RELAZIONE DELLA COMMISSIONE AL PARLAMENTO EUROPEO E AL CONSIGLIO

sul primo riesame annuale del funzionamento dello scudo UE-USA per la privacy

1.PRIMO RIESAME ANNUALE - SCOPO, PREPARAZIONE E PROCESSO

Nella decisione del 12 luglio 2016 ("decisione sull'adeguatezza"), la Commissione ha rilevato che lo scudo UE-USA per la privacy ("scudo per la privacy") garantisce un livello di protezione adeguato dei dati personali trasferiti dall'Unione europea a organizzazioni degli USA.

Lo scudo per la privacy riflette i principi e i requisiti stabiliti dalla Corte europea di giustizia nella sua decisione in merito alla causa Schrems, che ha dichiarato incostituzionale il precedente regime "Approdo sicuro" (Safe Harbour). Esso prevede una serie di elementi nuovi rispetto al regime "Approdo sicuro" che migliorano la protezione dei dati personali trasferiti verso gli Stati Uniti. Fra questi elementi figurano obblighi più rigorosi per le imprese certificate che aderiscono al regime dello scudo per la privacy, ad esempio per quanto riguarda le limitazioni relative al periodo di conservazione dei dati personali da parte di un'impresa (il cosiddetto principio della conservazione dei dati) o le condizioni alle quali i dati possono essere condivisi con terzi al di fuori del regime (il cosiddetto principio della responsabilità dei trasferimenti successivi). Lo scudo per la privacy prevede inoltre un monitoraggio più regolare e rigoroso da parte del dipartimento del Commercio degli Stati Uniti e rafforza notevolmente le possibilità per i cittadini dell'UE di ottenere un risarcimento. Inoltre, si fonda su specifiche dichiarazioni e garanzie scritte con cui il governo statunitense assicura che l'accesso delle autorità pubbliche ai dati personali trasferiti nel quadro dello scudo per la privacy per esigenze di sicurezza nazionale, amministrazione della giustizia o altri scopi d'interesse pubblico è soggetto a precise limitazioni e misure di salvaguardia. A tal fine istituisce anche un meccanismo di ricorso completamente nuovo: il mediatore.

La Commissione si è impegnata a valutare l'accertamento dell'adeguatezza su base annuale e, a tal fine, svolge un riesame annuale del funzionamento dello scudo per la privacy. Il primo riesame annuale del funzionamento dello scudo per la privacy si conclude con la presente relazione. Il riesame ha riguardato tutti gli aspetti dello scudo per la privacy, vale a dire l'attuazione, la gestione, il controllo e l'applicazione del regime da parte delle autorità e degli organismi statunitensi competenti, nonché le questioni relative all'accesso da parte delle autorità pubbliche statunitensi ai dati personali trasferiti nel quadro dello scudo per la privacy per scopi di interesse pubblico, in particolare per la tutela della sicurezza nazionale. Il riesame ha comportato anche un dialogo sulla questione specifica del processo decisionale automatizzato, come pure la valutazione degli sviluppi che hanno interessato il sistema giuridico statunitense nel corso dell'ultimo anno e che potrebbero incidere sul funzionamento dello scudo per la privacy.

Lo scudo per la privacy è operativo dal 1° agosto 2016. Tenuto conto del fatto che questo è stato il suo primo anno di applicazione, il riesame annuale della Commissione è stato diretto principalmente a verificare che tutti i meccanismi e le procedure previsti dal regime – molti dei quali sono stati istituiti di recente - siano stati pienamente attuati e funzionino nel modo previsto dalla decisione di adeguatezza. Inoltre, la Commissione ha dedicato particolare attenzione a verificare se e in che modo le varie autorità statunitensi coinvolte nell'attuazione del regime hanno tenuto fede alle dichiarazioni rese e agli impegni assunti, sia per quanto riguarda la gestione e il controllo degli aspetti commerciali dello scudo per la privacy sia in relazione all'accesso ai dati personali da parte delle pubbliche amministrazioni. Con l'insediamento del nuovo governo statunitense nel gennaio 2017 questo aspetto è diventato particolarmente importante.

In vista del riesame annuale, la Commissione ha raccolto informazioni e riscontri sull'attuazione e sul funzionamento del regime dello scudo per la privacy dalle parti interessate, più precisamente dalle imprese certificate che aderiscono al regime attraverso le rispettive associazioni di categoria e dalle organizzazioni non governative (ONG) attive nel campo dei diritti fondamentali e in particolare dei diritti digitali e della privacy. Essa ha inoltre chiesto e ottenuto informazioni scritte dalle autorità statunitensi coinvolte nell'attuazione del regime, ivi inclusi i documenti e il materiale pertinenti.

Il primo riesame annuale congiunto ha avuto luogo il 18 e il 19 settembre 2017 a Washington DC. È stato avviato dalla Commissaria europea responsabile per la Giustizia, i consumatori e la parità di genere Vĕra Jourová e dal Segretario al commercio degli USA Wilbur Ross. Il riesame annuale è stato condotto per l'UE da rappresentanti della direzione generale Giustizia e consumatori della Commissione europea. La delegazione dell'UE includeva anche otto rappresentanti designati dal gruppo di lavoro "articolo 29", l'organo consultivo che riunisce le autorità nazionali competenti per la protezione dei dati degli Stati membri e il Garante europeo della protezione dei dati.

Per quanto riguarda gli Stati Uniti, hanno partecipato al riesame rappresentanti del dipartimento del Commercio, della commissione federale del Commercio, del dipartimento dei Trasporti, del dipartimento di Stato, dell'ufficio del direttore dell'intelligence nazionale e del dipartimento della Giustizia, così come il mediatore ad interim, un membro dell'autorità per la tutela della vita privata e delle libertà civili e l'ufficio dell'ispettore generale della comunità dell'intelligence. Inoltre, hanno fornito contributi nel corso del riesame annuale rappresentanti delle organizzazioni che offrono un meccanismo indipendente di composizione delle controversie nell'ambito dello scudo della privacy, l'American Arbitration Association in qualità di collegio arbitrale dello scudo e alcune imprese certificate che aderiscono al regime.

Il riesame annuale è stato inoltre alimentato dai documenti disponibili al pubblico, quali le decisioni giudiziarie, le norme e le procedure per l'attuazione delle autorità statunitensi competenti, le relazioni e gli studi delle ONG, le relazioni in materia di trasparenza redatte dalle imprese certificate che aderiscono al regime dello scudo per la privacy, gli articoli di stampa e altre notizie diffuse dai media.

2.CONSTATAZIONI, CONCLUSIONI E RACCOMANDAZIONI

Dal riesame annuale è emerso che le autorità statunitensi hanno predisposto le strutture e le procedure necessarie a garantire il corretto funzionamento dello scudo per la privacy. Il processo di certificazione è stato gestito in modo complessivamente soddisfacente e finora sono state certificate più di 2 400 imprese. Le autorità statunitensi hanno messo in atto i meccanismi e le procedure di gestione dei reclami e di applicazione delle norme per tutelare i diritti delle persone, tra i quali figurano anche nuovi mezzi di ricorso per i cittadini dell'UE come il collegio arbitrale e il meccanismo di mediazione. Per quanto riguarda quest'ultimo, con l'insediamento del nuovo governo nel gennaio 2017 è stato designato un mediatore ad interim, in attesa della nomina di un mediatore permanente. La cooperazione con le autorità europee per la protezione dei dati è stata intensificata. Per quanto riguarda l'accesso ai dati personali da parte delle autorità pubbliche per motivi di sicurezza nazionale, restano in vigore importanti misure di salvaguardia sul versante USA, in particolare quelle basate sulla direttiva presidenziale n. 28 del 2014, che stabilisce le limitazioni e le garanzie per quanto riguarda l'utilizzo dei dati personali da parte delle autorità nazionali di pubblica sicurezza, a prescindere dalla nazionalità della persona interessata. In tale contesto va osservato inoltre che l'articolo 702 del Foreign Intelligence Surveillance Act (FISA) statunitense giungerà a scadenza il 31 dicembre 2017 e che le proposte di riforma sono in discussione presso il Congresso degli Stati Uniti.

Le constatazioni fattuali dettagliate riguardanti il funzionamento di tutti gli aspetti dello scudo per la privacy dopo il suo primo anno di funzionamento sono presentate nel documento di lavoro dei servizi della Commissione sul riesame annuale del funzionamento dello scudo UE-USA per la privacy (SWD(2017) 344 final) che accompagna la presente relazione.