TL;DR per il DPO
La CNPD scrive che la verifica dei requisiti dell'art. 28, par. 3, deve essere SOSTANZIALE e non formale, e non puo' esaurirsi nella scelta di un qualunque clausolato standard. E' la frase che vale la sanzione: firmare il DPA del fornitore senza leggerlo non e' adempimento, e' la prova documentale del contrario.
Le cinque contestazioni
- Trattamento illecito di dati relativi a salute e religione: il questionario non chiariva che quelle risposte erano facoltative, quindi le persone non hanno potuto formare una volonta' consapevole.
- Violazione dei doveri di informazione verso chi rispondeva al questionario.
- Violazione del dovere di diligenza nella scelta del responsabile del trattamento.
- Violazione delle norme sui trasferimenti internazionali, artt. 44 e 46, par. 2.
- Omessa valutazione d'impatto sulla protezione dei dati per l'intera operazione censuaria.
Il punto sull'art. 28
L'INE ha affidato l'infrastruttura a un fornitore che aveva un ufficio a Lisbona. Il contratto e' stato invece stipulato con la societa' con sede negli Stati Uniti, e stabiliva che il foro competente per le controversie fosse il tribunale della California. Lo stesso contratto ammetteva il transito dei dati personali attraverso uno qualunque dei duecento server dell'azienda, anticipando espressamente che i dati potessero essere trattati fuori dallo Spazio economico europeo.
Le clausole c'erano. Non bastavano.
Il contratto includeva le clausole contrattuali tipo approvate dalla Commissione per i trasferimenti verso gli Stati Uniti. La CNPD ha comunque accertato la violazione degli artt. 44 e 46, par. 2, perche' non era prevista alcuna misura complementare che impedisse l'accesso ai dati da parte delle autorita' governative del paese terzo, come richiede Schrems II. E' esattamente il salto logico che si vede ovunque: si allegano le clausole e si considera chiusa la pratica, senza la valutazione del contesto giuridico di destinazione.
Cosa era successo prima
Durante il censimento, dopo aver ricevuto diverse segnalazioni, la CNPD aveva aperto un'indagine e ordinato la sospensione immediata dell'invio dei dati verso gli Stati Uniti e altri paesi terzi privi di un livello di protezione adeguato. Il procedimento si e' chiuso solo con la deliberazione finale, che ha applicato in cumulo giuridico la sanzione unica per le cinque violazioni.
Cosa fare adesso, sui tuoi clienti
1) Per ogni fornitore nel registro dei responsabili, guarda con quale entita' giuridica e' stato firmato il contratto, non quale ufficio ti risponde al telefono. Un ufficio europeo non basta se la controparte contrattuale e' extra-UE. 2) Leggi la clausola sul foro competente: se rimanda a un tribunale extra-UE, chiediti come intendi far valere gli obblighi dell'art. 28 il giorno in cui servira'. 3) Se il contratto ammette il transito dei dati su infrastrutture non specificate, quello e' un trasferimento e va valutato, non ignorato. 4) Le clausole contrattuali tipo sono il punto di partenza della valutazione, mai il punto di arrivo: senza misure supplementari documentate, l'art. 46 non e' assolto. 5) Documenta la verifica dell'art. 28, par. 3, con evidenze e con una data: e' l'unico modo per dimostrare che e' stata sostanziale.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
