Il trasferimento dei dati personali al di fuori dell'Unione Europea dopo la sentenza CGUE Schrems II: conseguenze pratiche e nuovi scenari.

Il Corso intende fornire strumenti operativi e soluzioni pratiche per impostare e gestire i trasferimenti internazionali di dati personali alla luce delle regole del GDPR, delle applicabili Linee Guida e Raccomandazioni dell'EDPB e dell'impatto pratico della sentenza cosiddetta Schrems II della CGUE.

Destinatari.

Il Corso è rivolto alle aziende ed enti pubblici con sedi e attività a livello internazionale (es: controllate italiane di aziende estere; multinazionali con sedi e operatività in mercati extra UE; aziende che devono trasferire dati/database alla Holding con sede al di fuori dello Spazio Economico Europeo, etc) e che trasferiscono dati personali (es: di lavoratori, clienti, etc) in territori extra UE.
 

Dopo le sentenze della Corte di Giustizia UE sui casi relativi a Maximilian Schrems, trasferire dati personali al di fuori dello Spazio Economico europeo è diventato particolarmente critico, specialmente con riferimento ad alcune giurisdizioni destinatarie dei dati (Stati Uniti d'America soprattutto).
Il Corso intende fornire strumenti operativi e soluzioni pratiche per impostare e gestire i trasferimenti internazionali di dati personali alla luce delle regole del GDPR, delle applicabili Linee Guida e Raccomandazioni dell'EDPB e dell'impatto pratico della sentenza cosiddetta Schremes II della CGUE.

Una volta avuto accesso al corso, saranno disponibili slides di supporto, incluse nel prezzo del corso stesso e scaricabili.

L’esame delle disposizioni del GDPR rilevanti per il trasferimento di dati personali all’estero

• I trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali: i principi generali del GDPR.
• Decisioni di adeguatezza (art. 45)
• Strumenti giuridicamente vincolanti tra autorità pubbliche (art. 46, par. 2, lett. a)
• Clausole contrattuali standard (art. 46, par. 2, lett. c e lett. d)
• Clausole contrattuali ad hoc (art. 46, par. 3, lett. a)
• Binding Corporate Rules (art. 47)
• Codici di condotta e meccanismi di certificazione (art. 46, lett. e e lett. d)
• Deroghe in situazioni specifiche (art. 49). Le Linee Guida dell’EDPB 2/2018 sull’applicazione pratica dell’articolo 49 GDPR.

Il trasferimento dei dati extra UE quale presupposto degli specifici adempimenti in materia di:
•        informativa all’interessato;
•        rapporti con il responsabile del trattamento;
•        tenuta del Registro delle attività di trattamento;
•        valutazione di impatto preventiva;
•        adozione delle misure di sicurezza

Il caso particolare del trasferimento dei dati personali verso gli Stati Uniti d’America: storia dei vari meccanismi di trasferimento, dal Safe Harbour al Privacy Shield.

• Le sentenze della Corte di Giustizia dell’Unione Europea e l’invalidazione dei trasferimenti di dati verso gli USA.
• La sentenza della CGUE c.d. Schrems II (CGUE, 16 luglio 2020, Causa C-311/18): le conseguenze pratiche. Cosa accade ai contratti di cloud service e ai social media.
• La posizione del Comitato Europeo per la protezione dei dati personali dopo la sentenza Schrems II: le indicazioni pratiche nelle FAQ del 24 Luglio 2020 e nei documenti del sotto-comitato dell’EDPB appositamente costituito.

Le clausole contrattuali standard per il trasferimento internazionale dei dati personali della Commissione UE del 4 Giugno 2021.

La Decisione di adeguatezza della Commissione UE del 28 Giugno 2021 per il trasferimento dei dati personali nel Regno Unito.

Le Raccomandazioni 1/2020 e 2/2020 (aggiornamento 18 Giugno 2021) dell’EDPB sulle modalità pratiche del trasferimento dei dati personali extra UE.

La gestione dei servizi Cloud: sicurezza e trasferimento internazionale dei dati personali alla luce del GDPR (e della sentenza CGUE sul caso “Schrems II”)

I contratti cloud nella PA: scenari e regolamentazione di settore.

La messa a punto di una metodologia per la valutazione dei trasferimenti di dati extra SEE
Gli aspetti sanzionatori in caso di trasferimenti non conformi: le sanzioni amministrative del GDPR e il reato previsto all’art. 167 del Codice della privacy.

Il ruolo del DPO nel contesto del trasferimento internazionale dei dati personali

Riepilogo di tutte le regole normative, Linee Guida e prassi da tenere presenti nella impostazione delle politiche sul trasferimento dei dati personali:

Art. 3 GDPR, commi 1 e 2

• Linee Guida 3/2018 EDPB sull’ambito di applicazione territoriale del Regolamento 679/2016
• Linee Guida 5/2021 EDPB sull’interrelazione tra l’articolo 3 e le disposizioni del Capo V del GDPR (artt. 44-50) sul trasferimento internazionale dei dati personali

Articolo 40 GDPR

• Linee Guida 4/2021 EDPB sui codici di condotta come strumento per il trasferimento internazionale dei dati personali

Articolo 42 GDPR

• Linee Guida sulla certificazione come strumento per il trasferimento internazionale dei dati personali

Capo V del GDPR (artt. 44-50)

Decisioni di adeguatezza (art. 45 GDPR)

Le clausole contrattuali standard (art. 46 GDPR)

• Decisione di esecuzione della Commissione UE 4 Giugno 2021, n. 914

Norme vincolanti di impresa (BCR – art. 47 GDPR – art. 4, n. 20 GDPR)

• Wp 256 – Documento di lavoro che istituisce una tabella con gli elementi e i principi da
• inserire nelle Binding Corporate Rules – Versione per Titolari del trattamento
• Wp 257 - Documento di lavoro che istituisce una tabella con gli elementi e i principi da
• inserire nelle Binding Corporate Rules – Versione per Responsbili del trattamento
• Wp 263 - Working Document Setting Forth a Co-Operation Procedure for the approval of
• “Binding Corporate Rules” for controllers and processors under the GDPR
• Wp 264 - Recommendation on the Standard Application for Approval of Controller Binding
• Corporate Rules for the Transfer of Personal Data
• Wp 265 - Recommendation on the Standard Application form for Approval of Processor
• Binding Corporate Rules for the Transfer of Personal Data

Linee guida 2/2018 EDPB sulle deroghe di cui all’articolo 49 del regolamento 2016/679

Raccomandazioni 01/2020 relative alle misure che integrano gli strumenti di trasferimento al fine di garantire il rispetto del livello di protezione dei dati personali dell’UE

Raccomandazioni 2/2020 relative alle garanzie essenziali europee per le misure di
sorveglianza

Linee guida 2/2020 EDPB sull'articolo 46, paragrafo 2, lettera a), e paragrafo 3, lettera b), del regolamento 2016/679 per i trasferimenti di dati personali tra autorità ed organismi pubblici del SEE e di paesi non appartenenti al SEE

FAQ EDPB del 23 Luglio 2020 su Sentenza Schrems II

Il caso Google Analytics: le FAQ e le Linee Guida CNIL del 7 Giugno 2022.