articolo 2

Article 2

La presente decisione concerne esclusivamente l’adeguatezza della tutela conferita dalle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento, riportate in allegato. Essa lascia impregiudicata l’applicazione delle disposizioni nazionali sul trattamento dei dati personali negli Stati membri adottate in attuazione della direttiva 95/46/CE.

This Decision concerns only the adequacy of protection provided by the standard contractual clauses set out in the Annex for the transfer of personal data to processors. It does not affect the application of other national provisions implementing Directive 95/46/EC that pertain to the processing of personal data within the Member States.

La presente decisione si applica al trasferimento dei dati personali effettuato da responsabili del trattamento stabiliti nell’Unione europea a destinatari stabiliti al di fuori dell’Unione europea che agiscano esclusivamente in veste di incaricati del trattamento.

This Decision shall apply to the transfer of personal data by controllers established in the European Union to recipients established outside the territory of the European Union who act only as processors.

Articolo 3

Article 3

Ai fini della presente decisione si intende per:

For the purposes of this Decision the following definitions shall apply:

a) "categorie particolari di dati" i dati di cui all’articolo 8 della direttiva 95/46/CE;

(a) "special categories of data" means the data referred to in Article 8 of Directive 95/46/EC;

b) "autorità di controllo" l’autorità di cui all’articolo 28 della direttiva 95/46/CE;

(b) "supervisory authority" means the authority referred to in Article 28 of Directive 95/46/EC;

c) "esportatore" il responsabile del trattamento che trasferisce i dati personali;

(c) "data exporter" means the controller who transfers the personal data;

d) "importatore" l’incaricato del trattamento stabilito in un paese terzo che s’impegni a ricevere dall’esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell’esportatore stesso, nonché a norma della presente decisione, e che non sia assoggettato dal paese terzo a un sistema che garantisca una protezione adeguata ai sensi dell’articolo 25, paragrafo 1, della direttiva 95/46/CE;

(d) "data importer" means the processor established in a third country who agrees to receive from the data exporter personal data intended for processing on the data exporter’s behalf after the transfer in accordance with his instructions and the terms of this Decision and who is not subject to a third country’s system ensuring adequate protection within the meaning of Article 25(1) of Directive 95/46/EC;

e) "subincaricato" l’incaricato del trattamento designato dall’importatore o da altro suo subincaricato, che s’impegni a ricevere dall’importatore o da altro suo subincaricato dati personali al solo fine di trattarli per conto e secondo le istruzioni dell’esportatore, nonché a norma delle clausole contrattuali tipo di cui in allegato e delle disposizioni del subcontratto scritto;

(e) "sub-processor" means any processor engaged by the data importer or by any other sub-processor of the data importer and who agrees to receive from the data importer or from any other sub-processor of the data importer personal data exclusively intended for the processing activities to be carried out on behalf of the data exporter after the transfer in accordance with the data exporter’s instructions, the standard contractual clauses set out in the Annex, and the terms of the written contract for sub-processing;

f) "normativa sulla protezione dei dati" la normativa che protegge i diritti e le libertà fondamentali del singolo, in particolare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui è stabilito l’esportatore;

(f) "applicable data protection law" means the legislation protecting the fundamental rights and freedoms of individuals and, in particular, their right to privacy with respect to the processing of personal data applicable to a data controller in the Member State in which the data exporter is established;

g) "misure tecniche e organizzative di sicurezza" le misure destinate a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.

(g) "technical and organisational security measures" means those measures aimed at protecting personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.

Articolo 4

Article 4

1. Fatto salvo il potere di provvedere all’osservanza delle disposizioni nazionali adottate in attuazione dei capi II, III, V e VI della direttiva 95/46/CE, le autorità competenti degli Stati membri possono avvalersi dei poteri loro attribuiti per vietare o sospendere i flussi di dati verso paesi terzi allo scopo di proteggere le persone con riguardo al trattamento dei dati personali, qualora:

1. Without prejudice to their powers to take action to ensure compliance with national provisions adopted pursuant to Chapters II, III, V and VI of Directive 95/46/EC, the competent authorities in the Member States may exercise their existing powers to prohibit or suspend data flows to third countries in order to protect individuals with regard to the processing of their personal data in cases where:

a) sia accertato che, in base alla legge ad esso applicabile, l’importatore o il subincaricato è tenuto ad applicare deroghe alla normativa sulla protezione dei dati che eccedono le restrizioni ritenute necessarie in una società democratica ai sensi dell’articolo 13 della direttiva 95/46/CE e pregiudicano significativamente le garanzie previste dalla normativa sulla protezione dei dati e dalle clausole contrattuali tipo;

(a) it is established that the law to which the data importer or a sub-processor is subject imposes upon him requirements to derogate from the applicable data protection law which go beyond the restrictions necessary in a democratic society as provided for in Article 13 of Directive 95/46/EC where those requirements are likely to have a substantial adverse effect on the guarantees provided by the applicable data protection law and the standard contractual clauses;

b) un’autorità competente abbia accertato che l’importatore o il subincaricato non ha rispettato le clausole contrattuali tipo riportate in allegato; oppure

(b) a competent authority has established that the data importer or a sub-processor has not respected the standard contractual clauses in the Annex; or

c) sia probabile che le clausole contrattuali tipo in allegato non vengano rispettate e che la prosecuzione del trasferimento determini un imminente rischio di gravi danni per le persone cui i dati si riferiscono.

(c) there is a substantial likelihood that the standard contractual clauses in the Annex are not being or will not be complied with and the continuing transfer would create an imminent risk of grave harm to the data subjects.

2. Il divieto o la sospensione ai sensi del paragrafo 1 sono revocati non appena ne vengano meno le ragioni.

2. The prohibition or suspension pursuant to paragraph 1 shall be lifted as soon as the reasons for the suspension or prohibition no longer exist.

3. Quando prende i provvedimenti di cui ai paragrafi 1 e 2, lo Stato membro informa senza indugio la Commissione; questa trasmette l’informazione agli altri Stati membri.

3. When Member States adopt measures pursuant to paragraphs 1 and 2, they shall, without delay, inform the Commission which will forward the information to the other Member States.

Articolo 5

Article 5

Decorsi tre anni dall’adozione della presente decisione, la Commissione ne valuta le modalità di applicazione sulla base delle informazioni disponibili. Essa riferisce in merito alle risultanze della valutazione al comitato istituito in forza dell’articolo 31 della direttiva 95/46/CE. La relazione comprende qualsiasi circostanza rilevante ai fini della valutazione dell’adeguatezza delle clausole contrattuali tipo riportate in allegato nonché qualsiasi eventuale circostanza indicante che la presente decisione viene applicata in maniera discriminatoria.

The Commission shall evaluate the operation of this Decision on the basis of available information three years after its adoption. It shall submit a report on the findings to the Committee established under Article 31 of Directive 95/46/EC. It shall include any evidence that could affect the evaluation concerning the adequacy of the standard contractual clauses in the Annex and any evidence that this Decision is being applied in a discriminatory way.

Articolo 6

Article 6

La presente decisione si applica a decorrere dal 15 maggio 2010.

This Decision shall apply from 15 May 2010.

Articolo 7

Article 7

1. La decisione 2002/16/CE è abrogata a decorrere dal 15 maggio 2010.

1. Decision 2002/16/EC is repealed with effect from 15 May 2010.

2. Il contratto concluso tra l’esportatore e l’importatore ai sensi della decisione 2002/16/CE prima del 15 maggio 2010 resta valido ed efficace purché rimangano immutati i trasferimenti e il trattamento dei dati che ne costituiscono l’oggetto e purché continui tra le parti il trasferimento dei dati personali contemplati dalla presente decisione. Qualora decidano di apportare modifiche ovvero decidano di subcontrattare il trattamento oggetto del contratto, i contraenti sono tenuti a concludere un nuovo contratto che dovrà conformarsi alle clausole contrattuali tipo riportate in allegato.

2. A contract concluded between a data exporter and a data importer pursuant to Decision 2002/16/EC before 15 May 2010 shall remain in force and effect for as long as the transfers and data-processing operations that are the subject matter of the contract remain unchanged and personal data covered by this Decision continue to be transferred between the parties. Where contracting parties decide to make changes in this regard or subcontract the processing operations that are the subject matter of the contract they shall be required to enter into a new contract which shall comply with the standard contractual clauses set out in the Annex.

Articolo 8

Article 8

Gli Stati membri sono destinatari della presente decisione.

This Decision is addressed to the Member States.

Fatto a Bruxelles, il 5 febbraio 2010.

Done at Brussels, 5 February 2010.

Per la Commissione

For the Commission

Jacques Barrot

Jacques Barrot

Vicepresidente

Vice-President

[1] GU L 281 del 23.11.1995, pag. 31.

[1] OJ L 281, 23.11.1995, p. 31.

[2] GU L 6 del 10.1.2002, pag. 52.

[2] OJ L 6, 10.1.2002, p. 52.

[3] SEC(2006) 95 del 20.1.2006.

[3] SEC(2006) 95, 20.1.2006.

[4] Camera di commercio internazionale (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce in Belgium (Amcham) e Federation of European Direct Marketing Associations (FEDMA).

[4] The International Chamber of Commerce (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce in Belgium (Amcham), and the Federation of European Direct Marketing Associations (FEDMA).

[5] GU L 181 del 4.7.2001, pag. 19.

[5] OJ L 181, 4.7.2001, p. 19.

--------------------------------------------------

--------------------------------------------------

ALLEGATO

ANNEX

CLAUSOLE CONTRATTUALI TIPO ("INCARICATI DEL TRATTAMENTO")

STANDARD CONTRACTUAL CLAUSES (PROCESSORS)

Ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE per il trasferimento di dati personali a responsabili del trattamento stabiliti in paesi terzi che non garantiscono un livello adeguato di protezione dei dati

For the purposes of Article 26(2) of Directive 95/46/EC for the transfer of personal data to processors established in third countries which do not ensure an adequate level of data protection

Nome dell’organizzazione esportatrice: …

Name of the data exporting organisation: …

Indirizzo: …

Address: …

Tel. …; Fax …; E-mail: …

Tel. …; fax …; e-mail: …

Altre informazioni identificative:

Other information needed to identify the organisation

…

…

("l’esportatore")

(the data exporter)

e

And

Nome dell’organizzazione importatrice: …

Name of the data importing organisation: …

Indirizzo: …

Address: …

Tel. …; Fax …; E-mail: …

Tel. …; fax …; e-mail: …

Altre informazioni identificative:

Other information needed to identify the organisation:

…

…

("l’importatore")

(the data importer)

denominato ciascuno "parte" e congiuntamente "parti",

each a "party"; together "the parties",

HANNO CONVENUTO le seguenti clausole contrattuali ("le clausole") al fine di prestare garanzie sufficienti con riguardo alla tutela della vita privata e dei diritti e delle libertà fondamentali delle persone per il trasferimento dall’esportatore all’importatore dei dati personali indicati nell’appendice 1.

HAVE AGREED on the following Contractual Clauses (the Clauses) in order to adduce adequate safeguards with respect to the protection of privacy and fundamental rights and freedoms of individuals for the transfer by the data exporter to the data importer of the personal data specified in Appendix 1.

Clausola 1

Clause 1

Definizioni

Definitions

Ai fini delle presenti clausole:

For the purposes of the Clauses:

a) I termini "dati personali", "categorie particolari di dati", "trattamento", "responsabile del trattamento", "incaricato del trattamento", "interessato/persona interessata" e "autorità di controllo" hanno la stessa accezione attribuita nella direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati [1];

(a) "personal data", "special categories of data", "process/processing", "controller", "processor", "data subject" and "supervisory authority" shall have the same meaning as in Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data [1];

b) con "esportatore" s’intende il responsabile del trattamento che trasferisce i dati personali;

(b) "the data exporter" means the controller who transfers the personal data;

c) con "importatore" s’intende l’incaricato del trattamento stabilito in un paese terzo che s’impegni a ricevere dall’esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell’esportatore stesso, nonché a norma delle presenti clausole, e che non sia assoggettato dal paese terzo a un sistema che garantisca una protezione adeguata ai sensi dell’articolo 25, paragrafo 1, della direttiva 95/46/CE;

(c) "the data importer" means the processor who agrees to receive from the data exporter personal data intended for processing on his behalf after the transfer in accordance with his instructions and the terms of the Clauses and who is not subject to a third country’s system ensuring adequate protection within the meaning of Article 25(1) of Directive 95/46/EC;

d) con "subincaricato" s’intende l’incaricato del trattamento designato dall’importatore o da altro suo subincaricato, che s’impegni a ricevere dall’importatore o da altro suo subincaricato dati personali al solo fine di trattarli per conto e secondo le istruzioni dell’esportatore, nonché a norma delle presenti clausole e del subcontratto scritto;

(d) "the sub-processor" means any processor engaged by the data importer or by any other sub-processor of the data importer who agrees to receive from the data importer or from any other sub-processor of the data importer personal data exclusively intended for processing activities to be carried out on behalf of the data exporter after the transfer in accordance with his instructions, the terms of the Clauses and the terms of the written subcontract;

e) con "normativa sulla protezione dei dati" si intende la normativa che protegge i diritti e le libertà fondamentali del singolo, in particolare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui è stabilito l’esportatore;

(e) "the applicable data protection law" means the legislation protecting the fundamental rights and freedoms of individuals and, in particular, their right to privacy with respect to the processing of personal data applicable to a data controller in the Member State in which the data exporter is established;

f) con "misure tecniche e organizzative di sicurezza" s’intendono le misure destinate a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.

(f) "technical and organisational security measures" means those measures aimed at protecting personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.

Clausola 2

Clause 2

Particolari del trasferimento

Details of the transfer

I particolari del trasferimento, segnatamente le categorie particolari di dati personali, sono indicati nell’appendice 1 che costituisce parte integrante delle presenti clausole.

The details of the transfer and in particular the special categories of personal data where applicable are specified in Appendix 1 which forms an integral part of the Clauses.

Clausola 3

Clause 3

Clausola del terzo beneficiario

Third-party beneficiary clause

1. L’interessato può far valere, nei confronti dell’esportatore, la presente clausola, la clausola 4, lettere da b) a i), la clausola 5, lettere da a) ad e) e da g) a j), la clausola 6, paragrafi 1 e 2, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 in qualità di terzo beneficiario.

1. The data subject can enforce against the data exporter this Clause, Clause 4(b) to (i), Clause 5(a) to (e), and (g) to (j), Clause 6(1) and (2), Clause 7, Clause 8(2), and Clauses 9 to 12 as third-party beneficiary.

2. L’interessato può far valere, nei confronti dell’importatore, la presente clausola, la clausola 5, lettere da a) ad e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 qualora l’esportatore sia scomparso di fatto o abbia giuridicamente cessato di esistere, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore che di conseguenza assume i diritti e gli obblighi dell’esportatore, nel qual caso l’interessato può far valere le suddette clausole nei confronti del successore.

2. The data subject can enforce against the data importer this Clause, Clause 5(a) to (e) and (g), Clause 6, Clause 7, Clause 8(2), and Clauses 9 to 12, in cases where the data exporter has factually disappeared or has ceased to exist in law unless any successor entity has assumed the entire legal obligations of the data exporter by contract or by operation of law, as a result of which it takes on the rights and obligations of the data exporter, in which case the data subject can enforce them against such entity.

3. L’interessato può far valere, nei confronti del subincaricato, la presente clausola, la clausola 5, lettere da a) ad e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 qualora sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore che di conseguenza assume i diritti e gli obblighi dell’esportatore, nel qual caso l’interessato può far valere le suddette clausole nei confronti del successore. La responsabilità civile del subincaricato è limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole.

3. The data subject can enforce against the sub-processor this Clause, Clause 5(a) to (e) and (g), Clause 6, Clause 7, Clause 8(2), and Clauses 9 to 12, in cases where both the data exporter and the data importer have factually disappeared or ceased to exist in law or have become insolvent, unless any successor entity has assumed the entire legal obligations of the data exporter by contract or by operation of law as a result of which it takes on the rights and obligations of the data exporter, in which case the data subject can enforce them against such entity. Such third-party liability of the sub-processor shall be limited to its own processing operations under the Clauses.

4. Le parti non si oppongono a che l’interessato sia rappresentato da un’associazione o altra organizzazione, ove siffatta rappresentanza corrisponda alla esplicita volontà dell’interessato e sia ammessa dalla legislazione nazionale.

4. The parties do not object to a data subject being represented by an association or other body if the data subject so expressly wishes and if permitted by national law.

Clausola 4

Clause 4

Obblighi dell’esportatore

Obligations of the data exporter

L’esportatore dichiara e garantisce quanto segue:

The data exporter agrees and warrants:

a) che il trattamento, compreso il trasferimento, dei dati personali, è e continua ad essere effettuato in conformità di tutte le pertinenti disposizioni della normativa sulla protezione dei dati (e viene comunicato, se del caso, alle competenti autorità dello Stato membro in cui è stabilito l’esportatore) nel pieno rispetto delle leggi vigenti in quello Stato;

(a) that the processing, including the transfer itself, of the personal data has been and will continue to be carried out in accordance with the relevant provisions of the applicable data protection law (and, where applicable, has been notified to the relevant authorities of the Member State where the data exporter is established) and does not violate the relevant provisions of that State;

b) che ha prescritto all’importatore, e continuerà a farlo per tutta la durata delle operazioni di trattamento, di trattare i dati personali trasferiti soltanto per suo conto e conformemente alla normativa sulla protezione dei dati e alle presenti clausole;

(b) that it has instructed and throughout the duration of the personal data-processing services will instruct the data importer to process the personal data transferred only on the data exporter’s behalf and in accordance with the applicable data protection law and the Clauses;

c) che l’importatore fornirà sufficienti garanzie per quanto riguarda le misure tecniche e organizzative di sicurezza indicate nell’appendice 2;

(c) that the data importer will provide sufficient guarantees in respect of the technical and organisational security measures specified in Appendix 2 to this contract;

d) che, alla luce della normativa sulla protezione dei dati, le misure di sicurezza sono atte a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali, e che tali misure garantiscono un livello di sicurezza commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare, tenuto conto della più recente tecnologia e dei costi di attuazione;

(d) that after assessment of the requirements of the applicable data protection law, the security measures are appropriate to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing, and that these measures ensure a level of security appropriate to the risks presented by the processing and the nature of the data to be protected having regard to the state of the art and the cost of their implementation;

e) che provvederà all’osservanza delle misure di sicurezza;

(e) that it will ensure compliance with the security measures;

f) che, qualora il trasferimento riguardi categorie particolari di dati, gli interessati sono stati o saranno informati prima del trasferimento, o immediatamente dopo, che i dati che li riguardano potrebbero essere trasmessi a un paese terzo che non garantisce una protezione adeguata ai sensi della direttiva 95/46/CE;

(f) that, if the transfer involves special categories of data, the data subject has been informed or will be informed before, or as soon as possible after, the transfer that its data could be transmitted to a third country not providing adequate protection within the meaning of Directive 95/46/EC;

g) di trasmettere all’autorità di controllo l’eventuale comunicazione presentata dall’importatore o dal subincaricato ai sensi della clausola 5, lettera b), e della clausola 8, paragrafo 3, qualora decida di proseguire il trasferimento o revocare la sospensione;

(g) to forward any notification received from the data importer or any sub-processor pursuant to Clause 5(b) and Clause 8(3) to the data protection supervisory authority if the data exporter decides to continue the transfer or to lift the suspension;

h) che fornirà, su richiesta degli interessati, copia delle presenti clausole, esclusa l’appendice 2, e una descrizione generale delle misure di sicurezza, nonché copia dei subcontratti aventi ad oggetto il trattamento da effettuarsi in conformità delle presenti clausole, omettendo le informazioni commerciali eventualmente contenute nelle clausole o nel contratto;

(h) to make available to the data subjects upon request a copy of the Clauses, with the exception of Appendix 2, and a summary description of the security measures, as well as a copy of any contract for sub-processing services which has to be made in accordance with the Clauses, unless the Clauses or the contract contain commercial information, in which case it may remove such commercial information;

i) che, in caso di subcontratto, il subincaricato svolge l’attività di trattamento in conformità della clausola 11 garantendo un livello di protezione dei dati personali e dei diritti dell’interessato quanto meno uguale a quello cui è tenuto l’importatore ai sensi delle presenti clausole;

(i) that, in the event of sub-processing, the processing activity is carried out in accordance with Clause 11 by a sub-processor providing at least the same level of protection for the personal data and the rights of data subject as the data importer under the Clauses; and

j) che provvederà all’osservanza della clausola 4, lettere da a) ad i).

(j) that it will ensure compliance with Clause 4(a) to (i).

Clausola 5

Clause 5

Obblighi dell’importatore [2]

Obligations of the data importer [2]

L’importatore dichiara e garantisce quanto segue:

The data importer agrees and warrants:

a) di trattare i dati personali esclusivamente per conto e secondo le istruzioni dell’esportatore, nonché a norma delle presenti clausole, e di impegnarsi a informare prontamente l’esportatore qualora non possa per qualsiasi ragione ottemperare a tale disposizione, nel qual caso l’esportatore ha facoltà di sospendere il trasferimento e/o risolvere il contratto;

(a) to process the personal data only on behalf of the data exporter and in compliance with its instructions and the Clauses; if it cannot provide such compliance for whatever reasons, it agrees to inform promptly the data exporter of its inability to comply, in which case the data exporter is entitled to suspend the transfer of data and/or terminate the contract;

b) di non avere motivo di ritenere che la normativa ad esso applicabile impedisca di seguire le istruzioni dell’esportatore o di adempiere agli obblighi contrattuali, e di comunicare all’esportatore, non appena ne abbia conoscenza, qualsiasi modificazione di tale normativa che possa pregiudicare le garanzie e gli obblighi previsti dalle presenti clausole, nel qual caso l’esportatore ha facoltà di sospendere il trasferimento e/o di risolvere il contratto;

(b) that it has no reason to believe that the legislation applicable to it prevents it from fulfilling the instructions received from the data exporter and its obligations under the contract and that in the event of a change in this legislation which is likely to have a substantial adverse effect on the warranties and obligations provided by the Clauses, it will promptly notify the change to the data exporter as soon as it is aware, in which case the data exporter is entitled to suspend the transfer of data and/or terminate the contract;

c) di aver applicato le misure tecniche e organizzative di sicurezza indicate nell’appendice 2 prima di procedere al trattamento dei dati personali trasferiti;

(c) that it has implemented the technical and organisational security measures specified in Appendix 2 before processing the personal data transferred;

d) che comunicherà prontamente all’esportatore:

(d) that it will promptly notify the data exporter about:

i) qualsiasi richiesta giuridicamente vincolante presentata da autorità giudiziarie o di polizia ai fini della comunicazione di dati personali, salvo che la comunicazione sia vietata da norme specifiche, ad esempio da norme di diritto penale miranti a tutelare il segreto delle indagini;

(i) any legally binding request for disclosure of the personal data by a law enforcement authority unless otherwise prohibited, such as a prohibition under criminal law to preserve the confidentiality of a law enforcement investigation;

ii) qualsiasi accesso accidentale o non autorizzato; e

(ii) any accidental or unauthorised access; and

iii) qualsiasi richiesta ricevuta direttamente dagli interessati cui non abbia risposto, salvo che sia stato autorizzato a non rispondere;

(iii) any request received directly from the data subjects without responding to that request, unless it has been otherwise authorised to do so;

e) che risponderà prontamente e adeguatamente a tutte le richieste dell’esportatore relative al trattamento dei dati personali soggetti a trasferimento e che si conformerà al parere dell’autorità di controllo per quanto riguarda il trattamento dei dati trasferiti;

(e) to deal promptly and properly with all inquiries from the data exporter relating to its processing of the personal data subject to the transfer and to abide by the advice of the supervisory authority with regard to the processing of the data transferred;

f) che sottoporrà i propri impianti di trattamento, su richiesta dell’esportatore, al controllo dell’esportatore o di un organismo ispettivo composto da soggetti indipendenti, in possesso delle necessarie qualificazioni professionali, vincolati da obbligo di riservatezza e selezionati dall’esportatore, eventualmente di concerto con l’autorità di controllo;

(f) at the request of the data exporter to submit its data-processing facilities for audit of the processing activities covered by the Clauses which shall be carried out by the data exporter or an inspection body composed of independent members and in possession of the required professional qualifications bound by a duty of confidentiality, selected by the data exporter, where applicable, in agreement with the supervisory authority;

g) che fornirà, su richiesta degli interessati, copia delle presenti, esclusa l’appendice 2, e una descrizione generale delle misure di sicurezza qualora gli interessati non siano in grado di ottenerne copia direttamente dall’esportatore, o copia dei subcontratti del trattamento, omettendo le informazioni commerciali contenute nelle clausole o nel contratto;

(g) to make available to the data subject upon request a copy of the Clauses, or any existing contract for sub-processing, unless the Clauses or contract contain commercial information, in which case it may remove such commercial information, with the exception of Appendix 2 which shall be replaced by a summary description of the security measures in those cases where the data subject is unable to obtain a copy from the data exporter;

h) che, in caso di subcontratto, ha provveduto a informare l’esportatore e ha da questi ottenuto il consenso scritto;

(h) that, in the event of sub-processing, it has previously informed the data exporter and obtained its prior written consent;

i) che il subincaricato svolgerà l’attività di trattamento in conformità della clausola 11;

(i) that the processing services by the sub-processor will be carried out in accordance with Clause 11;

j) che invierà prontamente all’esportatore copia dei subcontratti conclusi ai sensi delle presenti clausole.

(j) to send promptly a copy of any sub-processor agreement it concludes under the Clauses to the data exporter.

Clausola 6

Clause 6

Responsabilità

Liability

1. Le parti convengono che l’interessato che abbia subito un pregiudizio per violazione degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera di una parte o del subincaricato ha diritto di ottenere dall’esportatore il risarcimento del danno sofferto.

1. The parties agree that any data subject, who has suffered damage as a result of any breach of the obligations referred to in Clause 3 or in Clause 11 by any party or sub-processor is entitled to receive compensation from the data exporter for the damage suffered.

2. Qualora l’interessato non sia in grado di proporre l’azione di risarcimento di cui al paragrafo 1 nei confronti dell’esportatore per violazione di uno degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera dell’importatore o del subincaricato, in quanto l’esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente, l’importatore riconosce all’interessato stesso il diritto di agire nei suoi confronti così come se egli fosse l’esportatore, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore, nel qual caso l’interessato può far valere i suoi diritti nei confronti del successore.

2. If a data subject is not able to bring a claim for compensation in accordance with paragraph 1 against the data exporter, arising out of a breach by the data importer or his sub-processor of any of their obligations referred to in Clause 3 or in Clause 11, because the data exporter has factually disappeared or ceased to exist in law or has become insolvent, the data importer agrees that the data subject may issue a claim against the data importer as if it were the data exporter, unless any successor entity has assumed the entire legal obligations of the data exporter by contract of by operation of law, in which case the data subject can enforce its rights against such entity.

L’importatore non può far valere la violazione degli obblighi ad opera del subincaricato al fine di escludere la propria responsabilità.

The data importer may not rely on a breach by a sub-processor of its obligations in order to avoid its own liabilities.

3. Qualora l’interessato non sia in grado di agire in giudizio, ai fini dei paragrafi 1 e 2, nei confronti dell’esportatore o dell’importatore per violazione di uno degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera del subincaricato, in quanto sia l’esportatore che l’importatore siano scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, il subincaricato riconosce all’interessato stesso il diritto di agire nei suoi confronti per quanto riguarda i trattamenti da quello effettuati ai sensi delle presenti clausole così come se egli fosse l’esportatore o l’importatore, a meno che tutti gli obblighi dell’esportatore o dell’importatore siano stati trasferiti, per contratto o per legge, all’eventuale successore, nel qual caso l’interessato può far valere i suoi diritti nei confronti del successore. La responsabilità del subincaricato è limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole.

3. If a data subject is not able to bring a claim against the data exporter or the data importer referred to in paragraphs 1 and 2, arising out of a breach by the sub-processor of any of their obligations referred to in Clause 3 or in Clause 11 because both the data exporter and the data importer have factually disappeared or ceased to exist in law or have become insolvent, the sub-processor agrees that the data subject may issue a claim against the data sub-processor with regard to its own processing operations under the Clauses as if it were the data exporter or the data importer, unless any successor entity has assumed the entire legal obligations of the data exporter or data importer by contract or by operation of law, in which case the data subject can enforce its rights against such entity. The liability of the sub-processor shall be limited to its own processing operations under the Clauses.

Clausola 7

Clause 7

Mediazione e giurisdizione

Mediation and jurisdiction

1. L’importatore dichiara che qualora l’interessato faccia valere il diritto del terzo beneficiario e/o chieda il risarcimento dei danni in base alle presenti clausole, egli accetterà la decisione dello stesso interessato:

1. The data importer agrees that if the data subject invokes against it third-party beneficiary rights and/or claims compensation for damages under the Clauses, the data importer will accept the decision of the data subject:

a) di sottoporre la controversia alla mediazione di un terzo indipendente o eventualmente dell’autorità di controllo;

(a) to refer the dispute to mediation, by an independent person or, where applicable, by the supervisory authority;

b) di deferire la controversia agli organi giurisdizionali dello Stato membro in cui è stabilito l’esportatore.

(b) to refer the dispute to the courts in the Member State in which the data exporter is established.

2. Le parti dichiarano che la scelta compiuta dall’interessato non pregiudica i diritti sostanziali o procedurali spettanti allo stesso relativamente ai rimedi giuridici previsti dalla normativa nazionale o internazionale.

2. The parties agree that the choice made by the data subject will not prejudice its substantive or procedural rights to seek remedies in accordance with other provisions of national or international law.

Clausola 8

Clause 8

Collaborazione con le autorità di controllo

Cooperation with supervisory authorities

1. L’esportatore si impegna a depositare una copia del presente contratto presso l’autorità di controllo, qualora questa ne faccia richiesta o qualora il deposito sia prescritto dalla normativa sulla protezione dei dati.

1. The data exporter agrees to deposit a copy of this contract with the supervisory authority if it so requests or if such deposit is required under the applicable data protection law.

2. Le parti dichiarano che l’autorità di controllo ha il diritto di sottoporre a controlli l’importatore e i subincaricati nella stessa misura e secondo le stesse modalità previste per l’esportatore dalla normativa sulla protezione dei dati.

2. The parties agree that the supervisory authority has the right to conduct an audit of the data importer, and of any sub-processor, which has the same scope and is subject to the same conditions as would apply to an audit of the data exporter under the applicable data protection law.

3. L’importatore informa prontamente l’esportatore dell’esistenza di disposizioni normative applicabili all’importatore o ai subincaricati, che impediscono di sottoporli a controlli ai sensi del paragrafo 2. In tale ipotesi l’esportatore ha facoltà di prendere le misure di cui alla clausola 5, lettera b).

3. The data importer shall promptly inform the data exporter about the existence of legislation applicable to it or any sub-processor preventing the conduct of an audit of the data importer, or any sub-processor, pursuant to paragraph 2. In such a case the data exporter shall be entitled to take the measures foreseen in Clause 5(b).

Clausola 9

Clause 9

Legge applicabile

Governing law

Le presenti clausole sono soggette alla legge dello Stato membro in cui è stabilito l’esportatore, ossia …

The Clauses shall be governed by the law of the Member State in which the data exporter is established, namely …

Clausola 10

Clause 10

Modifica del contratto

Variation of the contract

Le parti si impegnano a non alterare o non modificare le presenti clausole. Ciò non osta a che le parti inseriscano altre clausole commerciale ritenute necessarie, purché non siano in contrasto con le clausole.

The parties undertake not to vary or modify the Clauses. This does not preclude the parties from adding clauses on business related issues where required as long as they do not contradict the Clause.

Clausola 11

Clause 11

Subcontratto

Sub-processing

1. L’importatore non può subcontrattare i trattamenti effettuati per conto dell’esportatore ai sensi delle presenti clausole senza il previo consenso scritto dell’esportatore stesso. L’importatore che, con il consenso dell’esportatore, affidi in subcontratto l’esecuzione degli obblighi ai sensi delle presenti clausole stipula, a tal fine, con il subincaricato un accordo scritto che imponga a quest’ultimo gli obblighi cui è egli stesso tenuto in virtù delle clausole [3]. L’importatore rimane pienamente responsabile nei confronti dell’esportatore per l’inadempimento, da parte del subincaricato, degli obblighi di protezione dei dati previsti dall’accordo scritto.

1. The data importer shall not subcontract any of its processing operations performed on behalf of the data exporter under the Clauses without the prior written consent of the data exporter. Where the data importer subcontracts its obligations under the Clauses, with the consent of the data exporter, it shall do so only by way of a written agreement with the sub-processor which imposes the same obligations on the sub-processor as are imposed on the data importer under the Clauses [3]. Where the sub-processor fails to fulfil its data protection obligations under such written agreement the data importer shall remain fully liable to the data exporter for the performance of the sub-processor’s obligations under such agreement.

2. Nell’accordo scritto tra l’importatore e il subincaricato è inserita la clausola del terzo beneficiario, di cui alla clausola 3, a favore dell’interessato che non sia in grado di proporre l’azione di risarcimento di cui alla clausola 6, paragrafo 1, nei confronti dell’esportatore o dell’importatore in quanto l’esportatore e l’importatore siano entrambi scomparsi di fatto, abbiano giuridicamente cessato di esistere o siano divenuti insolventi, e nessun successore abbia assunto, per contratto o per legge, l’insieme dei loro obblighi. La responsabilità civile del subincaricato è limitata ai trattamenti da quello effettuati ai sensi delle presenti clausole.

2. The prior written contract between the data importer and the sub-processor shall also provide for a third-party beneficiary clause as laid down in Clause 3 for cases where the data subject is not able to bring the claim for compensation referred to in paragraph 1 of Clause 6 against the data exporter or the data importer because they have factually disappeared or have ceased to exist in law or have become insolvent and no successor entity has assumed the entire legal obligations of the data exporter or data importer by contract or by operation of law. Such third-party liability of the sub-processor shall be limited to its own processing operations under the Clauses.

3. Le disposizioni sulla protezione dei dati ai fini del subcontratto di cui al paragrafo 1 sono soggette alla legge dello Stato membro in cui è stabilito l’esportatore, ossia …

3. The provisions relating to data protection aspects for sub-processing of the contract referred to in paragraph 1 shall be governed by the law of the Member State in which the data exporter is established, namely …

4. L’esportatore tiene un elenco dei subcontratti conclusi ai sensi delle presenti clausole e comunicati dall’importatore a norma della clausola 5, lettera j), e lo aggiorna almeno una volta all’anno. L’elenco sarà tenuto a disposizione dell’autorità di controllo dell’esportatore.

4. The data exporter shall keep a list of sub-processing agreements concluded under the Clauses and notified by the data importer pursuant to Clause 5(j), which shall be updated at least once a year. The list shall be available to the data exporter’s data protection supervisory authority.

Clausola 12

Clause 12

Obblighi al termine dell’attività di trattamento dei dati personali

Obligation after the termination of personal data-processing services

1. Le parti convengono che al termine dell’attività di trattamento l’importatore e il subincaricato provvedono, a scelta dell’esportatore, a restituire a quest’ultimo tutti i dati personali trasferiti e le relative copie ovvero a distruggere tali dati, certificando all’esportatore l’avvenuta distruzione, salvo che gli obblighi di legge impediscano di restituire o distruggere in tutto o in parte i dati personali trasferiti. In questo caso, l’importatore si impegna a garantire la riservatezza dei dati personali trasferiti e ad astenersi dal trattare di propria iniziativa tali dati.

1. The parties agree that on the termination of the provision of data-processing services, the data importer and the sub-processor shall, at the choice of the data exporter, return all the personal data transferred and the copies thereof to the data exporter or shall destroy all the personal data and certify to the data exporter that it has done so, unless legislation imposed upon the data importer prevents it from returning or destroying all or part of the personal data transferred. In that case, the data importer warrants that it will guarantee the confidentiality of the personal data transferred and will not actively process the personal data transferred anymore.

2. L’importatore e il subincaricato si impegnano a sottoporre a controllo i propri impianti di trattamento su richiesta dell’esportatore e/o dell’autorità di controllo, ai fini della verifica dell’esecuzione dei provvedimenti di cui al paragrafo 1.

2. The data importer and the sub-processor warrant that upon request of the data exporter and/or of the supervisory authority, it will submit its data-processing facilities for an audit of the measures referred to in paragraph 1.

Per conto dell’esportatore:

On behalf of the data exporter:

Cognome e nome: …

Name (written out in full): …

Qualifica: …

Position: …

Indirizzo: …

Address: …

Altre informazioni necessarie per convalidare il contratto:

Other information necessary in order for the contract to be binding (if any):

+++++ TIFF +++++

+++++ TIFF +++++

(timbro dell’organizzazione) | Firma … |

(stamp of organisation) | Signature … |

Per conto dell’importatore:

On behalf of the data importer:

Cognome e nome: …

Name (written out in full): …

Qualifica: …

Position: …

Indirizzo: …

Address: …

Altre informazioni necessarie per convalidare il contratto:

Other information necessary in order for the contract to be binding (if any):

+++++ TIFF +++++

+++++ TIFF +++++

(timbro dell’organizzazione) | Firma … |

(stamp of organisation) | Signature … |

[1] Le parti hanno facoltà di avvalersi delle definizioni di cui alla direttiva 95/46/CE nell’ambito della presente clausola se ritenuto preferibile ai fini del contratto.

[1] Parties may reproduce definitions and meanings contained in Directive 95/46/EC within this Clause if they considered it better for the contract to stand alone.

[2] Disposizioni vincolanti della legislazione nazionale applicabile all’importatore che non vanno oltre quanto è necessario in una società democratica sulla base di uno degli interessi di cui all’articolo 13, paragrafo 1, della direttiva 95/46/CE; in altri termini, le restrizioni necessarie alla salvaguardia della sicurezza dello Stato, della difesa, della pubblica sicurezza, della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate, di un rilevante interesse economico o finanziario dello Stato, della protezione della persona cui si riferiscono i dati o dei diritti o delle libertà altrui, non sono in contraddizione con le clausole contrattuali tipo. Costituiscono esempi di disposizioni vincolanti che non vanno oltre quanto è necessario in una società democratica le sanzioni internazionalmente riconosciute, gli obblighi di informazione in materia fiscale o contro il riciclaggio di capitali.

[2] Mandatory requirements of the national legislation applicable to the data importer which do not go beyond what is necessary in a democratic society on the basis of one of the interests listed in Article 13(1) of Directive 95/46/EC, that is, if they constitute a necessary measure to safeguard national security, defence, public security, the prevention, investigation, detection and prosecution of criminal offences or of breaches of ethics for the regulated professions, an important economic or financial interest of the State or the protection of the data subject or the rights and freedoms of others, are not in contradiction with the standard contractual clauses. Some examples of such mandatory requirements which do not go beyond what is necessary in a democratic society are, inter alia, internationally recognised sanctions, tax-reporting requirements or anti-money-laundering reporting requirements.

[3] Tale prescrizione può considerarsi soddisfatta qualora il subincaricato sottoscriva il contratto concluso tra l’esportatore e l’importatore ai sensi della presente decisione.

[3] This requirement may be satisfied by the sub-processor co-signing the contract entered into between the data exporter and the data importer under this Decision.

--------------------------------------------------

--------------------------------------------------

Appendice 1

Appendix 1

Alle clausole contrattuali tipo

to the Standard Contractual Clauses

La presente appendice costituisce parte integrante delle clausole contrattuali e deve essere compilata e sottoscritta dalle parti

This Appendix forms part of the Clauses and must be completed and signed by the parties

(Gli Stati membri hanno facoltà di integrare o specificare ulteriormente, conformemente alle rispettive procedure nazionali, qualsiasi altra informazione che debba fare parte della presente appendice)

The Member States may complete or specify, according to their national procedures, any additional necessary information to be contained in this Appendix

Esportatore

Data exporter

(specificare brevemente le attività pertinenti al trasferimento):

The data exporter is (please specify briefly your activities relevant to the transfer):

…

…

…

…

…

…

Importatore

Data importer

(specificare brevemente le attività pertinenti al trasferimento):

The data importer is (please specify briefly activities relevant to the transfer):

…

…

…

…

…

…

Interessati

Data subjects

I dati personali trasferiti interessano le seguenti categorie di persone (specificare):

The personal data transferred concern the following categories of data subjects (please specify):

…

…

…

…

…

…

Categorie di dati oggetto di trasferimento

Categories of data

I dati trasferiti interessano le seguenti categorie di dati (specificare):

The personal data transferred concern the following categories of data (please specify):

…

…

…

…

…

…

Categorie particolari di dati (se del caso)

Special categories of data (if appropriate)

Il trasferimento interessa le seguenti categorie particolari di dati (specificare):

The personal data transferred concern the following special categories of data (please specify):

…

…

…

…

…

…

Trattamento

Processing operations

I dati personali trasferiti saranno sottoposti alle seguenti attività principali di trattamento (specificare):

The personal data transferred will be subject to the following basic processing activities (please specify):

…

…

…

…

…

…

L’ESPORTATORE

DATA EXPORTER

Nome: …

Name: …

Firma del rappresentante autorizzato …

Authorised Signature …

L’IMPORTATORE

DATA IMPORTER

Nome: …

Name: …

Firma del rappresentante autorizzato …

Authorised Signature …

--------------------------------------------------

--------------------------------------------------

Appendice 2

Appendix 2

alle clausole contrattuali tipo

to the Standard Contractual Clauses

La presente appendice costituisce parte integrante delle clausole contrattuali e deve essere compilata e sottoscritta dalle parti

This Appendix forms part of the Clauses and must be completed and signed by the parties.

Descrizione delle misure tecniche e organizzative di sicurezza attuate dall’importatore in conformità della clausola 4, lettera d), e della clausola 5, lettera c) (o del documento/atto legislativo allegato):

Description of the technical and organisational security measures implemented by the data importer in accordance with Clauses 4(d) and 5(c) (or document/legislation attached):

…

…

…

…

…

…

…

…

CLAUSOLA ESEMPLIFICATIVA DI INDENNIZZO (FACOLTATIVA)

ILLUSTRATIVE INDEMNIFICATION CLAUSE (OPTIONAL)

Responsabilità

Liability

Le parti convengono che se una di esse viene riconosciuta responsabile di una violazione delle clausole commessa dall’altra parte, quest’ultima, nei limiti della sua responsabilità, è tenuta a indennizzare la prima per ogni costo, onere, danno, spesa o perdita sostenuti.

The parties agree that if one party is held liable for a violation of the clauses committed by the other party, the latter will, to the extent to which it is liable, indemnify the first party for any cost, charge, damages, expenses or loss it has incurred.

Tale indennizzo è subordinato al fatto che:

Indemnification is contingent upon:

a) l’esportatore informi prontamente l’importatore in merito alle istanze presentate;

(a) the data exporter promptly notifying the data importer of a claim; and

b) l’importatore abbia la possibilità di collaborare con l’esportatore nella difesa e nella risoluzione della controversia [1].

(b) the data importer being given the possibility to cooperate with the data exporter in the defence and settlement of the claim [1].

[1] Il paragrafo sulla responsabilità è facoltativo.

[1] Paragraph on liabilities is optional.