La Commissione Europea ha concluso la revisione delle decisioni di adeguatezza in materia di privacy relativa al cosiddetto Data Flow tra i Paesi UE e 11 Paesi extraeuropei.
La Commissione ha stabilito che i dati personali degli utenti UE trasferiti verso questi 11 Paesi sono sottoposti ad adeguate misure di salvaguardia, e quindi il loro trattamento rispetta i principi fondamentali del Regolamento Europeo per il Trattamento dei Dati Personali e, è il caso di dirlo, anche il suo predecessore, visto che queste procedure di revisione nascono proprio in riferimento alla normativa precedentemente vigente in Europa. Gli 11 Paesi interessati sono Andorra, Argentina, Canada, Isole Fær Øer, Guernsey, Isola di Man, Israele, Jersey, Nuova Zelanda, Svizzera e Uruguay.
Le valutazioni della commissione
La Commissione Europea ha maturato la sua decisione dopo un profondo iter di valutazione. In linea generale, la Commissione ha rivelato che tali analisi hanno evidenziato una sostanziale modernizzazione delle legislazioni sulla privacy da parte dei Paesi extra-UE che abbiamo elencato precedentemente. Secondo la Commissione, questi 11 Paesi hanno lavorato quasi ispirati dai principi del GDPR, allineando le proprie legislazioni sulla raccolta e trattamento dei dati personali e la loro salvaguardia. Ma non è solo un problema di protezione dei dati. Come rilevano gli esperti della UE, un aspetto estremamente importante e che ha spinto ad una conclusione favorevole dell’iter di valutazione, sono state le riforme adottate dagli 11 Paesi al fine di garantire una concreta indipendenza delle autorità deputate alla protezione dei dati, nonché una definizione dei loro poteri in piena linea con quella in vigore in Europa.
Non vanno nemmeno dimenticate alcune specificità di trattamento. Infatti, proprio per allinearsi pienamente con il GDPR, alcuni di questi Stati hanno adottato specifiche salvaguardie per garantire una concreta ed efficace protezione dei dati provenienti dalla UE e l’esercizio dei diritti da parte degli utenti europei.
Perché era richiesta una revisione
Prima del GDPR, la UE aveva dichiarato le normative in materia di trattamento dei dati di diversi Paesi compatibili con i principi della normativa UE in materia di Privacy e che, naturalmente, preesisteva allo stesso GDPR. Tuttavia lo stesso GDPR, entrato in vigore nel Maggio 2018, stabilisce che le decisioni di adeguatezza adottate sulla base della normativa preesistente restavano in vigore ma dovevano essere revisionate proprio sulla base delle modifiche che nel corso del tempo intervengono nei complessi quadri normativi dei diversi Paesi.
Il processo di revisione, pertanto, non rimane un’attività cristallizzata nel tempo, ma viene visto piuttosto come un processo che si ripete nel tempo, periodico, proprio in conseguenze della mutevolezza delle normative e delle condizioni di applicazione delle stesse. La Commissione UE mantiene, proprio ai sensi del GDPR, il potere di sospendere, modificare o revocare una decisione di adeguatezza qualora intervengono elementi che facciano venire meno le garanzie di salvaguardia della protezione dei dati, di esercizio dei diritti e di indipendenza degli organi deputati a verificare, controllare e proteggere l’applicazione della normativa.
I Paesi extra-UE in white-list
Andorra, Argentina, Canada, Isole Fær Øer, Giappone, Guernsey, Israele, Isola di Man, Giappone, Jersey, Nuova Zelanda, Repubblica di Corea, Svizzera, Regno Unito, Stati Uniti e Uruguay sono i 17 Paesi che attualmente la commissione ritiene dotati di una legislazione in materia di privacy compatibile con i principi del GDPR. Ma va altresì detto che per alcuni di questi Paesi persistono delle limitazioni specifiche (per esempio per gli USA la decisione di adeguatezza è limitata alle organizzazioni commerciali certificate ai sensi del quadro di protezione dei dati Ue-Usa).
