Il 13 dicembre scorso la Commissione Europea ha annunciato la pubblicazione della bozza del EU-US Data Privacy Framework che rimpiazzerà il Privacy Shield, invalidato nel 2020 da una sentenza della Corte Europea in quanto ritenuto non più adeguato a garantire la sicurezza del trasferimento dei dati verso gli Stati Uniti ai sensi del Regolamento generale sulla protezione dei dati(GDPR).
A partire da quella sentenza del luglio 2020 il trasferimento dei dati verso gli USA ha dovuto basarsi essenzialmente sulle Standard Contractual Clauses o sulle Binding Corporate Rules, non senza ricorrere anche all’implementazione di misure tecniche e organizzative supplementari per aumentare il livello di sicurezza dei trasferimenti ai sensi del Regolamento europeo.
La bozza, disponibile online https://commission.europa.eu/document/e5a39b3c-6e7c-4c89-9dc7-016d719e3d12_en, mira a trovare un bilanciamento tra i principi sanciti dal GDPR in materia di trasferimento dati con le norme sulla privacy degli Stati Uniti, notoriamente molto meno stringenti.
L’accordo contenuto in questa bozza è stato raggiunto dopo oltre un anno di negoziati tra la Corte di Giustizia europea e il Dipartimento del commercio degli Stati Uniti: essenziale si è rivelato il quadro giuridico fornito dall’Executive Order di Biden del 7 ottobre 2022, un tentativo di rafforzare le misure di salvaguardia rispetto alle attività di intelligence degli Stati Uniti.
Ora si potrà avviare la procedura di adozione: dopo la presentazione della bozza da parte della Commissione al Comitato Europeo per la Protezione dei Dati (EDPB, la Commissione chiederà l’approvazione di un Comitato composto da rappresentanti degli Stati membri dell’UE. Anche il Parlamento europeo ha, inoltre, il diritto di controllo sulle decisioni di adeguatezza. Una volta completato questo iter, la Commissione potrà procedere all’adozione della decisione finale di adeguatezza.
Il UE-USA Data Privacy Framework sarà soggetto a revisioni periodiche effettuate dalla Commissione Europea, dalle Autorità europee per la protezione dei dati e dalle competenti Autorità statunitensi.
Il primo riesame avrà luogo entro un anno dall’entrata in vigore della decisione di adeguatezza, per verificare che tutti gli elementi pertinenti del quadro giuridico statunitense siano stati pienamente attuati e funzionino efficacemente.