In termini generali, le BCR rappresentano uno strumento volto a consentire il trasferimento di dati personali dal territorio dello Stato verso Paesi terzi (extra-UE) tra società facenti parti dello stesso gruppo d’impresa e si concretizzano, più in particolare, in clausole che determinano i principi vincolanti a carico delle società extra UE appartenenti ad uno stesso gruppo.
Le Raccomandazioni, attualmente in consultazione pubblica, nascono dall’esigenza di rendere più uniforme e prevedibile il percorso di approvazione, introducendo un modulo standard per la domanda e precisando meglio quali elementi debbano essere contenuti direttamente nelle BCR e quali, invece, debbano essere forniti all’Autorità di controllo capofila. L’EDPB mira a ridurre ambiguità e difformità tra progetti, chiarendo cosa ci si attende in termini di struttura delle regole, riparto delle responsabilità e meccanismi interni di controllo.
Le Raccomandazioni ribadiscono la funzione delle BCR quale garanzia per i trasferimenti verso Paesi terzi privi di decisione di adeguatezza, nel quadro dell’art. 46, paragrafo 2, lett. (b), GDPR. In questo contesto, le BCR devono rappresentare impegni vincolanti per le società del gruppo e in diritti effettivamente esercitabili dagli interessati, con rimedi e canali chiari (anche in caso di reclami) anche al fine di assicurare accountability e verifiche.
Da ciò deriva l’attenzione dell’EDPB a temi come la descrizione dei flussi e delle categorie di dati, i ruoli e le responsabilità interne, la formazione del personale, la disponibilità di un presidio privacy adeguato (DPO o figure equivalenti) e l’esistenza di processi che consentano di dimostrare, nel concreto, la conformità al GDPR e alle regole del gruppo.
Le BCR-Processor operano quando membri del gruppo rientranti nel perimetro territoriale dell’art. 3 GDPR agiscono come Responsabili per un Titolare esterno e trasferiscono dati ad altri membri del gruppo che operano come sub-Responsabili in Paesi terzi. Le BCR sono dunque concepite per disciplinare i trasferimenti intra-gruppo connessi a servizi resi come Responsabile a favore di clienti esterni, assicurando coerenza con il GDPR lungo tutta la catena di trattamento. L’EDPB chiarisce invece che le BCR non rappresentano lo strumento adatto a coprire un trasferimento diretto dal Titolare esterno (soggetto al GDPR) verso un Responsabile interno stabilito in Paese terzo: in tale scenario, occorre avvalersi di altri strumenti di trasferimento ai sensi dell’art. 46 GDPR.
L’integrazione con gli accordi ex art. 28 GDPR rimane un tema di centrale importanza. Oltre alle BCR, il Titolare esterno deve sottoscrivere un contratto ai sensi dell’art. 28, paragrafo 3, GDPR con uno o più membri del gruppo soggetti al GDPR. Tale contratto dovrebbe idealmente richiamare le BCR e renderle operative nei rapporti interni; le Raccomandazioni richiamano inoltre l’esigenza di presidiare correttamente anche i rapporti di sub-responsabilità ai sensi dell’art. 28, paragrafo 4, GDPR. Per i gruppi che già utilizzano BCR, queste indicazioni rappresentano l’occasione per una verifica di allineamento, anche in vista di nuove richieste di approvazione o di estensioni dei trasferimenti. In termini pratici, il modulo standard e l’enfasi sui contenuti “minimi” suggeriscono di preparare una documentazione più strutturata.
Per molte organizzazioni la consultazione è anche un’opportunità per valutare l’impatto operativo delle richieste dell’EDPB: sul punto, si ricorda che fattori quali una mappatura aggiornata dei trasferimenti extra UE e coerenza tra BCR e prassi aziendali interne in materia di privacy e data protection possono ridurre tempi ed eventuali rilievi in sede istruttoria, oltre a rafforzare la posizione del gruppo in termini di compliance nei trasferimenti di dati.