Art. 46 — Trasferimento soggetto a garanzie adeguate

In mancanza di una decisione ai sensi dell'articolo 45, paragrafo 3, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un'organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.

Possono costituire garanzie adeguate di cui al paragrafo 1 senza necessitare di autorizzazioni specifiche da parte di un'autorità di controllo: a) uno strumento giuridicamente vincolante e avente efficacia esecutiva tra autorità pubbliche o organismi pubblici; b) le norme vincolanti d'impresa in conformità dell'articolo 47; c) le clausole tipo di protezione dei dati adottate dalla Commissione secondo la procedura d'esame di cui all'articolo 93, paragrafo 2; d) le clausole tipo di protezione dei dati adottate da un'autorità di controllo e approvate dalla Commissione secondo la procedura d'esame di cui all'articolo 93, paragrafo 2; e) un codice di condotta approvato a norma dell'articolo 40,unitamente all'impegno vincolante ed esecutivo da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati; o f) un meccanismo di certificazione approvato a norma dell'articolo 42, unitamente all'impegno vincolante ed esigibile da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati.

Fatta salva l'autorizzazione dell'autorità di controllo competente, possono altresì costituire in particolare garanzie adeguate di cui al paragrafo 1: a) le clausole contrattuali tra il titolare del trattamento o il responsabile del trattamento e il titolare del trattamento, il responsabile del trattamento o il destinatario dei dati personali nel paese terzo o nell'organizzazione internazionale; o b) le disposizioni da inserire in accordi amministrativi tra autorità pubbliche o organismi pubblici che comprendono diritti effettivi e azionabili per gli interessati.

L'autorità di controllo applica il meccanismo di coerenza di cui all'articolo 63 nei casi di cui al paragrafo 3 del presente articolo.

Le autorizzazioni rilasciate da uno Stato membro o dall'autorità di controllo in base all'articolo 26, paragrafo 2, della direttiva 95/46/CE restano valide fino a quando non vengono modificate, sostituite o abrogate, se necessario, dalla medesima autorità di controllo. Le decisioni adottate dalla Commissione in base all'articolo 26, paragrafo 4, della direttiva 95/46/CE restano in vigore fino a quando non vengono modificate, sostituite o abrogate, se necessario, da una decisione della Commissione adottata conformemente al paragrafo 2 del presente articolo.

Testo vigente al 4 maggio 2016. Fonte: EUR-Lex, © Unione europea, dati aperti con licenza CC BY 4.0. Solo il testo pubblicato nella Gazzetta ufficiale dell’Unione europea ha carattere di ufficialità. Fonti e licenze →

Spiegazione

Se non esiste una decisione che riconosce adeguata la protezione offerta dal paese destinatario, i dati possono essere trasferiti solo se sono previste garanzie concrete. Le persone interessate devono poter far valere i propri diritti e ottenere un rimedio effettivo. Tra le garanzie possibili rientrano clausole standard, norme vincolanti d’impresa, codici di condotta e certificazioni, alle condizioni previste. Alcune soluzioni, come clausole contrattuali specifiche o accordi amministrativi tra enti pubblici, richiedono l’autorizzazione dell’autorità di controllo.

Perché esiste questa norma

La norma mira a evitare che il trasferimento fuori dall’Unione europea renda i dati meno protetti o i diritti delle persone impossibili da esercitare. Per questo richiede garanzie verificabili e rimedi effettivi anche nel paese destinatario.

Domande frequenti

Un’azienda può trasferire i miei dati a un fornitore fuori dall’Unione europea?

Se non c’è una decisione di adeguatezza, può farlo soltanto adottando garanzie adeguate e assicurando che tu possa far valere i tuoi diritti e ottenere un rimedio effettivo.

Basta una clausola nel contratto con il fornitore straniero?

Non necessariamente. Possono essere usate clausole standard previste dalla norma; clausole contrattuali specifiche richiedono invece l’autorizzazione dell’autorità di controllo competente.

Un ente pubblico può scambiare dati con un’autorità di un paese terzo?

Sì, se utilizza garanzie adeguate, per esempio uno strumento vincolante ed esecutivo tra enti pubblici. In alternativa, un accordo amministrativo deve prevedere diritti effettivi per gli interessati e ottenere l’autorizzazione richiesta.

Un codice di condotta o una certificazione possono bastare per trasferire i miei dati?

Possono costituire una garanzia se sono approvati e se il destinatario nel paese terzo si impegna in modo vincolante ed esigibile a rispettare le garanzie, anche sui diritti delle persone.

Le autorizzazioni ottenute secondo le vecchie regole sono ancora valide?

Sì, restano valide finché l’autorità competente non le modifica, sostituisce o revoca; anche le decisioni della Commissione continuano a valere finché non vengono aggiornate o abrogate.

Richiamato da

Capo V — Trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali