I flussi di dati sono globali. L’UE è vincolata dai trattati e dalla Carta dei diritti fondamentali dell’Unione europea, che ne proteggono tutti i cittadini. Pertanto, l’UE è tenuta ad adottare tutte le misure necessarie a garantire il rispetto dei diritti alla privacy e alla protezione dei dati personali in tutte le operazioni di trattamento dei dati, compresi i trasferimenti.

Fin dalle rivelazioni del 2013 in materia di attività di sorveglianza, l’UE e il suo partner strategico, vale a dire gli Stati Uniti, tentano di definire una nuova serie di norme, sulla base di un sistema di autocertificazione, per il trasferimento agli USA, a fini commerciali, di dati personali inviati dall’UE. Analogamente alle autorità competenti in materia di protezione dei dati a livello nazionale dell’UE, il GEPD riconosce l’importanza, in un’epoca di flussi di dati globali, immediati e imprevedibili, di un quadro normativo sostenibile per i trasferimenti commerciali di dati tra l’UE e gli USA, che costituiscono il maggiore partenariato commerciale al mondo. Tuttavia, tale quadro deve riflettere appieno i valori democratici e individuali condivisi, basati sui diritti sanciti, in ambito UE, nel trattato di Lisbona e nella Carta dei diritti fondamentali e, in ambito USA, dalla costituzione americana.

Il progetto di scudo per la privacy potrebbe rappresentare un passo verso la giusta direzione; tuttavia, a nostro avviso, secondo la formulazione attuale, non include in misura adeguata tutti i meccanismi di salvaguardia atti a tutelare i diritti dell’individuo alla vita privata e alla protezione dei dati sanciti dall’UE, anche in materia di ricorso giurisdizionale. Servono miglioramenti significativi qualora la Commissione europea intenda adottare una decisione in merito all’adeguatezza dello scudo per la privacy. In particolare l’UE dovrebbe ottenere garanzie aggiuntive in termini di necessità e proporzionalità, invece di legittimare l’accesso sistematico da parte delle autorità degli USA ai dati trasferiti sulla base di criteri con un fondamento giuridico nel paese beneficiario, ma non riconosciuti come tali nell’UE, secondo quanto sancito dai trattati, dalle sentenze emesse nell’UE e dalle tradizioni costituzionali comuni agli Stati membri.

Inoltre, in un’epoca di elevata iperconnettività e sistemi distribuiti di reti, l’autoregolamentazione da parte degli organismi privati nonché le dichiarazioni e gli impegni dei funzionari pubblici possono essere determinanti nel breve termine, mentre nel più lungo termine non sarebbero sufficienti a salvaguardare i diritti e gli interessi dei singoli e a soddisfare appieno le esigenze di un mondo digitale globalizzato, in cui molti paesi sono ormai dotati di norme sulla protezione dei dati.

Pertanto, nel dialogo transatlantico sarebbe auspicabile una soluzione a più lungo termine, anche per consentire la chiara e concisa definizione, nel diritto federale vincolante, quanto meno dei principi chiave dei diritti, come avviene nei confronti di altri paesi non dell’UE, che sono stati oggetto di una «rigorosa valutazione» a garanzia di un adeguato livello di protezione. Tutto ciò va inteso, conformemente a quanto espresso dalla CGUE nella sentenza Schrems, come «sostanzialmente equivalente» alle norme applicabili in forza del diritto dell’UE e, secondo il Gruppo di lavoro dell’articolo 29, come contenente «la sostanza dei principi fondamentali» della protezione dei dati.

Prendiamo atto con soddisfazione dell’accresciuta trasparenza dimostrata dalle autorità degli USA riguardo all’esercizio dell’eccezione ai principi dello scudo per la privacy, ai fini dell’applicazione della legge e del contrasto, della sicurezza nazionale e dell’interesse pubblico.

Tuttavia, mentre la decisione del 2000 sull’approdo sicuro (Safe Harbour) trattava formalmente l’accesso per ragioni di sicurezza nazionale a titolo di eccezione, l’attenzione dedicata nel progetto di decisione sullo scudo per la privacy all’accesso, al filtro e all’analisi, da parte delle autorità di contrasto e dei servizi di intelligence, di dati personali trasferiti a fini commerciali, indica che l’eccezione potrebbe essersi convertita nella regola. In particolare, il GEPD osserva, a partire dal progetto di decisione e dai relativi allegati, che, nonostante la recente evoluzione da una sorveglianza indiscriminata su base generale ad approcci più mirati e selezionati, il livello di attività d’intelligence attraverso captazione di segnali (la cosiddetta signal intelligence) e la quantità di dati trasferiti dall’UE, che potrebbero essere oggetto di raccolta e uso dopo il trasferimento e, segnatamente, in fase di transito, potrebbero essere elevati e quindi problematici.

Sebbene tali pratiche siano altresì riferibili ai servizi di intelligence di altri paesi e per quanto accogliamo con favore la trasparenza dimostrata dalle autorità degli Stati Uniti riguardo a tale nuova realtà, l’attuale progetto di decisione potrebbe legittimare tale iter sistematico. Pertanto esortiamo la Commissione europea a dare un segnale più forte: alla luce degli obblighi imposti all’UE dal trattato di Lisbona, l’accesso e l’uso, da parte delle autorità pubbliche, di dati trasferiti a fini commerciali, anche in fase di transito, dovrebbero avere luogo esclusivamente in circostanze eccezionali e ove indispensabile per scopi specifici di interesse pubblico.

Per quanto riguarda le disposizioni concernenti i trasferimenti a fini commerciali, non ci si dovrebbe attendere che gli addetti ai controlli modifichino continuamente i modelli di conformità. Inoltre il progetto di decisione è incentrato sul quadro normativo dell’UE esistente, che sarà sostituito dal regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati) a maggio 2018, vale a dire a neanche un anno dalla completa attuazione dello scudo per la privacy da parte degli addetti ai controlli. Il GEPD istituisce e rafforza gli obblighi imposti ai controllori, i quali vengono estesi al di là dei nove principi sviluppati nell’ambito dello scudo per la privacy. Indipendentemente da eventuali modifiche definitive al progetto, raccomandiamo alla Commissione europea di valutare in modo esaustivo le prospettive future fin dalla sua prima relazione al fine di individuare tempestivamente le iniziative pertinenti nell’ottica di soluzioni più a lungo termine, che possano sostituire lo scudo per la privacy, se attuato, con quadri normativi più rigorosi e stabili al fine di dare impulso alle relazioni transatlantiche.

Pertanto il GEPD formula specifiche raccomandazioni sullo scudo per la privacy.