SCC Clausole Contrattuali Standard.

Cosa fanno davvero le SCC

Le clausole contrattuali tipo sono un contratto preredatto tra un esportatore di dati nell'UE e un importatore in un Paese privo di decisione di adeguatezza. Firmandole, l'importatore si impegna a rispettare obblighi di livello GDPR: limitazione della finalità, sicurezza, controlli sui trasferimenti successivi, diritti degli interessati e cooperazione con l'autorità di controllo. Poiché la Commissione europea ha già approvato la formulazione, non occorre negoziare né giustificare le clausole stesse, motivo per cui sono il meccanismo di trasferimento predefinito per quasi ogni relazione SaaS, cloud o di sub-responsabile al di fuori dell'UE.

Le clausole sono modulari. Si sceglie il modulo che corrisponde alla relazione reale: titolare a titolare, titolare a responsabile, responsabile a responsabile, oppure responsabile a titolare. Sbagliare modulo è l'errore di redazione più comune, perché gli obblighi e i punti di aggancio per i sub-responsabili differiscono tra loro. Le SCC includono anche una clausola di aggancio che consente a nuove parti di unirsi a un insieme esistente, il che rende gestibili le lunghe catene di sub-responsabili.

Perché la TIA ha cambiato le carte in tavola

Prima della sentenza Schrems II del 2020, firmare le SCC era considerato sufficiente di per sé. La Corte di giustizia vi ha posto fine. Ha stabilito che gli impegni contrattuali non possono vincolare un governo straniero, per cui l'esportatore deve valutare se l'importatore possa onorare genuinamente le clausole alla luce della legislazione locale in materia di sorveglianza e accesso. Tale valutazione è la valutazione d'impatto del trasferimento. In pratica si documentano il Paese di destinazione, le leggi che potrebbero imporre la divulgazione, la natura e la sensibilità dei dati, e se misure supplementari come una cifratura robusta, la pseudonimizzazione o l'elaborazione frazionata colmino l'eventuale lacuna individuata.

Se la TIA conclude che l'importatore non può soddisfare gli impegni delle SCC e nessuna misura supplementare lo risolve, il trasferimento non dovrebbe procedere sulla base delle SCC. È qui che le SCC differiscono nettamente da una decisione di adeguatezza: l'adeguatezza è un accertamento della Commissione che elimina l'onere caso per caso, mentre le SCC spostano tale onere su di voi per ogni trasferimento. L'EU-US Data Privacy Framework offre ora una via di adeguatezza per gli importatori statunitensi certificati, ma le SCC restano lo strumento di riferimento per ogni altro Paese terzo e per i fornitori statunitensi non certificati.

Cosa fanno davvero i professionisti

Un processo SCC che funziona è ripetibile, non un esercizio giuridico una tantum. Lo schema su cui la maggior parte dei team converge è il seguente.

1. Mappare il trasferimento: individuare l'esportatore, l'importatore, le categorie di dati e il modulo corretto prima di toccare il modello.
2. Completare gli allegati: le parti, la descrizione del trattamento e le misure di sicurezza tecniche e organizzative. Allegati vaghi sono la parte che i regolatori mettono in discussione per prima.
3. Eseguire e documentare la TIA, comprese le eventuali misure supplementari, e conservarla insieme alle clausole firmate.
4. Integrare le SCC nell'onboarding dei fornitori affinché siano firmate prima che i dati inizino a circolare, e non aggiunte a posteriori dopo che un audit ha rilevato la lacuna.
5. Riesaminare quando il fornitore cambia sub-responsabili, quando il Paese di destinazione o le sue leggi cambiano, oppure secondo una cadenza fissa.

Le SCC si collocano all'interno della vostra più ampia narrazione di responsabilizzazione GDPR. Rinviano ai registri delle attività di trattamento, alla DPIA quando richiesta e ai controlli di sicurezza che vi siete già impegnati ad attuare. Trattate come documenti vivi anziché come una firma raccolta una volta sola, sono la differenza tra un trasferimento che potete difendere e uno che crolla nel momento in cui un regolatore o un interessato chiede come proteggete i dati che lasciano l'UE.