La pandemia rallenterà l'espansione della lista dei paesi considerati ‘adeguati’?
L’articolo 45 del Gdpr stabilisce la possibilità di trasferire i dati personali in un paese extra UE e SEE se e quando il paese in questione riceve il nulla osta da parte della Commissione Europea tramite una “Decisione di Adeguatezza”. Al momento, come si può constatare sul sito ufficiale della Commissione Europea, vi sono solo dodici paesi la cui disciplina in ambito privacy è stata considerata equiparabile, rispetto agli standard di protezione, a quella Europea. A questi si aggiunge la Corea del Sud, al momento al vaglio della Commissione.
Attualmente vi è una situazione di consolidata incertezza che di fatto limita il trasferimento verso Paesi nei quali non è stata rilevata una normativa adeguata, ciò anche a fronte dalla recente sentenza “Schrems II”.
Risulta quindi evidente quanto una decisione di adeguatezza possa impattare sulle imprese, qualora queste decidessero di voler trasferire dati personali ad uno dei paesi considerati non adeguati. Tali imprese si trovano quindi costrette ad utilizzare gli strumenti previsti dagli artt. 46 a 49 del Gdpr, tra cui , ad esempio, le “Clausole Tipo”, che comunque, secondo la recente sentenza che ha fatto cadere il “Privacy Shield”, risulterebbero non più bastanti per essere veramente in regola con il Gdpr.
Vari Paesi, come ad esempio il Brasile, hanno adottato normative in tema di privacy ispirate alla positiva influenza del Gdpr Europeo, altri, come l’India, sono in procinto di farlo. Ci si aspetta quindi, in un futuro prossimo, che vengano avviate le procedure per la decisione di adeguatezza europea.
Nel frattempo, però, la pandemia di Covid 19 ha ingenerato esigenze di tutela della salute pubblica, spesso tramite sorveglianza, che richiedono un accurato bilanciamento tra privacy e salute pubblica.
E questa opera di equilibrio, come si può notare già dai molti articoli scritti a riguardo, spesso risulta sbilanciata a favore della sorveglianza più che della privacy. Nella stessa Unione Europea si è sviluppato un acceso dibattito in merito al tracciamento, sia tramite app che tramite la raccolta di dati da parte delle attività commerciali come i ristoranti, alberghi ecc…
(Nella foto: l'Avv. Matteo Pagani, Delegato di Federprivacy nell'area metropolitana di Milano)
Ci si deve chiedere, dunque, se, nonostante la tendenza positiva di molte Nazioni a volersi avvicinare allo standard posto dal Gdpr, il rischio Covid 19 possa rallentare se non temporaneamente bloccare il processo che porti all’esito positivo della decisione di adeguatezza.
L’esempio più coerente viene proprio dalla Corea del Sud, che al momento è sotto revisione per l’adeguatezza. Infatti, il “modello Coreano” di contact tracing per il Covid19 risulta essere in contrasto con la normativa europea sulla privacy.
Purtroppo, il Covid 19 ha provocato una battuta di arresto non solo dell’economia mondiale ma, anche, in ambito Privacy. Gli “stati di eccezione” spesso portano a limitazioni temporanee di alcuni diritti, tra cui la Privacy.
È probabile che nei prossimi anni le imprese che volessero trasferire i dati personali in Paesi risultati non adeguati dovranno investire tempo e risorse per utilizzare gli strumenti alternativi forniti dal Gdpr (ad esempio: i BCR e Clausole Contrattuali Standard), che comunque sono soggetti al rinnovo.
