Guida alla conformità

GDPR e outsourcing in Kosovo

Il Kosovo ha una legge moderna sulla protezione dei dati, strettamente ispirata al GDPR, ma nessuna decisione di adeguatezza dell'UE. I trasferimenti da UE, Regno Unito o Svizzera sono quindi leciti con i contratti e le garanzie giuste. Questa guida spiega quali sono.

Chiedete della nostra impostazione sui dati Vedi i passaggi

Perché il Kosovo Rischi dell'outsourcing Scheda Kosovo Glossario

Le aziende dell'UE possono esternalizzare in Kosovo nel rispetto del GDPR?

Sì. La legge kosovara n. 06/L-082 è strettamente ispirata al GDPR, ma il Kosovo non ha una decisione di adeguatezza dell'UE, quindi i trasferimenti richiedono uno strumento apposito. Le aziende dell'UE firmano di solito un accordo sul trattamento e le clausole contrattuali tipo della Commissione europea, documentano una valutazione del trasferimento e mantengono i dati nei propri sistemi con accessi rigorosi.

Legge kosovara: Legge n. 06/L-082 sulla protezione dei dati personali (2019)
Autorità di controllo: Agenzia per l'informazione e la privacy (AIP)
Adeguatezza UE: Nessuna; usare le clausole contrattuali tipo
Serve anche: Accordo sul trattamento, valutazione del trasferimento

Impostare un trasferimento conforme, passo per passo

Queste sono informazioni generali, non consulenza legale. Il vostro DPO o consulente deve confermare l'impostazione per il vostro caso.

Mappare i dati
Prima del contratto
Elencate quali dati personali vedrà il team, di chi sono, perché servono e in quali sistemi restano. Meno accessi significa meno rischio e documentazione più semplice.
Firmare un accordo sul trattamento
Con il contratto
L'articolo 28 del GDPR richiede un contratto che definisca trattamento, istruzioni, riservatezza, sicurezza, sub-responsabili e assistenza nelle richieste degli interessati.
Aggiungere uno strumento di trasferimento
Con il contratto
Poiché il Kosovo non ha una decisione di adeguatezza, i trasferimenti dall'UE usano di solito le clausole contrattuali tipo della Commissione europea. Quelli dal Regno Unito usano l'addendum britannico o l'accordo di trasferimento del Regno Unito.
Valutare il trasferimento
Prima dell'avvio
Documentate una valutazione d'impatto del trasferimento che esamini diritto e prassi in Kosovo e le garanzie in atto, come controlli di accesso e cifratura.
Applicare misure tecniche
Prima dell'avvio
Account nominativi con autenticazione a più fattori, privilegi minimi, dispositivi gestiti, registrazione degli accessi e dati conservati il più possibile nei vostri sistemi.
Rivedere regolarmente
Ogni anno
Ricontrollate accessi, sub-responsabili, incidenti ed eventuali modifiche normative, e aggiornate registro dei trattamenti e valutazione.

Cosa devono verificare i titolari del trattamento

I contratti rendono lecito un trasferimento; i controlli quotidiani lo rendono sicuro. Contano entrambi.

Cosa regola la legge kosovara sulla protezione dei dati?

La legge n. 06/L-082 stabilisce, sul modello del GDPR, principi, basi giuridiche, diritti degli interessati, obblighi di sicurezza e gestione delle violazioni, e attribuisce all'Agenzia per l'informazione e la privacy poteri di controllo e sanzione. Un fornitore in Kosovo vi è soggetto per i propri trattamenti, oltre al contratto con voi.

Cosa deve coprire l'accordo sul trattamento dei dati?

Oggetto, durata, natura e finalità del trattamento
Tipi di dati personali e categorie di interessati
Trattamento solo su vostre istruzioni documentate
Riservatezza di tutte le persone con accesso
Misure di sicurezza descritte in modo concreto
Regole sui sub-responsabili e vostro diritto di opposizione
Assistenza per richieste degli interessati, violazioni e valutazioni d'impatto
Restituzione o cancellazione dei dati al termine e diritti di audit

Quali misure tecniche aspettarsi?

Account nominativi, single sign-on e autenticazione a più fattori
Accesso limitato alle code e ai campi necessari a ogni ruolo
Dispositivi gestiti e cifrati, limiti ai download locali
Registrazione degli accessi e revisioni periodiche dei permessi
Procedure chiare per chi lascia e per segnalare incidenti entro tempi concordati

Continua a leggere

E le categorie particolari di dati?

Dati sanitari, finanziari o comunque sensibili richiedono un esame più attento: una valutazione d'impatto sulla protezione dei dati, accessi più rigorosi e talvolta pseudonimizzazione o mascheramento negli strumenti del team. Alcune attività regolamentate devono restare interne o nel paese; decidetelo prima di dimensionare il team.

Protezione dei dati e Kosovo: domande frequenti

Il Kosovo è conforme al GDPR?

Il Kosovo non fa parte dell'UE, quindi il GDPR non vi si applica direttamente. La sua legge n. 06/L-082 sulla protezione dei dati personali, in vigore dal 2019, è strettamente ispirata al GDPR ed è applicata dall'Agenzia per l'informazione e la privacy. Le aziende dell'UE possono trasferirvi dati lecitamente con le garanzie adeguate.

Il Kosovo ha una decisione di adeguatezza dell'UE?

No. La Commissione europea non ha adottato una decisione di adeguatezza per il Kosovo. I trasferimenti dall'UE richiedono quindi un altro strumento, di solito le clausole contrattuali tipo, insieme a una valutazione d'impatto del trasferimento e a misure tecniche e organizzative adeguate.

Quali clausole contrattuali tipo si usano per esternalizzare in Kosovo?

Quando un'azienda dell'UE è titolare del trattamento e il fornitore kosovaro tratta i dati per suo conto, la scelta abituale è il modulo "titolare-responsabile" delle clausole contrattuali tipo 2021 della Commissione europea. Il vostro consulente deve confermare il modulo e compilare gli allegati per il vostro trattamento.

Le aziende britanniche e svizzere possono esternalizzare in Kosovo?

Sì. Le aziende britanniche usano di solito l'International Data Transfer Agreement del Regno Unito o l'addendum britannico alle clausole UE. Le aziende svizzere possono basarsi sulle clausole contrattuali tipo UE con gli adattamenti richiesti dalla legge federale sulla protezione dei dati. In entrambi i casi serve anche un accordo sul trattamento.

I dati devono uscire dai vostri sistemi?

Di solito no. Nella maggior parte dei casi gli agenti accedono all'helpdesk, al CRM o all'ERP del cliente, quindi i dati restano nei sistemi del cliente e vengono solo consultati o modificati da remoto. L'accesso remoto dal Kosovo è comunque un trasferimento ai sensi del GDPR, ma mantiene bassa l'esposizione.

Fonti

I riferimenti giuridici di questa pagina rimandano alle fonti ufficiali. Leggi e linee guida cambiano: verificate le versioni in vigore.

Agenzia per l'informazione e la privacy (legge n. 06/L-082), Repubblica del Kosovo
Decisioni di adeguatezza, Commissione europea
Clausole contrattuali tipo per i trasferimenti internazionali, Commissione europea
Raccomandazioni 01/2020 sulle misure supplementari per i trasferimenti, Comitato europeo per la protezione dei dati
International Data Transfer Agreement e addendum, Information Commissioner's Office, Regno Unito

Vi servono i nostri documenti sulla protezione dei dati?

Richiedete il nostro accordo sul trattamento dei dati e la panoramica sulla sicurezza. Il vostro DPO può esaminarli prima di qualsiasi impegno.

Richiedi i documenti Perché il Kosovo