Data Privacy Framework: il via libera dell'UE ai trasferimenti di dati personali verso gli USA - a cura di Cybermarket
E' stata emanata lo scorso 10 Luglio la decisione di adeguatezza della Commissione Europea in riferimento al Data Privacy Framework. Vediamo di cosa si tratta
Attesa da tempo, lo scorso 10 luglio 2023 è stata emanata la decisione di adeguatezza della Commissione Europea in riferimento al Data Privacy Framework, il nuovo protocollo per il trasferimento di dati tra l’UE e gli USA. Un protocollo che poggia sull’ordine esecutivo emanato dal Presidente degli Stati Uniti d’America, Joe Biden, e volto a definire e a implementare, appunto, un data privacy framework.
Con questa decisione, gli Stati Uniti si confermano come una realtà in grado di provvedere a fornire un livello appropriato di protezione all’Unione Europea e come conseguenza diretta a tale disposizione il trasferimento di dati personali tra UE ed USA torna a essere autorizzato, annullando qualsiasi forma di illegittimità.
In questo modo i dati personali possono giungere alle organizzazioni statunitensi che trattano i dati personali dei cittadini europei, alle quali però viene comunque richiesto di confermare la loro adesione al nuovo protocollo e di impegnarsi in una serie di obblighi relativi alla protezione di quest’ultimi, previsti dal Regolamento (UE) 2016/679 (GDPR, General Data Protection Regulation) e dal Data Privacy Framework.
Il Data Privacy Framework UE-USA nasce in realtà dalle sentenze “Schrems I” e “Schrems II” della Corte di giustizia dell’Unione Europea, che portarono all’annullamento degli accordi precedenti - Safe Harbor e Privacy Shield - tra USA e UE in materia di trasferimento oltreoceano dei dati personali dei cittadini europei. Il responso gettava dubbi sulla garanzia di un’adeguata tutela dei dati dei cittadini comunitari.
Cosa rappresenta questo accordo per i cittadini dell’UE?
Con la stipula di questo accordo, ai cittadini dell’UE i cui dati fluiscono verso organizzazioni statunitensi certificate vengono concessi diversi diritti, fra cui:
- accesso ai propri dati;
- richieste relative a correzioni;
- cancellazione di dati inaccurati;
- l’accesso a soluzioni di ricorso attraverso un meccanismo indipendente e gratuito per risolvere dispute, oltre all’istituzione di un collegio arbitrale.
Questo scenario rappresenta una svolta per la protezione dei dati oltreoceano. Il DPF UE-USA è costantemente sottoposto a controlli periodici per garantirne l’adeguatezza nel tempo.
Cosa cambia in pratica per un’azienda che usa strumenti americani
Molte PMI italiane, spesso senza rendersene conto, trasferiscono dati verso gli Stati Uniti ogni giorno: email marketing, hosting, strumenti di analytics, CRM, piattaforme pubblicitarie. Con il Data Privacy Framework attivo, questi trasferimenti sono legittimi a condizione che il fornitore americano sia effettivamente certificato nell’ambito del programma.
In pratica, prima di affidarsi a un servizio con sede negli USA conviene verificare:
La certificazione DPF del fornitore, consultabile nell’elenco pubblico gestito dal Dipartimento del Commercio statunitense.
Che l’informativa privacy del proprio sito citi correttamente la base giuridica del trasferimento dei dati verso quel fornitore.
Che i contratti con i fornitori di dati (i cosiddetti responsabili del trattamento) siano aggiornati e coerenti con il nuovo quadro normativo.
Un tema in evoluzione
La storia di Safe Harbor e Privacy Shield insegna che accordi di questo tipo possono essere messi in discussione da nuove pronunce giudiziarie. Per questo, per chi gestisce dati di clienti europei, la raccomandazione resta la stessa da anni: tenere sotto controllo l’evoluzione normativa e non considerare mai la conformità come un traguardo raggiunto una volta per tutte, ma come un processo da mantenere nel tempo.
In Cybermarket seguiamo l’evoluzione di questi temi anche per i siti e gli strumenti digitali che sviluppiamo per i nostri clienti. Se hai dubbi su come il tuo sito gestisce i dati degli utenti o su quali strumenti di terze parti stai utilizzando, contattaci per una verifica.
