DELIBERA 10 ottobre 2013 - Provvedimento prescrittivo in materia di trattamento dei dati personali effettuato mediante l'utilizzo di call center siti in Paesi al di fuori dell'Unione europea. (Delibera n. 444). (13A09019)

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito Codice) e, in particolare, gli artt. 42, 43, 44 e 45;

Vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione dei dati;

Visto l'art. 24-bis del d.l. 22 giugno 2012, n. 83 convertito con legge 7 agosto 2012, n.134;

Viste le segnalazioni e le richieste di chiarimento pervenute in materia di trattamento dei dati personali effettuato da call center ubicati all'estero anche in conseguenza delle disposizioni introdotte dal citato art. 24-bis;

Ritenuto necessario assicurare le opportune garanzie al trattamento dei dati effettuato da parte di call center situati fuori dal territorio dell'Unione europea utilizzati da titolari italiani per fornire servizi di assistenza ai clienti/utenti o per attivita' promozionale tramite chiamate con operatore (telemarketing);

Viste le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento n. 1/2000;

Relatore la dott.ssa Giovanna Bianchi Clerici;

1. Premessa L'importanza dell'attivita' svolta dai call center, da sempre utilizzati sia per le attivita' di assistenza ai clienti o agli utenti di pubblici servizi sia per quelle dirette all'acquisizione di nuovi clienti, e' aumentata negli ultimi anni in quanto consente di fornire numerosi servizi contenendo i costi e offrendo agli utenti un canale piu' immediato di contatto. La necessita' di soddisfare richieste sempre piu' specifiche dei committenti e l'inevitabile ricerca del contenimento dei costi, hanno portato negli ultimi anni al trasferimento di molte commesse verso call center con sede fuori dal territorio nazionale ed in particolare in paesi non appartenenti all'Unione europea. Questa tendenza mette in luce possibili criticita' sulle modalita' di trattamento dei dati da parte di tutti i soggetti a vario titolo coinvolti con specifico riferimento a quelli svolti al di fuori dei confini europei dove non sono assicurate le adeguate garanzie per i diritti degli interessati previste dalla normativa comunitaria. 2. Trasferimento dei dati personali all'estero La direttiva 95/46/CE fornisce, agli artt. 25 e 26, una serie di prescrizioni atte a garantire che, pur nel rispetto della necessaria e imprescindibile liberta' di circolazione dei dati personali all'interno della Comunita' europea, vengano salvaguardati i diritti fondamentali delle persone. Il recepimento della direttiva nei singoli ordinamenti, dunque, fa si' che tutti gli Stati membri possano assicurare un equivalente livello di tutela del trattamento. Conseguentemente la disciplina nazionale condiziona il trasferimento dei dati, anche temporaneo, verso un Paese terzo che non garantisca un livello di protezione adeguato (artt. 42, 43 e 45 del Codice) all'adozione di stringenti misure. E' infatti previsto che il trasferimento sia consentito se autorizzato dal Garante qualora il livello di garanzia offerto dal Paese terzo sia stato ritenuto idoneo da apposite decisioni della Commissione europea oppure qualora il titolare presti opportune garanzie in sede contrattuale mediante l'adozione di regole di condotta infragruppo (le cosiddette binding corporate rules, BCR) o mediante la sottoscrizione fra le parti delle clausole contrattuali tipo previste dalle relative decisioni della Commissione europea (art. 44 del Codice). In relazione a tale ultima ipotesi la Commissione europea ha adottato quattro decisioni contenenti altrettanti set di clausole: per il trasferimento dei dati da un titolare stabilito nel territorio europeo ad un altro titolare stabilito in un Paese extra-UE, sono state adottate le decisioni 2001/497/CE (pubblicata sulla G.U.C.E. L 181/19 del 4 luglio 2001), contenente un primo insieme di clausole tipo e la decisione 2004/915/CE (pubblicata sulla G.U.U.E. L 385/74 del 29 dicembre 2004), contenente il secondo insieme di clausole;

   i titolari possono utilizzare gli insiemi alternativamente;

   per il trasferimento dei dati da un titolare stabilito nel territorio europeo ad un responsabile stabilito in un Paese extra-UE, e'...