TUTELA DEI DATI PERSONALI
Le reazioni internazionali all'Ordine Esecutivo USA sui trasferimenti dei dati personali tra UE e Stati Uniti.
Dopo l'annuncio della Casa Bianca - il 7 ottobre 2022 - relativo alla firma da parte del Presidente Biden dell'Ordine Esecutivo sul rafforzamento delle garanzie per i dati rispetto alle attività di intelligence degli Stati Uniti, nell'ambito del cosiddetto accordo Privacy Shield 2.0 che dovrebbe portare la Commissione europea (che nel frattempo ha pubblicato le F.A.Q. sull'Executive Order e sulle sue conseguenze) a preparare un progetto di decisione di adeguatezza, varie Autorità per la protezione dei dati e organismi e associzioni del settore data protection hanno pubblicato le loro prime reazioni.
Autorità per la protezione dei dati ed enti governativi
Regno Unito
Il Segretario di Stato britannico per il digitale, la cultura, i media e lo sport e il Segretario al commercio degli Stati Uniti hanno rilasciato, il 7 ottobre 2022, una dichiarazione congiunta, confermando i piani per il Regno Unito di esaminare l'Ordine r di predisporre per il 2023 una decisione di adeguatezza per i flussi di dati tra Regno Unito e Stati Uniti.
Svizzera - IFPDT
Il 7 ottobre 2022 l'Incaricato federale della protezione dei dati e della trasparenza («IFPDT») ha rilasciato una dichiarazione in cui prende atto della firma dell'ordinanza, dei regolamenti, della scheda informativa e delle domande e risposte della Commissione, affermando che sta attualmente analizzando i documenti.
Danimarca - Datatilsynet
L'autorità danese per la protezione dei dati (in prosieguo: la «Datatilsynet») ha pubblicato, il 7 ottobre 2022, la sua dichiarazione sull'ordinanza, sottolineando che essa non costituisce essa stessa una base per i trasferimenti di dati personali, fino a quando la Commissione non avrà approvato una decisione di adeguatezza. Datatilsynet ha indicato che la raccolta di dati personali deve essere proporzionata e limitata a quanto strettamente necessario e che i cittadini dell'UE i cui dati personali sono trattati dai servizi di intelligence statunitensi devono avere accesso a mezzi di ricorso efficaci, tra cui un organo di ricorso indipendente.
NOYB
NOYB ha rilasciato, il 7 ottobre 2022, una dichiarazione in cui ha emesso la sua prima reazione all'ordine. In particolare, NOYB ha concluso che è improbabile che l'ordinanza soddisfi il diritto dell'UE e ha affermato che qualora la decisione della Commissione non dovesse rimanere in linea con il diritto dell'UE e con le pertinenti sentenze della Corte di giustizia dell'Unione europea («CGUE»), NOYB probabilmente presenterà un'altra contestazione dinanzi alla CGUE.
Future of Privacy Forum («FPF»)
Il Future of Privacy Forum («FPF») ha accolto con favore l'ordine ma ha osservato che devono svolgersi importanti discussioni legali sull'esatta natura del meccanismo di ricorso e supervisione giudiziaria, sulle restrizioni sulla raccolta di massa e sul requisito di reciprocità per il risarcimento, che richiede a qualsiasi paese di attuare salvaguardie per i dati dei cittadini statunitensi per beneficiare del sistema.
EPICO
L'Electronic Privacy Information Center ("EPIC") ha previsto che l'ordine difficilmente soddisferà gli standard della CGUE per la protezione della privacy. Più specificamente, EPIC ha osservato che mentre l'ordine fornisce alcune garanzie sulla privacy, non vieta completamente l'uso di metodi di raccolta di massa da parte delle agenzie di intelligence statunitensi. Allo stesso modo, EPIC ha anche evidenziato: (1) la complessità del meccanismo di ricorso e la mancanza di disposizioni di preavviso; (2) gli ostacoli esistenti al risarcimento - come la notifica, l'eccessiva segretezza e l'indebita deferenza nei confronti delle autorità di sicurezza nazionali.
TACD
Il Dialogo transatlantico dei consumatori («TACD») ha dichiarato, a seguito della sua prima analisi dell'ordinanza, di aver riscontrato che le nuove misure non forniscono un'adeguata protezione della vita privata dei consumatori europei e dei diritti di protezione dei dati sanciti dalla Carta dei diritti fondamentali dell'UE e dal regolamento generale sulla protezione dei dati (regolamento (UE) 2016/679) (in prosieguo: il «GDPR»). Più specificamente, il TACD ha rilevato quanto segue per quanto riguarda l'inadeguatezza delle nuove misure introdotte dall'ordinanza:
ACLU
L'American Civil Liberties Union (in prosieguo: l'«ACLU») ha concluso che l'ordine non soddisfa i requisiti giuridici di base nell'UE, osservando che l'ordine senza altro non può sanare le carenze del regime di sorveglianza degli Stati Uniti e segnalando che una possibile soluzione è che il Congresso attui una significativa riforma della sorveglianza per:
Autorità per la protezione dei dati ed enti governativi
Regno Unito
Il Segretario di Stato britannico per il digitale, la cultura, i media e lo sport e il Segretario al commercio degli Stati Uniti hanno rilasciato, il 7 ottobre 2022, una dichiarazione congiunta, confermando i piani per il Regno Unito di esaminare l'Ordine r di predisporre per il 2023 una decisione di adeguatezza per i flussi di dati tra Regno Unito e Stati Uniti.
Svizzera - IFPDT
Il 7 ottobre 2022 l'Incaricato federale della protezione dei dati e della trasparenza («IFPDT») ha rilasciato una dichiarazione in cui prende atto della firma dell'ordinanza, dei regolamenti, della scheda informativa e delle domande e risposte della Commissione, affermando che sta attualmente analizzando i documenti.
Danimarca - Datatilsynet
L'autorità danese per la protezione dei dati (in prosieguo: la «Datatilsynet») ha pubblicato, il 7 ottobre 2022, la sua dichiarazione sull'ordinanza, sottolineando che essa non costituisce essa stessa una base per i trasferimenti di dati personali, fino a quando la Commissione non avrà approvato una decisione di adeguatezza. Datatilsynet ha indicato che la raccolta di dati personali deve essere proporzionata e limitata a quanto strettamente necessario e che i cittadini dell'UE i cui dati personali sono trattati dai servizi di intelligence statunitensi devono avere accesso a mezzi di ricorso efficaci, tra cui un organo di ricorso indipendente.
NOYB
NOYB ha rilasciato, il 7 ottobre 2022, una dichiarazione in cui ha emesso la sua prima reazione all'ordine. In particolare, NOYB ha concluso che è improbabile che l'ordinanza soddisfi il diritto dell'UE e ha affermato che qualora la decisione della Commissione non dovesse rimanere in linea con il diritto dell'UE e con le pertinenti sentenze della Corte di giustizia dell'Unione europea («CGUE»), NOYB probabilmente presenterà un'altra contestazione dinanzi alla CGUE.
Future of Privacy Forum («FPF»)
Il Future of Privacy Forum («FPF») ha accolto con favore l'ordine ma ha osservato che devono svolgersi importanti discussioni legali sull'esatta natura del meccanismo di ricorso e supervisione giudiziaria, sulle restrizioni sulla raccolta di massa e sul requisito di reciprocità per il risarcimento, che richiede a qualsiasi paese di attuare salvaguardie per i dati dei cittadini statunitensi per beneficiare del sistema.
EPICO
L'Electronic Privacy Information Center ("EPIC") ha previsto che l'ordine difficilmente soddisferà gli standard della CGUE per la protezione della privacy. Più specificamente, EPIC ha osservato che mentre l'ordine fornisce alcune garanzie sulla privacy, non vieta completamente l'uso di metodi di raccolta di massa da parte delle agenzie di intelligence statunitensi. Allo stesso modo, EPIC ha anche evidenziato: (1) la complessità del meccanismo di ricorso e la mancanza di disposizioni di preavviso; (2) gli ostacoli esistenti al risarcimento - come la notifica, l'eccessiva segretezza e l'indebita deferenza nei confronti delle autorità di sicurezza nazionali.
TACD
Il Dialogo transatlantico dei consumatori («TACD») ha dichiarato, a seguito della sua prima analisi dell'ordinanza, di aver riscontrato che le nuove misure non forniscono un'adeguata protezione della vita privata dei consumatori europei e dei diritti di protezione dei dati sanciti dalla Carta dei diritti fondamentali dell'UE e dal regolamento generale sulla protezione dei dati (regolamento (UE) 2016/679) (in prosieguo: il «GDPR»). Più specificamente, il TACD ha rilevato quanto segue per quanto riguarda l'inadeguatezza delle nuove misure introdotte dall'ordinanza:
- sebbene la formulazione dell'ordinanza includa la "proporzionalità", essa non istituisce alcun meccanismo per limitare i sistemi di sorveglianza di massa statunitensi in vigore e, in quanto tale, non riesce a risolvere la questione della mancanza di proporzionalità delle leggi e delle pratiche di sorveglianza statunitensi; e
- l'ordinanza non prevede un reale ricorso giurisdizionale per i consumatori europei, in quanto il «Tribunale del ricorso per la protezione dei dati» incluso nel meccanismo di ricorso in due fasi ivi istituito, potrebbe non essere un organo giudiziario, ma un organo all'interno del ramo esecutivo del governo degli Stati Uniti.
ACLU
L'American Civil Liberties Union (in prosieguo: l'«ACLU») ha concluso che l'ordine non soddisfa i requisiti giuridici di base nell'UE, osservando che l'ordine senza altro non può sanare le carenze del regime di sorveglianza degli Stati Uniti e segnalando che una possibile soluzione è che il Congresso attui una significativa riforma della sorveglianza per:
- porre fine alla raccolta di dati generalizzata in blocco condotta ai sensi dell'ordine esecutivo 12333;
- restringere le categorie di persone che possono essere prese di mira utilizzando la sorveglianza ai sensi della sezione 702 del Foreign Intelligence Surveillance Act e dell'ordine esecutivo 12333; e
- garantire che le persone colpite dalla sorveglianza statunitense siano in grado di contestare la sorveglianza impropria nei tribunali statunitensi, anche riformando il "privilegio dei segreti di stato".
