Linea Guida sul trasferimento o comunicazione di Dati Personali non autorizzati dal Diritto dell’UE

Linee Guida sull’applicazione dell’art.48 del GDPR

Lo scorso 3 dicembre sono state pubblicate le Linee Guida sull’applicazione dell’art.48 del GDPR, il quale enuncia:

“Le sentenze di un’autorità giurisdizionale e le decisioni di un’autorità amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l’Unione o un suo Stato membro, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del presente capo”.

Come mai l’EDPB si concentra sull’articolo sopracitato?

Premettiamo che ci troviamo in un contesto storico, altamente interconnesso, dove le organizzazioni si trovano a dover rispondere alle richieste di trasferimento dati verso Paesi terzi dovendo ovviamente rispettare il GDPR.

Ma come può un’organizzazione eseguire il trasferimento in sicurezza?

Qui entrano in gioco le linee guida dell’EDPB, che pongono maggior chiarezza all’art. 48.

Infatti, se un’organizzazione, sulla base di sentenze e decisioni prese da parte di autorità di Paesi terzi, riceve richiesta di trasferimento dati, questa risulta accettabile se basata su un accordo internazionale applicabile, come ci dice l’articolo.

L’art.48 del GDPR

L’art.48 del GDPR, in sostanza, funge da “scudo protettivo”. L’EDPB , inoltre, spiega come in tutti i casi di trasferimento si debba procedere ad un “Test in due fasi”, volto a verificare:

1. Esistenza di basi giuridiche ex art.6 del GDPR;
2. Rispetto delle disposizioni al Capo V.

E non solo… il trasferimento deve rispettare tutte le disposizioni del GPDR.

L’EDPB pone un’altra riflessione. Se il trattamento dei dati personali si effettua per obbligo legale, come inteso dall’art.48 conseguente all’accordo, è chiaro che si ottempera al primo punto di cui sopra. Nel caso in cui, invece, non sussista un obbligo legale derivante dall’accordo internazionale, sarebbe possibile l’utilizzo delle altri basi giuridiche. A queste, però, sarebbe necessario corredare un’attenta analisi ed un test di bilanciamento nel caso di legittimo interesse.

Si sottolinea, inoltre, che l’art.48 è parte del Capo V e che va letto ed inteso in connessione con gli altri articoli del predetto capo. Questi, infatti, permettono la regolamentazione dei trasferimenti extra Spazio Economico Europeo (c.d. SEE) garantendo un livello di protezione adeguato.

Le Linee guida prevendono anche delle garanzie minime da inserire negli accordi internazionali quali, ad. Esempio, garantire diritti degli interessati, contenere restrizioni sui trasferimenti successivi e sulla condivisione dei dati, prevedere garanzie aggiuntive per i dati sensibili, fornire meccanismi di ricorso e supervisione indipendenti, ecc.

Il documento è soggetto a consultazione pubblica fino al 27 gennaio 2025. Vedremo al più presto i risvolti.