Il trasferimento dei dati verso un Paese terzo può avvenire, in linea di principio, solo se il Paese terzo considerato garantisce a tali dati un adeguato livello di protezione.
In merito alla denuncia all’autorità irlandese di controllo da parte di un cittadino austriaco per far vietare i trasferimenti dei propri dati sulla piattaforma Facebook dall’Irlanda agli Stati Uniti, la Corte di Giustizia dell’Unione Europea ha dichiarato invalida la decisione 2016/1250 della Commissione sull’adeguatezza della protezione offerta dal regime dello scudo Ue-Usa per la privacy.
Ha giudicato, invece, valida la decisione 2010/87 relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in Paesi terzi.
Di seguito, si riporta l’estratto del Comunicato stampa n. 91/20 della Corte di giustizia dell’Unione europea[1].
“Relativamente
agli obblighi che incombono alle autorità di controllo nel contesto di un
trasferimento siffatto, la Corte dichiara che, salvo che esista una decisione
di adeguatezza validamente adottata dalla Commissione, tali autorità sono
segnatamente tenute a sospendere o vietare un trasferimento di dati personali
verso un Paese terzo quando ritengano, alla luce delle circostanze proprie di
tale trasferimento, che le clausole tipo di protezione dei dati non siano o non
possano essere rispettate in tale Paese e che la protezione dei dati
trasferiti, richiesta dal diritto dell’Unione, non possa essere garantita con
altri mezzi, ove l’esportatore stabilito nell’Unione non abbia esso stesso
sospeso tale trasferimento o messo fine a quest’ultimo […]. Quanto al requisito della tutela
giurisdizionale, la Corte ritiene che, contrariamente a quanto considerato
dalla Commissione nella decisione 2016/1250, il meccanismo di mediazione
previsto da tale decisione non fornisce a tali persone un mezzo di ricorso
dinanzi ad un organo che offra garanzie sostanzialmente equivalenti a quelle
richieste nel diritto dell’Unione, tali da assicurare tanto l’indipendenza del
Mediatore previsto da tale meccanismo quanto l’esistenza di norme che
consentano al suddetto Mediatore di adottare decisioni vincolanti nei confronti
dei servizi di intelligence statunitensi. Per tutte queste ragioni la Corte
dichiara invalida la decisione 2016/1250”.
[1] Per leggere la sentenza integrale, è possibile consultare il sito della Corte di Giustizia dell’Unione Europea.
