EDPB ha aggiornato le raccomandazioni relative alle Binding Corporate Rules (BCR, norme vincolanti d’impresa) per i responsabili del trattamento, strumenti utilizzati dai gruppi di imprese per disciplinare i trasferimenti di dati personali verso Paesi terzi, ai sensi del Regolamento (UE) 2016/679 (GDPR).
Le nuove raccomandazioni sostituiscono e aggiornano i precedenti documenti WP257 rev.01 (Working Document on Binding Corporate Rules for Processors) e WP265 (Recommendation on the approval of the Processor Binding Corporate Rules form), adottati dal Gruppo di lavoro Articolo 29 nel 2018 e successivamente approvati dall’EDPB, mantenendone sostanzialmente l’impostazione.
Il documento ha l’obiettivo di:
- fornire un modello standard per la richiesta di approvazione delle norme vincolanti d’impresa per i responsabili del trattamento (BCR-P)
- chiarire i contenuti che tali regole devono necessariamente prevedere ai sensi dell’art. 47 GDPR
- distinguere le informazioni da inserire nelle regole vincolanti da quelle da presentare all’autorità di controllo capofila (BCR Lead) nell’ambito della domanda di approvazione
- spiegare e approfondire i requisiti.
Le norme vincolanti d’impresa costituiscono uno degli strumenti previsti dall’art. 46, par. 2, lett. b), del GDPR per fornire adeguate garanzie nei trasferimenti di dati personali verso Paesi terzi che non sono stati riconosciuti come paesi che garantiscono un livello di protezione adeguato ai sensi dell’art. 45 del GDPR.
In particolare, le regole vincolanti devono assicurare diritti azionabili e impegni vincolanti all’interno del gruppo, così da garantire ai dati trasferiti un livello di protezione sostanzialmente equivalente a quello previsto dal GDPR.
Le raccomandazioni precisano inoltre che non è sufficiente un semplice richiamo al Regolamento europeo: le norme vincolanti d’impresa per i responsabili del trattamento devono riportare espressamente i requisiti previsti dal GDPR e garantirne l’effettiva applicazione all’interno del gruppo.
