Azione in corso...

Cosa significa per individui, aziende ed istituzioni la sentenza della Corte di Giustizia Europea che ha invalidato il Privacy Shield.

Cos’è-ra il Privacy Shield

Il Privacy Shield è stato fino ad ora la base giuridica di numerosi trattamenti che comportavano il trasferimento di dati verso gli Stati Uniti o altre nazioni al di fuori dei confini europei. L’invalidazione di tale accordo si è basata sul fatto che gli Stati Uniti hanno leggi e programmi di sorveglianza di massa che non forniscono, ad esempio, sufficienti diritti di opposizione al trattamento. I Garanti europei, in conseguenza di tale sentenza, hanno l’obbligo di interrompere il trattamento svolto tramite responsabili del trattamento statunitensi e che comporti un trasferimento dei dati personali.

Qual è la situazione attuale?

I titolari del trattamento potrebbero, se incapaci di implementare alternative, continuare ad utilizzare dei responsabili del trattamento non conformi ma dovranno notificarlo al Garante (articolo 145 C-311/18) e naturalmente ottenere esplicito consenso al trattamento da parte di ogni utilizzatore ed interessato.

In breve, questa è la situazione attuale:

  1. I titolari del trattamento non possono utilizzare il Privacy Shield come base giuridica per il trattamento e/o trasferimento dei dati o responsabili esterni statunitensi o filiali europee di entità statunitensi che utilizzano il Privacy Shield come base legale dell’accordo per il trattamento dei dati.

  2. I titolari del trattamento non possono neanche utilizzare responsabili esterni statunitensi o filiali europee di entità statunitensi che utilizzano Standard Contractual Clauses come base legale per il trattamento e/o trasferimento dei dati

  3. I titolari del trattamento potranno utilizzare responsabili del trattamento statunitensi verificando che il responsabile del trattamento si idoneo e conforme al GDPR.

Cerco di semplificare al massimo: i seguenti provider (l’ordine è solo alfabetico) non dovrebbero essere utilizzati: Amazon (AWS), Apple, Cloudflare, Dropbox, Facebook, Google, Microsoft, Verizon e Verizon Media (Oath e Yahoo).

Questo significa che dovremmo smettere di utilizzare una lunga serie servizi ed applicazioni, non permesse dall’articolo 49 del GDPR; possiamo invece prenotare un albergo o un volo con entità statunitensi e consentire il trattamento ed il trasferimento dei nostri dati personali in quanto necessari per completare la transazione commerciale. Il trattamento dei dati personali tramite l’articolo 49 è infatti permesso solo se non continuativo e se ogni interessato è stato messo al corrente e cosciente (informato) del fatto che i propri dati personali ”saranno soggetti a programmi di sorveglianza di massa da parte del Governo statunitense e che in molti casi verranno utilizzati singolarmente ed in forma aggregata per supportare modelli di business che monetizzano le informazioni in modi più o meno etici”.

Di seguito alcuni esempi di quando voi come individui, dirigenti aziendali, impiegati pubblici potreste privare altri cittadini del loro diritto fondamentale alla privacy e rendervi non conformi al GDPR:

  • quando installate applicazioni come Facebook, WhatsApp, LinkedIn, Instagram, ecc… o attivate un account Google sul vostro telefono generalmente la prima cosa che fanno è di caricare i dati sul vostro telefono sui loro server per correlare i vostri dati con quelli dei vostri familiari, amici e colleghi senza ottenere il consenso dalle terze parti coinvolte;

  • quando utilizzate Microsoft Office, Microsoft 365, Google Docs o servizi e prodotti similari; Se scrivete documenti e fogli di calcolo o create presentazioni contenenti dati personali, condividerete quei dati in formato leggibile o li trasferirete una parola o frase per volta tramite i “Connected Services” senza consenso o basi legali. Questo purtroppo avviene tutti i giorni nella maggior parte delle organizzazioni pubbliche o private dove la maggior parte degli utenti non è a conoscenza del fatto che stanno trattando dati personali in modo illegale;

  • quando implementate servizi come Google Analytics, CloudFlare, Amazon AWS, Facebook, ecc. in quanto trattano e trasferiscono dati personali.

Cosa fare ora?

Se siete titolari del trattamento, questo potrebbe essere un grosso problema. I titolari del trattamento quindi, se non riescono a trovare alternative, potrebbero, in linea teorica, continuare ad utilizzare dei responsabili del trattamento non conformi, ma dovranno notificarlo al Garante e naturalmente ottenere esplicito consenso al trattamento da parte di ogni utilizzatore ed interessato.

Al momento sembra che non vi siano soluzioni semplici e veloci, soprattutto in un mondo in cui pochi giganti non solo operano in regime di quasi monopolio, ma sono in grado di condizionare le scelte dei governi che, a loro volta, non sono in grado di trovare o creare una valida alternativa.

Se questo articolo ti è piaciuto o pensi che possa esserti utile, condividilo sui tuoi social preferiti ed iscriviti alla nostra newsletter: è gratis e puoi cancellarti quando vuoi!

Martinelli S.r.l. Via Circonvallazione N/E, 98 - 41049 Sassuolo (MO) | Tel: 0536 868611 Fax: 0536 868618 | info@martinelli.it
P.Iva 02262430362 - C.F. 01413050350 - Iscriz. registro Imprese di Modena 01413050350 - Capitale Sociale 350.000 i.v.