Articolo Pubblicazioni
Schrems II e trasferimenti di dati verso gli USA: cosa devono fare le organizzazioni
di Vincenzo Calabrò · Pubblicato il 23 novembre 2020
Abstract
Con la sentenza del 16 luglio 2020 nella causa C-311/18, nota come Schrems II, la Corte di giustizia dell’Unione europea ha dichiarato invalido il Privacy Shield, l’accordo che consentiva i trasferimenti di dati personali verso le aziende statunitensi aderenti. Le clausole contrattuali tipo restano valide, ma il loro uso richiede una valutazione caso per caso. L’articolo spiega la decisione, le raccomandazioni del Comitato europeo per la protezione dei dati di novembre 2020 e i passi pratici per le organizzazioni.
Il contesto
Il Regolamento generale sulla protezione dei dati consente di trasferire dati personali fuori dall’Unione solo se il paese destinatario garantisce un livello di protezione adeguato o se sono previste garanzie appropriate. Per gli Stati Uniti, dopo l’annullamento del Safe Harbor nel 2015 con la prima sentenza ottenuta dall’attivista austriaco Maximilian Schrems, la Commissione aveva adottato nel 2016 il Privacy Shield, un sistema di autocertificazione delle aziende statunitensi. Molte altre organizzazioni usano le clausole contrattuali tipo approvate dalla Commissione.
La decisione
La Corte ha esaminato la legislazione statunitense sulla sorveglianza, in particolare la sezione 702 del FISA e l’Executive Order 12333, che consentono alle agenzie di intelligence di accedere ai dati di persone non statunitensi. Ha concluso che queste norme non sono limitate a quanto strettamente necessario e che gli interessati europei non dispongono di un rimedio giurisdizionale effettivo. Il meccanismo dell’Ombudsperson previsto dal Privacy Shield non offre garanzie equivalenti a quelle di un giudice indipendente. Per questi motivi la decisione di adeguatezza sul Privacy Shield è stata dichiarata invalida con effetto immediato.
Le clausole contrattuali tipo sono state dichiarate valide. La Corte ha però precisato che l’esportatore dei dati, con l’aiuto dell’importatore, deve verificare caso per caso se il diritto del paese di destinazione permette all’importatore di rispettare gli impegni assunti. Se non è così, servono misure supplementari, oppure il trasferimento deve essere sospeso. Le autorità di controllo hanno l’obbligo di intervenire quando le garanzie non sono rispettate.
Le raccomandazioni del Comitato europeo
L’11 novembre 2020 il Comitato europeo per la protezione dei dati ha adottato, per la consultazione pubblica, le raccomandazioni 01/2020 sulle misure supplementari. Il percorso proposto si articola in sei passi:
- conoscere i propri trasferimenti, mappando dati, destinazioni e trasferimenti successivi, anche verso subfornitori e servizi cloud;
- individuare lo strumento di trasferimento usato, come una decisione di adeguatezza, le clausole contrattuali tipo o le norme vincolanti d’impresa;
- valutare se il diritto e le prassi del paese terzo possono compromettere l’efficacia delle garanzie;
- individuare e adottare misure supplementari, tecniche, contrattuali e organizzative, quando necessario;
- completare le formalità procedurali richieste dalle misure scelte;
- rivalutare periodicamente la situazione.
Le misure tecniche
Le raccomandazioni insistono sulle misure tecniche, perché quelle contrattuali non vincolano le autorità del paese terzo. Tra gli scenari in cui le misure tecniche possono essere efficaci ci sono la conservazione di dati cifrati presso un fornitore che non dispone delle chiavi, con chiavi custodite nell’Unione, e la trasmissione di dati pseudonimizzati che l’importatore non può ricondurre agli interessati. Il Comitato indica come problematici i casi in cui l’importatore deve accedere ai dati in chiaro, per esempio un servizio cloud che elabora i dati o un accesso remoto da un paese terzo per attività di assistenza. In questi casi le misure tecniche oggi disponibili non sembrano sufficienti.
Le nuove clausole
Il 12 novembre 2020 la Commissione ha pubblicato una bozza di nuove clausole contrattuali tipo, aggiornate al Regolamento e organizzate per moduli in base al ruolo delle parti. La bozza include un impegno delle parti a valutare il diritto del paese terzo e obblighi per l’importatore in caso di richieste di accesso delle autorità pubbliche. L’adozione definitiva è attesa nei prossimi mesi, con un periodo transitorio per sostituire le clausole esistenti.
Il ruolo delle autorità
Dopo la sentenza le autorità di controllo europee hanno chiarito che non esiste un periodo di tolleranza per i trasferimenti basati sul Privacy Shield. Alcune autorità hanno avviato verifiche sui trasferimenti di specifici servizi, e un’associazione fondata dallo stesso Schrems ha presentato reclami contro numerosi siti europei che usano strumenti statunitensi di analisi del traffico web. È prevedibile che nei prossimi mesi arrivino le prime decisioni, che indicheranno in concreto quali trasferimenti sono considerati illeciti e quali misure sono ritenute sufficienti. Il Garante italiano ha pubblicato informazioni sulla sentenza e partecipa al lavoro del Comitato europeo.
Che cosa fare ora
Per un’organizzazione italiana alcune azioni sono possibili subito. Il primo passo è l’inventario dei trasferimenti, che spesso rivela dati che finiscono negli Stati Uniti attraverso servizi poco visibili, come strumenti di analisi del traffico web, piattaforme di posta e di videoconferenza, servizi di assistenza e subfornitori dei fornitori. Il secondo è sostituire il Privacy Shield, dove era usato, con altri strumenti. Il terzo è documentare la valutazione di ogni trasferimento rilevante e le misure adottate, a partire dalla cifratura con chiavi gestite in Europa. Per alcuni servizi la soluzione più semplice è scegliere fornitori che trattano i dati nell’Unione senza accessi da paesi terzi.
Una questione aperta
La sentenza lascia le organizzazioni in una posizione difficile, perché gran parte dei servizi digitali più diffusi è fornita da aziende statunitensi. Una soluzione stabile richiederebbe un nuovo accordo tra Unione europea e Stati Uniti, con modifiche alla legislazione statunitense sulla sorveglianza o garanzie equivalenti. I negoziati sono stati avviati, ma i tempi non sono prevedibili.
Vedi anche: l’articolo del 2018 GDPR e data breach, l’articolo del 2017 Privacy by design e by default e l’articolo del 2014 Data retention e Digital Rights Ireland.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn