La Commissione Europea ha avviato il processo decisionale per la protezione dei dati, per stabilire quali dovranno essere le norme che regolano i rapporti tra Ue e Usa sulla gestione della privacy dei dati. L’obbiettivo è quello di promuovere flussi di dati transatlantici sicuri.
L’esigenza di trovare una soluzione è nata dalle preoccupazioni emerse dopo la sentenza dalla Corte di giustizia dell’Unione europea nella sentenza Schrems II decisione del luglio 2020. A dare il via al processo di creazione di una bozza di proposta è stata la firma di un ordine esecutivo degli Stati Uniti da parte del presidente Joe Biden il 7 ottobre 2022, insieme ai regolamenti emanati dal procuratore generale degli Stati Uniti Merrick Garland. Questi due strumenti hanno recepito nel diritto statunitense l’accordo di principio annunciato dalla presidente Ursula von der Leyen e dal presidente Usa nel marzo 2022. La decisione di adeguatezza rappresenta uno degli strumenti, previsti dall’art. 45 GDPR, per il trasferimento di dati personali verso un paese terzo senza dover richiedere specifiche autorizzazioni in tal senso.
Privacy: gli elementi chiave del “progetto” Ue
La Commissione Europea ha reso pubblica la bozza e da questa si possono già intravedere i punti cardine su cui verterà la proposta di accordo di adeguatezza. Questa prima parte del lavoro è terminata a marzo ed è stato portato avanti con l’obbiettivo di ristabilire un iter che legittimasse il trasferimento dei dati personali e risolvesse le criticità presenti nel Privacy Shield. I punti chiave sono:
- il trasferimento di dati personali potrà essere consentito anche nell’ipotesi in cui il livello di protezione dello stato terzo non sia identico a quello europeo, ma ad esso assimilabile. Il paese che accoglie i dati dovrà dimostrare di essere in grado di fornire una protezione adeguata.
- La Commissione è chiamata a valutare “se il quadro giuridico del paese terzo in questione preveda norme intese a limitare le interferenze con i diritti fondamentali delle persone i cui dati sono trasferiti dall’Unione, e che le entità statali di quel paese sarebbero autorizzate a impegnarsi quando perseguono obiettivi legittimi, come la sicurezza nazione, e forniscono un’effettiva protezione legale contro interferenze di questo tipo”.
- Inoltre si fa presente che la Commissione ha avviato delle attività di verifica volte all’attenta analisi della legislazione USA, inclusi, in particolar modo, l’EO 14086 e il regolamento AG, e che “gli Stati Uniti assicurano un livello adeguato di protezione dei dati personali trasferiti nell’ambito del DPF UE-USA [Data Privacy Framework, n.d.a.] da un titolare del trattamento o da un incaricato del trattamento nell’Unione a organizzazioni certificate negli Stati Uniti”.
- Verrà creato un elenco che raccoglie tutte quelle organizzazioni che decidono di certificarsi, così da poterne verificare l’operatività e il rispetto delle norme fondamentali del GDPR.
- Gli interessati potranno poi, se lo valutano necessario, perseguire i casi di mancato rispetto dei principi attraverso contatti diretti con le organizzazioni del DPF UE-USA.
Le limitazioni
Il quadro giuridico statunitense prevede una serie di limitazioni relative all’accesso ai dati da parte delle autorità pubbliche statunitensi:
· L’accesso ai dati europei da parte delle agenzie di intelligence statunitensi sarà limitato a quanto necessario e proporzionato per proteggere la sicurezza nazionale;
· I cittadini dell’UE avranno la possibilità di ottenere un risarcimento in merito alla raccolta e all’utilizzo dei propri dati da parte delle agenzie di intelligence statunitensi dinanzi a un meccanismo di ricorso indipendente e imparziale, che comprende un tribunale di revisione per la protezione dei dati di nuova creazione. La Corte indagherà e risolverà in modo indipendente i reclami dei cittadini europei, anche adottando misure correttive vincolanti.
· Le imprese europee potranno fare affidamento su queste garanzie per i trasferimenti di dati transatlantici, anche quando utilizzano altri meccanismi di trasferimento, come clausole contrattuali standard e regole aziendali vincolanti.
Questo è un primo passo per creare un dialogo tra i Paesi e per garantire a tutti i cittadini la giusta protezione dei dati, nonostante non sempre la legislazione dello stato ne dia lo stesso valore.
Vincenzo Maruccio condivide nel suo blog notizie legate a suoi interessi al di fuori del settore legale, come l’ambiente, l’economia, la finanza e la tecnologia. L’avvocato Maruccio svolge la libera professione a Roma, è specializzato in diritto commerciale-societario e procedure concorsuali in contenziosi giudiziari di natura civilistica. Vincenzo Maruccio nel suo studio collabora con collaboratori esperti.