C 15/220
IT
Gazzetta ufficiale dell’Unione europea
12.1.2022
Venerdì 21 maggio 2021
C. considerando che il Regno Unito è tradizionalmente un importante partner commerciale di molti Stati membri dell'UE e uno stretto alleato nel settore della sicurezza; che l'UE e il Regno Unito dovrebbero mantenere questa stretta cooperazione nonostante il recesso del Regno Unito dall'UE, poiché sarà vantaggiosa per entrambe le parti;
D. considerando che le imprese europee hanno bisogno di chiarezza e certezza giuridiche, dato che è sempre più importante per tutti i tipi di aziende che forniscono beni e servizi a livello internazionale poter trasferire i dati personali oltre i propri confini; che una decisione di adeguatezza nei confronti del Regno Unito ai sensi dell'RGPD è della massima importanza, dato che molte imprese europee effettuano scambi commerciali attraverso la Manica, in particolare dal momento che la Brexit è ancora molto recente e che i flussi di dati all'interno dell'Unione non hanno subito restrizioni; che la mancata adozione di un solido quadro di adeguatezza rischierebbe di perturbare i trasferimenti commerciali transfrontalieri di dati personali tra l'UE e il Regno Unito e comporterebbe elevati costi di adempimento;
E. considerando che l'accordo sugli scambi commerciali e la cooperazione include alcune garanzie e condizioni per lo scambio di dati personali pertinenti nell'ambito delle attività di contrasto; che i negoziati sui flussi di dati personali sono stati condotti parallelamente a quelli relativi all'accordo sugli scambi commerciali e la cooperazione, ma non sono stati completati entro la fine del periodo di transizione, che si è concluso il 31 dicembre 2020; che nell'accordo sugli scambi commerciali e la cooperazione è stata inclusa una «clausola passerella» come soluzione temporanea, subordinata all'impegno del Regno Unito a non modificare il suo attuale regime di protezione dei dati, al fine di garantire la prosecuzione dei flussi di dati personali tra il Regno Unito e l'UE fino all'adozione di una decisione di adeguatezza; che l'iniziale periodo di quattro mesi è stato prorogato e terminerà alla fine di giugno 2021;
F. considerando che la valutazione realizzata dalla Commissione prima di presentare il proprio progetto di decisione di esecuzione era incompleta e incoerente con i requisiti della CGUE relativi alle valutazioni di adeguatezza, come sottolineato dall'EDPB nei suoi pareri di adeguatezza, in cui consiglia alla Commissione di valutare ulteriormente gli specifici aspetti della legislazione e della prassi del Regno Unito che riguardano la raccolta in blocco di dati, la comunicazione a destinatari esteri e gli accordi internazionali in materia di scambio di informazioni di intelligence, l'ulteriore utilizzo delle informazioni raccolte a fini di contrasto e l'indipendenza dei commissari giudiziali;
G. considerando che taluni aspetti del diritto e/o della prassi del Regno Unito non sono stati presi in considerazione dalla Commissione e che ciò ha portato all'elaborazione di progetti di decisioni di esecuzione incoerenti con il diritto dell'Unione; considerando che, a norma dell'articolo 45 dell'RGPD, nel valutare l'adeguatezza del livello di protezione, la Commissione prende in considerazione in particolare «la pertinente legislazione generale e settoriale (anche in materia di sicurezza pubblica, difesa, sicurezza nazionale, diritto penale e accesso delle autorità pubbliche ai dati personali), così come l'attuazione di tale legislazione, le norme in materia di protezione dei dati, le norme professionali e le misure di sicurezza, comprese le norme per il trasferimento successivo dei dati personali verso un altro paese terzo o un'altra organizzazione internazionale osservate nel paese o dall'organizzazione internazionale in questione, la giurisprudenza» nonché «gli impegni internazionali assunti dal paese terzo o dall'organizzazione internazionale in questione o altri obblighi derivanti da convenzioni o strumenti giuridicamente vincolanti come pure dalla loro partecipazione a sistemi multilaterali o regionali, in particolare in relazione alla protezione dei dati personali», il che include gli accordi internazionali in altri settori che implicano l'accesso ai dati o la condivisione delle informazioni e richiede pertanto una valutazione di tali accordi internazionali;
H. considerando che la CGUE, nella sentenza «Schrems I», ha affermato chiaramente che «in sede di esame del livello di protezione offerto da un paese terzo, la Commissione è tenuta a valutare il contenuto delle norme applicabili in tale paese risultanti dalla legislazione nazionale o dagli impegni internazionali di quest'ultimo, nonché la prassi intesa ad assicurare il rispetto di tali norme; al riguardo, tale istituzione deve prendere in considerazione, in conformità all'articolo 25, paragrafo 2, della direttiva 95/46/CE, tutte le circostanze relative ad un trasferimento di dati personali verso un paese terzo» (punto 75);
I. considerando che, a norma dei trattati, le attività dei servizi di intelligence e la condivisione tra Stati membri e paesi terzi sono escluse dall'ambito di applicazione del diritto dell'Unione, poiché rientrano nella necessaria valutazione di adeguatezza del livello di protezione dei dati personali offerto dai paesi terzi, come confermato dalla CGUE nelle sentenze Schrems I e Schrems II;
J. considerando che le norme in materia di protezione dei dati si basano non solo sulla legislazione vigente ma anche sulla sua applicazione pratica, e che nell'elaborazione della sua decisione la Commissione ha valutato unicamente la legislazione senza tenere conto della sua effettiva applicazione pratica;