g-docweb-display Portlet

Trasferimento verso gli USA di dati personali relativi ai dipendenti: autorizzazione ad Alico Italia S.p.A.

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 2111613]

Trasferimento verso gli USA di dati personali relativi ai dipendenti: autorizzazione ad Alico Italia S.p.A - 11 ottobre 2012

Registro dei provvedimenti
n. 282 dell´11 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO l´art. 25, paragrafi 1 e 2, della direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995, ai sensi del quale i dati personali possono essere trasferiti in un Paese non appartenente all´Unione europea qualora il paese terzo garantisca un livello di protezione adeguato;

VISTO l´art. 26, paragrafo 2 della predetta direttiva il quale individua alcune deroghe al menzionato principio, prevedendo che uno Stato membro possa autorizzare un trasferimento o una categoria di trasferimenti di dati personali verso un Paese terzo che non garantisca un livello di protezione adeguato, qualora il titolare del trattamento offra garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonché per l´esercizio dei diritti connessi e che tali garanzie possono risultare da clausole contrattuali appropriate;

VISTO il decreto legislativo 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali – "Codice";

VISTO, in particolare, l´art. 44, comma 1, lett. a) del Codice, il quale stabilisce che il trasferimento di dati personali diretto verso un Paese non appartenente all´Unione europea è consentito quando è autorizzato dal Garante sulla base di adeguate garanzie per i diritti dell´interessato, individuate dall´Autorità anche in relazione a garanzie prestate con un contratto;

VISTA la richiesta del 28 ottobre 2011, presentata, ai sensi del succitato art. 44, da "Alico Italia S.p.A.", società con sede in Italia, operante nel settore dell´offerta di prodotti assicurativi di risparmio e di c.d. "Employee Benefits", volta ad ottenere un´autorizzazione al trasferimento verso gli Stati Uniti, per il tramite di un "Contratto di trasferimento" (allegato all´istanza di autorizzazione suddetta) dei dati personali relativi al personale dipendente, (categoria comprendente il personale in servizio e quello non più in servizio; i candidati all´assunzione; gli agenti dipendenti; i consulenti; i lavoratori temporanei; gli appaltatori e i rappresentanti; i soggetti individuati dai dipendenti quali beneficiari; i conviventi, i membri familiari e i contatti di emergenza; i pensionati; i direttori e i funzionari) per finalità di gestione della forza lavoro, comunicazioni ed emergenze, operazioni commerciali, compliance, monitoraggio e pianificazione integrata;

PRESO ATTO che il c.d. "Contratto di trasferimento" consiste in un documento, sottoscritto da Alico Italia S.p.A., in qualità di titolare che trasferisce i dati personali –c.d. "esportatore"–, e da American Life Insurance Company Inc. (con sede nel Delaware – USA), da MetLife Inc. e da MetLife Group Inc. (entrambe con sede in New York – USA), in qualità di titolari che ricevono i dati personali trasferiti –c.d. "importatori"–, volto a garantire un´adeguata tutela dei diritti dei soggetti interessati i cui dati sono oggetto di trasferimento verso gli Stati Uniti, attraverso l´imposizione di specifci obblighi a carico sia dell´esportatore (in particolare, l´obbligo di trattare i dati nel rispetto della legislazione italiana, di rispondere alle richieste degli interessati, di fornire loro una copia del contratto di trasferimento – v. Contratto di trasferimento, clausola n. I), sia a carico degli importatori (in particolare, l´obbligo di adottare le misure tecniche e organizzative necessarie per proteggere i dati personali, di trattare i dati suddetti esclusivamente per le finalità indicate nel contratto, di collaborare con l´esportatore, gli interessati e l´Autorità competente per rispondere alle richieste presentate degli stessi interessati, di trattare i dati in conformità con la legislazione italiana – v. Contratto di trasferimento, clausola n. II);

CONSIDERATO che il Contratto di trasferimento prevede, inoltre, che tutte le parti (esportatore e importatori) siano responsabili nei confronti dei soggetti interessati per i danni causati dalla violazione dei diritti previsti nel succitato contratto, che debbano conoscere a ciascun interessato il diritto di far valere, in qualità di terzo beneficiario, le clausole contrattuali n. I, lett. b), d) ed e); n. II, lett. a), c), d), e), h), i); n. III, lett. a), n. V; n. VI, lett. d) e n. VII per le violazioni dei rispettivi obblighi e che debbano accettare, a tal fine, la giurisdizione dello Stato italiano (c.d. "clausola del terzo beneficiario" – v. Contratto di trasferimento, clausola n. III);

VISTE le richieste di informazioni avanzate dal Garante rispettivamente il 27 dicembre 2011 e il 20 aprile 2012, con cui questa Autorità ha chiesto alcuni chiarimenti in ordine:

-  agli obblighi dell´esportatore dei dati al fine di meglio specificare chi debba essere individuato quale soggetto "terzo autorizzato ad accedere ai dati personali" al di fuori di eventuali responsabili del trattamento designati dal titolare (v. Contratto di trasferimento, clausola n. II, lett. b);

- alla legge applicabile al Contratto di trasferimento e al trattamento dei dati personali posto in essere dall´importatore (v. Contratto di trasferimento, clausola n. II, lett. h) e clausola n. IV);

- alle caratteristiche del trasferimento con specifico riferimento ai "trasferimenti aggiuntivi" e ai "trasferimenti multipli", citati all´interno del Contratto di trasferimento dati (v. Contratto di trasferimento, clausola n. VIII, secondo capoverso);

- alle categorie dei dati personali trasferiti (v. Contratto di trasferimento, Allegato B, par. 3, lett. f);

-  ai destinatari di eventuali comunicazioni dei dati trasferiti, al fine di specificare quali siano le "entità ai quali è fondatamente necessario o auspicabile che l´importatore abbia comunicato i dati per scopi commerciali" (v. Contratto di trasferimento, Allegato B, par. 4);

CONSIDERATO che la società, nel rendere riscontro al Garante in ordine ai punti sopra menzionati, con le note del 29 febbraio 2012 e del 18 maggio 2012 ha espressamente dichiarato:

- con riferimento agli obblighi dell´esportatore, che per "soggetti terzi" debba essere intese una serie di persone fisiche e giuridiche (quali fornitori, revisori, consulenti e Autorità pubbliche) che, nel rispetto della normativa italiana di protezione dei dati personali, assumeranno il ruolo, a seconda dell´attività effettivamente svolta e dei rapporti intercorrenti con la società Alico Italia S.p.A., il ruolo di responsabile o di autonomo titolare del trattamento (v. nota della società del 18 maggio 2012, punto b);

- in ordine alla legge applicabile al contratto di trasferimento e al trattamento dei dati personali posto in essere dall´importatore, che essa "è quella del Paese in cui è stabilito l´esportatore, cioè quella italiana" (v. nota della società del 29 febbraio 2012, punto b);

- in merito ai "trasferimenti aggiuntivi e multipli", che tale disposizione è stata introdotta al fine di consentire alla società capogruppo Met Life Inc. di disciplinare eventuali trasferimenti di dati verso Paesi terzi mediante la predisposizione di un documento ad hoc (da allegare al Contratto di trasferimento) che consenta "una gestione efficace ed efficiente di tutte le informazioni concernenti i dipendenti del gruppo", a prescindere dal luogo in cui queste siano materialmente conservate (v. nota della società del 29 febbraio 2012, punto c);

- relativamente alle categorie dei dati trasferiti, che dalla categoria dei "dati del candidato" (v. Contratto di trasferimento, allegato B par. 3, lett. f), devono essere escluse, in relazione ai trasferimenti oggetto della presente autorizzazione, le informazioni concernenti i "dettagli di ogni genere" e quelle sui "dati relativi alla salute (farmaci inclusi)" del candidato (v. nota della società del 29 marzo 2012, punto d) e nota della società del 18 maggio 2012, punto a);

- relativamente alle "entità ai quali è fondatamente necessario o auspicabile che l´importatore abbia comunicato i dati per scopi commerciali", che tali soggetti devono essere individuati nei fornitori, nei revisori contabili, nei consulenti e nelle Autorità pubbliche e che l´accesso ai dati da parte di questi ultimi avverrà nel rispetto della normativa italiana in materia di protezione dei dati personali (v. nota della società del 29 febbraio 2012, punto d);

PRESO ATTO, inoltre, che, relativamente all´obbligo dell´esportatore di sottoporre la propria richiesta di verifica degli impianti di elaborazione dati, dei files e della documentazione dell´importatore alla previa autorizzazione o approvazione dell´Autorità di regolamentazione o di vigilanza del Paese di stabilimento dell´importatore suddetto (v. Contratto di trasferimento, clausola n. II, lett. g), la società Alico Italia S.p.A. ha confermato che esso è limitato ai soli casi in cui la previa autorizzazione o approvazione di cui sopra sia espressamente prevista dalla normativa applicabile (v. nota della società del 18 maggio 2012, punto d).

PRESO ATTO altresì che la società ha dichiarato di raccogliere il consenso degli interessati in relazione alle operazioni di trattamento dei dati che li riguardano, ivi comprese quelle di trasferimento, poste sin d´ora in essere e che, come risulta anche dalla documentazione in atti, "MetLife Inc., al fine di garantire una maggiore protezione dei dati dei propri dipendenti oggetto di trasferimento verso gli USA, in data 27 giugno u.s. ha aderito [con scadenza prevista il 27 giugno 2013] su base volontaria al Safe Harbor Agreement" (v. nota della società del 25 luglio 2012);

RILEVATO, infine, che le operazioni di trattamento dei dati personali, anche se poste in essere a seguito del rilascio della presente autorizzazione, saranno lecite solo ove conformi alla normativa nazionale vigente e alle sue successive modificazioni, nonché alle specifiche disposizioni in materia di protezione dei dati personali, con particolare riferimento ai presupposti di legittimità delle attività di raccolta dei dati oggetto del trasferimento e alla sussistenza dei presupposti di legittimità per la comunicazione dei dati medesimi;

VISTO l´art. 11, comma 2 del Codice, il quale stabilisce che i dati trattati in violazione della disciplina rilevante in materia di trattamento di dati personali non possono essere utilizzati;

CONSIDERATO che il Garante, ai sensi dell´art. 154, comma 1, lett. a) e d) del Codice, ha il compito di controllare la conformità dei trattamenti di dati alla disciplina applicabile e può, anche d´ufficio, vietare o disporre il blocco, nonché adottare gli ulteriori provvedimenti previsti dalla medesima;

VISTI gli atti d´ufficio;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

TUTTO CIÒ PREMESSO, IL GARANTE:

a) ai sensi dell´art. 44, comma 1, lett. a) del Codice, autorizza "Alico Italia S.p.A." a trasferire verso gli Stati Uniti i dati personali relativi al personale dipendente per finalità di gestione della forza lavoro, comunicazioni ed emergenze, operazioni commerciali, compliance, monitoraggio e pianificazione integrata, per il tramite del c.d. "Contratto di trasferimento", sottoscritto dalla suddetta società, in qualità di esportatore, e da American Life Insurance Company Inc., Met Life Inc. e Met Life Group Inc., in qualità di importatori, secondo le modalità ivi fissate e per il perseguimento delle sole finalità ivi dichiarate;

b) ai sensi dell´art. 154, comma 1, lettere a) e d) del Codice, si riserva di svolgere in qualsiasi momento i necessari controlli sulla liceità e correttezza del trasferimento dei dati e, comunque, su ogni operazione di trattamento ad essi inerente, nonché di adottare, se necessario, eventuali provvedimenti anche di blocco o di divieto.

Roma, 11 ottobre 2012

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia