AGGIORNAMENTO: QUI LE INDICAZIONI DEL GARANTE ITALIANO
Brexit. Nonostante sia stato stipulato il Trade and Cooperation Agreement tra l’UE e il Regno Unito, non è chiaro cosa stia succedendo (rectius: è successo) a causa delle regole stabilite nelle 1255 pagine del testo messo a disposizione dalla Commissione, a partire del 1 gennaio 2021.
La prospettiva entro sei mesi
Una prima, semplice, risposta è: per ora non è successo quasi niente, ma entro pochi mesi (al massimo sei) potrebbero cambiare molte cose.
Cominciamo con il dire che l’Accordo prevede una infinità di rinvii su temi sui quali non ci si è adeguatamente accordati. Si tratta di argomenti specifici niente affatto secondari sui quali, mano mano, si troverà una intesa (o si verificherà la rottura su quel particolare argomento).
D’altro canto non c’era tempo o, semplicemente, non era possibile accordarsi su tutto e, se non si fosse raggiunta l’intesa sui temi prioritari, si sarebbe precipitati in una hard Brexit generalizzata.
Il meccanismo ponte
Anche la Privacy (un argomento del tutto trasversale ad ogni tematica) ha seguito lo stesso destino dei rinviii ed è stato necessario disciplinare un “meccanismo ponte” (come lo chiamano i britannici), di un massimo di 6 mesi, per dare il tempo ai due contendenti di prendere le decisioni necessarie.
Già da subito, il GDPR è stato recepito dalla normativa nazionale britannica, per consentire il trattamento dei dati a pari condizioni e consentire i flussi di informazioni personali da e con l’UE/SEE e anche tra paesi terzi, questi ultimi avendo l’Unione già adottato una precedente decisione di Adeguatezza.
Ci troviamo, quindi, nella singolare situazione per la quale, in Europa, esiste il GDPR, mentre in Gran Bretannia esiste una normativa nazionale quasi fotocopia del Regolamento Europeo (qualche piccola modifica è stata dottata solo per questioni tecniche). Le due normative, quindi, sono perfettamente allineate in partenza.
Nel contempo, entro sei mesi dovrà essere adottata una inedita decisione di Adeguatezza, da parte dell’UE, nei confronti del Regno Unito.
Se non ci fosserò novità da parte britannica, l’esito, quindi, sarebbe per proseguire come nel passato (fatte salve alcune differenze come, ad es., il fatto che l’ICO (il Garante britannico), non fa più parte, a pieno titolo, del Comitato Europeo della Protezione dei Dati personali).
Le normative UE e UK
Ma se le due normative (ripetiamo: al momento quasi identiche) partono da una condizione di assicurazione di pari diritti (quindi, di adeguatezza), va tenuto presente che il Regno Unito riacquistato la piena autonomia (come previsto dalla Parte sette, articolo FINPROV.10A dell’Accordo), ha la piena facoltà di modificare le norme senza che vi possa essere alcuna interferenza dell’UE.
Infatti, l’UE non ha più il potere di bloccare le modifiche al quadro normativo britannico. Però, se l’UE si opponesse ad eventuali cambiamenti (qualora siano ritenuti non assicurare un livello sufficiente di protezione dei dati), il regime ponte finirebbe automaticamente.
Ne conseguirebbe che si verificherebbe seduta stante un duro divorzio non consensuale in tema di protezione dei dati personali, secondo le regole dettate qui dai garanti europei, in quanto i dati potrebbero transitare solo come previsto per i terzi, senza alcun regime qualificato.
Entro sei mesi, quindi, sapremo se si proseguirà “business as usual” o se cambierà radicalmente la situazione.
Le prospettive per i britannici
Non a caso, il Governo d’oltremanica (ispirato da sirene che gli sussurrano la possibilità di adottare regole meno strigenti per la Privacy e, quindi, più concorrenziali rispetto all’Europa), ha vigorosamente invitato i soggetti britannici a contattare le organizzazioni residenti nell’UE o nello Spazio Economico Europeo, con le quali avviene il trasferimento di dati personali, per adottare meccanismi di trasferimento alternativi, qualora non pervenga, al termine del periodo ponte, una decisione di Adeguatezza da parte dell’UE.
Pertanto, anche se il Regno Unito rivendica di avere acquisito la piena autonomia, in realtà dovrà trattare con l’UE nei prossimi sei mesi, pena conseguenze che potrebbero essere veramente pesanti (per ambo i lati) o la decisione di allontanarsi dal tracciato del vecchio continente e avvicinarsi, probabilmente, all’impostazione USA in questa materia, posto che è ancora aperto il contenzioso della sentenza Schrems 2.
In caso di divorzio, per i britannici, i più utili strumenti di trasferimento sarebbero le Clausole contrattuali standard (Standard Contractual Clause), ma non va dimenticato che il Comitato Europeo per la Protezione dei Dati ha recentemente posto l’accento (quando applicabili) sulle Norme vincolanti d’impresa (Binding Coroporate Rules) per titolari e responsabili del trattamento.
Questo per il futuro, ma bisogna pensare anche a cosa è avvento in passato.
I dati Legacy
Va tenuto conto che nel Regno Unito era presente, alla data del 31.12.20, una gran mole di dati personali direttamente tutelati dal GDPR.
Infatti, già l’articolo 71, paragrafo 1, dell’Accordo di recesso contiene disposizioni per le quali, in Gran Bretagna, si continua ad applicare il diritto dell’UE in materia di protezione dei dati alle informazioni personali definite “legacy” (lascito), fino a quando non interverrà una decisione di piena Adeguatezza di cui si parlava prima.
Ne consegue che detti dati, elaborati nel Regno Unito, continueranno ad essere protetti “sine die” secondo il Diritto dell’Unione, sempre che, appunto, l’Unione non riconosca alla Gran Bretagna l’esistenza di pari diritti.
Rientrano nei dati “legacy” quelli:
- trattati nel Regno Unito ai sensi del diritto dell’Unione prima della fine del periodo di transizione;
- trattati nel Regno Unito dopo la fine del periodo di transizione in virtù del presente accordo.
Tutto chiaro?
Restano diversi interrogativi e questioni pratiche da chiarire, a partire dalla non applicabilità, o meno, delle sentenze della Corte Europea di Giustizia ai dati legacy e al contenuto stesso di questi ultimi.
Insomma, si tratta di una situazione ancora tutta in divenire e, probabilmente, collegata con l’esito dei negoziati tra l’UE e gli USA. Staremo a vedere.
Articolo aggiornato l’11 gennaio 2021
