Il 10 luglio 2023, la Commissione europea ha fatto un annuncio significativo adottando la propria decisione di adeguatezza sul Data Privacy Framework (DPF) UE-USA.
Con questa decisione, gli Stati Uniti vengono ancora una volta riconosciuti come in grado di fornire un livello adeguato di protezione all’Unione Europea (UE). Di conseguenza, i dati personali possono ora fluire liberamente dall’UE alle società statunitensi che si sono autocertificate senza la necessità di ulteriori garanzie.
Questo articolo approfondirà i dettagli della decisione ed evidenzierà le principali revisioni apportate al Privacy Shield precedentemente invalidato.
Il DPF UE-USA rappresenta un passo fondamentale nel ripristino della fiducia nei confronti dei trasferimenti transatlantici di dati personali.
Con la sentenza Schrems II della Corte di giustizia dell’Unione Europea, infatti, il precedente Privacy Shield era stato invalidato a causa di dubbi sulla legittimità dell’accesso ai dati da parte delle agenzie di intelligence statunitensi.
Il nuovo quadro normativo introdotto dal DPF UE-USA affronta questi dubbi e preoccupazioni in diversi modi:
In base al DPF UE-USA, l’accesso ai dati da parte delle agenzie di intelligence statunitensi è ora limitato a ciò che è ritenuto “necessario e proporzionato“.
Questo garantisce che il trasferimento dei dati sia conforme a rigorosi standard di protezione, bilanciando al contempo i legittimi interessi di sicurezza nazionale.
Al fine di incentivare pratiche responsabili e trasparenti e proteggere i diritti dei cittadini dell’UE, è stato istituito un nuovo meccanismo di ricorso a due livelli.
La decisione di adeguatezza garantisce diversi diritti ai cittadini dell’UE i cui dati sono stati trasferiti a società statunitensi autocertificate. Tali diritti garantiscono la possibilità di:
Le garanzie fornite dal governo statunitense nell’ambito dell’accordo UE-USA vanno oltre i dati personali trasferiti tramite questo framework. Si applicano infatti anche a questi altri casi:
Questa applicazione più ampia garantisce un adeguato livello di protezione dei dati personali per i cittadini dell’UE, indipendentemente dal meccanismo di trasferimento usato.
Per garantire la continua conformità, il Data Privacy Framework UE-USA sarà soggetto a revisioni periodiche.
La prima revisione è prevista entro un anno dall’entrata in vigore del framework. La Commissione europea monitorerà costantemente gli sviluppi rilevanti negli Stati Uniti per garantire il mantenimento delle misure di salvaguardia stabilite.
Al momento non sono necessarie azioni immediate. Occorre attendere che le aziende statunitensi completino il processo di autocertificazione prima di procedere col trasferimento dei dati personali.
L’approvazione dell’EU-US Data Privacy Framework da parte della Commissione europea rappresenta una pietra miliare per la protezione dei dati personali oltreoceano. Con la sua adozione, il trasferimento dei dati personali dall’UE alle aziende statunitensi potrà riprendere a condizione che quest’ultime partecipino al framework.
