Trasferimento di dati personali verso paesi terzi: quali scenari?
Ad oggi sono ancora tanti gli interrogativi e le incertezze relative alla disciplina del trasferimento dei dati personali all’estero e, in particolare, verso gli Stati Uniti. Le Conclusioni dell’Avvocato Generale Saugmandsgaard Øe relativamente al caso Schrems II, infatti, hanno sollevato una serie di domande significative sulla regolamentazione dei trasferimenti internazionali di dati.
Le vicende giudiziarie che hanno condotto fino alla Corte di giustizia hanno avuto origine dalla prima storica pronuncia Schrems nel 2013. Il cittadino austriaco richiedeva la sospensione del trasferimento dei suoi dati dalla controllata Facebook Ireland verso Facebook Inc., denunciando che il livello di protezione dei dati negli USA non fosse sufficiente a garantire un’adeguata tutela della vita privata da intromissioni generalizzate.
In estrema sintesi, in seguito alla dichiarazione della Corte di giustizia di invalidità della decisione di adeguatezza che fino ad allora aveva regolato i flussi di dati personali UE-USA, si arrivò a determinare un nuovo regime di trasferimento dei dati (il c.d. Privacy Shield), posto poi alla base della vigente decisione di adeguatezza.
Tuttavia, la richiesta di sospensione del trasferimento dei dati venne rinnovata una seconda volta. Secondo il ricorrente, invero, il livello di protezione dei dati e della riservatezza non poteva considerarsi sostanzialmente equivalente a quello europeo, nonostante l’esistenza di una decisione di adeguatezza e un accordo di trasferimento dei dati tra Facebook Ireland e Facebook Inc.
La controversia ha comportato un ulteriore rinvio pregiudiziale alla Corte di giustizia da parte della High Court irlandese, che ha sottoposto undici quesiti relativi all’applicabilità del diritto europeo al trasferimento di dati in paesi terzi, la validità della decisione di adeguatezza relativa al flusso di dati UE-USA e, indirettamente, la validità del regime Privacy Shield.
L’Avvocato Generale Saugmandsgaard Øe, in seguito all’analisi di tali interrogativi, ha espresso alcune rilevanti valutazioni che potrebbero dare un’indicazione riguardo la decisione finale della Corte di giustizia.
In particolare, l’Avvocato Generale ritiene che l’ordinamento statunitense, insieme alle tutele introdotte dal Privacy Shield, non risulta garantire un livello di tutela dei dati personali sostanzialmente equivalente a quello europeo, così come previsto dal Regolamento UE n. 2016/679 (GDPR). Pertanto, le Conclusioni esprimono dei dubbi quanto alla conformità della decisione di adeguatezza che regola, ad oggi, i flussi di dati personali verso gli Stati Uniti.
La decisione della Corte di giustizia, inizialmente prevista per il primo trimestre del 2020, potrebbe avere come conseguenza l’invalidazione del Privacy Shield e ciò non fa che interrogarci sull’efficacia della disciplina europea in materia di trasferimento dei dati.
La delicatezza della pronuncia risiede non solo nell’importanza della complessità degli interrogativi posti, ma anche nel conseguente impatto economico e nella determinazione della posizione dell’UE nel dibatto globale circa la tutela della riservatezza e della protezione dei dati.
In ultima analisi, questo potrebbe comportare conseguenze anche con riferimento al flusso di dati UE-Regno Unito. È probabile che Commissione europea conceda una decisione di adeguatezza allo stesso modo del regime Privacy Shield definito con gli Stati Uniti.
La pronuncia finale della Corte di giustizia in relazione ai flussi di dati verso paesi terzi sarà altamente istruttiva su come l’UE si pone su questo argomento ed è probabile che diventi una pietra miliare nella disciplina di trasferimento internazionale dei dati.
