Ci siamo: il Garante per la Privacy ha autorizzato, con provvedimento pubblicato in Gazzetta Ufficiale il 22 novembre, il trasferimento dei dati personali dal territorio dello Stato Italiano verso le organizzazioni presenti negli Stati Uniti aderenti al cosiddetto “Privacy Shield”.
Il Privacy Shield, letteralmente “scudo per la privacy”, è un accordo siglato tra Unione Europea e Stati Uniti d’America, volto a garantire un livello adeguato di protezione dei dati personali trasferiti dal territorio UE a organizzazioni aventi sede negli USA, che si autocertificano nel sistema. Con la Decisione n. 1250 del 12 luglio 2016, la Commissione Europea formalizzava il giudizio di adeguatezza dell’intesa raggiunta con gli Stati Uniti sul nuovo regime giuridico posto a presidio dello scambio di dati, destinato a sostituire il “Safe Harbor”[1].
È il caso di ricordare, infatti, che per effetto della sentenza della Corte di Giustizia nella causa Schrems (n. C-362/14 del 6 ottobre 2015), era venuto meno il presupposto di legittimità dei trasferimenti transfrontalieri di dati personali verso le organizzazioni statunitensi aderenti a tale regime, poiché non poteva ritenersi automaticamente adeguato il livello di protezione assicurato negli USA[2].
Di fatto, dunque, l’ordinamento europeo è rimasto privo di un riferimento normativo generale, che sancisse in ogni caso la legittimità del trasferimento dei dati oltreoceano, fino alla definizione delle nuove intese internazionali cristallizzate nello “Scudo”. Mancava l’ultimo tassello, ed eccolo arrivato: il provvedimento del Garante, appena approdato in Gazzetta, autorizza l’applicazione in Italia della Decisione adottata dalla Commissione nel luglio scorso[3].
Non che, nel frattempo, i trasferimenti dei dati oggetto di trattamento verso gli Stati Uniti fossero stati interdetti (ipotesi che, peraltro, non sarebbe stata seriamente praticabile). Nondimeno, la caducazione dell’autorizzazione di riconoscimento dell’accordo sul Safe Harbor, deliberata dal Garante il 22 ottobre 2015, aveva comportato il divieto[4] di trasferire dati personali verso gli Stati Uniti d’America sulla base di tale delibera. In pratica, l’esportazione di dati, anche temporanea, al di fuori del territorio dell’Unione europea, poteva ritenersi legittima solo nelle ipotesi tassative previste dagli artt. 43 e 44 del Codice Privacy (come, ad esempio, in presenza di consenso espresso dell’interessato, o facendo leva sulle clausole contrattuali standard o sulle regole di condotta adottate all’interno di un medesimo gruppo).
Certo è che, in mancanza di un regime transitorio valido per tutti i Paesi dell’Unione, le operazioni di trasferimento restavano vincolate a più onerosi parametri di liceità, ferma restando, in ogni momento, la soggezione ai poteri di controllo del Garante. Senza contare che, come precisato pure dal Gruppo Art. 29, i cd. trasferimenti in deroga non offrono alcuna protezione contro l’accesso ai dati da parte dell’autorità pubblica per ragioni di sicurezza nazionale.
Ora, invece, con l’autorizzazione del transito di dati fra UE e USA in base Privacy Shield si realizza, finalmente, la quadratura del cerchio. Non solo a vantaggio dei soggetti esportatori che, smarcati dai lacci e lacciuoli della normativa nazionale, potranno gestire i flussi intercontinentali di dati all’interno di un regime normativo solido e generalizzato, ma anche (e prima di tutto) delle persone fisiche interessate, a cui afferiscono i dati oggetto di trasferimento: il Privacy Shield, infatti, garantisce un livello di protezione nel trasferimento dei dati degli interessati europei agli operatori certificati statunitensi più elevato rispetto a quello precedentemente assicurato dal Safe Harbor, rafforzato da una serie di meccanismi di ricorso contro eventuali inadempienze da parte delle imprese aderenti allo Scudo e dalla previsione di impegni vincolanti in capo al Dipartimento del Commercio statunitense, che si traducono nella vigilanza sulla corretta applicazione dell’accordo e nell’irrogazione di misure sanzionatorie nei confronti dei trasgressori.
Titolari e Responsabili del trattamento dei dati personali hanno, in definitiva, ottime ragioni per festeggiare. E con loro, i singoli interessati, che affidano la propria identità al modo in cui vengono trattate, collegate e fatte circolare le informazioni in cui essa si sostanzia.
[1] Il “Safe Harbor” (“Approdo sicuro”) costituiva il regime giuridico, sempre di origine convenzionale, dei trasferimenti di dati personali dal territorio dell’Unione Europea verso organizzazioni aventi sede negli Stati Uniti, divenuto inapplicabile in seguito all’emanazione della sentenza della Corte di Giustizia dell’Unione Europea C-362/14 nella causa Schrems, del 6 ottobre 2015.
[2] Con la sentenza citata, la Corte europea dichiarava l’invalidità della decisione della Commissione europea del 26 luglio 2000 n. 2000/520/CE, che aveva ritenuto adeguato il livello di protezione dei dati personali garantito dagli Stati Uniti d’America nel contesto del regime di “Safe Harbor“.
[3] L’art. 44, comma 1, lett. b) del D.Lgs. 196/2003 (Codice Privacy) subordina il trasferimento di dati personali verso un Paese non appartenente all’Unione Europea all’autorizzazione del Garante, sulla base delle valutazioni svolte dalla Commissione in merito all’adeguatezza delle garanzie per i diritti dell’interessato offerte dallo Stato di destinazione, in conformità al diritto dell’Unione.
[4] Ai sensi degli artt. 154, comma 1, lett. d) e 45 del Codice Privacy.