Trasferimento dati personali: in vigore il nuovo accordo Usa-UE

Dall’11 luglio in poi, i dati personali raccolti in Unione europea possono ricominciare a essere trasferiti liberamente alle società statunitensi che parteciperanno all’iniziativa, senza bisogno di ulteriori garanzie per la protezione dei dati.

È in vigore il Data Privacy Framework, arrivato dopo l’annullamento degli accordi precedenti da parte della Corte di giustizia europea, a causa dell’assenza di tutele adeguate da parte degli Stati Uniti.

La decisione da parte della Commissione Europea supera così lo stallo inerente il trasferimento dei dati a cui si è assistito per due anni a seguito delle sentenze della Corte di Giustizia dell’Unione Europa – le sentenze cosiddette “Schrems I” e “Schrems II” – che di fatto invalidavano il quadro normativo precedentemente in vigore sulla materia.

Privacy Shield prima e Safe Harbor poi – gli accordi che USA e UE avevano in passato per l’interscambio di dati personali dei cittadini europei – non offrivano molte garanzie sul trattamento.

Di conseguenza vennero bloccati in quanto si temeva che, quando trasferiti su database e server americani, i dati fossero accessibili alle agenzie di intelligence statunitensi e che venissero indebitamente usati per operazioni di sicurezza pubblica, cybersorveglianza e warfare.

Con il nuovo accordo, i dati potranno essere condivisi solo con quelle aziende che si impegneranno, sottoscrivendolo, a rispettare l’accordo: in particolare, le imprese che firmeranno il Data privacy framework dovranno impegnarsi a rispettare elevati standard e obblighi in materia di privacy.

Tra questi rientra l’obbligo di cancellare i dati quando non sono più necessari per lo scopo per cui sono stati raccolti e garantire la continuità della protezione quanto i dati vengono condivisi con terze parti.

Il nuovo accordo istituisce un organo speciale, la Data protection review court (Dprc), a cui i cittadini europei potranno rivolgersi in caso di violazione delle nuove garanzie: quest’organo avrà facoltà di ordinare la cancellazione dei dati ottenuti o trattati illegalmente.

Per quanto di competenza, la Commissione si impegna a operare revisioni periodiche del Data privacy framework, assieme ai rappresentanti europei e statunitensi delle autorità per la protezione dei dati.

Il primo esame sarà svolto entro un anno dall’entrata in vigore del regolamento con l’obiettivo di verificare che sia stata data piena attuazione del regolamento nel quadro giuridico statunitense e che tutto funzioni in maniera adeguata.