Privacy Shield: lo scudo per la Privacy tra Europa e Stati Uniti

L’accordo chiamato “Privacy Shield” nasce sulle ceneri del precedente “Safe Harbor”, che regolava i rapporti commerciali, e non solo, tra Unione Europea (UE) e Stati Uniti d’America (USA), il quale è stato dichiarato invalido dalla Corte di Giustizia Europea in quanto non in grado di garantire una piena tutela nel trattamento dei dati che migravano dalla  UE verso gli USA.

Per questo motivo, dopo anni di intenso lavoro condotto dai Tavoli tecnici, composti da esperti in rappresentanza di entrambe le parti, si è addivenuti alla conclusione di questo accordo che però, di fatto, non è stato ancora ufficializzato. Preso atto delle carenze del precedente accordo, la UE ha ottenuto che le Autorità statunitensi vigilino sul rispetto dell’Accordo e collaborino più e meglio con le Autorità europee, preposte alla protezione dei dati.

Un aspetto sintomatico di questo Accordo, che lo distingue dal precedente, è che l’accesso ai dati personali ad opera di soggetti dell’Amministrazione americana dovrà avvenire nei soli casi disciplinati e con modalità tali da assicurare la loro tracciabilità.

Vediamo gli elementi fondamentali del nuovo accordo.

1) Accesso ai dati personali da parte dell’Amministrazione USA

Tale punto rappresenta un nervo scoperto nei rapporti tra UE e USA, in quanto esiste negli USA una regola per la quale l’Autorità americana può richiedere alle multinazionali che hanno sede legale in America di accedere ai loro data base, per ragioni riconducibili alla sicurezza nazionale. Per questo motivo gli USA hanno garantito formalmente che l’accesso ai data base da parte delle Autorità statunitensi ai dati personali, sarà soggetto a limiti, garanzie e meccanismi di controllo specifici e definiti.

Le Autorità USA si impegnano a non fare ricorso ad una sorveglianza indiscriminata.
In questo ambito è prevista l’introduzione di un “difensore civico” (un nuovo strumento di tutela giuridica), un soggetto indipendente incaricato di ricevere e decidere i reclami presentati dagli interessati.

2) Settore commerciale

Una parte del Privacy Shield è declinata nel settore commerciale ed impone obblighi stringenti per le imprese e rigide misure di attuazione.
Ciò significa che le imprese dovranno garantire l’adozione di procedure più trasparenti, in aggiunta a meccanismi di controllo del rispetto delle regole.

Le imprese che non rispetteranno tali obblighi saranno, a seconda dei casi, sottoposte a sanzioni economiche oppure non potranno avvantaggiarsi dei benefici dell’Accordo.
All’interno degli scambi commerciali, che di fatto danno vita ad un trattamento dei dati personali (tale attività rientra nella definizione del codice in materia di protezione dei dati personali, di cui al d.lgs. n. 196/2003, che va sotto il nome di “comunicazione” del dato) sono previste condizioni più rigide per trasferire i dati a destinatari ulteriori.

3) Adempimenti a carico delle imprese USA

Queste dovranno autocertificare, annualmente, il rispetto degli obblighi disciplinati dal Privacy Shield, per cui dovranno:

1. pubblicare una Privacy Policy (informativa sulla privacy) nei propri siti;
2. organizzarsi e attrezzarsi per rispondere tempestivamente ai reclami;
3. collaborare con le Autorità europee per la protezione dei dati personali e dare seguito alle loro richieste.

4) Garanzie per i soggetti europei riguardo al trattamento dei loro dati

I soggetti interessati (che sono le persone fisiche a cui i dati trattati si riferiscono), residenti nella UE, godranno di più trasparenza rispetto al trasferimento dei loro dati personali negli USA, oltre che di una tutela rafforzata di questi stessi dati.

Avranno, altresì, a disposizione strumenti di tutela giuridica più facili da utilizzare e meno costosi in caso di reclami, che potranno gestire da soli o con l’aiuto del Garante per la protezione dei dati personali del Paese di residenza.

Strumenti di tutela giuridica
I soggetti  interessati avranno la possibilità di fare valere i propri diritti scegliendo tra un ventaglio di possibili soluzioni:

1. rivolgersi direttamente all’impresa, la quale è tenuta a rispondere – in caso di reclamo – entro 45 giorni;
2. utilizzare un memorandum di risoluzione alternativo delle controversie (ADR);
3. rivolgersi all’Autorità di protezione dei dati personali, del proprio Paese, che collaborerà con il Department of Commerce e la Federal Trade Commission statunitense per svolgere accertamenti sui reclami presentati dai cittadini della UE e giungere rapidamente alla loro definizione;
4. rivolgersi al Privacy Shield Panel, organo collegiale arbitrale del Privacy Shield, per ottenere una decisione esecutiva attraverso un meccanismo di arbitrato.