Lo scorso 4 giugno 2021 la Commissione Europea ha approvato due nuovi modelli di clausole contrattuali  standard  riguardanti  l’applicazione  del  Regolamento  (UE)  2016/679  (Regolamento generale sulla protezione dei dati personali o “GDPR”):

Decisione 2021/915/UE: clausole che disciplinano i rapporti tra i titolari e responsabili del trattamento, ai sensi dell’articolo 28, paragrafo 7 del GDPR

Decisione 2021/914/UE: clausole recanti garanzie adeguate per i trasferimenti al di fuori dell’Unione europea ai sensi dell’articolo 46, paragrafo 2, lett, c) del GDPR.

Queste nuove clausole standard sono state pubblicate nella Gazzetta ufficiale dell’Unione Europea del 7 giugno 2021 (L199) e sono entrate in vigore il 27 giugno 2021, cioè il ventesimo giorno successivo alla pubblicazione.

Cosa è necessario fare?

Rapporti tra titolari e Responsabili Esterni del Trattamento (Art.28 GDPR)

è necessario verificare che la nomina dei Responsabili del Trattamento Esterni, sia conforme alle clausole contrattuali ivi indicate. Tali clausole riportano i minimi obblighi reciproci che devono assumersi il Titolare e il Responsabile. Infatti al considerando (6) della decisione viene indicato che “tali clausole possono essere incluse in un contratto più ampio o aggiungere altre clausole o garanzie purché queste non contraddicano, direttamente o indirettamente, le clausole contrattuali tipo o pregiudichino i diritti o le libertà fondamentali degli interessati”

Esportazione dati fuori Europa (Art.46 GDPR)

Tali clausole sanano un vuoto che si era generato nell’esportazioni dei dati fuori Europa che si era venuto a creare con la sentenza Schrems II che aveva invalidato il Privacy Shield.

L’applicazione di tali clausole permette alle aziende o a chiunque debba esportare o usare servizi fuori Europa di farlo liberamente senza alcune restrizioni.

Di seguito, riportiamo le principali novità introdotte dalle nuove clausole contrattuali standard:

viene coperta un’ampia gamma di scenari di trasferimento, invece di dover adottare diverse e separate clausole per ogni diverso trasferimento effettuato;

sono più flessibili con catene di trattamenti complesse. Sono caratterizzate, infatti, da un “approccio modulare” e possono essere utilizzate da più di due parti;

sono strumenti pratici per conformarsi alla sentenza Schrems II.

È necessario adeguare i propri rapporti contrattuali con l’inserimento di tali nuove clausole contrattuali all’interno di quei contratti che prevedono il trasferimento di dati personali. A tal fine, per i Titolari del trattamento e ai Responsabili del trattamento ex art. 28

GDPR che stanno attualmente utilizzando le ormai “vecchie” clausole, è concesso un periodo di transizione di 18 mesi per potersi adeguare a quelle di nuova introduzione