Trasferimenti internazionali di dati personali e clausole contrattuali tipo dopo Schrems II

The contribution addresses the impact of the judgement of the Court of Justice in the Schrems II case on compliance obligations of exporters relying on the tool of standard contractual clauses in order to transfer personal data outside the EEA. Indeed, having the Court declared the invalidity of the adequacy decision relating to the transfer of personal data towards USA (Privacy Shield), the tool of standard contractual clauses gains a central role in the regulation (or self-regulation) of international transfer of personal data over the ocean. After illustrating the main aspects of the discipline applicable to such transfers, the contribution highlights the key-elements of the reasoning of the Court relating to the declaration of validity of the Decision 2010/87/UE on standard contractual clauses. It is pointed out that the Court seems to transfer on operators the duty (traditionally performed by the Commission) of assessing the adequacy of the legal system of the Country of destination, yet with limited reference to the powers of public authorities to access personal data stored on their territories. If this seems coherent with a construction of the applicable rules inspired to the maximum protection of human rights of interested individuals, and thus strengthens the process of “constitutionalization” of mass surveillance mechanisms, the impact of the judgment on competitivity of European industry remains uncertain. Despite the acknowledgement of divergent approaches to mass surveillance regulation in EU and USA, the Author advocates an effort to restore of the general legality of transatlantic data transfers through the relevant international cooperation mechanisms. The above also with a view to build the grounds of shared digital governance at transatlantic level, inspired to common values, also in contraposition to other models of digital governance, even less conforming to such values, which risk to continue to proliferate.

Il contributo esamina l’impatto della sentenza della Corte di giustizia relativa al caso Schrems II sugli obblighi di compliance degli esportatori di dati personali che ricorrono allo strumento delle clausole contrattuali tipo per realizzare trasferimenti di dati personali al di fuori dello SEE. Sancita infatti l’invalidità della decisione di adeguatezza relativa al regime di trasferimento dei dati verso gli Stati Uniti (cd. Privacy Shield), proprio lo strumento delle clausole contrattuali tipo assume un ruolo centrale nella regolazione (o autoregolazione) dei trasferimenti internazionali di dati personali oltre-oceano. Dopo aver illustrato i principali aspetti del regime applicabile a tali trasferimenti, il contributo mette in luce i passaggi chiave del ragionamento della Corte relativi alla declaratoria di validità della decisione Decisione 2010/87/UE relativa alle clausole contrattuali tipo. Ne emerge che la Corte pare trasferire sugli operatori l’adempimento (già di competenza della Commissione) relativo alla valutazione del livello di tutela garantito dal sistema giuridico del paese di destinazione, sia pur limitatamente ai poteri pubblici di accesso ai dati conservati sul loro territorio. Se ciò appare conforme ad una lettura della normativa vigente orientata alla massima tutela dei diritti fondamentali degli interessati, e rafforza quindi il processo di “costituzionalizzazione” dei meccanismi di sorveglianza pubblica sugli individui, l’impatto della sentenza sulla competitività dell’industria europea resta da valutare. Nonostante le divergenze di impostazione al tema della sorveglianza pubblica sui dati personali tra UE e Stati Uniti, l’Autore auspica uno sforzo per restaurare la legalità generale dei trasferimenti di dati oltre-oceano, attraverso i rilevanti meccanismi di cooperazione internazionale. Ciò anche nell’ottica di porre le basi per una governance digitale condivisa a livello transatlantico, ispirata a valori comuni, anche in contrapposizione ad altri modelli di governance digitale, assai meno protettivi di tali valori, che rischiano di continuare a proliferare.