C 253/2
IT
Gazzetta ufficiale dell’Unione europea
18.7.2023
GARANTE EUROPEO DELLA PROTEZIONE DEI DATI Sintesi del parere del Garante europeo della protezione dei dati sulla raccomandazione di decisione del Consiglio che autorizza l’avvio di negoziati per le discipline del commercio digitale con la Repubblica di Corea e con Singapore (2023/C 253/02) (Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD https://edps.europa.eu)
Il 14 aprile 2023 la Commissione europea ha pubblicato una raccomandazione di decisione del Consiglio che autorizza l’avvio di negoziati per le discipline del commercio digitale con la Repubblica di Corea e con Singapore.
L’obiettivo di tale raccomandazione è autorizzare la Commissione ad avviare negoziati con la Repubblica di Corea e con Singapore al fine di stabilire discipline vincolanti per lo scambio di beni e servizi per via elettronica.
Detti negoziati possono riguardare i flussi transfrontalieri di dati con fiducia, gli obblighi di localizzazione dei dati e la protezione dei dati personali.
Il GEPD ricorda che la protezione dei dati personali, costituendo un diritto fondamentale nell’Unione europea (UE), non può essere soggetta a negoziati nell’ambito degli accordi commerciali dell’UE.
Eventuali dialoghi sulla protezione dei dati e negoziati commerciali con paesi terzi possono integrarsi a vicenda, ma devono seguire percorsi separati.
I flussi di dati personali tra l’UE e i paesi terzi dovrebbero svolgersi per mezzo dei meccanismi previsti dalla legislazione dell’UE in materia di protezione dei dati.
Il GEPD ricorda che nel 2018 la Commissione ha approvato disposizioni orizzontali in materia di flussi transfrontalieri di dati e protezione dei dati personali nei negoziati commerciali.
Il GEPD ritiene che tali disposizioni raggiungano un compromesso equilibrato tra interessi pubblici e privati, in quanto consentono all’UE di contrastare le pratiche protezionistiche nei paesi terzi in relazione al commercio digitale, garantendo al contempo che gli accordi commerciali non possano essere usati per mettere in discussione l’elevato livello di protezione garantito dalla Carta dei diritti fondamentali dell’UE e dalla legislazione dell’UE in materia di protezione dei dati personali.
Il GEPD comprende dalla raccomandazione che i negoziati sui flussi di dati e sulla protezione dei dati dovrebbero essere avviati al fine di concordare disposizioni coerenti con le disposizioni orizzontali.
Per motivi di chiarezza, il GEPD raccomanda di fare esplicito riferimento alle suddette disposizioni orizzontali.
Inoltre, per quanto riguarda più specificamente la Repubblica di Corea, il GEPD rileva che nei confronti di tale paese la Commissione ha concesso una constatazione di adeguatezza nel 2021.
Di conseguenza, i trasferimenti di dati personali da un titolare o un responsabile del trattamento nello Spazio economico europeo (SEE) a organizzazioni della Repubblica di Corea interessate dalla decisione di adeguatezza possono aver luogo senza la necessità di ulteriori autorizzazioni.
Pertanto, il GEPD raccomanda di spiegare ulteriormente il motivo per cui, nonostante la decisione di adeguatezza, ulteriori negoziati sui flussi transfrontalieri di dati e sulla protezione dei dati sono considerati necessari nel caso della Repubblica di Corea.
Inoltre, secondo l’interpretazione del GEPD, le direttive di negoziato e le disposizioni orizzontali consentono, in casi debitamente giustificati, l’adozione di misure che impongano ai titolari o ai responsabili del trattamento di conservare i dati personali nell’UE/nel SEE.
Il GEPD ricorda che, insieme al comitato europeo per la protezione dei dati (EDPB), ha recentemente raccomandato che i titolari e i responsabili del trattamento stabiliti nell’UE/nel SEE che trattano dati personali sanitari elettronici nell’ambito di applicazione della proposta di regolamento della Commissione relativo allo spazio europeo di dati sanitari siano tenuti a conservare tali dati nell’UE/nel SEE, fatta salva la possibilità di trasferirli in conformità del capo V del regolamento relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
A scanso di dubbi, il GEPD raccomanda di chiarire espressamente nelle direttive di negoziato che le norme concordate non dovrebbero impedire all’UE o agli Stati membri di adottare, in casi debitamente giustificati, misure che obbligherebbero i titolari o i responsabili del trattamento a conservare i dati personali nell’UE/nel SEE.