Unione Europea
Trasferimento negli USA dei dati degli iscritti europei a Facebook: stop dalla Corte UE
Dichiarata invalida la decisione della Commissione Europea che aveva attestato che gli Stati Uniti garantiscono un adeguato livello di protezione.
Il comunicato stampa n. 117/15 del 6 ottobre 2015, ha dato notizia di una importante Sentenza della Corte di Giustizia dell’Unione Europea, nella causa C-362/14 Maximillian Schrems/Data Protection Commissioner, di cui in queste ore si stanno occupando giornali e tv di tutto il mondo.
In sostanza, la Corte ha dichiarato invalida la decisione della Commissione Europea che ha attestato che gli Stati Uniti garantiscono un adeguato livello di protezione dei dati personali trasferiti.
La direttiva UE sul trattamento dei dati personali dispone che il trasferimento di tali dati verso un paese terzo può avere luogo, in linea di principio, solo se il paese terzo di cui trattasi garantisce per questi dati un adeguato livello di protezione.
Sempre secondo la direttiva, la Commissione può constatare che un paese terzo, in considerazione della sua legislazione nazionale o dei suoi impegni internazionali, garantisce un livello di protezione adeguato.
Infine, la direttiva prevede che ogni Stato membro designi una o più autorità pubbliche incaricate di sorvegliare l’applicazione nel suo territorio delle disposizioni di attuazione della direttiva adottate dagli Stati membri («autorità nazionali di controllo»).
Il sig. Maximilian Schrems, un cittadino austriaco, utilizza Facebook dal 2008. Come accade per gli altri iscritti che risiedono nell’Unione, i dati forniti dal sig. Schrems a Facebook sono trasferiti, in tutto o in parte, a partire dalla filiale irlandese di Facebook, su server situati nel territorio degli Stati Uniti, dove sono oggetto di trattamento.
Il sig. Schrems ha presentato una denuncia presso l’autorità irlandese di controllo ritenendo che, alla luce delle rivelazioni fatte nel 2013 dal sig. Edward Snowden in merito alle attività dei servizi di intelligence negli Stati Uniti (in particolare della National Security Agency, o «NSA»), il diritto e le prassi statunitensi non offrano una tutela adeguata contro la sorveglianza svolta dalle autorità pubbliche sui dati trasferiti verso tale paese.
L’autorità irlandese ha respinto la denuncia, con la motivazione che, in una decisione del 26 luglio 2002 , la Commissione ha ritenuto che, nel contesto del cosiddetto regime di «approdo sicuro», gli Stati Uniti garantiscano un livello adeguato di protezione dei dati personali trasferiti.
La High Court of Ireland (Alta Corte di giustizia irlandese), investita della causa, ha chiesto alla Corte di Giustizia UE se questa decisione della Commissione produca l’effetto di impedire ad un’autorità nazionale di controllo di indagare su una denuncia con cui si lamenta che un paese terzo non assicura un livello di protezione adeguato e, se necessario, di sospendere il trasferimento di dati contestato.
Il regime dell’approdo sicuro consta di una serie di principi, relativi alla protezione dei dati personali, che le imprese americane possono volontariamente sottoscrivere.
Nella sentenza in esame, la Corte di Giustizia dell’Unione Europea reputa che l’esistenza di una decisione della Commissione che dichiara che un paese terzo garantisce un livello di protezione adeguato dei dati personali trasferiti non può sopprimere e neppure ridurre i poteri di cui dispongono le autorità nazionali di controllo in forza della Carta dei diritti fondamentali dell’Unione europea e della direttiva.
Anche quando esiste una decisione della Commissione, quindi, le autorità nazionali di controllo, investite di una domanda, devono poter esaminare in piena indipendenza se il trasferimento dei dati di una persona verso un paese terzo rispetti i requisiti stabiliti dalla direttiva.
Quanto alla decisione del 26 luglio 2000, la Corte ricorda che la Commissione era tenuta a constatare che gli Stati Uniti garantiscono effettivamente, in considerazione della loro legislazione nazionale o dei loro impegni internazionali, un livello di protezione dei diritti fondamentali sostanzialmente equivalente a quello garantito nell’Unione a norma della direttiva, interpretata alla luce della Carta.
La Corte osserva che la Commissione non ha proceduto a una constatazione del genere, ma si è limitata a esaminare il regime dell’approdo sicuro.
In realtà, secondo la Corte, il regime americano dell’approdo sicuro rende possibili ingerenze da parte delle autorità pubbliche americane nei diritti fondamentali delle persone, e la decisione della Commissione non menziona l’esistenza, negli Stati Uniti, di norme intese a limitare queste eventuali ingerenze, né l’esistenza di una tutela giuridica efficace contro tali ingerenze.
La Corte soggiunge che una normativa che consenta alle autorità pubbliche di accedere in maniera generalizzata al contenuto di comunicazioni elettroniche deve essere considerata lesiva del contenuto essenziale del diritto fondamentale al rispetto della vita privata.
Parimenti, la Corte osserva che una normativa che non preveda alcuna facoltà per il singolo di esperire rimedi giuridici diretti ad accedere ai dati personali che lo riguardano o ad ottenerne la rettifica o la cancellazione viola il contenuto essenziale del diritto fondamentale ad una tutela giurisdizionale effettiva, facoltà, questa, che è connaturata all’esistenza di uno Stato di diritto.
Infine, la Corte dichiara che la decisione della Commissione del 26 luglio 2000 priva le autorità nazionali di controllo dei loro poteri nel caso in cui una persona contesti la compatibilità della decisione con la tutela della vita privata e delle libertà e diritti fondamentali delle persone.
La Corte afferma che la Commissione non aveva la competenza di limitare in tal modo i poteri delle autorità nazionali di controllo. Per questo complesso di motivi, la Corte ha dichiarato invalida la decisione della Commissione del 26 luglio 2000.
La sentenza in esame comporta la conseguenza che l’autorità irlandese di controllo è tenuta a esaminare la denuncia del sig. Schrems con tutta la diligenza necessaria e che a essa spetta, al termine della sua indagine, decidere se, in forza della direttiva, occorra sospendere il trasferimento dei dati degli iscritti europei a Facebook verso gli Stati Uniti perché tale paese non offre un livello di protezione dei dati personali adeguato.
Per saperne di più:
vai al testo integrale del Comunicato
Moreno Morando
(7 ottobre 2015)
© RIPRODUZIONE CONSENTITA Italian Open Data License 2.0
(indicazione fonte e link alla pagina)
DIVENTA FAN DEL QUOTIDIANO DELLA P.A.
Follow @quotidianopaPotrebbe Interessarti
Il debito pubblico italiano è cresciuto a velocità inferiore agli Stati Uniti ed agli altri paesi UE
Comunicato Importante Selezione Docenti Accademia della P.A.
La Fondazione Gazzetta Amministrativa della Repubblica Italiana, in vista dell’apertura delle sedi dell’Accademia della PA in tutto il territorio nazionale, ricerca e seleziona personale per singole docenze in specifiche materie delle Autonomie locali da svolgersi presso le Accademie della PA e per le attività di assistenza nelle procedure complesse nei Centri di Competenza.
Newsletter Quotidiano della P.A.
Incorpora le Notizie del QPA
Inserisci sul sito del tuo Ente, sul tuo sito o sul tuo blog, le ultime notizie pubblicate dal Quotidiano della P.A.
Accedi all'interfaccia per l'inserimento cliccando sul pulsante di seguito:
