Privacy shield, il parere del Garante Privacy e la sentenza dell’UE

Il GDPR è il un Regolamento Europeo per la Protezione dei Dati Personali che ha sostituito il previgente Codice in materia di protezione e trattamento dei dati personali. La compilazione del documento è avvenuta attraverso uno scrupoloso lavoro sia a livello comunitario di contingenza degli organi quali Parlamento, Consiglio e Commissione europea, nonché a livello nazionale. Quest’ultimo passo è stato attuato grazie alle numerose sentenze che hanno preso avvio dalla famosissima sentenza della Corte di Giustizia Europea in materia di protezione dei dati e cancellazione degli stessi c.d. Sentenza Costeja emanata nel 2014. La pronuncia ha rivoluzionato il modo di guardare il diritto all’oblio, facendo in modo che questo venisse eretto a diritto fondamentale dell’uomo, ma pur sempre bilanciando lo stesso con gli interessi della collettività, quali il diritto all’informazione e l’interesse storiografico di una determinata vicenda di cronaca.

Tornando al GDPR, questo è sicuramente un testo aggiornato anche rispetto agli avvenuti cambiamenti della società moderna, la quale man mano è entrata in un’ottica di sempre maggior digitalizzazione delle interazioni sociali. 

Privacy shield

La Corte di giustizia dell’Unione europea si è pronunciata di recente, nel luglio del 2020  attraverso la c.d. Sentenza Schrems II, in punto di  regime di trasferimento dei dati tra l’Unione europea e gli Stati Uniti definendo come invalida la decisione di adeguatezza del Privacy Shield, vale a dire lo scudo rispetto al trasferimento dei dati tra un paese UE ed uno terzo estraneo, come gli USA, che sono state adottate nel 2016 dalla Commissione europea in seguito alla decadenza dell’accordo Safe Harbor.

La sentenza Schrems II

Nella sentenza Schrems la Corte ha esaminato la validità della decisione n. 2010/87/CE della

Commissione europea in merito alle clausole contrattuali tipo  SSC e ritenendole valide.

Invero, la validità della decisione non è stata posta in dubbio per il semplice motivo che le clausole tipo di protezione dei dati di cui alla decisione  de qua non sono state ritenute vincolanti per le autorità del paese terzo avverso il quale i dati possono essere trasferiti, avendo esse natura contrattuale.

Tuttavia, questa validità, chiarisce ancora la Corte, dipende soprattutto dall’esistenza all’interno della decisione 2010/87/CE rispetto ai meccanismi efficaci che consentano, in pratica, di garantire il rispetto di un livello di protezione sostanzialmente equivalente a quello garantito dal RGPD all’interno dell’Unione europea, e che prevedano la sospensione o il divieto dei trasferimenti di dati personali ai sensi di tali clausole in caso di violazione delle clausole stesse o in caso risulti impossibile garantire l’osservanza delle stesse.