Se il fornitore con cui stipulate un accordo di elaborazione dei dati si trova al di fuori dell'Unione europea o dello Spazio economico europeo, l'accordo di elaborazione dei dati stesso non cambia sostanzialmente. Gli stessi elementi prescritti dal GDPR — l'oggetto e la durata dell'elaborazione, la natura e la finalità, il tipo di dati, le categorie di interessati, e gli obblighi e i diritti vostri come titolare del trattamento — devono comunque esserne parte, indipendentemente da dove il fornitore ha sede.
Ciò che si aggiunge è un ulteriore livello di norme: il GDPR pone condizioni aggiuntive al trasferimento dei dati personali verso un paese al di fuori dell'UE o dello SEE. Questo livello vi obbliga a verificare se per quel paese specifico è necessaria una tutela supplementare rispetto alle normali disposizioni dell'accordo di elaborazione dei dati, e se sì, quale.
Ciò che rimane invariato
Il nucleo di un accordo di elaborazione dei dati riguarda la relazione tra voi e la parte che elabora i dati per vostro conto: chi fa cosa, con quale scopo, per quanto tempo, e che cosa accade in caso di violazione dei dati o di interruzione della collaborazione. Questi accordi si applicano a ogni elaboratore, sia esso situato a Rotterdam, Dublino o San Francisco. Un fornitore al di fuori dell'UE non vi esonera quindi dal controllo ordinario su un accordo di elaborazione dei dati; questo controllo rimane necessario, semplicemente si aggiunge qualcosa in più.
Le norme sui trasferimenti: il livello aggiuntivo
Il GDPR stabilisce separatamente sotto quali condizioni i dati personali possono lasciare il territorio dell'UE o dello SEE. Il principio di base è che il livello di protezione dei dati non deve diminuire perché vengono trasferiti verso un altro paese. Per un certo numero di paesi, la Commissione europea ha stabilito che il livello di protezione è sufficiente; questo si chiama decisione di adeguatezza, e non si applica automaticamente a tutto un paese ma talvolta solo a un settore o a un regime specifico. Quando non esiste una decisione di adeguatezza, un meccanismo comunemente utilizzato è rappresentato dalle clausole contrattuali tipo pubblicate dalla Commissione europea: un modello stabilito che viene utilizzato come supplemento accanto all'accordo di elaborazione dei dati o come allegato ad esso. Quale variante si applica e se è aggiornata cambia talvolta; l'ubicazione degli elenchi e dei modelli attuali si trova presso la Commissione europea e presso l'Autorità per la protezione dei dati, non in un testo fisso che potete ricordare.
Il cloud rende la questione più complicata di quanto sembri
Con molti strumenti SaaS, la domanda "il mio fornitore si trova all'interno dell'UE" sembra più semplice di quanto lo sia effettivamente. Un fornitore può avere una sede centrale europea e tuttavia utilizzare sub-elaboratori, data center per il backup o personale di supporto al di fuori dell'UE. Anche questo conta come trasferimento, anche se la sede principale si trova nei Paesi Bassi o in Germania. La domanda non è quindi solo dove il fornitore ha sede, ma dove i dati vengono effettivamente elaborati, compresi i collegamenti dietro di esso.
Ciò che potete praticamente verificare
Un fornitore che ha i propri affari in ordine di solito può indicare dove vengono elaborati e archiviati i dati, se vengono coinvolti sub-elaboratori al di fuori dell'UE e quale meccanismo di trasferimento è stato applicato per questo. Questo tipo di domande deve rientrare nella stessa valutazione del resto dell'accordo di elaborazione dei dati: non come esercizio separato in seguito, ma come parte della lettura dell'accordo stesso. Chi cerca una struttura in questo, la trova in spiegazione per argomento nella banca dati come le diverse situazioni si relazionano tra loro.
Perché l'ubicazione della fonte è particolarmente importante qui
Poiché gli elenchi di decisioni di adeguatezza e i modelli di clausole contrattuali tipo cambiano nel tempo, il rischio di un presupposto obsoleto è qui più grande che nella maggior parte degli altri argomenti GDPR. Un testo che è corretto oggi potrebbe non esserlo più tra un anno. Per questo motivo, su questo tipo di argomenti lavoriamo sempre con un riferimento diretto alla fonte anziché con un riassunto che deve stare da solo; leggete esattamente come funziona su la pagina su dove provengono le nostre informazioni.
Cosa significa questo per il vostro registro e i vostri accordi
Se tenete traccia di quali fornitori utilizzate e dove sono stabiliti, vedete a colpo d'occhio quali accordi di trattamento dei dati contengono regole di trasferimento e quali no. Questo è esattamente il motivo per cui il paese di stabilimento è una parte fissa del modo in cui inseriamo un fornitore nel sistema. Le domande che tornano spesso su questo tema sono raccolte in domande frequenti su fornitori e dati al di fuori dei Paesi Bassi.
Se per la vostra situazione è effettivamente necessaria una garanzia supplementare e quale, è in ultima analisi una decisione vostra o del vostro consulente legale; forniamo chiarimenti e struttura, non consulenza legale. In caso di dubbi sull'applicazione in un caso concreto, potete anche rivolgervi all'Autorità Nazionale per la Protezione dei Dati.
Volete avere una panoramica chiara di quali dei vostri fornitori si trovano dentro e quali fuori dell'UE, e se c'è un accordo di trattamento dei dati con le giuste garanzie? Fate il controllo gratuito su un accordo di trattamento dei dati oppure aprite un account aziendale per tenerlo traccia nel vostro registro.