Lo scambio transatlantico di dati riveste un’importanza fondamentale per il commercio e l’economia, ma da anni è al centro di dibattiti in ambito giuridico e in materia di protezione dei dati. Con l’introduzione del quadro normativo UE-USA sulla protezione dei dati (DPF) nel 2023 si intende creare una nuova base per un trasferimento sicuro dei dati. Il Comitato europeo per la protezione dei dati (EDSA) si è ora occupato dell’attuazione del Decisione di appropriatezza per gli Stati Uniti e ha tratto una prima conclusione provvisoria.
Questi progressi sono stati compiuti nell'implementazione del DPF
A seguito della sentenza della Corte di giustizia europea (CGE) nel caso "Schrems II", le significative carenze del precedente accordo sulla protezione dei dati, la Scudo per la privacy, ha dichiarato. Il DPF è stato sviluppato per rispondere alle critiche della Corte di giustizia europea e per armonizzare gli standard di protezione dei dati tra l'UE e gli USA.
La prima verifica del DPF effettuata dall'EDSA evidenzia progressi, in particolare nei seguenti punti:
- Autocertificazione delle imprese: il Dipartimento del Commercio degli Stati Uniti ha adottato tutte le misure necessarie per attuare il processo di certificazione. Tra queste figurano lo sviluppo di un nuovo sito web, l’aggiornamento delle procedure, la collaborazione con le imprese e lo svolgimento di attività di sensibilizzazione. Ad oggi sono state certificate oltre 2.800 organizzazioni.
- Applicazione della normativa: Il DPF prevede una procedura di reclamo articolata in più fasi, che include un procedimento arbitrale indipendente. Su entrambe le sponde dell’Atlantico sono state pubblicate linee guida dettagliate sulla gestione dei reclami.
Preoccupazione per l'accesso ai dati da parte dello Stato
Secondo la valutazione dell’EDSA, tuttavia, i controlli effettuati dalle autorità statunitensi sul rispetto dei principi del DPF sono ancora insufficienti. Il numero esiguo di reclami pervenuti finora nell’ambito del DPF dimostra quanto sia importante che le autorità statunitensi adottino misure di monitoraggio per verificare che le aziende certificate DPF rispettino i principi fondamentali del DPF. L’EDSA chiede pertanto un rafforzamento dei controlli.
Uno degli aspetti centrali della revisione riguarda l’accesso statale ai dati da parte delle autorità statunitensi, in particolare dei servizi segreti. A questo proposito, i principi sanciti nel DPF relativi a Necessità e la proporzionalità sono fondamentali. L’Executive Order 14086 è stato considerato un passo avanti, ma permangono alcune preoccupazioni:
- Gli Stati Uniti continuano a consentire misure di sorveglianza di massa senza previa autorizzazione indipendente, il che è in contrasto con i requisiti della Corte di giustizia europea.
- La sezione 702 del Foreign Intelligence Surveillance Act (FISA) statunitense regola la sorveglianza di cittadini non statunitensi al di fuori del territorio degli Stati Uniti, ad esempio da parte della NSA. In questo caso, l'ambito di applicazione delle misure di sorveglianza è stato notevolmente ampliato, il che solleva questioni di Trasparenza e prevedibilità.
L’EDSA sottolinea che tali questioni dovrebbero essere trattate in via prioritaria nelle future revisioni.
Suggerimento di lettura: La Commissione europea adotta una nuova decisione di adeguatezza per la trasmissione sicura dei dati tra l'UE e gli Stati Uniti
Esecuzione e rimedi legali
Il Data Protection Review Court (DPRC), di recente istituzione, offre ai cittadini dell’UE maggiori possibilità di far valere i propri diritti. Tuttavia, permangono alcune difficoltà:
- Mancanza di TrasparenzaLe decisioni del DPRC non possono essere impugnate, il che limita la responsabilità.
- Nessuna prova pratica: Fino alla revisione del luglio 2024, non un solo Reclamo Non è stato possibile testare l'effettivo funzionamento dei meccanismi.
A seguito della verifica, l’EDSA ha formulato raccomandazioni concrete, tra cui
- Rafforzamento dell'applicazione proattiva delle norme: le autorità statunitensi, come il Dipartimento del Commercio e la Federal Trade Commission, dovrebbero intensificare le loro attività di monitoraggio.
- Chiarimento della normativa DefinizioniTermini poco chiari come "fornitore di servizi di comunicazione elettronica" nella Sezione 702 FISA devono essere chiariti per garantire la certezza del diritto.
- Maggiore controllo sull'accesso ai dati: in particolare, l'utilizzo dei dati disponibili in commercio da parte dei servizi di intelligence dovrebbe essere oggetto di una regolamentazione e di un controllo più rigorosi.
La prossima revisione del DPF dovrebbe avvenire entro tre anni, al fine di affrontare tali questioni in sospeso e garantire ulteriori progressi.
Conclusione: Il quadro normativo UE-USA sulla protezione dei dati rappresenta un passo importante verso uno scambio transatlantico sicuro dei dati, ma deve ancora affrontare sfide significative. Resta da vedere se, anche sotto la nuova amministrazione, gli Stati Uniti terranno conto delle preoccupazioni espresse dall’EDSA, al fine di garantire a lungo termine un livello di protezione paragonabile agli standard di protezione dei dati dell’UE.
German 
English 
Italian 
French