Il Comitato Europeo per la Protezione dei Dati (EDPB) ha posto in consultazione delle raccomandazioni sull’aggiornamento delle Norme Vincolanti d’Impresa per i Responsabili del Trattamento (BCR-P), adottate dalle imprese ai fini del trasferimento extra UE ma infragruppo di dati personali.
L’aggiornamento, in particolare, insiste sulla domanda di approvazione e sugli elementi e i principi contenuti nelle Norme Vincolanti d’Impresa per i Responsabili del Trattamento (BCR-P), aggiornandole in particolare con i criteri per l’approvazione delle BCR-P, e integrandole con il modulo di domanda standard per le BCR-P.
Si ricorda che le Norme Vincolanti d’Impresa per i Responsabili del Trattamento sono uno strumento di trasferimento che può essere utilizzato dalle imprese per trasferire dati personali al di fuori dell’UE, a responsabili del trattamento all’interno dello stesso gruppo, creando diritti e stabilendo impegni per stabilire un livello di protezione dei dati sostanzialmente equivalente a quello previsto dal GDPR.
Le nuove raccomandazioni si basano sugli accordi raggiunti e sull’esperienza maturata dalle Autorità di Protezione dei Dati nel corso delle procedure di approvazione di domande concrete di BCR-P dall’entrata in vigore del GDPR, nonché sul lavoro svolto nel contesto delle Raccomandazioni aggiornate sulle Norme Vincolanti d’Impresa per i Titolari del Trattamento (BCR-C).
Le raccomandazioni:
- forniscono criteri e spiegazioni chiari per garantire che le BCR-P sviluppate da gruppi di imprese o imprese siano conformi al GDPR
- chiariscono quando le Norme Vincolanti d’Impresa per i Responsabili del Trattamento possono essere utilizzate solo per il trasferimento infragruppo extra UE di dati personali tra responsabili del trattamento, quando il titolare del trattamento non fa parte del gruppo
- chiariscono che le BCR-P sono progettate per soddisfare i requisiti dell’art. 28, par. 4 del GDPR, per cui qualsiasi responsabile del trattamento all’interno del gruppo che utilizza le BCR-P non è tenuto a firmare un accordo di sub-trattamento separato con ciascun sub-responsabile del gruppo.
Le raccomandazioni saranno aperte alla consultazione pubblica fino al 2 marzo 2026.
