Parere negativo del Parlamento europeo sul progetto di decisione di adeguatezza per il trasferimento dati UE-USA
Vi informiamo che con la risoluzione dell’11 maggio 2023, il Parlamento europeo ha espresso parere contrario al progetto di decisione di adeguatezza della Commissione Europea per il trasferimento dei dati dall’UE verso gli USA.
LA DECISIONE DI ADEGUATEZZA
La decisione di adeguatezza è uno degli strumenti previsti dall’art. 45 GDPR, tramite il quale è permesso il trasferimento di dati personali dall’UE verso un Paese terzo. La Commissione europea emana una decisione di adeguatezza qualora ritenga che il Paese terzo garantisca un livello di protezione adeguato: in tal caso è possibile trasferirvi dati personali.
In mancanza di una decisione di adeguatezza, i trasferimenti di dati personali dall’UE verso l’USA potranno avvenire ai sensi dell’art. 46 GDPR, tramite sottoscrizione delle Standard Contractual Clause.
LA TIMELINE
- Il 16 luglio 2020, la Corte di Giustizia dell’UE con la sentenza Schrems II invalidava la decisione di adeguatezza UE che permetteva gli scambi transatlantici di dati personali a scopo commerciale tra Unione Europea e Stati Uniti d’America (c.d. Privacy Shield);
- il 7 ottobre 2022 il Presidente degli Stati Uniti d’America Joe Biden firmava un ordine esecutivo che, recependo i principi fissati dalla Commissione Europea e dagli Stati Uniti nel Trans-Atlantic Data Privacy Framework, mirava a garantire la legittimità dei flussi transfrontalieri di dati personali superando le criticità sollevate dalla Corte di Giustizia dell’UE;
- il 13 dicembre 2022 la Commissione UE emanava un progetto di decisione di adeguatezza basato sul nuovo Data Privacy Framework.
IL “NO” DEL PARLAMENTO EUROPEO
Secondo il Parlamento europeo gli USA continuano a non garantire un livello di protezione dei dati personali equivalente a quello previsto dal diritto dell’UE.
Vi segnaliamo, qui di seguito, alcune delle motivazioni per le quali il Parlamento europeo ha espresso parere negativo al progetto di decisione di adeguatezza basato sul Data Privacy Framework:
- in USA non esiste ancora una legislazione federale in materia di protezione dei dati personali;
- le definizioni contenute nell’Ordine Esecutivo non sono in linea con quelle del diritto dell’UE, né con le interpretazioni della Corte di Giustizia dell’UE;
- non è fatto divieto della sorveglianza di massa e della raccolta generalizzatadi dati da parte di attori statali quando si tratta di cittadini dell’UE;
- l’elenco degli obiettivi legittimi di sicurezza nazionale, per i quali è vietata la raccolta di intelligencedei segnali, può essere modificato dal Presidente USA senza alcun obbligo di pubblicità e comunicazione all’UE;
- i cittadini europei non dispongono di effettivi mezzi di ricorso con riguardo all’attività dell’intelligencestatunitense;
- le decisioni del Tribunale non verrebbero rese pubbliche, né disponibili al denunciante, il quale sarebbe soltanto informato che il riesame non ha individuato alcuna violazione;
- non vi sono norme specifiche in materia di processo decisionale automatizzato e profilazione, né chiarezza in merito al ruolo dei responsabili del trattamento.
LE CONCLUSIONI DEL PARLAMENTO EUROPEO
Nonostante il Parlamento europeo riconosca significativi miglioramenti volti a garantire l’applicazione dei principi di proporzionalità e necessità da parte degli USA, conclude sostenendo che il Data Privacy Framework non crei un’equivalenza essenziale del livello di protezione dei dati personali.
Il Parlamento europeo invita la Commissione a proseguire i negoziati con le sue controparti statunitensi e a non adottare la decisione di adeguatezza “fino a quando non saranno pienamente attuate tutte le raccomandazioni formulate nella risoluzione e nel parere del comitato europeo per la protezione dei dati”.
*****
Restiamo a disposizione per qualsiasi chiarimento.