''Esportazione'' di dati personali

Il Garante italiano per la privacy ha adottato due importanti provvedimenti con i quali ha autorizzato le imprese a trasferire i dati personali verso gli Stati Uniti e gli altri Paesi non appartenenti all'Unione europea, sulla base delle precise garanzie individuate in due recenti decisioni della Commissione europea indirizzate a tutti gli Stati membri (decisione n. 2001/497/CE del 15.6.2001 pubblicata sulla GUCE L181 del 4.7.2201 e decisione n. 2000/520/CE del 26.7.2000 pubblicata sulla GUCE L215 del 25.8.2200).

I provvedimenti, illustrati con un comunicato stampa diffuso nei giorni scorsi, intendono fornire maggiori tutele per la riservatezza delle persone e, contemporaneamente, più strumenti operativi a disposizione delle imprese per trasferire all'estero i dati personali dei cittadini italiani.
La direttiva europea e la legge italiana sulla privacy prevedono infatti che il trasferimento dei dati possa avvenire soltanto se il destinatario opera in un Paese che assicuri un adeguato livello di protezione della privacy.

Nel caso i dati debbano essere trasferiti verso Svizzera ed Ungheria non vi sono problemi, in quanto il livello di tutela della privacy in tali Paesi e' ritenuto adeguato. Cio' dovrebbe essere approvato a breve anche per Canada e Hong Kong.

Per quanto riguarda i trasferimenti indirizzati verso gli USA, si possono presentare due casi.
Se l'operatore statunitense ha aderito al "Safe Harbor" (Approdo sicuro), il livello di privacy adeguato e' garantito dall'adesione a tale accordo.

Ricordiamo che il "Safe Harbor" e' un sistema di autoregolamentazione in materia di privacy; l'adesione al "Safe Harbor" risulta da apposite autocertificazioni che le imprese americane sono tenute a presentare al Dipartimento del commercio o agli altri organi governativi competenti degli Stati Uniti.

Nel caso invece il destinatario sia un'impresa statunitense non aderente ai principi del "Safe Harbor" gli operatori italiani possono utilizzare le clausole contrattuali-tipo indicate a livello europeo (G.U. delle Comunità europee L 181 del 4.7.2001), facendole sottoscrivere chiaramente anche all'importatore dei dati.
Tali clausole non dovranno essere trasmesse al Garante se non su richiesta di quest'ultimo, mentre dovrà essere invece data comunicazione all'Autorità sul tipo di azione legale scelta in caso di controversia con le persone alle quali si riferiscono i dati.
Cio' vale anche per i trasferimenti di dati rivolti ad altri Paesi extraeuropei.

Il Garante sottolinea che gli operatori possono comunque far riferimento alle disposizioni nazionali che permettono di esportare i dati con il consenso degli interessati oppure facendo riferimento ad uno degli altri casi indicati dalla legge italiana sulla privacy: esecuzione di un contratto con l'interessato, difesa giudiziaria, salvaguardia della vita, ecc. (art.28 della legge 675/96).
Qualora non possano o non vogliano avvalersi di nessuno degli strumenti descritti, gli operatori, che hanno già assunto, anche a livello contrattuale, misure idonee a garantire un'adeguata tutela dei diritti delle persone interessate, possono comunque, in casi particolari, rivolgersi direttamente al Garante per chiedere di essere autorizzati al trasferimento dei dati all'estero.
Il Garante svolgerà, in ogni caso, un'azione di controllo sul rispetto dei principi fissati nell'accordo del "Safe Harbor" e negli standard di clausole contrattuali eventualmente utilizzati dagli operatori, nonché sulla liceità e correttezza dei trattamenti di dati e dei trasferimenti effettuati, riservandosi anche di adottare eventuali provvedimenti di blocco o di divieto delle operazioni nei casi in cui si rendessero necessari.
Per favorirne la più ampia conoscenza tra gli addetti ed i cittadini, i due provvedimenti del Garante saranno pubblicati sulla Gazzetta Ufficiale, con allegate le decisioni della Commissione europea ed i relativi documenti.
Inoltre questi documenti saranno inoltre consultabili sul sito del Garante dove, attraverso un apposito link e indirizzo di posta elettronica, sarà possibile formulare eventuali osservazioni in modo da permettere al Garante l'immediata verifica dei problemi applicativi e l'eventuale futura revisione o integrazione dei criteri indicati nei due provvedimenti.