Annullato l’accordo Safe harbor. E ora che si fa?

 

Per anni lo scambio di dati personali fra l’unione europea e gli Stati Uniti è stato governato da un accordo, chiamato Safe harbor, o porto sicuro, che garantiva alle imprese europee un livello soddisfacente di trattamento sicuro per i dati, che dovevano essere trasportati al di là dell’Atlantico. È questo un evento che si verifica assai spesso, soprattutto quando aziende multinazionali operano in varie parti del mondo.

 

 

 

La corte di giustizia europea è stata chiamata in causa da un cittadino europeo, che ha ritenuto che questo accordo non fosse sufficientemente garantistico nei confronti dei suoi dati personali, che venivano trasferiti negli Stati Uniti, ad esempio da parte dei grandi gestori di servizi di comunicazione e social network, operanti via  Internet.

 

Non v’è dubbio che sulla decisione della corte abbia anche influito lo scandalo delle intercettazioni sviluppate dalla  NSA - national security agency - a livello mondiale, rivelato da Edgard Snowden.

 

Poiché non è evidentemente pensabile che si possa di colpo bloccare uno scambio gigantesco di dati fra due colossi mondiali, come l’Europa e gli Stati Uniti, la commissione europea si è messa subito al lavoro per esaminare quali alternative  erano possibili, nell’ambito delle vigenti regolamentazioni.

 

Anche confortata dal parere del famoso gruppo di lavoro ex articolo 29, che esprime giudizi meditati ed autorevoli su temi afferenti alla protezione dei dati personali, è stato pubblicato il 6 novembre 2015 un documento, che dà indicazioni ai responsabili del trattamento di dati personali, che operano negli Stati Uniti ed in Europa, su come sia possibile procedere.

 

Lo scambio può essere effettuato a condizione che fra i due titolari del trattamento, che possono anche fare capo alla stessa azienda multinazionale, vengono stabilite delle cosiddette SCC o standard contractual clauses, che permettono di creare una sorta di area protetta per i dati, che vengono trattati negli Stati Uniti. In alternativa a questa soluzione, quando le due entità non fanno parte della stessa gruppo mondiale, possono essere chiamati in causa le ormai famose BCR -  binding corporate rules, che rappresentano un coacervo di regole, che contribuiscono a creare un’area sicura di trattamento anche in paesi del mondo, che non hanno alcuna tutela per i dati personali. È questa la regola che si utilizza, ad esempio, quando i dati personali vengono trasferiti in un call center in Albania, da parte di un gestore italiano, in modo da garantire a tali dati di essere trattati in un contesto sicuro.

 

Il documento della commissione europea era atteso con grande impazienza da tutti i soggetti coinvolti e vi è un elevato livello di fiducia che questo nuovo approccio possa consentire di mantenere in essere uno scambio di dati, che forse è ancora più importante di uno scambio di prodotti commerciali.

 

Raccomando ai lettori, che sono coinvolti nella protezione dei dati personali ed hanno la necessità di gestire scambi a livello mondiale, di leggere con estrema attenzione questo documento e far tesoro delle analitiche e incisive raccomandazioni ivi illustrate.

 

 

Questo articolo è pubblicato sotto una Licenza Creative Commons.