Versione beta
Massima / sintesi originale
I trasferimenti commerciali di dati verso un paese terzo rientrano nel GDPR anche quando le autorità di quel paese possano successivamente trattarli per finalità di sicurezza. Le clausole tipo della decisione 2010/87 superano il controllo di validità perché prevedono meccanismi capaci di sospendere o vietare trasferimenti privi di protezione effettiva: occorre comunque una verifica concreta dell'equivalenza sostanziale, comprese le garanzie supplementari necessarie. La decisione Privacy Shield del 2016 è invece invalida per le carenze rilevate nei limiti alla sorveglianza e nei mezzi di ricorso.
Collegamento e impiego in Italia
Condizioni: trasferimento verso un paese terzo; valutazione caso per caso da parte del titolare o responsabile esportatore, eventualmente con il destinatario, della protezione effettiva e delle garanzie supplementari; intervento dell'autorità di controllo nei casi definiti dal dispositivo. Impiego italiano: parametro per l'esame dei trasferimenti extra UE e dei poteri di controllo, senza sostituire la verifica degli atti applicabili al singolo trasferimento.
Presupposti e limiti
Non vieta i trasferimenti verso gli Stati Uniti in quanto tali, né invalida le clausole contrattuali tipo: impone di verificarne l’efficacia concreta. Fotografa il quadro del 2020; il regime successivo va valutato sui propri atti e sulla relativa giurisprudenza, non dedotto da questa sentenza.
Passaggio della fonte: Causa C-311/18; ECLI:EU:C:2020:559. Punto 83 e dispositivo 1 (ambito GDPR); 105 (equivalenza sostanziale), 134 e 148 (responsabilità e meccanismi delle clausole), 184, 197 e 201 (Privacy Shield); dispositivo 1-5.
Collegamenti
Temi e parole chiave: trasferimento di dati · privacy shield · scudo per la privacy · clausole contrattuali tipo · equivalenza sostanziale · sorveglianza · art. 47 carta · gdpr