La Corte di Giustizia dell’Unione Europea dichiara invalido il sistema del cd. Privacy Shield (ma non le clausole contrattuali tipo): quale sorte per i trasferimenti di dati personali verso gli Stati Uniti d’America?

E’ noto come il GDPR, al pari della previgente normativa europea in materia di data protection, subordini la legittimità del trasferimento di dati personali oltre i confini dell’Unione Europea al rispetto di una serie gradata di condizioni, tra le quali primeggia l’adeguatezza del livello di protezione offerto ai dati “esportati” nel paese terzo in cui si trova o è stabilito il destinatario.

Con una storica sentenza pubblicata il 16 luglio 2020, la Corte di Giustizia dell’Unione Europea ha dichiarato l’invalidità della decisione di esecuzione (UE) 2016/1250 del 12 luglio 2016, con la quale la Commissione Europea aveva reputato adeguato il livello di protezione offerto dal cd. Privacy Shield relativamente ai trasferimenti di dati personali dall’Unione Europea verso gli Stati Uniti d’America.

Nato dalle ceneri dell’accordo sui “Safe Harbour Principles”, che nel 2015 la stessa Corte aveva dichiarato a sua volta invalido con la nota sentenza Schrems, il meccanismo dello “scudo privacy” era imperniato su un sistema di autocertificazione riservato agli operatori nordamericani intenzionati a ricevere dati personali dall’Unione Europea.

In particolare, mediante la propria adesione volontaria allo schema in discorso, questi ultimi si impegnavano al rispetto di un ampio novero di principi e di regole ispirate alla normativa europea in materia di data protection, tutte poste a tutela dei diritti degli interessati; l’assunzione di tali obblighi supplementari veniva ritenuto satisfattivo degli stringenti requisiti stabiliti in via generale per la cd. esportazione dei dati personali, sì che il relativo trasferimento risultava senz’altro consentito in ragione della ritenuta “adeguatezza del livello di protezione dei dati personali” offerto dal destinatario aderente al Privacy Shield.

La Corte di Giustizia dell’Unione Europea ha (nuovamente) ribaltato proprio quest’ultima valutazione della Commissione Europea, ritenendo – in estrema sintesi – che essa non fosse condivisibile alla luce dell’estrema ampiezza dei poteri d’intercettazione e di analisi delle comunicazioni riferibili a cittadini stranieri attribuiti ex lege agli organi di intelligence statunitensi, nonché della sostanziale assenza di rimedi giuridici effettivi a disposizione degli individui interessati dall’operato di tali agenzie.

Al contempo, invece, la Corte ha ritenuto valida la decisione della Commissione Europea 2010/87/EU, relativa alle clausole contrattuali tipo (standard contractual clauses) per il trasferimento di dati personali verso responsabili del trattamento stabiliti in paesi terzi.

Ancorché prive di alcuna efficacia vincolante nei confronti delle autorità pubbliche straniere, secondo la Corte le clausole tipo approvate dalla Commissione – altro importantissimo congegno giuridico per l’esportazione dei dati personali, poiché la relativa adozione costituisce una garanzia adeguata ai sensi dell’art. 46 GDPR – contengono infatti una fondamentale “valvola di sicurezza”.

Infatti, esse impongono all’esportatore – e, più a monte, all’Autorità di controllo competente – di sospendere o vietare i trasferimenti allorché dette clausole non siano o non possano essere rispettate dall’importatore, anche a causa del regime giuridico vigente nel Paese terzo in cui questi è stabilito, ed un livello equivalente di protezione dei dati personali non riesca ad essere altrimenti garantito mediante il ricorso ad altri strumenti.

Immediatamente efficace, la sentenza in commento solleva immediatamente l’esigenza di sospendere i flussi di dati personali verso operatori aderenti al Privacy Shield e costringe ad interrogarsi sulle possibili soluzioni giuridiche alternative per garantire la continuità della circolazione informativa; e ciò, tenendo ben presente che l’impiego delle standard contractual clauses –  seppur formalmente “risparmiate” dalla pronuncia in esame – per i trasferimenti verso gli Stati Uniti d’America espone realisticamente l’operazione (e l’esportatore) alle medesime criticità che hanno condotto la Corte a dichiarare l’invalidità della decisione inerente lo “scudo privacy”.

Fondamentali saranno, come sempre, le indicazioni e le delucidazioni che – si auspica – presto arriveranno dalle Autorità di Controllo nazionali.

Dott. Valerio Laganà

foto: freepik @ freepik.com