Privacy oltreoceano

La notizia giunge dalla newsletter del Garante per la privacy. La Commissione europea con il documento n. 2002/2/CE (pubblicato su GUCE L2 del 4.1.2002) ha riconosciuto ''adeguato'' il livello di protezione dei dati offerto dal Canada ai fini del trasferimento di dati personali dal territorio dell'UE verso tale Stato.

La decisione intende facilitare i flussi di dati dall'Europa verso un Paese terzo in cui, come previsto dall'art. 25(2) della direttiva sulla protezione dei dati (95/46/CE), si riconosce l'esistenza di un livello adeguato di protezione.

Attualmente, oltre al Canada, solo a Ungheria, Svizzera e USA (questi ultimi in base all'accordo di 'Safe Harbor) e' stato riconosciuto un livello di protezione dati adeguato.

La valutazione, che ha tenuto conto anche del parere favorevole espresso dai Garanti europei (Parere 2/2002), è stata compiuta attraverso l'esame del 'Personal Information Protection and Electronic Documents Act' del Canada (Legge sulla protezione dei dati personali e sui documenti elettronici), che riguarda i trattamenti di dati personali effettuati da soggetti privati in rapporto ad attività di natura commerciale.

La Legge canadese prevede un calendario per la sua entrata in vigore secondo cui, ad esempio, soltanto dal 1 gennaio 2004 essa si applicherà a tutti i soggetti privati che raccolgono dati personali in relazione ad attività commerciali; attualmente essa si applica soltanto ai soggetti privati la cui attività è regolamentata da norme federali – ad esempio, linee aeree, istituti bancari, imprese radiotelevisive, di trasporti e TLC a livello interprovinciale, anche per quanto riguarda i dati di natura sanitaria.
Occorre infatti ricordare che il Canada è uno Stato federale, e che ciascuna provincia ha autonomia normativa.

La Commissione europea ha ritenuto che, ''alla luce di tutti gli elementi disponibili, il trasferimento di dati verso organismi soggetti all'applicazione della Legge sopra menzionata possa avvenire nell'ottica di una tutela 'adeguata' ai sensi della direttiva 95/46.''

Tuttavia resta ferma la possibilità di introdurre modifiche al testo della decisione ''sulla base dell'esperienza successivamente maturata e, in particolare, delle disposizioni eventualmente adottate a livello delle singole province.''

I Garanti europei hanno inoltre raccomandato alla Commissione ''di valutare con maggiore attenzione i meccanismi in base ai quali si potrà stabilire che la normativa approvata dalle province canadesi sia 'sostanzialmente simile' a quella federale – un concetto evidentemente bisognoso di definizioni più puntuali.''
Inoltre deve essere considerato il fatto che la Legge canadese si applica soltanto alle transazioni commerciali. Ne restano escluse, dunque, numerose transazioni che possono riguardare comunque dati trasferiti da Paesi dell'UE (ad esempio, quelle effettuate verso soggetti no-profit)..

Gli Stati membri hanno 90 giorni di tempo per prendere i provvedimenti necessari, in base al diritto nazionale, per dare attuazione alla decisione della Commissione.

Nel nostro Paese il Garante italiano adotterà un provvedimento analogo a quelli già pubblicati in Gazzetta Ufficiale - riguardo al trasferimento di dati verso USA, Ungheria e Svizzera - in modo tale da consentire alle imprese italiane di trasferire senza problemi i dati verso altre imprese situate in Canada.