Privacy Shield - Parlamento europeo: l'accordo per il trasferimento dei dati negli Stati Uniti rischia (nuovamente) di saltare
Con l’avvento del Privacy Shield, dopo il crollo del cd. Safe Harbour, il problema del trasferimento dati dall’Europa agli Stati Uniti pareva essersi arginato, ma un recente intervento del Parlamento europeo fa presagire che la situazione possa nuovamente complicarsi.
La posizione assunta nei confronti dello Scudo Privacy dal Parlamento nella sua Risoluzione del 5 luglio 2018 è difatti dura e lapidaria: il Comitato per le Libertà civili, la Giustizia e gli Affari Interni (Comitato LIBE) del Parlamento europeo ha chiesto formalmente alla Commissione di sospendere il Privacy Shield UE-USA in quanto, secondo i parlamentari, lo scudo non fornisce una sufficiente protezione dei dati personali dei cittadini europei trasferiti negli States.
Il trasferimento di dati verso un paese terzo
L’articolo 45 del GDPR stabilisce che “Il trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale è ammesso se la Commissione ha deciso che il paese terzo, un territorio o uno o più settori specifici all'interno del paese terzo, o l'organizzazione internazionale in questione garantiscono un livello di protezione adeguato. In tal caso il trasferimento non necessita di autorizzazioni specifiche”. Inoltre, a tutela dei cittadini europei, il paragrafo 5 del medesimo articolo prevede un ulteriore meccanismo di controllo sul funzionamento dal patto: se le informazioni disponibili rivelano che un paese terzo non garantisce più un livello di protezione adeguato, la Commissione abroga, modifica o sospende la sua decisione di adeguatezza.
Nella Risoluzione, il Parlamento ha chiesto dunque alla Commissione di mettere in atto tale prescrizione, negando il rinnovo della decisione di adeguatezza agli Stati Uniti nel caso in cui gli USA non si attivino entro l’1 settembre per garantire appieno una idonea tutela dei dati, conformandosi alle normative europee.
Nello specifico, cos’è il Privacy Shield?
Il Privacy Shield è l’accordo intercorrente tra Europa e Stati Uniti che permette alle aziende che vi aderiscono di importare e trattare negli USA i dati europei. Le aziende importatrici aderiscono allo Shield con un meccanismo di autocertificazione; le società forniscono, cioè, al Governo USA un documento in cui garantiscono di rispettare i principi contenuti nell’accordo e di fornire agli interessati adeguati strumenti di tutela, pena l’eliminazione dalla lista delle società certificate (“Privacy Shield List”) da parte del Dipartimento del Commercio statunitense e possibili sanzioni da parte della Federal Trade Commission.
Ciò che lamenta il Parlamento
Il Parlamento muove numerose lamentele rispetto alle modalità di gestione della privacy del governo statunitense, sia nel periodo antecedente al crollo del Safe Harbor, sia in seguito dell’approvazione del Privacy Shield. Tra tutte, la promulgazione da parte del Congresso statunitense del CLOUD Act, il rinnovo della sezione 702 della FISA senza aver preso in esame le preoccupazioni espresse dal Working Party 29, il caso Cambridge Analytica e SCL Selections Ltd.
Soffermandosi sull’ultimo punto, il Parlamento ricorda che le due società risultavano certificate nell’ambito del Privacy Shield, ma ciò non ha affatto impedito che attuassero una raccolta di informazioni sproporzionata e finalizzata a profilare gli utenti di Facebook.
Il Parlamento fa poi rifeimento al Caso Schrems (causa C-362/14 Maximillian Schrems/Data Protection Commissioner), ai suoi recenti sviluppi giurisprudenziali, tra i quali il rinvio effettuato in Corte di Giustizia dalla Corte suprema irlandese nella causa tra il Commissario per la protezione dei dati irlandese e Facebook Ireland, all’insufficienza di poteri dell’istituto della mediazione istituito dal Dipartimento di Stato americano, all’inefficienza delle varie procedure di ricorso previste per i cittadini dell'UE, ritenute troppo complesse, alla genericità del concetto di "sicurezza nazionale", al mancato rispetto delle 10 raccomandazioni formulate dal Working Party 29 in sede del primo riesame annuale dello Shield, avvenuto nello scorso settembre.
La Risoluzione è passata con 29 voti a favore e 25 contrari (3 astenuti). Attendiamo di vedere quali risvolti assumerà la vicenda.
Per un approfondimento generale sul trasferimento dei dati personali verso paesi terzi e organizzazioni internazionali, rimaniamo alla Guida VIII di Filodiritto sul nuovo Regolamento Privacy: https://www.filodiritto.com/articoli/2018/03/guida-viii-al-regolamento-privacy-6792016-trasferimento-dei-dati-personali-verso-paesi-terzi-e-organizzazioni.html?page=3&_prv=1.
(Risoluzione del Parlamento europeo del 5 luglio 2018 sull’adeguatezza della protezione offerta dallo scudo UE-USA per la privacy (2018/2645(RSP))
