1. Introduzione

La protezione dei dati di carattere personale è parte integrante del tessuto costituzionale comune dell'Europa ed è sancita dall'articolo 8 della Carta dei diritti fondamentali dell'UE. Da più di 20 anni riveste un ruolo fondamentale per il diritto dell'UE, dalla direttiva sulla protezione dei dati del 1995 ("la direttiva del 1995") all'adozione del regolamento generale sulla protezione dei dati e della direttiva sulla protezione dei dati nell'ambito della cooperazione giudiziaria e di polizia nel 2016.

Come ha sottolineato il presidente Juncker nel suo discorso sullo stato dell'Unione del 14 settembre 2016, "[e]ssere europei significa avere diritto alla protezione dei propri dati personali mediante rigorose leggi europee. [...] Perché in Europa ci teniamo alla riservatezza. Si tratta di una questione di dignità umana."

L'esigenza di proteggere i dati personali non si limita tuttavia all'Europa. I consumatori di ogni parte del mondo hanno sempre più a cuore il valore della loro vita privata e le imprese, a loro volta, riconoscono che una solida tutela della vita privata conferisce loro un vantaggio concorrenziale, poiché accresce la fiducia nei loro servizi. Molte imprese, in particolare quelle che operano a livello mondiale, stanno allineando le loro politiche in materia di tutela della vita privata al regolamento generale sulla protezione dei dati, perché desiderano operare nell'UE e perché lo considerano un modello da seguire.

Allo stesso modo, diversi paesi e organizzazioni regionali al di fuori dell'UE, dai paesi del nostro immediato vicinato, all'Asia, all'America latina, all'Africa, stanno adottando una nuova normativa in materia di protezione dei dati o aggiornando quella vigente, al fine di cogliere le opportunità offerte dall'economia digitale a livello mondiale e di rispondere alla crescente domanda di una maggiore sicurezza dei dati e di tutela della vita privata. Anche se vi sono delle differenze tra paesi quanto all'impostazione e al livello di evoluzione normativa, ci sono segni di convergenza verso l'alto in relazione a importanti principi in materia di protezione dei dati, in particolare in determinate regioni del mondo. Una maggiore compatibilità tra i diversi sistemi di protezione dei dati faciliterebbe i flussi internazionali di dati personali, anche a fini commerciali o di cooperazione tra le autorità pubbliche (come, ad esempio, per le attività volte a garantire il rispetto della legge). L'UE dovrebbe cogliere questa opportunità per promuovere i suoi valori in materia di protezione dei dati e facilitare i flussi di dati incoraggiando la convergenza dei sistemi giuridici. Come annunciato nel programma di lavoro della Commissione, la presente comunicazione illustra quindi il quadro strategico della Commissione relativo alle "decisioni di adeguatezza", nonché ad altri strumenti per il trasferimento dei dati e a strumenti internazionali in materia di protezione dei dati.

2. Il pacchetto di riforma della protezione dei dati nell'UE: un quadro normativo moderno che assicura un elevato livello di protezione a sostegno dei flussi internazionali di dati

La riforma della normativa dell'UE sulla protezione dei dati adottata nell'aprile 2016 istituisce un sistema che garantisce un livello elevato di protezione ed è aperto alle opportunità della società dell'informazione globale. Conferendo ai singoli un maggiore controllo sui propri dati personali, la riforma rafforza la fiducia dei consumatori nell'economia digitale. Con l'armonizzazione e la semplificazione del contesto giuridico, la riforma agevola le attività commerciali nell'UE sia per le imprese europee che estere, alleggerendone gli oneri, anche attraverso lo scambio di dati a livello internazionale. L'UE, che associa oggi l'apertura ai flussi internazionali di dati al massimo livello di protezione per le persone, ha il potenziale per diventare un centro nevralgico per i servizi di dati, i quali devono poter circolare liberamente e godere della fiducia dei cittadini.

2.1 Un quadro dell'UE in materia di protezione dei dati completo, unificato e semplificato

La riforma dell'UE istituisce un quadro completo che disciplina il trattamento dei dati personali nel settore privato e in quello pubblico, sia in ambito commerciale che in materia di attività di contrasto (rispettivamente, il regolamento generale sulla protezione dei dati e la direttiva sulla protezione dei dati nell'ambito della cooperazione giudiziaria e di polizia).

A norma del regolamento generale sulla protezione dei dati, da maggio 2018 vi sarà un unico insieme paneuropeo di norme a fronte delle 28 normative nazionali attuali. Il meccanismo di sportello unico di nuova costituzione garantirà che un'unica autorità per la protezione dei dati sarà responsabile della supervisione delle operazioni di trattamento dei dati a carattere transfrontaliero effettuate da un'impresa nell'UE, assicurando un'interpretazione coerente delle nuove norme. In particolare, nei casi a carattere transfrontaliero in cui sono coinvolte diverse autorità nazionali per la protezione dei dati, sarà adottata una decisione unica per assicurare che a problemi comuni corrispondano soluzioni comuni. Inoltre, il regolamento generale sulla protezione dei dati istituisce condizioni di parità fra le imprese europee e straniere, imponendo alle imprese che hanno sede fuori dell'UE di applicare le stesse regole cui sono tenute le imprese europee se offrono beni e servizi o monitorano il comportamento di persone nell'UE. Un maggiore livello di fiducia dei consumatori andrà a beneficio sia degli operatori commerciali dell'UE che di quelli esterni.

La direttiva sulla protezione dei dati nell'ambito della cooperazione giudiziaria e di polizia contempla norme comuni per il trattamento dei dati personali delle persone coinvolte in procedimenti penali, che si tratti di indiziati, vittime o testimoni, pur tenendo conto delle specificità del settore della polizia e della giustizia penale. L'armonizzazione delle norme in materia di protezione dei dati nel settore dell'attività di contrasto, in particolare le norme sui trasferimenti internazionali, faciliteranno la cooperazione transfrontaliera tra le forze di polizia e le autorità giudiziarie, sia all'interno dell'UE che con i partner internazionali, creando così le condizioni per una lotta più efficace contro la criminalità. Si tratta di un contributo importante all'Agenda europea sulla sicurezza.

2.2 Uno strumentario rinnovato e diversificato per i trasferimenti internazionali

Fin dai suoi esordi la normativa dell'UE sulla protezione dei dati ha predisposto una serie di meccanismi che consentono il trasferimento internazionale di dati. L'obiettivo principale di tali norme è garantire che, quando i dati personali dei cittadini europei vengono trasferiti all'estero, la tutela viaggi con loro. Nel corso degli anni queste norme hanno costituito lo standard in materia di flussi internazionali di dati in molte giurisdizioni. Pur mantenendo essenzialmente l'architettura della direttiva del 1995, la riforma delle norme sui trasferimenti internazionali chiarisce e semplifica il loro uso e introduce nuovi strumenti per i trasferimenti.

Ai sensi del diritto dell'UE, uno dei modi per trasferire dati personali all'estero è farlo sulla base di una "decisione di adeguatezza" della Commissione che stabilisce se un paese terzo offre un livello di protezione dei dati che sia "sostanzialmente equivalente" a quello esistente nell'UE. L'effetto di tale decisione è consentire la libera circolazione dei dati personali verso il paese terzo in questione senza che l'esportatore dei dati debba fornire ulteriori garanzie o ottenere alcuna autorizzazione. Per i paesi o le organizzazioni internazionali interessate è disponibile un elenco preciso e dettagliato di elementi di cui la Commissione deve tenere conto nel valutare l'adeguatezza della protezione garantito dall'ordinamento di un paese terzo. La Commissione può ora adottare decisioni di adeguatezza anche per il settore dell'attività di contrasto. Inoltre, basandosi sulla prassi a norma della direttiva del 1995, la riforma prevede esplicitamente la possibilità di una decisione sull'adeguatezza con riferimento a un particolare territorio di un paese terzo o a un settore specifico all'interno di un paese terzo (la cosiddetta adeguatezza "parziale").

In mancanza di una decisione di adeguatezza, i trasferimenti internazionali possono avere luogo sulla base di un certo numero di strumenti alternativi di trasferimento che forniscano adeguate garanzie in materia di protezione dei dati. La riforma formalizza ed amplia le possibilità di ricorso a strumenti esistenti, quali clausole contrattuali tipo e norme vincolanti d'impresa. Ad esempio, è ora possibile includere clausole contrattuali tipo in un contratto tra responsabili del trattamento con sede nell'UE e responsabili del trattamento con sede in un paese non appartenente all'UE (le cosiddette clausole secondo il modello "da responsabile a responsabile"). Le norme vincolanti d'impresa, finora limitate agli accordi tra entità dello stesso gruppo societario, possono ora essere utilizzate da un gruppo di imprese che svolge un'attività economica comune, anche se le imprese non fanno parte dello stesso gruppo societario. La riforma riduce inoltre la burocrazia abolendo i requisiti generali di notifica preventiva alle autorità di protezione dei dati e la loro autorizzazione dei trasferimenti a un paese terzo sulla base di clausole contrattuali tipo o di norme vincolanti d'impresa. Ciò rappresenta un'importante semplificazione del sistema UE di trasferimenti internazionali di dati, poiché l'esistenza di tali requisiti, che attualmente variano da uno Stato membro all'altro, è spesso percepita come un ostacolo significativo per i flussi di dati, in particolare per le imprese più piccole.

La riforma introduce inoltre nuovi strumenti per i trasferimenti internazionali. I titolari e i responsabili del trattamento potranno avvalersi, a determinate condizioni, di codici di condotta o meccanismi di certificazione approvati (ad esempio marchi di certificazione o "privacy seal") per predisporre "garanzie adeguate". Ciò dovrebbe consentire lo sviluppo di più soluzioni su misura per i trasferimenti internazionali di dati, che tengano conto, ad esempio, delle caratteristiche ed esigenze specifiche di un dato settore o di particolari flussi di dati. La riforma offre anche la possibilità di prevedere garanzie adeguate per i trasferimenti di dati tra autorità o organismi pubblici sulla base di accordi internazionali o di accordi amministrativi. Il regolamento generale sulla protezione dei dati chiarisce infine l'uso delle cosiddette "deroghe" (ad esempio il consenso, l'esecuzione di un contratto o importanti motivi di interesse pubblico) in virtù delle quali i soggetti possano effettuare, in determinate situazioni, i trasferimenti di dati in mancanza di una decisione di adeguatezza e a prescindere dall'uso di uno degli strumenti sopra citati. In particolare, esso contiene una nuova, seppur circoscritta, deroga relativa ai trasferimenti che sono ammessi se necessari per il perseguimento dei legittimi interessi di un'impresa.

La riforma conferisce infine alla Commissione il potere di elaborare meccanismi di cooperazione internazionale per facilitare l'applicazione delle norme in materia di protezione dei dati, anche attraverso accordi di assistenza reciproca. Viene riconosciuto il contributo che potrebbero garantire forme di collaborazione più stretta tra autorità di vigilanza a livello internazionale per una protezione più efficace dei diritti individuali e una maggiore certezza del diritto per le imprese.

3. Trasferimenti internazionali di dati nel settore commerciale: facilitare il commercio tutelando la vita privata

Il rispetto della privacy è una condizione necessaria per flussi commerciali stabili, sicuri e competitivi a livello mondiale. La privacy non è una merce di scambio. Internet e la digitalizzazione dei beni e dei servizi ha trasformato l'economia globale: il trasferimento transfrontaliero di dati, compresi i dati personali, è parte dell'operatività quotidiana delle imprese europee di tutte le dimensioni e in tutti i settori. Poiché gli scambi commerciali utilizzano sempre più i flussi di dati personali, la riservatezza e la sicurezza di tali dati è diventata un fattore essenziale della fiducia dei consumatori. Ad esempio, due terzi degli europei si dichiarano preoccupati del fatto che non hanno alcun controllo sulle informazioni che forniscono online, mentre la metà degli intervistati teme di essere vittima di frode. Al tempo stesso, le imprese europee che operano in alcuni paesi terzi si trovano sempre più spesso a dover far fronte a restrizioni protezionistiche che non possono essere giustificate con argomentazioni legittime di tutela della sfera privata.