L'autorità austriaca per la protezione dei dati (Datenschutzbehörde) ha dichiarato illegale l'uso di Google Analytics perché viola il Gdpr, e come nel caso dell’invalidazione del Privacy Shield da parte della Corte di Giustizia UE e in altre pronunce che in passato hanno avuto pesanti impatti sulla protezione dei dati personali europea, ancora una volta c’è lo zampino dell’attivista Max Schrems.
E' sicuro che la decisione della Corte di Giustizia dell'Unione Europea nella causa C-311/18 del 16 luglio 2020 - la c.d. sentenza “Schrems II” - dovrà essere ricordata e metabolizzata per qualcosa di più che per il colpo di ghigliottina inferto al “Privacy Shield”. C'è, in buona sintesi, un argomento/punto – certo non nuovo! - su cui deve/dovrà concentrarsi l'attenzione degli interpreti e degli operatori. Con la domanda di pronuncia pregiudiziale, il giudice del rinvio ha interrogato la CGUE sulla applicabilità del Regolamento UE 2016/679 (d'ora in poi anche solo 'Regolamento') a trasferimenti di dati personali fondati su clausole tipo di protezione contenute nella decisione 2010/87, sul livello di protezione richiesto nel quadro di un trasferimento siffatto e sugli obblighi correlativamente incombenti sulle autorità di controllo.
Come noto la Corte di giustizia dell'Unione europea (CGUE) si è pronunciata lo scorso 16 luglio (c.d. “Sentenza Schrems II”) in merito al regime di trasferimento dei dati tra l'Unione europea e gli Stati Uniti invalidando la decisione di adeguatezza del "Privacy Shield, adottata nel 2016 dalla Commissione europea in seguito alla decadenza dell'accordo "Safe Harbor".
Il Garante europeo della protezione dei dati (Edps) ha pubblicato un documento strategico volto a monitorare la conformità delle istituzioni, degli organi e degli organismi europei (IUE) alla sentenza "Schrems II" che lo scorso luglio ha invalidato il Privacy Shield in relazione ai trasferimenti di dati personali verso paesi terzi, e in particolare negli Stati Uniti.
Non finiscono i problemi di Facebook con l’Ue in seguito agli scandali sulla condivisione non autorizzata dei dati degli utenti europei che si sono susseguiti nelle ultime settimane. Con una sentenza, che potrebbe mettere fuori gioco gli strumenti giuridici utilizzati dalle società tecnologiche statunitensi per trasferire i dati degli utenti dell’Ue negli Stati Uniti, l’Alta Corte irlandese ha rifiutato il 2 maggio la richiesta del gigante californiano di non inviare al più alto tribunale europeo di un caso “decisivo” in materia di privacy.
Con la sentenza nella causa C-311/18 del 16 luglio 2020, la Corte di Giustizia dell’Unione europea ha invalidato il "Privacy Shield", ovvero l’accordo largamente difuso con cui grandi organizzazioni e multinazionali potevano fino ad ora legittimare il trasferimento di dati personali tra Europa e Stati Uniti.
L’articolo 45 del Gdpr stabilisce la possibilità di trasferire i dati personali in un paese extra UE e SEE se e quando il paese in questione riceve il nulla osta da parte della Commissione Europea tramite una “Decisione di Adeguatezza”. Al momento, come si può constatare sul sito ufficiale della Commissione Europea, vi sono solo dodici paesi la cui disciplina in ambito privacy è stata considerata equiparabile, rispetto agli standard di protezione, a quella Europea. A questi si aggiunge la Corea del Sud, al momento al vaglio della Commissione.
“Siamo un gruppo di hacker italiani, attiviste e attivisti, cittadine e cittadini attenti alla privacy ed alla tutela dei diritti cibernetici nel nostro Paese . . . “ così cominciava il 12 maggio scorso una pec indirizzata a numerosi soggetti pubblici da parte di un gruppo hacker con la quale si invitavano gli enti a rimuovere il noto cookie analitico di Google in favore di Web Analytics Italia minacciando una “ . . . segnalazione al Garante per la Protezione dei Dati e al Difensore Civico Digitale”.
In principio (si fa per dire) fu la sentenza C-311/18 della Corte di Giustizia dell'Unione Europea (c.d. “Schrems II”, del 16 luglio 2020) che invalidò di colpo (pur non essendo il classico fulmine a ciel sereno) lo Scudo Privacy (Privacy Shield), gettando milioni di operatori pubblici e privati in Unione Europea nelle ambasce di trasferimenti di dati personali 'senza rete' verso operatori stabiliti negli USA.
È una decisione destinata a destare scalpore (e forse anche a fare scuola) quella della Commissione irlandese per la protezione dei dati che, prima tra i regolatore della privacy dell’Unione Europea ha inviato a Facebook un ordine preliminare per sospendere i trasferimenti di dati negli Stati Uniti sui suoi utenti dell’UE. Si tratta del primo passo significativo che le autorità di regolamentazione dell’UE hanno compiuto per applicare una sentenza di luglio sui trasferimenti di dati della Corte d Giustizia Europea che limita il modo in cui aziende come Facebook possono inviare informazioni personali sugli europei al suolo statunitense, nel timore che i dati degli utenti europei vengano ‘spiati’ e schedati.
