{"id":224951,"date":"2020-12-23T13:11:21","date_gmt":"2020-12-23T13:11:21","guid":{"rendered":"https:\/\/www.artera.net\/?p=224951"},"modified":"2023-02-24T09:34:36","modified_gmt":"2023-02-24T09:34:36","slug":"trasferimento-di-dati-personali-prospettive-e-aspirazioni","status":"publish","type":"post","link":"https:\/\/www.artera.net\/it\/legal\/trasferimento-di-dati-personali-prospettive-e-aspirazioni\/","title":{"rendered":"Trasferimento di dati personali: prospettive e aspirazioni"},"content":{"rendered":"

Cosa significa Trasferimento di dati personali e quali sono le prospettive e le aspirazioni dopo la sentenza Schrems II<\/h2>\n

L\u2019anno 2020 volge al termine.<\/em><\/p>\n

Un anno di turbolenze socio-sanitarie, politiche ed economiche e che nelle ultime settimane assesta un vigoroso colpo di coda al gi\u00e0 agitato mondo della Privacy. Infatti, uno dei temi pi\u00f9 discussi di sempre e in queste ultime settimane ancora pi\u00f9 scottante, riguarda le modalit\u00e0 del trasferimento di dati personali<\/strong> fuori dallo spazio SEE (spazio economico europeo \u2013 EEA in inglese).<\/p>\n

Chiariamo subito cosa significa trasferimento di dati personali<\/strong> all\u2019estero* >><\/span><\/h3>\n

(*a onor del vero una definizione chiara e precisa non esiste, qui tentiamo di darla)<\/span><\/p>\n

    \n
  1. Ogni trasferimento dati da parte di un titolare del trattamento dei dati personali all\u2019interno del SEE verso un titolare o responsabile del trattamento dei dati personali extra SEE;<\/span><\/li>\n
  2. Ogni accesso da remoto da parte di una impresa di un paese terzo ai dati situati nel SEE.<\/span><\/li>\n<\/ol>\n

    \u00a0Si ricorda facilmente la vicenda mediatica di Edward Snowden che aveva posto sotto i riflettori la pericolosa espansione della sorveglianza sulle reti globali. Altri riflettori sono stati poi accesi da Maximilian Schrems. In questi ultimi anni si \u00e8 battuto per porre in evidenza altre sfumature dello stesso pericolo: le fughe di notizie. Schrems sostiene che le pratiche di sorveglianza statunitensi, poste in luce da Snowden, hanno dimostrato che le imprese statunitensi non potevano conformarsi ai requisiti del Safe Harbor e poi del Privacy Shield. <\/span><\/p>\n

    Oggi non \u00e8 pi\u00f9 possibile nascondere la polvere sotto il tappeto. E cos\u00ec, con la sentenza della Corte di giustizia dell\u2019Unione europea nella causa Schrems II C-311\/18 (Data Protection Commissioner contro Facebook Ireland Ltd e Maximillian Schrems), \u00e8 stato invalidato il Privacy Shield.<\/span><\/p>\n

    La sentenza arriva dopo il caso Schrems I con cui sempre la stessa Corte invalid\u00f2 il Safe Harbour (protocollo che perse vigore quando divenne impossibile per l\u2019Europa ignorare che le aziende statunitensi erano vulnerabili agli interventi del governo degli Stati Uniti in tema di sicurezza nazionale, perch\u00e9 loro rispettavano le norme, mentre il governo degli Stati Uniti no). <\/span><\/p>\n

    Facciamo un veloce riepilogo.<\/span><\/h3>\n

    Secondo il documento del Gruppo di lavoro Articolo 29 \u2013 WP245 del 13 dicembre 2016, il Privacy Shield, lo \u201c<\/span>scudo per la privacy<\/i><\/span>\u201d fra UE e USA, era un meccanismo di autocertificazione per le societ\u00e0 stabilite negli USA che intendevano ricevere dati personali dall\u2019Unione europea. <\/span><\/p>\n

    Le societ\u00e0 si impegnavano a rispettare i principi in esso contenuti e a fornire agli interessati (cio\u00e8 tutti i soggetti i cui dati personali fossero stati trasferiti dall\u2019Unione Europea) adeguati strumenti di tutela, pena l\u2019eliminazione dalla lista delle societ\u00e0 certificate (\u201cPrivacy Shield List\u201d) da parte del Dipartimento del Commercio statunitense e possibili sanzioni da parte della Federal Trade Commission (Commissione federale per il commercio). <\/span><\/p>\n

    La Commissione europea aveva ritenuto che il sistema offrisse un livello adeguato di protezione per i dati personali trasferiti da un soggetto dall\u2019interno dell\u2019UE a una societ\u00e0 stabilita negli Stati Uniti e che, pertanto, il Privacy Shield costituiva una garanzia giuridica.<\/span><\/p>\n

    Ad oggi la situazione si \u00e8 ribaltata e in questa cornice giurisprudenziale \u00e8 stato ridisegnato il rapporto tra la sicurezza nazionale e i flussi di dati a livello globale perch\u00e9 la Corte di giustizia ha ritenuto che le pratiche in corso violassero i diritti fondamentali dei cittadini dell\u2019Unione europea, che non potevano ricorrere ad alcuno strumento legale effettivo e significativo per contestare potenziali abusi statunitensi.<\/span><\/p>\n

    Tra l\u2019altro, la sentenza C-311\/18 mina anche la validit\u00e0 delle Standard Contractual Clauses \u2013 \u201cclausole contrattuali standard\u201d \u2013 su cui torneremo nei prossimi articoli.<\/span><\/p>\n

    Gli Stati Uniti hanno reagito<\/span><\/h3>\n

    Ovviamente gli Stati Uniti hanno reagito definendo il tutto come un \u201c<\/span>eccesso europeo<\/i><\/span>\u201d, una \u201c<\/span>ipocrisia eurocentrica<\/i><\/span>\u201d. Un esempio su tutti, Stewart Baker* sul sito Lawfare che propone agli Stati Uniti << <\/span>l\u2019utilizzo di sanzioni commerciali per costringere l\u2019Unione europea a fare marcia indietro e far capire agli europei che gli Stati Uniti sono seriamente intenzionati a mantenere \u201cil diritto di scrivere leggi statunitensi senza ottenere il permesso dai governi europei\u201d>>.<\/i><\/span><\/p>\n

    Per ora viviamo in un vuoto normativo in attesa di novit\u00e0 a fine dicembre, con la partita ancora aperta per tutto l\u2019anno 2021.<\/span><\/p>\n

    Nel frattempo, il Comitato europeo per la protezione dei dati (EDPB) \u2013 organo europeo indipendente che contribuisce all\u2019applicazione coerente delle norme sulla protezione dei dati in tutta l\u2019Unione europea e promuove la cooperazione tra le autorit\u00e0 competenti per la protezione dei dati dell\u2019UE \u2013 a seguito della sentenza della Corte di giustizia dell\u2019Unione europea nella causa Schrems C-311\/18 ha posto in essere due importanti mappe su cui orientarci:<\/span><\/p>\n

      \n
    1. il 23 luglio 2020 ha adottato un documento<\/span> <\/b>contenente risposte alle domande pi\u00f9 frequenti ricevute dalle autorit\u00e0 di controllo;<\/span><\/li>\n
    2. l\u201911 novembre 2020 ha pubblicato due raccomandazioni: una, ancora in consultazione pubblica, sui trasferimenti di dati personali<\/strong> nei Paesi extra UE e una sulle garanzie fondamentali che devono essere presenti laddove ci siano anche misure di sorveglianza da parte delle agenzie di sicurezza nazionale.<\/span><\/li>\n<\/ol>\n

      Partiamo dal percorso segnato dalla sentenza Schrems II.<\/span><\/h3>\n