Source: https://www.cyberlaws.it/2019/trasferimento-dati-personali-extra-ue/
Timestamp: 2019-10-16 12:40:09+00:00
Document Index: 112137058

Matched Legal Cases: ['art. 4', 'art. 45', 'art. 46', 'art. 45', 'art. 45', 'art. 46', 'art. 47', 'art. 45', 'art. 46', 'art. 47', 'art. 48']

Trasferimento dei dati personali extra UE - CyberLaws
By Giovanni De GregorioAprile 24, 2019 No Comments
Introduzione: dalla direttiva al regolamento passando per Schrems
Se da un punto di vista economico, il flusso di dati personali verso e da paesi al di fuori dell’Unione costituisce un passaggio necessari ai fini dell’espansione del commercio internazionale, allo stesso tempo, il trasferimento dei dati personali in paesi al di fuori del territorio dell’Unione pone diverse sfide riguardanti la protezione dei dati personali dal momento che i paesi terzi possono prevedere standard di tutela inferiori rispetto a quelli stabiliti dall’Unione. Il caso Schrems ha sottolineato la rilevanza di quest’ultimo profilo tanto da spingere la Corte di giustizia ad annullare la Decisione 2000/520 che costituiva lo strumento con cui la Commissione europea si era espressa riguardo all’adeguatezza del trasferimento dei dati personali dall’Unione negli Stati Uniti (c.d. safe harbour).
In un tale contesto, seppur con alcuni adattamenti, il GDPR ha mantenuto la struttura della direttiva 95/46/EC in materia di trasferimento di dati personali seppur con alcune differenze che verrano di seguito illustrate.
Il trasferimento di dati extra UE: la disciplina del GDPR
In materia di trasferimento dati personali extra UE, il punto di partenza obbligato è la disciplina del GDPR prevista dagli articoli 44-50. Tale osservazione sembra, in particolare, confermata dal regolamento stesso che prevede un principio generale all’articolo 44 secondo cui “Qualunque trasferimento di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento verso un paese terzo o un’organizzazione internazionale, compresi trasferimenti successivi di dati personali da un paese terzo o un’organizzazione internazionale verso un altro paese terzo o un’altra organizzazione internazionale, ha luogo soltanto se il titolare del trattamento e il responsabile del trattamento rispettano le condizioni di cui al presente capo, fatte salve le altre disposizioni del presente regolamento”. Ne consegue che il trasferimento può avvenire soltanto a norma delle disposizioni previste dal regolamento. Tuttavia, occorre osservare che il Considerando 102 precisa che tali norme non pregiudicano la conclusione di accordi internazionali conclusi tra l’Unione e i paesi terzi che disciplinano il trasferimento di dati personali. Di conseguenza, gli Stati membri possono concludere accordi internazionali per il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali, purché tali accordi non incidano sul presente regolamento o su qualsiasi altra disposizione del diritto dell’Unione e includano un adeguato livello di protezione per i diritti fondamentali degli interessati. Ed è proprio quest’ultimo il cardine della disciplina ossia l’assicurare un livello di protezione pari a quello stabilito dal GDPR.
Prima di analizzare la disciplina prevista dal GDPR in materia di trasferimento dei dati personali fuori dal territorio dell’Unione occorre procedere con alcune osservazioni preliminari riguardo l’ambito di applicazione del regime di trasferimento. Occorre osservare che il GDPR limita il trasferimento di dati personali verso paesi al di fuori dello Spazio Economico Europeo (SEE) o organizzazioni internazionali. La restrizione al trasferimento si applica a tutti i trasferimenti, indipendentemente dalle dimensioni del trasferimento o dalla frequenza con cui vengono effettuati. Tuttavia, occorre prendere in considerazione quali tipi di dati vengono trasferiti. Infatti, il regime del trasferimento si applica soltanto ai dati personali secondo la definizione fornita dall’art. 4 par. 1 del regolamento. Qualora il trasferimento abbia ad oggetto dati che non rientrano nella nozione di dati personali (es. i dati anonimi ma non pseudonimi) il regime di trasferimento non si applica e quindi i dati possono essere trasferiti liberamente fuori dall’Unione. Inoltre, il trasferimento è un concetto diverso dal transito. Se i dati personali vengono semplicemente instradati elettronicamente attraverso un paese fuori dall’Unione, ma il trasferimento avviene tra due paesi dell’Unione, tale attività non rientra nella disciplina del trasferimento dati.
trasferimento sulla base di una decisione di adeguatezza (art. 45)
trasferimento soggetto a garanzie adeguate (art. 46)
Nel primo caso, il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale è ammesso se la Commissione ha deciso che il paese terzo, un territorio o uno o più settori specifici all’interno del paese terzo, o l’organizzazione internazionale in questione garantiscono un livello di protezione adeguato. In tal caso il trasferimento non necessita di autorizzazioni specifiche. Tale valutazione di adeguatezza viene effettuata dalla Commissione sulla base delle caratteristiche definite dall’art. 45 par. 2 lett. a-c. Occorre osservare che, nel valutare il livello di adeguatezza, la Commissione può decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo, o un’organizzazione internazionale garantiscono un livello di protezione adeguato ai sensi dell’art. 45 par. 2. Di conseguenza, il regolamento non esclude che per alcuni paesi possa sussistere un’autorizzazione per specifici settori o aree geografiche. Inoltre, anche una volta concessa l’autorizzazione, la Commissione può riesaminare la propria decisione revocando, modificando o sospendendo la propria decisione. Per conoscere i paesi dei territori e settori specifici all’interno di un paese terzo, e delle organizzazioni internazionali nei confronti dei quali la Commissione ha espresso la propria valutazione di adeguatezza è possibile consultare la Gazzetta ufficiale dell’Unione europea e il sito web della Commissione. Le decisioni di adeguamento prese prima del GDPR rimangono in vigore a meno che non la Commissione non si esprima diversamente in seguito.
All’inizio del 2019, la Commissione ha espresso la propria valutazione sull’adeguatezza dei seguenti paesi e territori: Andorra, Argentina, Guernsey, Isola di Man, Israele, Jersey, Nuova Zelanda, Svizzera e Uruguay. La Commissione ha invece espresso valutazioni parziali per quanto riguarda il Giappone, il Canada e gli Stati Uniti. In particolare, la valutazione di adeguatezza per il Giappone copre solo le organizzazioni del settore privato, mentre per il Canada riguarda solo i dati soggetti alla legge canadese sulla protezione dei dati personali e sui documenti elettronici (PIPEDA). Per quanto riguarda, gli Stati Uniti, la valutazione di adeguatezza per gli Stati Uniti riguarda esclusivamente i trasferimenti di dati personali che rientrano nel quadro del c.d. privacy shield fra UE e USA. Si tratta di un meccanismo di autocertificazione per le società stabilite negli Stati Uniti che intendano ricevere dati personali dall’Unione europea. In particolare, le società si impegnano a rispettare i principi in esso contenuti e mettere a disposizione adeguati strumenti di tutela, il cui mancato rispetto comporta l’eliminazione dalla lista delle società certificate da parte del Dipartimento del Commercio statunitense e possibili sanzioni da parte della Commissione federale per il commercio.
In mancanza di tale decisione di adeguatezza, ai sensi dell’art. 46, il titolare del trattamento o il responsabile del trattamento possono trasferire dati personali verso un paese terzo o un’organizzazione internazionale solo se hanno fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi. Lo scopo di tali garanzie è assicurare il rispetto dei requisiti in materia di protezione dei dati e dei diritti degli interessati adeguato ai trattamenti all’interno dell’Unione, in particolare, la conformità rispetto ai principi generali in materia di trattamento dei dati personali e ai principi di protezione dei dati fin dalla progettazione (by desing) e di protezione dei dati per impostazione predefinita (by default). Il regolamento prevede che le garanzie adeguate che non necessitano di autorizzazioni specifiche da parte di un’autorità di controllo quando si tratta di:
In particolare, il regolamento prende in attenta considerazione la disciplina delle norme vincolanti d’impresa all’art. 47. Queste vengono approvate dall’autorità di controllo assicurandosi che siano giuridicamente vincolanti e si applichino a tutti i membri interessati del gruppo imprenditoriale o del gruppo di imprese che svolgono un’attività economica comune, compresi i loro dipendenti. Inoltre, al fine della loro validità per trasferimento è richiesto che tali clausole prevedano almeno:
In mancanza di una decisione di adeguatezza (art. 45) o di garanzie adeguate (art. 46), comprese le norme vincolanti d’impresa (art. 47), è ammesso il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale soltanto secondo le seguenti condizioni:
I casi di cui alle lett. a-b-c non si applicano alle attività svolte dalle autorità pubbliche nell’esercizio dei pubblici poteri.
Anche al di fuori dei suddetti casi, il trasferimento è comunque permesso soltanto se non è ripetitivo, riguarda un numero limitato di interessati, è necessario per il perseguimento degli interessi legittimi cogenti del titolare del trattamento, su cui non prevalgano gli interessi o i diritti e le libertà dell’interessato, e qualora il titolare e del trattamento abbia valutato tutte le circostanze relative al trasferimento e sulla base di tale valutazione abbia fornito garanzie adeguate relativamente alla protezione dei dati personali. Il titolare del trattamento informa del trasferimento l’autorità di controllo. In aggiunta alla fornitura di informazioni di cui agli articoli 13 e 14, il titolare del trattamento informa l’interessato del trasferimento e degli interessi legittimi cogenti perseguiti. Quest’ultimo caso non si applica alle attività svolte dalle autorità pubbliche nell’esercizio dei pubblici poteri.
Conclusione: un regime a scaglioni
Il trasferimento dei dati personali al di fuori dal territorio dell’Unione può essere considerato come un regime a scaglioni. In particolare, ai fini di valutare quando sia necessario applicare il regime del GDPR occorrerà prima di tutto far riferimento all’ambito di applicazione del regime di trasferimento valutando se vengono trasferiti dati personali, se i dati fluiscono fuori dal territorio europeo e se si tratta di un trasferimento e non di un mero transito di dati che comunque vengono trasferiti all’interno dell’Unione.
Nel caso non sussista una valutazione della Commissione sarà possibile ricorrere ad un’altra base giuridica basata sulle garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi secondo le condizioni stabilite dagli artt. 46-47.
Al di fuori dei suddetti casi, il trasferimento sarà comunque possibile ai sensi dell’art. 48 che costituisce la norma di chiusura dell’intero sistema di trasferimento dei dati al di fuori del territorio dell’Unione.
Author Giovanni De Gregorio
More posts by Giovanni De Gregorio