Ai sensi dell’allegato IV della decisione 2000/520:

«Tutela della riservatezza e risarcimento danni, autorizzazioni legali, fusioni e acquisizioni secondo la legge degli Stati Uniti

Il presente documento risponde alla richiesta della Commissione europea di chiarimenti sulla legge statunitense per quanto riguarda a) risarcimento dei danni per violazione della sfera privata (privacy), b) le “autorizzazioni esplicite” previste dalla legge degli Stati Uniti per l’uso di dati personali in modo contrastante con i principi “approdo sicuro” (safe harbor), c) l’effetto delle fusioni e acquisizioni sugli obblighi assunti in base a tali principi.

(...)

B. Autorizzazioni legali esplicite

I principi “approdo sicuro” contengono un’eccezione qualora atti legislativi, regolamenti o la giurisprudenza “comportino obblighi contrastanti od autorizzazioni esplicite, purché nell’avvalersi di un’autorizzazione siffatta un’organizzazione possa dimostrare che il mancato rispetto dei principi da parte sua si limita a quanto strettamente necessario per soddisfare i legittimi interessi d’ordine superiore tutelati da detta autorizzazione”. È ovvio che quando la legge statunitense impone un’obbligazione conflittuale, le organizzazioni statunitensi, che aderiscano o no ai principi “approdo sicuro”, devono osservare la legge. Per quanto riguarda le autorizzazioni esplicite, sebbene i principi “approdo sicuro” intendano colmare le differenze tra il sistema americano e quello europeo relativamente alla tutela della privacy, siamo tenuti al rispetto delle prerogative legislative dei legislatori eletti. La limitata eccezione al rigoroso rispetto dei principi “approdo sicuro” cerca di stabilire un equilibrio in grado di conciliare i legittimi interessi delle parti.

L’eccezione è limitata ai casi in cui esiste un’autorizzazione esplicita. Tuttavia, come caso limite, la legge, il regolamento o la decisione del tribunale pertinenti devono esplicitamente autorizzare una particolare condotta delle organizzazioni aderenti ai principi “approdo sicuro”. In altre parole, l’eccezione non verrà applicata se la legge non prescrive nulla. Inoltre, l’eccezione verrà applicata soltanto se l’esplicita autorizzazione è in conflitto con il rispetto dei principi “approdo sicuro”. Anche in questo caso, l’eccezione “si limita a quanto strettamente necessario per soddisfare i legittimi interessi d’ordine superiore tutelati da detta autorizzazione”. Ad esempio, se la legge si limita ad autorizzare un’azienda a fornire dati personali alle pubbliche autorità, l’eccezione non verrà applicata. Al contrario, se la legge autorizza espressamente l’azienda a fornire dati personali ad organizzazioni governativ[e] senza il consenso dei singoli, ciò costituisce una “autorizzazione esplicita” ad agire in contrasto con i principi “approdo sicuro”. In alternativa, le specifiche eccezioni alle disposizioni relative alla notifica al consenso rientrerebbero nell’ambito dell’eccezione (dato che ciò equivarrebbe ad una specifica autorizzazione a rivelare informazioni senza notifica e consenso). Ad esempio, una legge che autorizzi i medici a fornire le cartelle cliniche dei loro pazienti agli ufficiali sanitari senza il previo consenso dei pazienti stessi potrebbe consentire un’eccezione ai principi di notifica e di scelta. Tale autorizzazione non permetterebbe ad un medico di fornire le stesse cartelle cliniche alle casse mutue malattie o ai laboratori di ricerca farmaceutica perché ciò esulerebbe dall’ambito degli usi consentiti dalla legge e dunque dall’ambito dell’eccezione (...). L’autorizzazione in questione può essere un’autorizzazione“autonoma” a fare determinate cose con i dati personali ma, come illustrato negli esempi di cui sopra, è probabile che si tratti di un’eccezione a una legge generale che proscrive la raccolta, l’uso o la divulgazione dei dati personali.

(...)».