Trasferimento dati personali tra UE – USA: in arrivo un nuovo accordo?

Il Capo V del GDPR fornisce chiare indicazioni sugli strumenti che rendono possibile, lecito e sicuro il trasferimento dei dati verso paesi terzi o organizzazioni internazionali. In particolare, il trasferimento dei dati personali è consentito se l’azienda (il titolare del trattamento e/o il responsabile del trattamento) può fare valere le seguenti specifiche garanzie:

• Decisioni di adeguatezza (Art. 45 GDPR)[1];
• In mancanza di decisione di adeguatezza, il trasferimento è consentito laddove il titolare o il responsabile del trattamento forniscano garanzie adeguate che prevedono diritti azionabili e mezzi di ricorso effettivi per le persone interessate (Art. 46 cpv 1 GDPR)[2].

In seguito alla sentenza Schrems II che ha abolito la presunzione di conformità al GDPR per il trasferimento dei dati personali tra aziende statunitensi e aziende europee, occorre non solo utilizzare le SCC o BCR ma anche (i) eseguire una valutazione dei rischi caso per caso (transfer impact assesment – TIA), (ii) verificare le circostanze del trasferimento, ossia che la legislazione del paese terzo destinatario consenta di rispettare gli obblighi previsti dalle clausole e nel caso le SCC e le BCR non fossero sufficienti a garantire la protezione dei dati (iii) attuare delle misure supplementari di protezioni.

La definizione del nuovo accordo USA-UE per la privacy deve prendere in considerazione le preoccupazioni espresse dalla CGUE nella sentenza Schrems II. In particolare, i programmi di sorveglianza fondati sulla normativa USA devono essere limitati alle attività strettamente necessarie in ambito di sicurezza nazionale (rispettando in questo modo il principio di proporzionalità) e nel contempo deve essere assicurato alle persone interessate europee un meccanismo di mediazione che possa fornire un mezzo di ricorso ad un organo che offra garanzie equivalenti a quelle previste dalla normativa europea ed in particolare a quanto previsto dalla Carta dei diritti fondamentali dell’UE[3].

Anche se l’E.O. pubblicato il 7 ottobre utilizza effettivamente la formulazione del diritto europeo, ed in particolare i termini di necessità e di proporzionalità (cf. sezione 2 (a) (ii) (B)), permangono dubbi sull’eccessiva facilità con cui le autorità USA possono accedere ai dati personali di cittadini europei. In effetti, non ci sono alcuni elementi che garantiscano che la sorveglianza di massa cambierà (cf. sezione 2 (c) (ii)) e pertanto tutti i dati inviati a provider statunitensi continueranno a finire in programmi di sorveglianza come PRISM[4] o Upstream[5]. Fintanto che le norme interne USA[6] non limiteranno radicalmente i loro sistemi di sorveglianza a quanto strettamente necessario, sarà difficile considerare che il termine “proporzionalità” utilizzato nell’E.O. abbia lo stesso significato di quello dettato dal diritto UE.

Oltre ai principi di proporzionalità e necessità, l’altra preoccupazione della CGUE era l’implementazione di un ricorso legale negli USA per le persone non statunitensi.

A tale effetto, viene instaurato un meccanismo di difesa a due livelli. Il primo livello sarà affidato al già esistente funzionario del Direttore dell’Intelligenze nazionale (di seguito CLPO)[7] e il secondo livello ad un “Tribunale per la revisione della protezione dei dati” (Data Protection Review Court) che giudicherà sulle istanze di secondo grado. Tuttavia, a dispetto del nome e come sostenuto da Nyod[8] non siamo in presenza di una vera e propria Corte e pertanto sembra difficile che questo organo possa equivalere a un “ricorso giudiziario” come richiesto dalla Carta dei diritti fondamentali dell’UE[9] e ricordato dalla CGUE[10].

Oltre a questi due livelli, il processo di difesa è abbastanza macchinoso. I reclami dei cittadini europei dovranno essere trasmessi al CLPO tramite le loro proprie Autorità di controllo. A sua volta il CLPO, potrà solo comunicare tramite l’autorità competente nello Stato, all’interessato se i suoi dati sono stati oggetti di violazione, ma non potrà riferirgli se è soggetto ad indagine (cf. Sezione 3 (c) (E)). Come sostenuto da Nyod, questo tipo di processo rende di conseguenza inutile l’esistenza della Corte in quanto non ci sarà sicuramente nulla da appellare. La sezione 3 (d) (i) (H) dell’E.O. precisa addirittura quale sarà la risposta della Corte indipendentemente dalle argomentazioni o dal caso[11].

Ora sarà alla Commissione Europea di ripensare alla decisione di adeguatezza che permetterebbe di ripristinare la base giuridica dei trasferimenti dei dati personali tra i due continenti ed in questo modo alleggerire sicuramente la pressione sugli attori economici. Basta ricordare il caso di Google Analytics per capire la portata devastante dell’assenza di un accordo tra UE – USA per gli operatori economici ed in particolare le relative sanzioni in caso di violazione[12].

La definizione del nuovo accordo tra i due continenti permetterà di ripristinare la fiducia e la stabilità dei flussi transfrontalieri e concreterà il fatto che la relazione UE- USA si fonde su valori condivisi.

Tuttavia, il processo di adozione della decisione di adeguatezza è un processo lungo che dovrà passare anche attraverso l’opinione del European Data Protection Board (EDPB)[13] e delle autorità di controllo nazionali, anche se non vincolante.

Senza dimenticare che potremmo attenderci, per i motivi innanzi esposti, ad una Schrems III e di conseguenza ad una invalidazione del nuovo UE-USA scudo privacy.

Il compito che spetta alla Commissione Europea non è del tutto semplice, da una parte una pressione del mercato marcato da una leadership americana e da un’altra la protezione della personalità e dei diritti fondamentali dei cittadini europei. Non sarebbe l’occasione per l’Europa di pensare a ridurre la sua dipendenza dai servizi informatici erogati dagli USA e pensare a sviluppare i suoi propri sistemi.