Aggiornamento 2 novembre 2022

Il Comitato europeo per la protezione dei dati (GEPD) fornisce il suo quadro di riferimento per la conformità al GDPR quando si trasferiscono dati al di fuori dell'Unione Europea.

Raccomandazioni 01/2020 sulle misure che
integrano gli strumenti di trasferimento per garantire la conformità con
Il livello di protezione dei dati personali nell'UE
Versione 2.0
Adottato il 18 giugno 2021.

 https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_fr

Si prevedeva che questo quadro avrebbe alleggerito le formalità contrattuali per le aziende (Norme Vincolanti d'Impresa o Clausole Contrattuali Standard) relative ai trasferimenti di dati al di fuori dell'Unione Europea.

Mais il ressort de ce cadre que l’examen minutieux des législations étrangères reste nécessaire, comme le préconise l’arrêt Schrems II (https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A62018CJ0311), dès qu’une zone territoriale est identifiée comme incertaine par les autorités européennes : https://www.cnil.fr/fr/la-protection-des-donnees-dans-le-monde,

A meno che non rientrino nelle deroghe previste dall'Articolo 49 del RGPD.

Infatti, uno Stato sovrano può in ogni caso accedere ai dati su richiesta specifica: solo una richiesta generale di accesso ai dati potrebbe essere contestata per principio.

Per quanto riguarda i trasferimenti di dati verso gli Stati Uniti, non esiste ancora una decisione di adeguatezza da parte della Commissione Europea, dopo la cosiddetta sentenza Schrems I del 6 ottobre 2015 (C-362/14) (invalidazione di Safe Harbour) e la sentenza Schrems II del 16 luglio 2020 (C-311/18) (invalidazione di Privacy Shield). La legislazione statunitense riflette una concezione della privacy incentrata sulla protezione del cittadino americano, esclusi gli stranieri, che non è la concezione universalistica dell'Unione Europea.

Il Quarto Emendamento alla Costituzione degli Stati Uniti stabilisce: "Il diritto del popolo di essere sicuro nelle proprie persone, case, documenti ed effetti personali, contro perquisizioni e sequestri irragionevoli, non sarà violato, e nessun mandato sarà emesso, se non sulla base di una probabile causa, supportata da giuramento o dichiarazione, e che descriva in modo particolare il luogo da perquisire, e le persone o le cose da sequestrare".

Nonostante gli sforzi di avvicinamento (si veda il recente ordine esecutivo di Joe Biden del 7 ottobre 2022, che prevede un delegato del ramo esecutivo e persino un tribunale indipendente, ma le cui opinioni non sono vincolanti), la legge statunitense prevede ancora una sorveglianza di massa e l'assenza di rimedi efficaci per i diritti degli interessati.

Spetta quindi principalmente all'esportatore di dati, in un pericoloso esercizio di valutazione, verificare la legislazione straniera. Il Comitato fornisce un elenco di fonti di dati nell'Allegato III delle sue raccomandazioni.

Le nuove Clausole Contrattuali Standard ("SCC") (adottate dalla Commissione Europea il 4 giugno 2021 e pubblicate il 7 giugno 2021, che entreranno in vigore il 27 giugno 2021, https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX:32021D0914&locale=fr) non esentano da questo esercizio.

La decisione provvisoria Doctolib può fornire alcuni indizi su come garantire un trasferimento di dati: ubicazione e crittografia in Francia, obbligo per la filiale europea di contestare la richiesta "generale" straniera, dati a bassa sensibilità, breve periodo di conservazione dei dati: https://roquefeuil.avocat.fr/2021/04/transfert-de-donnees-sur-un-cloud.html 

Consulti un avvocato specializzato in diritto informatico