Nuova decisione di adeguatezza UE-US: cosa cambia con il Data Privacy Framework

Si tratta di una importante novità: infatti, prima di questo momento, il titolare (o responsabile) che avesse effettuato trasferimento di dati personali dall’Europa agli USA avrebbe dovuto prima di tutto verificare il livello di protezione offerto dal Paese importatore e dall’importatore stesso e, in caso di esito positivo di tale verifica, avrebbe potuto predisporre il set di clausole da allegare al contratto principale (diversamente da quanto accadeva nel periodo antecedente, quando il trasferimento di dati veniva agevolmente gestito con la compilazione e l’allegazione delle SCC, a livello prettamente documentale). 

I titolari ed i responsabili, negli ultimi due anni, hanno provveduto all’aggiornamento delle procedure per la qualifica e la gestione delle terze parti, andando a prevedere specifiche previsioni in caso di trasferimento negli USA e più in generale in Paesi non coperti da decisioni di adeguatezza. 

In altri casi, poi, hanno compiuto vere e proprie assunzioni di rischio. Oggi invece il Paese è ritenuto dalla Commissione Europea dotato di un livello di protezione dei dati equivalente a quello offerto dall’Unione Europea. Ciò è stato reso possibile grazie al lavoro normativo svolto, su impulso del governo Biden, per riequilibrare le previsioni in materia di trattamento e accesso ai dati personali degli Stati Uniti in modo tale da garantire un sistema pienamente democratico ed equiparabile a quello europeo. 

Con il Data Privacy Framework vengono ora temperati i poteri pubblici per finalmente offrire una garanzia di riservatezza: in particolare, il DPF fornisce alle persone dell'UE i cui dati saranno trasferiti alle società partecipanti negli Stati Uniti diversi nuovi diritti (ad esempio, ottenere l'accesso ai propri dati o la correzione o la cancellazione di dati errati o trattati illegalmente). Inoltre, offre diverse vie di ricorso nel caso in cui i dati siano trattati in modo scorretto, tra cui meccanismi indipendenti e gratuiti di risoluzione delle controversie e un collegio arbitrale. 

Il GDPR prescrive la verifica non solo del livello di protezione offerto dal Paese importatore, ma anche delle misure tecniche ed organizzative implementate dall’importatore stesso (l’azienda che riceve i dati trasferiti dall’Europa). 

Se l’azienda destinataria dei dati non risulterà certificata, in ogni caso, le salvaguardie messe in atto dal governo statunitense nell'ambito della sicurezza nazionale si applicano a tutti i trasferimenti di dati ai sensi del GDPR e pertanto i dati potranno essere trasferiti previa valutazione dell’importatore e adozione di garanzie ulteriori. 

Il modo per verificare lo stato di compliance dell’importatore rimarrà quello dello svolgimento di Data Transfer Impact Assessment: i titolari potranno organizzare discrezionalmente le verifiche, optando per checklist o apposite interviste con i fornitori.