Binding Corporate Rules e futuri scenari in tema di trasferimento di dati personali
p. 85-117
Texte intégral
Il trasferimento dei dati personali nell’ambito della Direttiva 95/46/CE
1In uno scenario politico caratterizzato dal forte potere economico degli Stati Uniti e della Cina, i singoli Paesi dell’Unione Europea sembrano aver perso parte della loro storica centralità; nonostante ciò, anche nelle more della recente entrata in vigore del Regolamento Generale sulla Protezione dei Dati (GDPR) 1, il vecchio continente, come Unione2, si dimostra comunque capace di imporsi e di condizionare – anche tramite l’esportazione dei propri modelli normativi – le regole dei mercati globali3.
2Affinché il nostro modello di data protection potesse effettivamente essere preso ad esempio era però necessario che questo fosse anzitutto in grado di garantire la continuità dei flussi di dati all’interno dell’Unione: in un mercato globalizzato, infatti, la possibilità di trasmettere dati attraverso diverse giurisdizioni senza incorrere in ostacoli burocratici assume primaria importanza. Perché ciò potesse accadere era necessario che – prima di tutto – venissero armonizzati gli impianti normativi dei diversi Stati Membri.
3È su questo aspetto che si è inizialmente concentrata l’attività del legislatore europeo e il primo passo in questa direzione si è certamente avuto con l’adozione della Direttiva 95/46/CE (di seguito «Direttiva»).
4L’art. 1 della Direttiva stabiliva infatti che gli Stati membri non potessero restringere o vietare la libera circolazione dei dati personali tra loro. Altrettanto importante era che fosse garantito l’effettivo rispetto dei diritti e delle libertà fondamentali degli interessati4: pertanto, era indispensabile che il sistema di tutele approntato dall’Unione non venisse aggirato tramite il trasferimento dei dati in Paesi terzi. Sul punto, infatti, si stabiliva che i dati potessero essere trasferiti solo qualora i Paesi di destinazione garantissero un livello di protezione adeguato5. Il principio generale appena delineato era però suscettibile di deroghe: in particolare, l’art. 26 della Direttiva, in determinati casi, legittimava il trasferimento nei confronti di un Paese terzo anche ove questo non offrisse un livello di protezione adeguato. Nello specifico, ciò poteva avvenire quando: (i) la persona interessata aveva manifestato inequivocabilmente il consenso al suddetto trasferimento; (ii) il trasferimento fosse necessario per l’esecuzione di un contratto tra la persona interessata ed il responsabile del trattamento6 ovvero per l’esecuzione di misure precontrattuali adottate a richiesta dell’interessato; (iii) fosse necessario per la conclusione o per l’esecuzione di un contratto nell’interesse dell’interessato; (iv) fosse necessario o prescritto per la salvaguardia di un interesse pubblico rilevante ovvero per l’esercizio di un diritto giudiziale; (v) fosse necessario salvaguardare l’interesse vitale dell’interessato o (vi) il trasferimento avvenisse a partire da un registro predisposto per l’informazione del pubblico aperto a consultazione7. Anche in assenza dei requisiti appena elencati e di un’idonea decisione di adeguatezza da parte della Commissione, si prevedeva che gli Stati membri potessero comunque autorizzare un trasferimento qualora il responsabile del trattamento presentasse garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali degli individui: tali garanzie potevano risultare anche da appropriate clausole contrattuali8. A tal proposito, l’art. 26 della Direttiva, al paragrafo 4, stabiliva che «qualora la Commissione decida […] che alcune clausole contrattuali tipo offrono le garanzie sufficienti di cui al paragrafo 2, gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione». La Commissione, nel corso del tempo, ha così formulato una serie di clausole che, inserite all’interno dei contratti che disciplinavano l’esportazione dei dati, garantivano un sistema di protezione adeguato.
5La possibilità di servirsi di tale strumento, nella vigenza della Direttiva, non ha però incontrato il favore degli operatori del settore9. Si deve infatti tener presente che nel 1995, anno in cui la Direttiva entrava in vigore, l’utilizzo di Internet non aveva ancora assunto le proporzioni attuali10 e, in virtù di ciò, gli scenari che al tempo si prospettavano in relazione al trasferimento di dati riguardavano per lo più trasferimenti c.d. point-to-point11: in questi casi, le clausole contrattuali tipo risultavano indubbiamente utili.
6Negli anni a seguire, però, con la nascita delle prime banche dati automatiche, la quantità di informazioni raccolte e conservate crebbe esponenzialmente. Novità non si ebbero solo in termini quantitativi; le operazioni di raccolta e archiviazione dei dati avvenivano ora in via automatica e i sistemi erano fra loro interconnessi. Vari database sparsi per il mondo, allacciati fra loro, raccoglievano e si scambiavano informazioni ad una velocità che fino a qualche anno prima sarebbe stata impensabile. Il mutamento delle dinamiche di mercato che l’avvento dell’era digitale aveva innescato, aveva fatto sì che le clausole contrattuali, in un secondo momento, fossero diventate una soluzione percorribile solo in situazioni di natura residuale. In questo contesto, per esempio, succedeva spesso che una qualsiasi multinazionale, i cui headquarters si trovavano in un Paese terzo che non offriva un livello di protezione adeguato, volesse istituire un database centralizzato – accessibile da remoto – all’interno del quale far confluire i dati personali dei propri dipendenti, dei propri fornitori e dei propri clienti raccolti dalle varie società del gruppo sparse nel mondo (fra questi, anche quelli raccolti dalle sedi stabilite nell’Unione). A questo punto, per legittimare tale trasferimento, la multinazionale avrebbe potuto – in prima istanza – invocare una delle deroghe previste dall’art. 26 della Direttiva e, in tal caso, si sarebbe verosimilmente resa necessaria la raccolta del consenso degli interessati. Ciò, però, avrebbe messo a rischio la capacità di popolare tale database12: l’unica via praticabile era rappresentata dalla possibilità di adottare le clausole contrattuali tipo di cui sopra. Per fare ciò, ciascuna società del gruppo stabilita nell’Unione avrebbe però dovuto siglare uno specifico set di clausole contrattuali con ciascuna società del gruppo che avrebbe importato tali dati nel Paese terzo. In aggiunta a ciò, nella vigenza della Direttiva, si sarebbe dovuta poi ottenere l’autorizzazione al trasferimento da parte delle singole autorità di controllo coinvolte13. Comunque, se anche la multinazionale fosse effettivamente riuscita ad adempiere a tutti gli obblighi formali previsti, nel lasso di tempo necessario al completamento di questo percorso, il perimetro delle attività del gruppo - e quindi del trattamento di dati personali che questo effettuava - sarebbe nel frattempo mutato, rendendo così vani gli sforzi atti a legittimare i relativi trasferimenti.
L’introduzione delle Binding Corporate Rules
7Gli strumenti messi a disposizione dalla Direttiva per il trasferimento di dati personali verso un Paese terzo mal si conciliavano quindi con le esigenze degli attori coinvolti. Anche volendo prescindere da questa considerazione, a monte, il problema principale continuava a sostanziarsi nelle incolmabili differenze fra le previsioni dei vari ordinamenti non solo globali, ma prima di tutto europei. Fino a quel momento, risultava infatti inverosimile che un gruppo multinazionale potesse concretamente garantire il rispetto di tutte le disposizioni – in tema di data protection – previste dai diversi ordinamenti in cui operava. Ciò avrebbe richiesto che non solo una società avesse completa e assoluta cognizione di tali diverse previsioni, ma che fosse anche in grado di rispettarle tutte. Come sopra evidenziato, una simile attività di compliance, in termini burocratici, organizzativi ed economici sarebbe risultata eccessivamente onerosa.
8Per questa ragione, le multinazionali, piuttosto che concentrarsi sul rispetto di tutte le normative in vigore nelle diverse giurisdizioni, cominciarono ad adottare codici di condotta aziendali che – su scala globale - fossero genericamente in grado di fornire un uniforme livello di protezione dei dati14: questo, pur assumendosi il rischio connesso al mancato rispetto delle singole disposizioni15. Da qui, si cominciò a prospettare la possibilità che tali codici potessero effettivamente costituire un ulteriore strumento in grado di garantire un livello di protezione adeguato per il trasferimento dei dati personali e, quindi, si chiedeva alle autorità di controllo di riconoscerne la validità.
9Le vertenze provenienti dagli operatori del settore furono accolte nel 2003, quando l’Art. 29 Working Party emanò la sua prima opinion in tema di c.d. Binding Corporate Rules (BCR). Nello specifico, l’organo all’interno del quale confluivano le diverse autorità di controllo dei diversi Stati Membri16 dichiarava che, nella misura in cui tali codici di condotta avessero efficacia legale - soprattutto in relazione alla effettiva protezione dei dati degli interessati - non vi era alcuna ragione per escludere la loro capacità di garantire un livello di protezione adeguato17: ciò, a patto che si continuasse comunque ad assicurare la possibilità di intervento da parte delle autorità. Veniva così introdotto un ulteriore e alternativo strumento per il trasferimento dei dati personali: ciò, pur in assenza di sua esplicita menzione nella Direttiva,.
10La scelta di attribuire a tale soluzione il nome di «Binding Corporate Rules for international data transfers» non era certamente casuale: (i) binding perché solo attraverso l’assunzione del carattere di vincolatività si potevano fornire le «garanzie sufficienti» richieste dall’art. 26, paragrafo 2 della Direttiva; (ii) corporate perché tale strumento si sostanziava in un set di regole che un gruppo multinazionale adottava e (iii) for international data transfers poiché, evidentemente, il precipuo scopo di tale strumento era quello di legittimare i trasferimenti internazionali di dati. Le BCR venivano così messe a disposizione delle multinazionali che volessero trasferire dati personali all’interno del proprio gruppo18.
11Le BCR dovevano quindi essere binding: le società e i loro dipendenti dovevano dunque essere vincolati al loro rispetto. A tal proposito, l’Art. 29 Working Party sottolineava come tale natura binding non dovesse fondarsi esclusivamente sulla vincolatività contrattuale degli obblighi che discendevano dall’adozione di tali regole, ma anche sul loro concreto ed effettivo rispetto nelle quotidiane attività di trattamento. Nel ragionamento dell’Art. 29 Working Party, le società del gruppo, così come i loro dipendenti, si dovevano sentire realmente vincolati al rispetto delle regole adottate. In questo senso veniva pertanto suggerito, ad esempio, l’inserimento di sanzioni disciplinari per i dipendenti che avessero violato le BCR, l’implementazione di programmi di formazione e la previsione di controlli atti a verificare il concreto rispetto delle regole da parte delle singole società del gruppo. Perché si potesse ottenere l’autorizzazione al trasferimento tramite le BCR, quindi, una multinazionale avrebbe anzitutto dovuto implementare un meccanismo interno atto a vincolare tutti i soggetti coinvolti al loro rispetto: la scelta delle modalità tramite cui imporre tale vincolo era però lasciata alle multinazionali.
12Si tenga però presente che affinché il sistema di tutele approntato dalle BCR potesse ritenersi efficace era necessario che la loro vincolatività non si concretizzasse esclusivamente all’interno del gruppo, ma anche all’esterno. In breve, l’obbligo di rispettare le BCR si assumeva non solo nei confronti delle altre società del gruppo, ma anche nei confronti degli interessati e delle autorità. A tal fine, tramite dichiarazioni unilaterali, ove applicabili19, o comunque tramite soluzioni di natura contrattuale adottate fra i membri del gruppo, doveva essere riconosciuto agli interessati un ventaglio di diritti analogo a quello previsto dalle clausole tipo20. Fra questi, in caso di violazione delle BCR, vi era anche il diritto ad ottenere tutela presso le singole autorità di controllo o presso la corte competenti dell’Unione. La facoltà per gli interessati di adire il tribunale rivestiva importanza fondamentale nel far sì che le società fossero realmente vincolate al rispetto delle BCR: se non fosse stato possibile chiedere l’intervento del giudice e la risoluzione delle controversie fosse stata quindi demandata esclusivamente alle autorità di controllo, il sistema sanzionatorio che circondava le BCR non si sarebbe potuto considerare efficace. Si deve infatti ricordare che, nella vigenza della Direttiva, la sfera di competenza attribuita alle autorità di controllo, in una certa misura, poteva variare da Paese a Paese (a titolo esemplificativo, alcune di queste non potevano imporre sanzioni o sospendere autonomamente i trasferimenti di dati): di più, nessuna di queste poteva – e può tuttora – condannare il titolare del trattamento al risarcimento del danno. Comunque, per evitare che si rendesse sempre necessario l’intervento delle autorità o dei tribunali, le società dovevano anche implementare un meccanismo interno per la gestione e la raccolta dei reclami degli interessati.
13Le BCR inoltre, a differenza di quanto accadeva per le clausole tipo, tenevano certamente conto del fatto che le multinazionali, in un contesto di mercato in continua evoluzione, erano obbligate a trasformarsi e a reinventarsi costantemente: potevano ad esempio essere acquisite nuove società o potevano essere sviluppati nuovi ed ulteriori servizi. In virtù di ciò, si prevedeva che le BCR, nel rispetto di determinate condizioni21, potessero essere aggiornate senza che, solo per questo, si rendesse necessario un nuovo scrutinio da parte delle autorità di controllo.
14Ulteriore e imprescindibile elemento affinché un sistema di autoregolamentazione come quello in analisi potesse effettivamente garantire un livello di protezione adeguato era che questo fosse concretamente in grado di fornire puntuale e tempestivo supporto agli interessati22: questo, nelle parole dell’Art. 29 Working Party, costituiva uno degli elementi più importanti delle BCR e venivano quindi previsti stringenti oneri di cooperazione con le autorità di controllo. Le società del gruppo dovevano accettare di essere sottoposte ad attività di ispezione da parte delle autorità dovendo altresì recepirne i suggerimenti in relazione all’interpretazione e all’applicazione delle BCR. Un serio e persistente rifiuto di cooperare con le autorità da parte del gruppo avrebbe potuto comportare la sospensione o la revoca dell’autorizzazione al trasferimento.
Pro e contro
15La breve disamina sul sistema di garanzie che le regole di gruppo dovevano prevedere, per quanto compilativa, consente di evidenziare agevolmente i vantaggi che queste ultime – rispetto agli altri strumenti – comportavano.
16In prima istanza, come già sottolineato, le BCR costituivano uno strumento che – rispetto alle clausole tipo – meglio si adattava ai processi evolutivi e di sviluppo oggi sempre più connaturati all’attività di impresa.
17In secondo luogo, le regole di condotta, così come le clausole tipo, rappresentavano soluzioni di natura principalmente contrattuale: pertanto, non si prevedevano meccanismi di negoziazione e cooperazione con le autorità pubbliche di Paesi terzi. In virtù di ciò, non ci si doveva nemmeno preoccupare della continua ricerca di un compromesso fra le esigenze, spesso contrastanti, di ordinamenti diversi. Sul punto, ad esempio, non si dimentichi che tutte le aziende all’interno del programma PRISM23 aderivano al Safe Harbour (oggi sostituito dal Privacy Shield); le esigenze di sicurezza nazionale dell’amministrazione statunitense, in quella circostanza, prevalevano quindi sui diritti fondamentali dei cittadini europei.
18Grazie all’adozione delle BCR, nell’espletamento delle loro attività, le aziende erano anche indotte a tenere in grande considerazione i profili legati alla data protection. I programmi di formazione obbligatori da fornire ai dipendenti, i meccanismi di audit, così come i sistemi per la gestione dei reclami facevano sì che i diritti degli interessati fossero continuamente oggetto di attenzione. Le multinazionali che avevano scelto di dotarsi delle norme vincolanti d’impresa vedevano quindi un tangibile incremento nel loro livello di compliance24. Non si può nemmeno sottovalutare come l’adozione delle BCR ingenerasse un clima di fiducia nei consumatori: ciò, a tutto beneficio delle pubbliche relazioni e, più in generale, delle attività di business.
19Se è pur vero che l’introduzione delle BCR ha rappresentato un grosso balzo in avanti per la tutela dei diritti e delle libertà fondamentali dei cittadini europei, tale strumento non è comunque scevro da criticità.
20Nel prendere quindi in considerazione le fragilità delle binding corporate rules si deve primariamente evidenziare che il processo per ottenere l’autorizzazione a servirsene era particolarmente dispendioso sia in termini di tempo che in termini di costo: in particolare, secondo l’autorità di controllo britannica, dall’inizio della procedura all’effettiva approvazione erano necessari circa dodici mesi25. Di più, dal momento che le BCR riguardavano flussi di dati tra società appartenenti a un unico gruppo ma distribuite in diversi Paesi, prima dell’entrata in vigore del GDPR, esattamente come avveniva per le clausole tipo, era necessaria una singola autorizzazione da parte di ciascuna autorità di controllo26. Per superare questo ostacolo e per velocizzare la procedura di approvazione, era stata elaborata una procedura di cooperazione a livello europeo, grazie alla quale si poteva giungere alla redazione di un set di norme vincolanti che fosse condiviso e concordato tra tutte le Autorità. Nello specifico, si stabiliva che una singola autorità fosse a capo del procedimento (la c.d. «Lead Authority») e quest’ultima, in rappresentanza di tutte le altre autorità di controllo, si interfacciasse con la multinazionale. La Lead Authority esaminava la bozza di BCR presentate dalla multinazionale e, dopo averla condivisa con le altre autorità di controllo coinvolte dal trasferimento, raccoglieva i loro commenti e si attivava affinché quest’ultima li recepisse. La versione del testo che emergeva da questo dialogo doveva poi ottenere il parere positivo delle autorità di controllo coinvolte. In seguito, al fine di velocizzare e semplificare ulteriormente il meccanismo di autorizzazione, le autorità di controllo aderivano al modello di c.d. mutuo riconoscimento. La Lead Authority, nella revisione delle BCR, veniva ora affiancata da altre due autorità e con la loro collaborazione si addiveniva alla redazione del testo finale. Il parere con il quale la Lead Authority attestava la conformità delle BCR ai principi fissati dalle opinion dell’Art. 29 Working Party era poi ritenuto fondamento sufficiente per il rilascio delle singole autorizzazioni nazionali da parte delle altre autorità di controllo aderenti al modello. La Direttiva, però, lasciava ampio margine di manovra alle singole autorità che, per il rilascio delle loro autorizzazioni, erano libere di prevedere ulteriori requisiti per il rilascio delle loro autorizzazioni. Ciò faceva sì che in molti ordinamenti, per ottenere l’autorizzazione all’uso delle BCR, fossero comunque necessari adempimenti aggiuntivi27. Le diverse autorità di controllo richiedevano ad esempio che le BCR venissero tradotte nella loro lingua; in Belgio si prevedeva che le BCR dovessero essere incorporate in un regio decreto; in Germania si chiedeva che le norme vincolanti d’impresa fossero approvate sia dall’autorità di controllo di Berlino che da quella del singolo land; di più, in molti casi, si richiedeva che le società rilasciassero delle apposite dichiarazioni attraverso le quali si vincolavano al rispetto delle disposizioni nazionali in tema di data protection. Solo l’Irlanda, il Regno Unito e la Slovacchia ammettevano che il parere positivo della Lead Authority rilasciato secondo il mutuo riconoscimento bastasse a legittimare il trasferimento.
21Inoltre, considerando che le BCR non trovavano esplicita menzione nella Direttiva, non vi era nulla che obbligasse le singole autorità a riconoscere la loro validità. Così, ad esempio, in Lettonia e Portogallo.
L’avvento del GDPR
22La procedura di approvazione, così macchinosa, lenta e costosa, scoraggiava le multinazionali che intendevano dotarsi delle BCR: di ciò era consapevole anche l’Art. 29 Working Party che, conscio delle criticità che un sistema basato sulle singole autorizzazioni nazionali comportava, suggeriva di rivedere e velocizzare tale procedura28.
23Nell’ambito della revisione e dell’aggiornamento della Direttiva, ciò era certamente possibile. A tal proposito, si riteneva assolutamente necessario, in prima istanza, che le BCR venissero esplicitamente menzionate fra gli strumenti in grado di garantire un adeguato livello di protezione: in questo modo i singoli Paesi non avrebbero più potuto evitare di riconoscere la loro validità29. In secondo luogo, era essenziale che il meccanismo di approvazione delle norme vincolanti d’impresa potesse concludersi a livello europeo tramite il modello del mutuo riconoscimento e che le multinazionali non fossero poi costrette a doversi comunque presentare dalle singole autorità di controllo.
24Questi passi in avanti si sarebbero certamente potuti avere qualora, anziché di una direttiva, per disciplinare le tematiche legate alla protezione dei dati personali, ci si fosse dotati di un regolamento.
25Il 15 dicembre 2015, il Consiglio dell’Unione Europea e il Parlamento raggiungevano così l’accordo sul Regolamento Generale sulla Protezione dei Dati (GDPR) che sarebbe poi entrato in vigore l’anno successivo e che, a decorrere dallo scorso 25 maggio, ha sostituito la Direttiva abrogandola.
26Il GDPR, all’art. 46, paragrafo 2, let. b) menziona esplicitamente le BCR e l’art. 47 ne delinea altresì il contenuto minimo. Tale contenuto minimo risulta parzialmente diverso da quello in passato previsto dalle opinion dell’Art. 29 Working Party. Si prevede ad esempio che le multinazionali debbano dimostrare il rispetto dei nuovi principi cristallizzati dal GDPR come quello di minimizzazione, di privacy by design e di privacy by default, così come di limitazione della conservazione dei dati30. In relazione ai diritti riconosciuti agli interessati, le BCR devono prevedere esplicitamente il loro diritto a non essere non essere sottoposti a decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione. Nella vigenza della Direttiva, per quanto riguarda invece le violazioni alle BCR, l’interessato poteva sì adire il tribunale, ma solo quello dello Stato membro presso cui erano stabiliti gli headquarters europei della multinazionale; oggi, il GDPR stabilisce che le relative azioni possano essere proposte dinanzi alle corti dello Stato membro in cui l’interessato risiede, lavora abitualmente o in cui si ritiene essere avvenuta la violazione. In relazione alla vincolatività delle BCR e alla luce del nuovo principio di responsabilizzazione di cui all’art. 5, par. 2 GDPR, la multinazionale, insieme a tutte le società del gruppo che agiranno come titolari del trattamento, dovrà altresì essere sempre in grado di dimostrare il suo rispetto delle BCR.
27Fra tutte le novità introdotte dal nuovo regolamento in tema di BCR, la più significativa riguarda però la procedura di autorizzazione e, segnatamente, il nuovo c.d. meccanismo di coerenza di cui agli artt. 63 e 64. Tale meccanismo, si prefigge lo scopo di incentivare e formalizzare la cooperazione fra le autorità in seno allo European Data Protection Board (EDPB)31. Nello specifico, secondo tale meccanismo, le multinazionali dovranno anzitutto indicare quella che, secondo loro, dovrà agire come Lead Authority32. L’autorità di controllo individuata, dovrà poi darne nota alle altre autorità di controllo coinvolte dal trasferimento affinché queste ultime – entro due settimane – possano sollevare le loro obiezioni in merito a tale designazione. Qualora non vi sia immediato accordo, nel termine di un mese, le autorità di controllo decideranno chi – fra esse – dovrà farsi carico dell’autorizzazione delle BCR in qualità di Lead Authority. La Lead Authority così designata, esattamente come avveniva prima, dovrà quindi esaminare le norme vincolanti di impresa adottate dalla multinazionale. La bozza delle norme vincolanti di impresa, sottoposta alla revisione della Lead Authority, dovrà quindi essere condivisa con una o due autorità di controllo che fungeranno da co-revisori33. Le modifiche suggerite dai co-revisori dovranno essere recepite cosicché si possa giungere alla versione consolidata del testo. Qualora non dovessero giungere commenti da parte di queste, entro un mese dall’invio della bozza, varrà il principio del silenzio-assenso.
28La versione consolidata del testo verrà quindi sottoposta alle altre autorità coinvolte che, sempre entro un mese, potranno svolgere eventuali osservazioni. Alla fine di questa fase, se la Lead Authority riterrà che la multinazionale sia in grado di recepire tali commenti in maniera soddisfacente, le chiederà di predisporre e condividere la versione finale del testo. La Lead Authority adotterà quindi una bozza di decisione sulla versione finale delle BCR: questa bozza di decisione, ai sensi dell’art. 64 GDPR, sarà poi oggetto del parere dell’EDPB che dovrà esprimersi entro otto settimane. Se l’EDPB esprimerà un parere favorevole sul testo sottopostole, la Lead Authority potrà formalizzare la sua decisione e il trasferimento potrà dunque essere autorizzato. Qualora invece il parere dell’EDPB dovesse essere negativo, la Lead Authority sarà libera di scegliere se conformarsi o meno ai suoi suggerimenti. Se la Lead Authority sceglierà di non recepire le richieste provenienti dal Comitato europeo, verrà attivato il meccanismo di composizione delle controversie di cui all’art. 65 GDPR. Se invece deciderà di accogliere il parere dell’EDPB, la Lead Authority contatterà immediatamente la multinazionale perché questa implementi le necessarie modifiche; emenderà inoltre sua la bozza di decisione e, dopo averne dato nota alle altre autorità coinvolte, approverà le BCR.
29Le BCR così autorizzate costituiranno una garanzia adeguata per il trasferimento di dati personali in un Paese terzo: ciò, senza necessità di una specifica e ulteriore autorizzazione nazionale.
30Le BCR traggono quindi numerosi benefici dall’introduzione del GDPR: le multinazionali, per ottenere l’autorizzazione al trasferimento, dovranno ora interagire con una sola autorità di controllo e non ci sarà più bisogno delle singole autorizzazioni nazionali. La cristallizzazione delle norme vincolanti d’impresa all’interno del Regolamento, comporta inoltre che nessuno Stato Membro possa rifiutarsi di riconoscerle.
Conclusioni
31A parere di chi scrive, le BCR rappresentano sicuramente una delle migliori basi legali per legittimare il trasferimento di dati personali al di fuori dell’Unione e, grazie alle novità introdotte dal GDPR, il numero di multinazionali che le adotteranno è presumibilmente destinato ad aumentare.
32Nonostante vi siano comunque ancora passi da compiere34, si sta assistendo oggi ad un chiaro mutamento di prospettiva: se è pur vero che alcune multinazionali continuano ad operare in maniera non del tutto trasparente35, molte aziende, anche estere, sembrano essersi invece accorte che l’adozione di un set di regole stringente, unitamente ad un generale approccio virtuoso al trattamento dei dati personali, può comportare grossi vantaggi anche solo in termini reputazionali.
33È poi plausibile che anche le autorità di controllo e gli organismi dell’Unione continueranno a promuoverne il miglioramento e l’adozione: affinché i diritti e le libertà degli interessati possano concretamente dirsi tutelati, l’ipotesi più desiderabile è che siano infatti le aziende ad adottare per prime standard rigorosi nel trattamento dei dati e, le BCR, operano in questo senso anche al di fuori dell’Unione.
34Di più, le BCR trovano esplicita menzione normativa in un momento storico in cui le attività degli organi giurisdizionali dell’Unione, delle autorità di controllo e dei vari attivisti, si dimostrano particolarmente attente e mature nei confronti delle tematiche legate al trasferimento di dati in Paesi terzi.
35Fra gli attivisti, ad esempio, si deve certamente menzionare Maximilian Schrems che, invocando l’intervento della supervisory authority irlandese, ha dato l’avvio al procedimento che avrebbe poi portato la Corte di Giustizia dell’Unione a invalidare il Safe Harbour36. Le autorità di controllo, tra tutti gli incarichi in agenda, si stanno invece dimostrando particolarmente incisive nel dialogo con le autorità statunitensi per il sano funzionamento del Privacy Shield37: a tal proposito, giova infatti evidenziare che tale strumento ha recentemente superato positivamente il vaglio della Commissione Europea nell’ambito della sua seconda revisione annuale38.
36Se «Lo Scudo» viene rinforzato, le clausole contrattuali tipo scricchiolano sotto il martelletto del giudice europeo: sono quest’ultime, oggi, ad essere al vaglio della Corte di Giustizia dell’Unione. La High Court irlandese ha infatti proposto dei nuovi quesiti alla Corte, stavolta però in relazione all’adeguatezza della protezione offerta dalle standard contractual clauses. Sempre Maximilian Schrems ha ora chiesto al Data Protection Commissioner irlandese di valutare se il trasferimento di dati che Facebook effettua verso gli Stati Uniti sia in grado di offrire un livello di tutela adeguato: dall’invalidazione del Safe Harbour, la società di Menlo Park, per trasferire i dati personali dei suoi utenti ha infatti scelto di fare affidamento sulle clausole contrattuali tipo. Le ragioni di tale ricorso, ancora una volta, risiedono nella supposta capacità da parte delle agenzie governative USA di consultare e ottenere segretamente i dati raccolti e trasferiti dalle aziende statunitensi39. La questione pende quindi davanti alla Corte di Giustizia che dovrà pronunciarsi sui quesiti proposti e, eventualmente, statuire sulla validità delle decisioni in tema di standard contractual clauses40.
37A parere di chi scrive, è comunque inverosimile che la Corte di Giustizia possa effettivamente invalidare anche le clausole tipo. Ciò, almeno per due ragioni: anzitutto, se si dovesse stabilire che queste non offrono un livello di protezione adeguato, si rischierebbe di ingenerare un effetto domino in grado di travolgere anche le BCR e questo, soprattutto alla luce della loro formalizzazione all’interno del GDPR, sarebbe particolarmente sconveniente; in secondo luogo, si deve tener presente che le attività di sorveglianza di massa ad opera del governo statunitense sono appena passate sotto lo scrutinio della Commissione Europea durante la già citata seconda revisione annuale del Privacy Shield. Sul punto, infatti, la Commissione si è detta in buona parte soddisfatta delle rassicurazioni giunte e, se la Corte di Giustizia dovesse dimostrare di pensarla diversamente, la credibilità negoziale della Commissione ne risentirebbe. Se l’Unione vuole effettivamente essere in grado di esportare il suo modello oltre i suoi confini, un risvolto simile non è certamente desiderabile: perché ciò possa accadere – come sottolineato in apertura – è infatti necessario che il vecchio continente si dimostri prima di tutto in grado di allineare i diversi orientamenti che si rinvengono al suo interno. Ove non dovesse essere così, ogni ulteriore sforzo potrebbe pacificamente ritenersi vano.
38Anche volendo poi accantonare per un attimo le considerazioni di carattere contingente sul futuro dei singoli strumenti messi a disposizione per il trasferimento di dati, qualche osservazione di carattere generale risulta sicuramente necessaria.
39Nello specifico, si deve sempre tener presente che tutti gli strumenti sinora menzionati, BCR comprese, sono previsti al precipuo scopo di colmare le distanze fra i diversi ordinamenti internazionali.
40Tali strumenti vengono appunto introdotti per garantire il trasferimento di dati verso Paesi in cui la protezione dei dati non risulta adeguata. Ciò, significa semplicemente che in tali giurisdizioni la protezione dei dati personali può potenzialmente essere sacrificata in favore di interessi diversi, come la sicurezza nazionale o le esigenze di mercato.
41Se così è, risulta altrettanto evidente che sarà sempre molto difficile riuscire a conciliare le diverse esigenze di tutti gli ordinamenti coinvolti, soprattutto se, alla base, non si rinviene una scala valoriale condivisa. L’unica via che pare quindi percorribile continua a essere quella dell’esportazione del modello dell’Unione al di fuori dei propri confini. La prospettata ipotesi che il modello europeo possa effettivamente venire esportato fino ad assurgere a standard globale, però, ad oggi sembra avere natura non soltanto utopica, ma forse addirittura utopistica. Una considerazione di questo tipo, però, non comporta che ci si debba rassegnare all’assoluta perdita di controllo sui nostri dati nel momento in cui questi travalicano i nostri confini: al contrario, è di fondamentale importanza che consapevoli del percorso che le ha portate fin qui, le istituzioni europee – proprio come le multinazionali – si dimostrino in grado di rispondere concretamente ai continui mutamenti sociali, politici ed economici: solo così si potrà continuare a dar voce alle istanze e ai diritti degli individui. Operando in questo senso, nel dialogo con gli interlocutori internazionali, si potrà poi promuovere la bontà del nostro modello. E forse, almeno a giudicare dalla recente introduzione in California di un testo normativo molto simile al GDPR41, unitamente al già citato aggiornamento della legislazione giapponese42, questo processo può dirsi già in atto. Insomma, si è cominciato col fare ciò che era necessario con la Direttiva, poi si è fatto ciò che era possibile con il GDPR: ora, continuando a promuovere soluzioni come le binding corporate rules, le clausole contrattuali tipo, le decisioni di adeguatezza o il Privacy Shield, potremo forse sorprenderci a fare l’impossibile43.
Bibliographie
Des DOI sont automatiquement ajoutés aux références bibliographiques par Bilbo, l’outil d’annotation bibliographique d’OpenEdition. Ces références bibliographiques peuvent être téléchargées dans les formats APA, Chicago et MLA.
Format
- APA
- Chicago
- MLA
Allen & Overy, Binding Corporate Rules (2016), 8, [Online] Consultabile su http://www.allenovery.com/SiteCollectionDocuments/BCRs.pdf [ultimo accesso: 16/12/2018].
Art. 29 Working Party (2003), Working Document: Transfers of personal data to third countries: Applying Article 26 (2) of the EU Data Protection Directive to Binding Corporate Rules for International Data Transfers, WP 74, nota n.4. Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2003/wp74_en.pdf [ultimo accesso: 16/12/2018].
Art. 29 Working Party, Documento di lavoro, Trasferimento di dati personali verso Paesi terzi: applicazione degli articoli 25 e 26 della direttiva europea sulla tutela dei dati (1998), WP 12, 1, 2, punto 2 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/1998/wp12_en.pdf [ultimo accesso: 20/12/2018].
Art. 29 Working Party, National filing requirements for controller BCR (2016) [Online] Consultabile su http://collections.internetmemory.org/haeu/20171123111847/http://ec.europa.eu/justice/data-protection/international-transfers/files/table_nat_admin_req_en.pdf [ultimo accesso: 16/12/2018].
Art. 29 Working Party, Opinion 3/2010 on the principle of accountability (2010), WP 173, 57, 16 [Online] Consultabile su https://www.dataprotection.ro/servlet/ViewDocument?id=720 [ultimo accesso: 15/12/2018].
Art. 29 Working Party, Recommendation 1/2007 on the Standard Application for Approval of Binding Corporate Rules for the Transfer of Personal Data (2007), WP 133, 10, nota 12 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp133_en.doc [ultimo accesso: 16/12/2018]
Art. 29 Working Party, The Future of Privacy, Joint contribution to the Consultation of the European Commission on the legal framework for the fundamental right to protection of personal data (2009), WP 168, 38, 12 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2009/wp168_en.pdf [ultimo accesso: 15/12/2018].
Art. 29 Working Party, Working Document Setting Forth a Co-Operation Procedure for the approval of “Binding Corporate Rules” for controllers and processors under the GDPR (2018), WP 263 rev.01, 1.2 [Online] Consultabile su https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623056 [ultimo accesso: 15/12/2018].
Art. 29 Working Party, WP 74 cit., 4.2, 15 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2003/wp74_en.pdf [ultimo accesso: 20/12/2018].
Bolognini, L., Pelino, E. & Bistolfi, C., Il regolamento privacy europeo, commentario alla nuova disciplina sulla protezione dei dati personali (2016), Giuffrè Editore, Milano, 2016, 481-482.
Bot, Y., Conclusioni dell’avvocato generale Yves Bot, Maximilian Schrems contro Data Protection Commissioner, Causa par. 125, 23 settembre 2015 (2015) [Online] Consultabile su http://curia.europa.eu/juris/document/document.jsf?docid=168421&doclang=IT [ultimo accesso: 20/12/2018].
Bradford, A. (2015), The Brussels Effect, 107 Nw. U. L. Rev. 1, 3.
10.1093/oso/9780190088583.003.0003 :Cadwalladr, C., ‘I made Steve Bannon’s psychological warfare tool’: meet the data war whistleblower (2018), The Guardian [Online] Consultabile su https://www.theguardian.com/news/2018/mar/17/data-war-whistleblower-christopher-wylie-faceook-nix-bannon-trump [ultimo accesso: 20/12/2018].
California Governor Brown, J., California Consumer Privacy Act (2018) [Online] Consultabile su https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=201720180AB375 [ultimo accesso: 27/12/2018]. che, già efficace, diventerà pienamente applicabile a partire dall’1 gennaio 2020.
Commissione Europea, Commission Staff Working Document on the implementation of the Commission decisions on standard contractual clauses for the transfer of personal data to third countries (2001/497/EC and 2002/16/EC) (2006), 7 [Online] Consultabile su http://ec.europa.eu/transparency/regdoc/rep/2/2006/EN/SEC-2006-95-1-EN-MAIN-PART-1.PDF [ultimo accesso: 20/12/2018].
Commissione Europea, Decisione della Commissione del 15 giugno 2001 relativa alle clausole contrattuali tipo per il trasferimento di dati a carattere personale verso Paesi terzi a norma della direttiva 95/46/CE, 2001/497/CE, clausola 3 [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32001D0497&from=IT [ultimo accesso: 16/12/2018].
Commissione Europea, decisione di esecuzione (UE) 2016/1250 della Commissione, del 12 luglio 2016, a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, sull’adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy (2016) [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32016D1250 [ultimo accesso: 20/12/2018].
Commissione Europea, Report on the second annual review of the EU-US Privacy Shield (2018) [Online] Consultabile su https://ec.europa.eu/info/sites/info/files/report_on_the_second_annual_review_of_the_eu-us_privacy_shield_2018.pdf [ultimo accesso: 20/12/2018].
Confessore, N., Cambridge Analytica and Facebook: The Scandal and the Fallout So Far (2018), The New York Times, [Online] Consultabile su https://www.nytimes.com/2018/04/04/us/politics/cambridge-analytica-scandal-fallout.html [ultimo accesso: 20/12/2018]
Garante per la Protezione dei dati Personali, Trasferimento deidati personali verso Paesi Terzi [Online] Consultabile su https://www.garanteprivacy.it/home/provvedimenti-normativa/normativa/normativa-comunitaria-e-intenazionale/trasferimento-dei-dati-verso-paesi-terzi [ultimo accesso: 16/12/2018].
Gellman, B., Poitrais, L., U.S., British intelligence mining data from nine U.S. Internet companies in broad secret program (2013), The Washington Post [Online] Consultabile su https://www.washingtonpost.com/investigations/us-intelligence-mining-data-from-nine-usinternet-companies-in-broad-secret-program/2013/06/06/3a0c0da8-cebf-11e2-8845-d970ccb04497_story.html?utm_term=.c590ac1cfc9b [ultimo accesso: 13/12/2018].
Goldman, E., An Introduction to the California Consumer Privacy Act (CCPA) (2018) [Online] Santa Clara University, 9 luglio 2018, https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3211013 [ultimo accesso: 27/12/2018].
10.2139/ssrn.3211013 :Greenwald, G., McAskill, E., NSA Prism program taps in to user data of Apple, Google and others (2013), The Guardian [Online] Consultabile su https://www.theguardian.com/world/2013/jun/06/us-techgiants-nsa-data [ultimo accesso: 13/12/2018].
Hern, A., Uber fined £385,000 for data breach affecting millions of passengers (2018), The Guardian, [Online] Consultabile su https://www.theguardian.com/technology/2018/nov/27/uber-fined-385000-for-data-breach-affecting-millions-of-passengers-hacked [ultimo accesso: 20/12/2018].
Information Commissioner’s Office, Binding Corporate Rules [Online] Consultabile su https://ico.org.uk/for-organisations/binding-corporate-rules/ [ultimo accesso: 16/12/2018].
Moerel, L., Binding Corporate Rules, Corporate Self-Regulation of Global Data Transfers (2012), Oxford University Press, 19.
Parlamento e Consiglio Europeo, Direttiva 95/46/CE del Parlamento europeo e del Consiglio, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1995) [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:31995L0046&from=IT [ultimo accesso: 14/12/2018].
Parlamento e Consiglio Europeo, Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (2016). Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32016R0679&from=IT [ultimo accesso: 20/12/2018].
Schrems, M., Complaint against Facebook Ireland Ltd (2015), 2 e 3 [Online] Consultabile su http://www.europe-v-facebook.org/comp_fb_ie.pdf [ultimo accesso: 19/12/2018].
The World Bank, World Bank Open Data [Online] Consultabile su https://data.worldbank.org. [ultimo accesso: 27/12/18].
Notes de bas de page
1 Parlamento e Consiglio Europeo, Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (2016). Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32016R0679&from=IT [ultimo accesso: 20/12/2018].
2 Sul punto, basti confrontare i dati in termini di prodotto interno lordo (PIL): Stati Uniti d’America (19.390.604,00$), Unione Europea (17.277.697,66 $); al terzo posto la Cina (12.237.700, 48$). In termini di crescita del PIL, invece, l’Unione Europea si trova al secondo posto con il 2.4% (la Cina al primo con il 6.9% e gli Stati Uniti al terzo con il 2.3%). The World Bank, World Bank Open Data [Online] Consultabile su https://data.worldbank.org. [ultimo accesso: 27/12/18].
3 Bradford, A. (2015), The Brussels Effect, 107 Nw. U. L. Rev. 1, 3.
4 Parlamento e Consiglio Europeo, Direttiva 95/46/CE del Parlamento europeo e del Consiglio, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1995) [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:31995L0046&from=IT [ultimo accesso: 14/12/2018]. Sul punto si veda il considerando n.7 di tale direttiva: « il divario nei livelli di tutela dei diritti e delle libertà personali, in particolare della vita privata, garantiti negli Stati membri relativamente al trattamento di dati personali può impedire la trasmissione dei dati stessi fra territori degli Stati membri e che tale divario può pertanto costituire un ostacolo all’esercizio di una serie di attività economiche su scala comunitaria, falsare la concorrenza e ostacolare, nell’adempimento dei loro compiti, le amministrazioni che intervengono nell’applicazione del diritto comunitario; detto divario nel grado di tutela deriva dalla diversità delle disposizioni legislative, regolamentari ed amministrative nazionali.».
5 Così Parlamento e Consiglio Europeo, Direttiva 95/46/CE del Parlamento europeo e del Consiglio cit., art. 25. Le valutazioni in merito all’adeguatezza del livello di protezione approntato dagli ordinamenti giuridici extra-UE, si noti, erano lasciate alla Commissione Europea che, ai sensi dell’art. 25 par. 6, poteva constatare che un Paese terzo garantisse un livello di protezione adeguato tramite apposite decisioni di adeguatezza. La lista dei Paesi che, ad oggi, si considerano offrire un livello di protezione adeguato è consultabile su https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en [ultimo accesso: 14/12/2018]. Detto meccanismo, tra l’altro, è rimasto pressoché immutato anche con l’entrata in vigore del GDPR. Per approfondimenti si rimanda a Bolognini, L., Pelino, E. & Bistolfi, C., Il regolamento privacy europeo, commentario alla nuova disciplina sulla protezione dei dati personali (2016), Giuffrè Editore, Milano, 2016, 481-482. Alla lista dei Paesi destinatari di una decisione di adeguatezza della Commissione presto si aggiungerà anche il Giappone con il quale, alla data in cui si scrive, sono in corso le relative negoziazioni: la bozza di tale decisione è comunque consultabile su https://ec.europa.eu/info/sites/info/files/draft_adequacy_decision.pdf [ultimo accesso: 14/12/2018].
6 Si tenga presente che la figura del «responsabile del trattamento» prevista dalla Direttiva, coincide con quella di «titolare del trattamento» oggi prevista dal GDPR.
7 Cfr. Direttiva 95/46/CE, cit., art. 26, par. 1.
8 Cfr. Direttiva 95/46/CE, cit., art. 26, par. 2.
9 A tal proposito si veda Commissione Europea, Commission Staff Working Document on the implementation of the Commission decisions on standard contractual clauses for the transfer of personal data to third countries (2001/497/EC and 2002/16/EC) (2006), 7 [Online] Consultabile su http://ec.europa.eu/transparency/regdoc/rep/2/2006/EN/SEC-2006-95-1-EN-MAIN-PART-1.PDF [ultimo accesso: 20/12/2018]: «Whereas there is evidence that data controllers throughout the EU have in a number of cases relied on the standard contractual clauses to transfer personal data out of the EU, the Commission services fail to see a widespread use of the standard contractual clauses.»
10 Ad oggi si stima che ormai più della metà della popolazione mondiale abbia a disposizione una connessione Internet. I dati in costante aggiornamento sono Consultabili su http://www.internetlivestats.com/internet-users/ [ultimo accesso: 13/12/2018].
11 Sul punto si veda Moerel, L., Binding Corporate Rules, Corporate Self-Regulation of Global Data Transfers (2012), Oxford University Press, 19, dove si cita, a titolo esemplificativo, il caso in cui una società intendesse inviare un dipendente in missione presso una società del medesimo gruppo stabilita in un Paese terzo e, per fare ciò, avesse bisogno di trasmettere a quest’ultima i dati personali di tale dipendente.
12 Se infatti un interessato non avesse prestato il suo consenso, la società non avrebbe potuto inserire i suoi dati personali all’interno del database.
13 Tale esempio è stato originariamente formulato da Moeler, L, Binding Corporate Rules cit., 1. Per completezza, è importante sottolineare che, alla luce dell’entrata in vigore del GDPR, l’autorizzazione da parte delle singole autorità di controllo non è oggi più necessaria.
14 A tal proposito si noti che l’adozione di codici di condotta da parte delle multinazionali costituiva una pratica già diffusa. Sul punto vale la pena menzionare Art. 29 Working Party (2003), Working Document: Transfers of personal data to third countries: Applying Article 26 (2) of the EU Data Protection Directive to Binding Corporate Rules for International Data Transfers, WP 74, nota n.4. Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2003/wp74_en.pdf [ultimo accesso: 16/12/2018]: «The adoption of codes of conduct by corporate groups is relatively frequent. Typical subjects of codes of conduct adopted by multinationals would be the following: (a) maintenance and retention of accurate books and records; (b) truthfulness and accuracy in communications with the public and the government; (c) procedures such as Chinese walls to assure that advice to clients and business decisions are not affected by conflicts of interest; (d) protection of confidential information; (e) prohibition of misuse of corporate assets; (f) elimination of improper discrimination and harassment; (g) prohibition of bribery and kickbacks; (h) implementation of ethical business practices and compliance with laws that foster competition in the marketplace; and (i) prohibition of securities trading based on inside information».
15 Come ricorda Moerel, L., Binding Corporate Rules cit, 22, nota 22, tramite l’adozione di tali codici, le multinazionali non cercavano di adottare un unico sistema che fosse in grado di garantire il rispetto di tutte le singole normative coinvolte: questo avrebbe comportato che si sarebbero dovute cumulativamente applicare le disposizioni più stringenti delle singole legislazioni. Piuttosto, si selezionavano specifici elementi di normative diverse per addivenire ad un codice che, in linea generale, potesse garantire un livello di protezione uniforme.
16 Si tenga presente che oggi, in seguito all’entrata in vigore del GDPR, l’Art. 29 Working Party ha cessato la sua attività: le sue funzioni sono ora assunte dallo European Data Protection Board di cui all’art. 68 GDPR. Per l’elenco dei compiti affidati a tale organismo indipendente si rinvia a Parlamento e Consiglio Europeo, Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio cit., art. 70.
17 Così Art. 29 Working Party, WP 74 cit., 1, 5.
18 Sul punto giova tuttavia notare che, perché una società potesse effettuare trasferimenti al di fuori del suo gruppo, avrebbe comunque dovuto fare riferimento all’art. 26 della Direttiva.
19 Si noti infatti che non tutti gli ordinamenti riconoscono, da un punto di vista civilistico, la vincolatività delle dichiarazioni unilaterali. Così, Art. 29 Working Party, Recommendation 1/2007 on the Standard Application for Approval of Binding Corporate Rules for the Transfer of Personal Data (2007), WP 133, 10, nota 12 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp133_en.doc [ultimo accesso: 16/12/2018]: «You must be fully aware of the fact that according to civil law of some jurisdictions (e.g. Italy or Spain) unilateral declarations or unilateral undertakings do not have a binding effect. In the lack of a specific legislative provision on bindingness of such declarations, only a contract with third party beneficiary clauses between the members of the Group may give proof of bindingness.». Nello stesso senso, Art. 29 Working Party, WP 74 cit., par. 3.3.2, p. 12: «differences in civil and administrative law raise the question of whether or not unilateral declarations can be regarded as the origin of third party beneficiary rights for individuals. Where in some cases the legal enforceability of such unilateral declarations do not raise any doubts, in other Member States the situation is not that clear and unilateral declarations might not be sufficient as such. Where unilateral declarations cannot be considered as granting legally enforceable third party beneficiary rights, the corporate groups would have to put in place the necessary contractual arrangements allowing for that. These undertakings can be legally enforced under private law in all Member States.».
20 Sul punto si veda Commissione Europea, Decisione della Commissione del 15 giugno 2001 relativa alle clausole contrattuali tipo per il trasferimento di dati a carattere personale verso Paesi terzi a norma della direttiva 95/46/CE, 2001/497/CE, clausola 3 [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32001D0497&from=IT [ultimo accesso: 16/12/2018]. In particolare, tramite questa clausola, venivano riconosciuti agli interessati i seguenti diritti:
- al più tardi all’atto del trasferimento, essere informati che i dati che li riguardavano potevano essere trasmessi ad un Paese terzo che non forniva una protezione adeguata, (clausola 4, let. b);
- a richiesta, ottenere copia delle BCR (clausole 4 let. c e 5 let. e);
- per quanto possibile, ottenere risposta entro un termine ragionevole in relazione alle richieste relative al trattamento dei loro dati personali al di fuori dell’Unione (clausole 4, let. d e 5, let. c);
- dichiarare che una società del gruppo, vincolata al rispetto delle BCR, non cooperava con l’autorità di controllo e/o non recepiva il parere di tale autorità in relazione al il trattamento dei dati trasferiti (clasuola 5, let. c);
- dichiarare che la legge applicabile a un membro del gruppo stabilito al di fuori dell’Unione non consentiva a quest’ultimo di adempiere agli obblighi derivanti dalle BCR (clausola 5, let. a)
- dichiarare che il trattamento di dati personali effettuato da una società del gruppo violava quanto disposto dalla BCR;
- essere indennizzati qualora avessero subito pregiudizio in seguito alla violazione delle previsioni stabilite dalle BCR (clausola 6);
- ricorrere presso le corti stabilite negli Stati membri nel rispetto di quanto stabilito dalle BCR (clausola 7); e
- dichiarare che le regole erano state modificate senza rispettare quanto previsto dalle BCR o comunque in violazione delle obbligazioni procedurali ivi stabilite; (clausola 11).
21 Sul punto si rimanda ad Art. 29 Working Party, WP 74 cit., 4.2, 15 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2003/wp74_en.pdf [ultimo accesso: 20/12/2018].
22 Così, Art. 29 Working Party, Documento di lavoro, Trasferimento di dati personali verso Paesi terzi: applicazione degli articoli 25 e 26 della direttiva europea sulla tutela dei dati (1998), WP 12, 1, 2, punto 2 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/1998/wp12_en.pdf [ultimo accesso: 20/12/2018] «Ogni persona deve essere in grado di far rispettare i propri diritti in modo rapido ed efficace, ad un costo non proibitivo. A tal fine occorre porre in essere qualche meccanismo istituzionale che consenta di condurre un’indagine indipendente in caso di denuncia.». Tale statuizione, si noti, non si riferisce esclusivamente alle BCR ma, evidentemente, risulta applicabile a ognuno degli strumenti previsti per il trasferimento di dati verso un Paese terzo.
23 Tramite questo programma, secondo quanto rivelato nel 2013 da Edward Snowden nell’ambito del c.d. Datagate, le agenzie governative statunitensi, nella loro attività di sorveglianza di massa, avrebbero avuto diretto accesso ai database delle principali aziende operanti nel settore digitale e, di conseguenza, anche ai dati dei cittadini europei. Sul punto si veda Greenwald, G., McAskill, E., NSA Prism program taps in to user data of Apple, Google and others (2013), The Guardian [Online] Consultabile su https://www.theguardian.com/world/2013/jun/06/us-techgiants-nsa-data [ultimo accesso: 13/12/2018]. La stessa notizia è apparsa lo stesso giorno anche sulle pagine del Washington Post: Gellman, B., Poitrais, L., U.S., British intelligence mining data from nine U.S. Internet companies in broad secret program (2013), The Washington Post [Online] Consultabile su https://www.washingtonpost.com/investigations/us-intelligence-mining-data-from-nine-usinternet-companies-in-broad-secret-program/2013/06/06/3a0c0da8-cebf-11e2-8845-d970ccb04497_story.html?utm_term=.c590ac1cfc9b [ultimo accesso: 13/12/2018].
24 Dello stesso parere Allen & Overy, Binding Corporate Rules (2016), 8, [Online] Consultabile su http://www.allenovery.com/SiteCollectionDocuments/BCRs.pdf [ultimo accesso: 16/12/2018].
25 Per approfondimenti si rimanda al sito dell’Information Commissioner’s Office, Binding Corporate Rules [Online] Consultabile su https://ico.org.uk/for-organisations/binding-corporate-rules/ [ultimo accesso: 16/12/2018].
26 Così Garante per la Protezione dei dati Personali, Trasferimento deidati personali verso Paesi Terzi [Online] Consultabile su https://www.garanteprivacy.it/home/provvedimenti-normativa/normativa/normativa-comunitaria-e-intenazionale/trasferimento-dei-dati-verso-paesi-terzi [ultimo accesso: 16/12/2018].
27 Per l’elenco dei requisiti previsti dai diversi ordinamenti per il rilascio delle singole autorizzazioni si rinvia a Art. 29 Working Party, National filing requirements for controller BCR (2016) [Online] Consultabile su http://collections.internetmemory.org/haeu/20171123111847/http://ec.europa.eu/justice/data-protection/international-transfers/files/table_nat_admin_req_en.pdf [ultimo accesso: 16/12/2018].
28 Cfr. Art. 29 Working Party, Opinion 3/2010 on the principle of accountability (2010), WP 173, 57, 16 [Online] Consultabile su https://www.dataprotection.ro/servlet/ViewDocument?id=720 [ultimo accesso: 15/12/2018].
29 Sul punto si rimanda a Art. 29 Working Party, The Future of Privacy, Joint contribution to the Consultation of the European Commission on the legal framework for the fundamental right to protection of personal data (2009), WP 168, 38, 12 [Online] Consultabile su https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2009/wp168_en.pdf [ultimo accesso: 15/12/2018].
30 Cfr. Parlamento e Consiglio Europeo, Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 cit., art. 47, par. 2, let. d).
31 Cfr. nota n. 15 supra.
32 Per la lista dei criteri da prendere in considerazione nell’individuazione della Lead Authority si rinvia a Art. 29 Working Party, Working Document Setting Forth a Co-Operation Procedure for the approval of “Binding Corporate Rules” for controllers and processors under the GDPR (2018), WP 263 rev.01, 1.2 [Online] Consultabile su https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623056 [ultimo accesso: 15/12/2018].
33 La Lead Authority sarà affiancata da due co-revisori quando gli Stati Membri da cui i trasferimenti avranno luogo saranno quattordici o più. Al di sotto di questa soglia sarà possibile servirsi di uno o due co-revisori a seconda del caso specifico e della disponibilità delle autorità di controllo. Cfr Art. 29 Working Party, Working Document Setting Forth a Co-Operation Procedure cit., 2.2.
34 A parere di chi scrive, ad esempio, il meccanismo di coerenza risulta ancora troppo farraginoso.
35 Su tutti, vale la pena citare il recente scandalo che ha riguardato i rapporti intercorsi fra Facebook e Cambridge Analytica nell’ambito delle ultime elezioni presidenziali degli Stati Uniti. Per approfondimento sul tema si veda Confessore, N., Cambridge Analytica and Facebook: The Scandal and the Fallout So Far (2018), The New York Times, [Online] Consultabile su https://www.nytimes.com/2018/04/04/us/politics/cambridge-analytica-scandal-fallout.html [ultimo accesso: 20/12/2018] e Cadwalladr, C., ‘I made Steve Bannon’s psychological warfare tool’: meet the data war whistleblower (2018), The Guardian [Online] Consultabile su https://www.theguardian.com/news/2018/mar/17/data-war-whistleblower-christopher-wylie-faceook-nix-bannon-trump [ultimo accesso: 20/12/2018]. Recente è anche l’imposizione di una sanzione a Uber per la mancata notificazione di un data breach da quest’ultima subito: sul punto Hern, A., Uber fined £385,000 for data breach affecting millions of passengers (2018), The Guardian, [Online] Consultabile su https://www.theguardian.com/technology/2018/nov/27/uber-fined-385000-for-data-breach-affecting-millions-of-passengers-hacked [ultimo accesso: 20/12/2018].
36 L’attivista austriaco ha invocato l’intervento dell’autorità di controllo denunciando un illecito trattamento dei suoi dati personali. Facebook – al quale il ricorrente era regolarmente iscritto – trasferiva tramite il Safe Harbour i dati degli utenti europei dalla sua sede irlandese (dove avveniva la raccolta dei dati) a quella statunitense (dove questi venivano poi conservati). Nello specifico, la principale preoccupazione trovava origine nelle rivelazioni di Snowden: i dati così trasferiti negli USA sarebbero stati accessibili alle autorità, soprattutto considerando che il social network si presumeva aderisse a PRISM. Di tutta risposta, l’autorità, notando come l’attivista non avesse dimostrato che le sue informazioni personali fossero state effettivamente oggetto di trattamento illecito, ha rigettato il ricorso definendolo «frivolous and vexatious». Un ulteriore elemento decisivo per la statuizione dell’autorità in questo senso risiedeva nell’ allora validità della decisione 2000/520/CE che appunto dichiarava adeguato tale trasferimento. Da parte sua, Schrems, non pago del riscontro ottenuto, ha deciso quindi di presentare ricorso presso la High Court irlandese che, dimostrandosi particolarmente attenta, si è dimostrata più favorevole a ragionare sulle questioni esposte nel ricorso. La massima corte irlandese si è infatti trovata in disaccordo con le conclusioni dell’autorità di controllo: le rivelazioni del whistleblower statunitense hanno certamente dimostrato che le agenzie americane potevano accedere ai dati dei cittadini europei trasferiti entro il loro ambito di giurisdizione. A questo punto è parso legittimo chiedersi se la normativa e l’operato degli USA potessero effettivamente fornire sufficienti garanzie di carattere giudiziale e legale. Per questo motivo, facendo leva anche sull’apparente assenza di proporzionalità, data principalmente dalla segretezza e dalla mancanza di contraddittorio nell’ambito del trattamento governativo, si è giunti a mettere in dubbio l’effettiva adeguatezza della tutela e, di conseguenza, la validità della decisione della Commissione. Tutte queste ragioni hanno giustificato, a parere del giudice, un rinvio pregiudiziale alla Corte di Giustizia dell’Unione Europea che, aderendo alle preoccupazioni della High Court, è giunta, nel 2015, a dichiarare l’inadeguatezza del sistema di tutele approntato dal Safe Harbour determinandone così l’invalidità.
37 In seguito alla dichiarata invalidità della Decisione di adeguatezza sul c.d. Safe Harbour, le autorità si sono nuovamente sedute al tavolo per negoziare un framework sostitutivo. Il Privacy Shield, introdotto da Commissione Europea, decisione di esecuzione (UE) 2016/1250 della Commissione, del 12 luglio 2016, a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, sull’adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy (2016) [Online] Consultabile su https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32016D1250 [ultimo accesso: 20/12/2018], rappresenta quindi il secondo tentativo atto a conciliare le esigenze dell’ordinamento statunitense e di quello dell’Unione.
38 Commissione Europea, Report on the second annual review of the EU-US Privacy Shield (2018) [Online] Consultabile su https://ec.europa.eu/info/sites/info/files/report_on_the_second_annual_review_of_the_eu-us_privacy_shield_2018.pdf [ultimo accesso: 20/12/2018]. Nello specifico, si è segnalata la positiva introduzione dell’obbligo, per coloro che si iscrivono per la prima volta al Privacy Shield, di non dichiarare la loro adesione al framework prima che il processo di approvazione sia effettivamente terminato; dal punto di vista della supervisione, il Department of Commerce ha anche iniziato ad effettuare delle verifiche casuali allo scopo di rilevare eventuali violazioni, insieme ai sempre presenti false claims in merito all’appartenenza al Privacy Shield da parte di alcune aziende; per quanto invece riguarda l’esecuzione, è stata finalmente introdotta la possibilità per il Department of Commerce di emettere ordinanze amministrative al fine di ottenere informazioni da parte degli aderenti al framework. Per quanto riguarda le questioni legate alla sorveglianza di massa, sono giunte rassicurazioni tramite il rinnovo della Sezione 702 del Foreign Intelligence Surveillance Act (FISA) che - pur non fissando le rassicuranti dichiarazioni del presidente Obama contenute nella Presidential Policy Directive 28 - ha comunque introdotto limitate salvaguardie soprattutto in tema di trasparenza. Lo scorso 11 ottobre sono altresì stati riempiti i seggi vacanti del Privacy and Civil Liberties Oversight Board, ossia dell’agenzia indipendente impegnata nella tutela della privacy e delle libertà fondamentali per conto del governo statunitense nell’ambito delle sue attività di lotta al terrorismo. A fronte di tutti questi sviluppi, resta ancora da nominare il difensore civico (c.d. ombudsperson) che si occuperà di esaminare i reclami degli interessati relativi all’accesso da parte delle autorità di intelligence americane ai dati personali dei cittadini europei. Per l’individuazione dell’ombudsperson, è stato comunque fissato un termine al prossimo 28 febbraio.
39 Sul punto Schrems, M., Complaint against Facebook Ireland Ltd (2015), 2 e 3 [Online] Consultabile su http://www.europe-v-facebook.org/comp_fb_ie.pdf [ultimo accesso: 19/12/2018].
40 Sul punto è bene notare che sebbene nell’ambito di un rinvio pregiudiziale la Corte non possa in genere statuire sulla validità di una disposizione normativa, ciò resta comunque possibile in determinate situazioni. Sul punto si veda Bot, Y., le Conclusioni dell’avvocato generale Yves Bot, Maximilian Schrems contro Data Protection Commissioner, Causa par. 125, 23 settembre 2015 (2015) [Online] Consultabile su http://curia.europa.eu/juris/document/document.jsf?docid=168421&doclang=IT [ultimo accesso: 20/12/2018]: «la Corte ha dichiarato d’ufficio, a più riprese, l’invalidità di un atto del quale le era stata chiesta soltanto l’interpretazione (48). Essa ha parimenti statuito che «qualora risulti che le questioni deferite da un giudice nazionale abbiano in realtà ad oggetto la validità di atti [dell’Unione], la Corte è tenuta a pronunciarsi, senza imporre al giudice proponente un formalismo che servirebbe unicamente a ritardare il procedimento a norma dell’articolo [267 TFUE] e che sarebbe incompatibile con lo spirito dello stesso» (49). La Corte ha inoltre già dichiarato che i dubbi sollevati da un giudice del rinvio in merito alla compatibilità di un atto di diritto derivato con le norme volte alla tutela dei diritti fondamentali concernono la legittimità di tale atto sotto il profilo del diritto dell’Unione (50).».
41 Il riferimento corre a California Governor Brown, J., California Consumer Privacy Act (2018) [Online] Consultabile su https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=201720180AB375 [ultimo accesso: 27/12/2018]. che, già efficace, diventerà pienamente applicabile a partire dall’1 gennaio 2020. Per approfondimenti si rinvia a Goldman, E., An Introduction to the California Consumer Privacy Act (CCPA) (2018) [Online] Santa Clara University, 9 luglio 2018, https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3211013 [ultimo accesso: 27/12/2018].
42 Cfr. nota supra 4.
43 L’aforisma originario recita «Cominciate col fare ciò che è necessario, poi ciò che è possibile. E all’improvviso vi sorprenderete a fare l’impossibile.» Tale aforisma, viene erroneamente attribuito a S. Francesco d’Assisi, soprattutto dopo che il cardinal Gianfranco Ravasi, presidente del Pontificio Consiglio per la Cultura, della Pontificia Commissione di Archeologia Sacra e del Consiglio di Coordinamento fra Accademie Pontificie, ne ha attestato l’attendibilità via Twitter https://twitter.com/CardRavasi/status/313612106517852162 [ultimo accesso: 27/12/2018]. Ciononostante, sembra non trovarsene riscontro all’interno dei testi di S. Francesco. Sul punto si rimanda a Messa, P., Anche con le parole se necessario. Dalle prime fonti a Papa Francesco (2015), l’Osservatore Romano [Online] Consultabile su http://www.gliscritti.it/blog/entry/3267 [ultimo accesso: 27/12/2018].
Auteur
Le texte seul est utilisable sous licence Licence OpenEdition Books. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.
Le uguaglianze: diritti, risorse, sfide per il futuro
Giovani studiosi si confrontano sul conflitto intergenerazionale
Leda Rita Corrado (dir.)
2015
Famiglia, lavoro e istituzioni
Uno sguardo sul futuro
Riccardo Bonato et Giovanni Castiglioni (dir.)
2015
Sicurezza in città: pratiche di controllo all'interno dello spazio urbano
Sebastian Saborio (dir.)
2015
Società delle tecnologie esponenziali e General Data Protection Regulation
Profili critici nella protezione dei dati
Simone Bonavita (dir.)
2018
Violenza Politica
Una ridefinizione del concetto oltre la depoliticizzazione
Alessandro Senaldi et Xenia Chiaramonte (dir.)
2018
Un mondo logistico
Sguardi critici su lavoro, migrazioni, politica e globalizzazione
Niccolò Cuppini et Irene Peano (dir.)
2019