Con il contributo di questa settimana siamo giunti alla conclusione di una lunga analisi del tema del trasferimento transfrotnaliero dei dati personali. Come sapete, nell’edizione 2024 dell’Italian Legal Tech Report, edito da Giuffrè, è stata pubblicata un’analisi a cura del sottoscritto del nuovo Data Privacy Framework (premere qui per leggere). Da allora stiamo sviscerando su questo portale il tema del trasferimento dei dati personali. A inizio luglio ci siamo soffermati sulla nozione di trasferimento (premere qui per leggere), per poi proseguire con i profili del trasferimento nell’ambito del cloud computing (premere qui per leggere), passando per un’indagine sulla nozione generale di adeguatezza (premere qui per leggere), e sui profili pratici del trasferimento dei dati personali basato su una decisione di adeguatezza (premere qui per leggere), continuando ancora con un’analisi delle model contractual clauses come alternative alla decisione di adeguatezza (premere qui per leggere) e ancora dei codici di condotta e meccanismi di certificazione (premere qui per leggere), infine un passaggio in rassegna le principali decisioni di adeguatezza adottate prima e dopo l’introduzione del GDPR (premere qui per leggere), un focus sulle norme vincolanti di impresa (premere qui per leggere).
Dopodiché si è passati a trattare il tema delle deroghe al trasferimento in specifiche situazioni (premere qui per leggere), cominciando con il consenso dell’interessato (premere qui per leggere), e proseguendo con l’esecuzione di un contratto con l’interessato e in favore dell’interessato (premere qui per leggere), e con gli importanti motivi di interesse pubblico (premere qui per leggere), l’esercizio o difesa di un diritto in sede giudiziaria (premere qui per leggere), il trasferimento dei dati da registri pubblici (premere qui per leggere), il legittimo interesse (premere qui per leggere), per concludere la settimana scorsa con l’esercizio dei pubblici poteri (premere qui per leggere).
Con il presente contributo, invece, ci occupiamo, per concludere questa lunga analisi, su quanto disposto dall’art. 49, par. 5 del GDPR, che pone chiari limiti al trasferimento dei dati personali e definisce il ruolo degli Stati membri.
Quel che abbiamo certamente potuto comprendere in questi anni di sua applicazione è che il Regolamento Generale sulla Protezione dei Dati (GDPR) costituisce un complesso sistema normativo volto a garantire un equilibrio tra la libera circolazione dei dati personali e la tutela dei diritti fondamentali degli interessati. E con ogni probabilità l’articolo 49, paragrafo 5 del GDPR rappresenta uno degli snodi più significativi nell’ambito del trasferimento di dati personali verso paesi terzi o organizzazioni internazionali, attribuendo all’Unione e agli Stati membri un ruolo chiave nella regolazione di tali flussi.
Tale disposizione conferisce infatti una facoltà di limitazione straordinariamente incisiva, consentendo all’Unione Europea o agli Stati membri di imporre restrizioni specifiche al trasferimento di particolari categorie di dati per motivi di interesse pubblico rilevante, come la sicurezza nazionale, la difesa o la salute pubblica.
Va detto, comunque, che questa prerogativa può essere esercitata esclusivamente in assenza di una decisione di adeguatezza (premere qui per approfondire). Questo elemento sottolinea il ruolo di centralità attribuito alle decisioni di adeguatezza, considerate dal Regolamento, come abbiamo visto nelle scorse settimane (premere qui per approfondire) il pilastro fondamentale per garantire la conformità dei trasferimenti verso paesi terzi. Quando una decisione di adeguatezza viene adottata, infatti, essa costituisce una presunzione di sicurezza rispetto alla protezione dei dati personali, riducendo il margine discrezionale degli Stati membri.
A differenza di quanto avviene con le altre disposizioni del GDPR, il potere riconosciuto dall’art. 49, par. 5 non si limita alle ipotesi di deroga specificate nello stesso articolo. Neppure l’utilizzo di clausole contrattuali standard o norme vincolanti d’impresa (premere qui per approfondire) può precludere agli Stati membri l’introduzione di limitazioni. Questo elemento conferisce alla norma una portata particolarmente ampia, consentendo di intervenire in maniera incisiva anche in presenza di strumenti contrattuali tradizionalmente utilizzati per garantire la liceità del trasferimento dei dati.
Secondo una parte della dottrina (su tutti il Prof. Pizzetti), questa impostazione riflette una precisa scelta del legislatore europeo di subordinare ogni altra base giuridica alla salvaguardia di interessi pubblici rilevanti, ponendo quindi limiti stringenti anche agli strumenti di autodisciplina delle imprese.
Va detto, comunque, che l’introduzione di limitazioni da parte degli Stati membri non è priva di vincoli procedurali. Ogni misura restrittiva deve essere notificata alla Commissione Europea. Questo obbligo garantisce la trasparenza delle scelte nazionali e la coerenza con il quadro normativo europeo. La Commissione, infatti, ha il compito di vigilare affinché le limitazioni imposte non compromettano indebitamente la libera circolazione dei dati personali all’interno dell’Unione o verso paesi terzi, in linea con i principi di proporzionalità e necessità.
La portata dell’art. 49, par. 5 solleva quindi importanti questioni operative soprattutto per quelle aziende che effettuano trasferimenti di dati personali verso paesi terzi. L’assenza di una decisione di adeguatezza non solo comporta il ricorso ad altre basi giuridiche, ma espone tali trasferimenti a possibili restrizioni normative nazionali. Per gli operatori economici, ciò significa dover monitorare attentamente l’evoluzione delle normative nazionali, oltre a garantire la conformità con le disposizioni del GDPR.
Particolarmente rilevante è l’impatto per i settori che trattano dati sensibili o strategici, come il comparto sanitario, energetico o tecnologico. In tali ambiti, il rischio di restrizioni basate su ragioni di interesse pubblico è significativamente elevato.
Insomma, l’art. 49, par. 5 del GDPR rappresenta uno strumento di regolazione sofisticato, che consente di contemperare la tutela dei diritti fondamentali con la necessità di garantire la sicurezza e altri interessi pubblici rilevanti. La sua applicazione evidenzia il ruolo cruciale del diritto nazionale ed europeo nella disciplina dei trasferimenti internazionali di dati.
Per le imprese e le organizzazioni, si rende necessaria un’attenta pianificazione e un costante aggiornamento sulle normative degli Stati membri e sulle decisioni della Commissione Europea, per evitare violazioni e garantire un trattamento dei dati conforme al GDPR. Questo approccio non solo minimizza i rischi legali, ma consente di rafforzare la fiducia degli utenti e delle autorità nel trattamento dei dati personali.
Per approfondire:
- BOLOGNINI (a cura di), Il Regolamento privacy europeo, Milano, 2016, 526;
- MENEGHETTI, Trasferimenti dei dati personali verso paesi terzi o organizzazioni internazionali, in FINOCCHIARO, Torino, 2017, 482;
- PIZZETTI, Privacy e il diritto europeo alla protezione dei dati, Torino, 2016, 85;
- VOIGT-VON DEM BUSSCHE, The EU General Data Protection Regulation (GDPR), Cham, 2017, 131.
Nicola Nappi
Ultimi post di Nicola Nappi (vedi tutti)
- Sui limiti all’utilizzabilità delle deroghe al trasferimento transfrontaliero dei dati personali - Novembre 25, 2024
- L’esercizio di poteri pubblici come deroga al trasferimento transfrontaliero di dati personali - Novembre 18, 2024
- Il legittimo interesse del titolare come deroga al trasferimento transfrontaliero dei dati personali - Novembre 11, 2024
- Trasferimento di dati da registri pubblici: le deroghe e i limiti dell’art. 49 del GDPR - Novembre 4, 2024
- L’interesse vitale dell’interessato o di altre persone come deroga al trasferimento transfrontaliero di dati personali - Ottobre 28, 2024
