CELEX: 62018CA0311
Language: it
Date: 2020-07-16 00:00:00
Title: Causa C-311/18: Sentenza della Corte (Grande Sezione) del 16 luglio 2020 (domanda di pronuncia pregiudiziale proposta dalla High Court — Irlanda) — Data Protection Commissioner / Facebook Ireland Limited, Maximillian Schrems [Rinvio pregiudiziale – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Carta dei diritti fondamentali dell’Unione europea – Articoli 7, 8 e 47 – Regolamento (UE) 2016/679 – Articolo 2, paragrafo 2 – Ambito di applicazione – Trasferimento a fini commerciali di dati personali verso paesi terzi – Articolo 45 – Decisione di adeguatezza della Commissione – Articolo 46 – Trasferimento soggetto a garanzie adeguate – Articolo 58 – Poteri delle autorità di controllo – Trattamento da parte delle pubbliche autorità di un paese terzo, a fini di sicurezza nazionale, dei dati trasferiti – Valutazione dell’adeguatezza del livello di protezione garantito in un paese terzo – Decisione 2010/87/UE – Clausole tipo di protezione per il trasferimento di dati personali verso paesi terzi – Garanzie appropriate offerte dal titolare del trattamento – Validità – Decisione di esecuzione (UE) 2016/1250 – Adeguatezza della protezione garantita dallo scudo Unione europea-Stati Uniti per la privacy – Validità – Denuncia di una persona fisica i cui dati sono stati trasferiti dall’Unione europea verso gli Stati Uniti]

7.9.2020   
            
            
               IT
            
            
               Gazzetta ufficiale dell’Unione europea
            
            
               C 297/4
            
         
      Sentenza della Corte (Grande Sezione) del 16 luglio 2020 (domanda di pronuncia pregiudiziale proposta dalla High Court — Irlanda) — Data Protection Commissioner / Facebook Ireland Limited, Maximillian Schrems
      (Causa C-311/18) (1)
      
      (Rinvio pregiudiziale - Tutela delle persone fisiche con riguardo al trattamento dei dati personali - Carta dei diritti fondamentali dell’Unione europea - Articoli 7, 8 e 47 - Regolamento (UE) 2016/679 - Articolo 2, paragrafo 2 - Ambito di applicazione - Trasferimento a fini commerciali di dati personali verso paesi terzi - Articolo 45 - Decisione di adeguatezza della Commissione - Articolo 46 - Trasferimento soggetto a garanzie adeguate - Articolo 58 - Poteri delle autorità di controllo - Trattamento da parte delle pubbliche autorità di un paese terzo, a fini di sicurezza nazionale, dei dati trasferiti - Valutazione dell’adeguatezza del livello di protezione garantito in un paese terzo - Decisione 2010/87/UE - Clausole tipo di protezione per il trasferimento di dati personali verso paesi terzi - Garanzie appropriate offerte dal titolare del trattamento - Validità - Decisione di esecuzione (UE) 2016/1250 - Adeguatezza della protezione garantita dallo scudo Unione europea-Stati Uniti per la privacy - Validità - Denuncia di una persona fisica i cui dati sono stati trasferiti dall’Unione europea verso gli Stati Uniti)
      (2020/C 297/05)
      Lingua processuale: l’inglese
      
         Giudice del rinvio
      
      High Court
      
         Parti
      
      
         Ricorrente: Data Protection Commissioner
      
         Convenute: Facebook Ireland Limited, Maximillian Schrems
      
         Con l’intervento di: The United State of America, Electronic Privacy Information Centre, BSA Business Software Alliance Inc., Digitaleurope
      
         Dispositivo
      
      
                  1)
               
               
                  L’articolo 2, paragrafi 1 e 2, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che rientra nell’ambito di applicazione di tale regolamento un trasferimento di dati personali effettuato a fini commerciali da un operatore economico stabilito in uno Stato membro verso un altro operatore economico stabilito in un paese terzo, nonostante il fatto che, durante o in seguito a tale trasferimento, i suddetti dati possano essere sottoposti a trattamento da parte delle autorità del paese terzo considerato a fini di sicurezza pubblica, di difesa e sicurezza dello Stato.
               
            
                  2)
               
               
                  L’articolo 46, paragrafo 1, e l’articolo 46, paragrafo 2, lettera c), del regolamento 2016/679 devono essere interpretati nel senso che le garanzie adeguate, i diritti azionabili e i mezzi di ricorso effettivi richiesti da tali disposizioni devono garantire che i diritti delle persone i cui dati personali sono trasferiti verso un paese terzo sul fondamento di clausole tipo di protezione dei dati godano di un livello di protezione sostanzialmente equivalente a quello garantito all’interno dell’Unione da tale regolamento, letto alla luce della Carta dei diritti fondamentali dell’Unione europea. A tal fine, la valutazione del livello di protezione garantito nel contesto di un trasferimento siffatto deve, in particolare, prendere in considerazione tanto le clausole contrattuali convenute tra il titolare del trattamento o il responsabile del trattamento stabiliti nell’Unione e il destinatario del trasferimento stabilito nel paese terzo interessato quanto, per quel che riguarda un eventuale accesso delle autorità pubbliche di tale paese terzo ai dati personali così trasferiti, gli elementi rilevanti del sistema giuridico di quest’ultimo, in particolare quelli enunciati all’articolo 45, paragrafo 2, di detto regolamento.
               
            
                  3)
               
               
                  L’articolo 58, paragrafo 2, lettere f) e j), del regolamento 2016/679 deve essere interpretato nel senso che, a meno che esista una decisione di adeguatezza validamente adottata dalla Commissione europea, l’autorità di controllo competente è tenuta a sospendere o a vietare un trasferimento di dati verso un paese terzo effettuato sulla base di clausole tipo di protezione dei dati adottate dalla Commissione, qualora detta autorità di controllo ritenga, alla luce del complesso delle circostanze proprie di tale trasferimento, che le suddette clausole non siano o non possano essere rispettate in tale paese terzo e che la protezione dei dati trasferiti richiesta dal diritto dell’Unione, segnatamente dagli articoli 45 e 46 di tale regolamento e dalla Carta dei diritti fondamentali, non possa essere garantita con altri mezzi, ove il titolare del trattamento o il responsabile del trattamento stabiliti nell’Unione non abbiano essi stessi sospeso il trasferimento o messo fine a quest’ultimo.
               
            
                  4)
               
               
                  Dall’esame della decisione 2010/87/UE della Commissione, del 5 febbraio 2010, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, come modificata dalla decisione di esecuzione (UE) 2016/2297 della Commissione, del 16 dicembre 2016, alla luce degli articoli 7, 8 e 47 della Carta dei diritti fondamentali non è emerso alcun elemento idoneo ad inficiarne la validità.
               
            
                  5)
               
               
                  La decisione di esecuzione (UE) 2016/1250 della Commissione, del 12 luglio 2016, a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, sull’adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy, è invalida.
               
            
         (1)  GU C 249 del 16. 7. 2018.