1.TERZO RIESAME ANNUALE — CONTESTO, PREPARAZIONE E PROCESSO

Il 12 luglio 2016 la Commissione ha adottato una decisione (la "decisione di adeguatezza") in cui ha rilevato che lo scudo UE-USA per la privacy garantisce un livello di protezione adeguato dei dati personali trasferiti dall'UE a organizzazioni stabilite negli Stati Uniti d'America. A norma della decisione di adeguatezza la Commissione è tenuta in particolare a effettuare un riesame annuale atto a valutare tutti gli aspetti del funzionamento del regime, nonché a preparare sulla base dello stesso una relazione pubblica da presentare al Parlamento europeo e al Consiglio.

Il primo riesame annuale ha avuto luogo a settembre 2017 a Washington DC e a ottobre 2017 la Commissione ha adottato la propria relazione al Parlamento europeo e al Consiglio, accompagnata da un documento di lavoro dei servizi della Commissione [SWD(2017) 344 final]. La Commissione ha concluso che gli Stati Uniti continuano a fornire un livello di protezione adeguato dei dati personali trasferiti nell'ambito dello scudo per la privacy dall'UE agli Stati Uniti, ma ha formulato dieci raccomandazioni per migliorare il funzionamento pratico del regime.

Il secondo riesame annuale è stato effettuato a ottobre 2018 a Bruxelles e a dicembre 2018 la Commissione ha adottato la propria relazione al Parlamento europeo e al Consiglio, accompagnata anche in questo caso da un documento di lavoro dei servizi della Commissione [SWD(2018) 487 final]. Le informazioni raccolte nel contesto del secondo riesame annuale hanno confermato le constatazioni formulate dalla Commissione nella decisione di adeguatezza, per quanto riguarda sia gli "aspetti commerciali" del regime (ossia gli aspetti riguardanti la conformità ai requisiti dello scudo per la privacy da parte delle imprese certificate, nonché la gestione, la vigilanza e il controllo dell'applicazione di tali requisiti da parte delle autorità statunitensi competenti) sia gli aspetti legati all'accesso delle autorità pubbliche ai dati personali trasferiti nell'ambito dello scudo per la privacy.

In particolare, le misure adottate per attuare le raccomandazioni della Commissione in seguito al primo riesame annuale avevano migliorato diversi aspetti del funzionamento pratico del regime. Ad esempio il Dipartimento del Commercio aveva introdotto nuovi meccanismi per rilevare i potenziali problemi di conformità, la Commissione federale del Commercio aveva adottato un'impostazione maggiormente proattiva per il monitoraggio della conformità e il controllo dell'applicazione ed era stata pubblicata la relazione dell'Autorità per la tutela della vita privata e delle libertà civili sull'attuazione della direttiva presidenziale 28 . Poiché tuttavia talune di queste misure erano state adottate appena prima del secondo riesame annuale e taluni processi erano ancora in corso, la Commissione aveva concluso che i successivi sviluppi riguardanti tali processi e meccanismi avrebbero dovuto essere monitorati attentamente.

Inoltre, nonostante la funzione di Mediatore dello scudo fosse ricoperta dal Sottosegretario di Stato ad interim e quindi il meccanismo di mediazione fosse perfettamente funzionante, la Commissione aveva sottolineato l'importanza di nominare un Mediatore dello scudo per la privacy su base permanente e nello specifico aveva invitato il governo statunitense a procedere a una nomina per tale posizione entro il 28 febbraio 2019.

La terza riunione annuale di riesame si è svolta a Washington DC il 12 e il 13 settembre 2019. È stata aperta dal direttore generale Giustizia e consumatori Tiina Astola, dal Segretario al Commercio degli USA Wilbur Ross, dal presidente della Commissione federale del Commercio Joseph Simons e dal vicepresidente del Comitato europeo per la protezione dei dati Ventsislav Karadjov. Per l'UE il riesame è stato condotto da rappresentanti della direzione generale Giustizia e consumatori della Commissione europea. Alla riunione hanno partecipato anche otto rappresentanti designati dal Comitato europeo per la protezione dei dati.

Per gli USA hanno partecipato al riesame rappresentanti del Dipartimento del Commercio, del Dipartimento di Stato, della Commissione federale del Commercio, del Dipartimento dei Trasporti, dell'Ufficio del direttore dell'intelligence nazionale e del Dipartimento della Giustizia e membri dell'Autorità per la tutela della vita privata e delle libertà civili, nonché il Mediatore recentemente nominato (su base permanente, si veda il prosieguo) e l'ispettore generale della comunità dell'intelligence. Durante le pertinenti sessioni del riesame inoltre sono state fornite informazioni da rappresentanti di due organizzazioni che offrono servizi indipendenti di composizione delle controversie nell'ambito dello scudo per la privacy e da rappresentanti dell'American Arbitration Association, che gestisce il collegio arbitrale dello scudo. Nel riesame annuale sono inoltre confluite le presentazioni delle organizzazioni certificate come aderenti allo scudo per la privacy sulle misure adottate dalle imprese per conformarsi ai requisiti del regime.

In preparazione del terzo riesame annuale la Commissione aveva raccolto informazioni dai portatori di interessi pertinenti (segnatamente dalle imprese certificate come aderenti allo scudo per la privacy tramite le rispettive associazioni di categoria e le organizzazioni non governative attive nel settore dei diritti fondamentali, in particolare nel settore dei diritti digitali e della privacy). Oltre a raccogliere contributi scritti, la Commissione si era riunita con le associazioni industriali e commerciali il 9 settembre 2019 e con le organizzazioni non governative l'11 settembre 2019.

Le constatazioni della Commissione sono state alimentate anche da documenti disponibili al pubblico quali decisioni giudiziarie, norme e procedure di attuazione delle autorità statunitensi competenti, relazioni e studi di organizzazioni non governative, relazioni in materia di trasparenza pubblicate dalle imprese certificate come aderenti allo scudo per la privacy, relazioni annuali dei meccanismi di ricorso indipendenti e articoli dei media.

Con la presente relazione si conclude il terzo riesame annuale del funzionamento dello scudo per la privacy. La relazione e il documento di lavoro dei servizi della Commissione che la accompagna [SWD(2019) 390 final] hanno la stessa struttura dei documenti relativi ai due riesami precedenti. La relazione copre tutti gli aspetti del funzionamento dello scudo per la privacy, concentrandosi in modo particolare sugli elementi per i quali nell'ambito del secondo riesame annuale la Commissione aveva identificato la necessità di un attento monitoraggio.

Nello svolgimento della propria valutazione la Commissione ha tenuto conto anche degli ulteriori sviluppi dell'ultimo anno, tra cui la controversia legata allo scudo per la privacy pendente dinanzi alla Corte di giustizia dell'Unione europea. A tale proposito il riesame ha dato alla Commissione l'opportunità di ottenere chiarimenti dalle autorità statunitensi in merito a taluni aspetti specifici del quadro giuridico statunitense che disciplina la raccolta di informazioni di intelligence esterna, sollevati nel contesto della causa nota come Schrems II. La Commissione tuttavia potrebbe dover rivalutare la situazione dopo che la Corte si sarà pronunciata sulle cause pendenti.

2.CONSTATAZIONI

Nel suo terzo anno di funzionamento lo scudo per la privacy, che alla data della riunione annuale di riesame contava oltre 5 000 imprese aderenti, è passato dalla fase di avviamento a una fase più operativa. Esaminando sia gli aspetti commerciali, sia i problemi legati all'accesso delle pubbliche amministrazioni ai dati personali, il terzo riesame annuale si è concentrato sulle esperienze e sugli insegnamenti tratti dall'applicazione pratica del regime.

Le constatazioni dettagliate relative al funzionamento del regime dello scudo per la privacy dopo il suo terzo anno di funzionamento sono presentate nel documento di lavoro dei servizi della Commissione sul terzo riesame annuale del funzionamento dello scudo UE-USA per la privacy [SWD(2019)390 final] che accompagna la presente relazione.

2.1.Aspetti commerciali

Alla luce delle constatazioni del riesame annuale dello scorso anno, nella valutazione degli aspetti commerciali la Commissione si è concentrata soprattutto sui progressi compiuti dal Dipartimento del Commercio per quanto riguarda i) il processo di ricertificazione; ii) l'efficacia dei meccanismi introdotti dal Dipartimento del Commercio per monitorare proattivamente la conformità delle imprese certificate (le cosiddette "verifiche casuali"); iii) gli strumenti introdotti per identificare i casi di millantata adesione; iv) l'avanzamento e l'esito delle azioni coercitive della Commissione federale del Commercio inerenti a violazioni dello scudo per la privacy e v) gli sviluppi relativi agli orientamenti in materia di dati sulle risorse umane.

Per quanto riguarda il processo di ricertificazione, dal terzo riesame annuale è emerso che secondo la prassi abituale allo scadere del periodo di (ri)certificazione, se un'impresa non ha ancora completato il processo di certificazione, il Dipartimento del Commercio, a seguito di una procedura interna, concede all'impresa un "periodo di tolleranza" piuttosto lungo. Durante tale periodo (di circa 3,5 mesi, o in taluni casi di durata anche maggiore, a seconda del momento in cui il Dipartimento del Commercio rileva il mancato completamento del processo di ricertificazione), l'impresa continua a figurare nell'elenco degli aderenti "attivi" allo scudo per la privacy. Finché un'impresa figura nell'elenco degli aderenti allo scudo per la privacy gli obblighi previsti dal regime rimangono vincolanti e pienamente azionabili. Tuttavia, il fatto che un'impresa continui a essere elencata tra gli aderenti attivi allo scudo per la privacy nonostante il termine per la sua ricertificazione sia scaduto da molto tempo riduce la trasparenza e la leggibilità dell'elenco degli aderenti allo scudo sia per le imprese che per le persone. Tale prassi disincentiva inoltre le imprese aderenti a ottemperare rigorosamente all'obbligo di ricertificazione annuale.

Per quanto riguarda le verifiche proattive della conformità delle imprese ai requisiti dello scudo per la privacy, ad aprile 2019 il Dipartimento del Commercio ha introdotto un sistema nell'ambito del quale verifica 30 imprese ogni mese. La Commissione accoglie con favore il fatto che il Dipartimento del Commercio stia svolgendo regolarmente e sistematicamente verifiche casuali proattive sulla conformità, in quanto tale impostazione è molto importante per incrementare la conformità complessiva al regime e per identificare i casi che richiedono azioni coercitive da parte della Commissione federale del Commercio. La Commissione osserva tuttavia che tali verifiche casuali tendono a essere circoscritte ai requisiti formali, evidenziando ad esempio la mancata risposta da parte del referente nominato o l'assenza di una politica della privacy dell'impresa consultabile in rete. Per quanto tali aspetti siano senza dubbio rilevanti per la conformità ai requisiti dello scudo per la privacy, le verifiche dovrebbero riguardare anche gli obblighi sostanziali, come ad esempio il rispetto del principio sulla responsabilità in caso di ulteriore trasferimento, sfruttando appieno gli strumenti su cui il Dipartimento del Commercio può fare affidamento nel quadro del regime. I requisiti relativi all'ulteriore trasferimento sono stati significativamente rafforzati nell'ambito dello scudo per la privacy, poiché un'assenza di garanzie in tali situazioni comprometterebbe le tutele garantite dal regime. Se pure è opportuno che le verifiche casuali continuino a essere svolte regolarmente e sistematicamente, la conformità a tali requisiti più sostanziali è anche fondamentale per la continuità dello scudo per la privacy e dovrebbe essere rigorosamente monitorata e fatta rispettare dalle autorità statunitensi.