GDPR – Paesi terzi

In considerazione del commercio internazionale e della cooperazione, è essenziale al giorno d’oggi essere in grado di trasmettere dati anche a paesi terzi. L’esame della legittimità di tale trasferimento avviene in due fasi.

In primo luogo, il trasferimento di dati deve essere legale. Qualsiasi trattamento di dati personali è vietato ma soggetto alla possibilità di autorizzazione. Oltre al consenso, l’Art. 6 del Regolamento Generale sulla Protezione dei Dati (GDPR) stabilisce ulteriori motivi di autorizzazione, come l’adempimento di un contratto o la protezione di interessi vitali. Per i dati personali speciali che richiedono un livello di protezione più elevato, l’Art. 9 del GDPR prevede requisiti legali separati.

Se il trasferimento di dati previsto soddisfa i requisiti generali, si deve verificare in un secondo passaggio se il trasferimento verso il paese terzo è consentito. Si deve distinguere tra paesi terzi sicuri e insicuri. I paesi terzi sicuri sono quelli per cui la Commissione Europea ha confermato un livello adeguato di protezione dei dati sulla base di una decisione di adeguatezza. In quei paesi, le leggi nazionali forniscono un livello di protezione dei dati personali paragonabile a quello delle leggi dell’UE. I paesi terzi che assicurano un livello adeguato di protezione sono: Andorra, Argentina, Canada (solo organizzazioni commerciali), Isole Faroe, Guernsey, Israele, Isola di Man, Jersey, Nuova Zelanda, Svizzera, Uruguay, Giappone, Regno Unito e Corea del Sud. Il trasferimento di dati verso questi paesi è espressamente consentito.

Dal 10 luglio 2023, esiste una decisione di adeguatezza per il cosiddetto EU-US Data Privacy Framework. Questo consente il trasferimento di dati personali dall’UE a società e organizzazioni statunitensi che hanno aderito al Data Privacy Framework tramite certificazione. Le aziende e le organizzazioni già certificate possono essere trovate in questa lista. I trasferimenti di dati a società e organizzazioni statunitensi non certificate non possono più basarsi sulla Decisione di Esecuzione della Commissione (UE) 2016/1250 del 12 luglio 2016 in conformità con la Direttiva 95/46/CE del Parlamento Europeo e del Consiglio sull’adeguatezza dello scudo per la privacy UE-USA (Privacy Shield). Poiché con la sentenza “Schrems II” del 16 luglio 2020 (nel caso C-311/18), la CGUE ha dichiarato invalida questa Decisione di Esecuzione con effetto immediato. I trasferimenti di dati a società e organizzazioni statunitensi non certificate richiedono altre garanzie, secondo l’art. 44 e seguenti del GDPR, per creare un livello appropriato di protezione dei dati.

Se non esiste una decisione di adeguatezza per un paese, ciò non esclude necessariamente qualsiasi trasferimento di dati verso questo paese. Piuttosto, il titolare deve garantire in un altro modo che i dati personali siano sufficientemente protetti dal destinatario. Questo può essere garantito utilizzando clausole contrattuali standard, per i trasferimenti di dati all’interno di un Gruppo attraverso le cosiddette “regole aziendali vincolanti,” tramite l’impegno a rispettare i codici di condotta, che sono stati dichiarati dalla Commissione Europea come generalmente applicabili, o tramite la certificazione della procedura di trattamento dei dati.

Inoltre, ci sono diverse eccezioni che legittimano il trasferimento di dati a un paese terzo, anche se la protezione dei dati personali non può essere sufficientemente garantita. Più frequentemente, il consenso dell’interessato è rilevante in questo contesto. Allo stesso tempo, bisogna notare particolarmente i requisiti affinché tale consenso sia dato liberamente. Ulteriori eccezioni, come la trasmissione per adempiere a contratti, importanti motivi di interesse pubblico e l’esercizio di diritti legali sono di solito meno rilevanti nella pratica.