In occasione della recente vista del Presidente Biden a Bruxelles e dopo il suo incontro con la Presidente della Commissione Europea, Ursula Von der Leyen, è stato annunciato un “accordo di principio” in merito alla protezione dei dati personali trasferiti dall’Europa verso gli Stati Uniti^[1].

Perché un nuovo accordo?

L’annuncio ha avuto grande risalto poiché il trasferimento di dati personali tra Europa e USA sta vivendo un periodo di grave incertezza. Com’è noto, infatti, la Corte di Giustizia dell’Unione Europea nel luglio 2020, grazie all’impegno incessante dell’avvocato austriaco Maximilian Schrems, aveva di fatto riconosciuto l’invalidità del precedente accordo USA-UE, denominato Privacy Shield. La Corte di Giustizia, infatti, ha ritenuto che la normativa statunitense, sacrificando considerevolmente il diritto alla privacy sull’altare della sicurezza nazionale, non fosse (e non sia tutt’ora) in grado di garantire un livello di protezione del dato personale equivalente e quello europeo. Tale sentenza, che ha preso il nome di “Schrems II”, ha sancito l’illiceità della gran parte (se non della totalità) dei trasferimenti di dati personali dall’Europa verso Stati Uniti.

Non è la prima volta che su iniziativa di Schrems gli accordi tra USA e UE sul trasferimento di dati personali vengono invalidati. Già nel 2015, con la sentenza “Schrems I”, la Corte di Giustizia aveva invalidato il meccanismo precedente al Privacy Shield, allora denominato Safe Harbor, per motivi simili. Il problema di fondo rimane lo stesso e sostanzialmente consiste nei poteri molto estesi delle agenzie di intelligence statunitensi di effettuare attività di sorveglianza “dei segnali” (comunicazioni tra persone o di segnali elettronici) per generici motivi di “pubblica sicurezza”, senza informativa degli interessati e senza efficaci strumenti per la loro tutela negli Stati Uniti in caso di abusi.

Gli obbiettivi dell’accordo

L’accordo è di natura politica ed è, appunto, un accordo quadro.

Innanzitutto, i comunicati, sia della Casa Bianca^[2] che della Commissione Europea^[3][4], sottolineano l’importanza economica dei flussi di dati tra le due sponde dell’Atlantico, i quali rendono possibili – secondo la Casa Bianca – relazioni economiche per un valore complessivo di US$ 7,1 trilioni.

L’accordo ha l’obiettivo di fissare i principi a cui dovrà conformarsi ogni trasferimento di dati personali dall’Europa verso gli USA, definendo nuove regole per garantire da parte degli Stati Uniti un livello di protezione equivalente a quello europeo.

Gli impegni assunti dalle parti entreranno in vigore, una volta definiti i dettagli, tramite un Executive Order del Presidente degli Stati Uniti e una decisione di adeguatezza della Commissione Europea, sentito il parere dell’European Data Protection Board (“EDPB”).

Gli impegni degli Stati Uniti e le Garanzie Essenziali Europee

I due comunicati delineano alcuni principi di massima, senza indicare i dettagli tecnici delle soluzioni giuridiche. Tali principi riprendono, in parte, quelli enunciati dall’EDPB nelle Raccomandazioni 02/2020 sulle “European Essential Guarantees for surveillance measures”, le quali fissano importanti parametri per stabilire se il quadro giuridico vigente in un Paese terzo ed attinente all’accesso ai dati personali da parte delle autorità pubbliche per fini di sorveglianza, sicurezza nazionale, anti-terrorismo ecc. configuri un’ingerenza ingiustificata nei diritti alla vita privata e alla protezione dei dati personali, tale da rendere illecita l’esportazione dei dati verso tale Pese.

Confrontiamo i criteri elaborati dall’EDPB con i principi enunciati nel comunicato statunitense.

Secondo l’EDPB

• il trattamento deve essere basato su regole chiare, precise ed accessibili.

Nel comunicato non vi è menzione di quali saranno le nuove regole atte a far sì che tale principio sia rispettato.

Inoltre, l’EDPB ritiene che

• la necessità e la proporzionalità del trattamento dei dati personali per il conseguimento di legittimi obiettivi devono essere dimostrate.

In merito a tale garanzia gli Stati Uniti hanno dichiarato il loro impegno per implementare nuove salvaguardie vincolanti atte a garantire che le attività di signals intelligence siano effettuate, nei limiti di quanto necessario, al fine di perseguire legittimi e ben definiti obiettivi di sicurezza nazionale e non dovranno avere un impatto sproporzionato sulle libertà civili e sulla privacy. Alla luce di ciò, parrebbe che gli Stati Uniti non intendano impegnarsi a uno standard di proporzionalità specifico rispetto alle finalità perseguite (ad esempio, prevedendo una sostanziale riduzione dei dati personali cui hanno accesso), quanto piuttosto a far sì che, nonostante il trattamento possa non rispettare il predetto requisito, le possibili conseguenze per la privacy dei cittadini europei non siano ”sproporzionate”.

L’EDPB ha comunicato che analizzerà il testo dell’accordo con particolare attenzione alle norme elaborate per assicurare il rispetto dei principi di necessità e proporzionalità appena richiamati^[5].

Inoltre,

• è necessario che sussista un meccanismo di controllo indipendente.

Sul punto non vi sono particolari dettagli, infatti il comunicato statunitense si limita ad indicare che le agenzie di intelligence stesse garantiranno un’effettiva compliance rispetto a nuovi standard per la tutela della privacy e dei diritti civili.

Infine, l’EDPB rammenta che

• devono essere previsti efficaci strumenti di tutela legale per l’individuo.

Il comunicato statunitense prevede che venga istituito un nuovo sistema di ricorso a più livelli, che comprenderà un Tribunale di Riesame in materia di Protezione di Dati Personali (Data Protection Review Court) composto da soggetti esterni all’Amministrazione statunitense, che si pronuncerà in merito ai reclami dei cittadini europei.

A tal proposito è stato evidenziato come il Presidente degli Stati Uniti, tramite un Executive Order, non avrebbe i poteri di istituire un nuovo tribunale a livello federale. Sorge quindi un problema costituzionale, e sarà interessante vedere quale soluzione verrà scelta, e se la nuova Data Protection Review Court avrà i poteri per vincolare le agenzie di intelligence. Inoltre, è chiaro che sarà sommamente improbabile per un cittadino europeo di venire al corrente di un eventuale accesso ai propri dati personali da parte dell’intelligence a stelle e strisce; pertanto, ci si chiede se tale sistema di ricorso, seppur correttamente implementato, sarà in effetti un valido strumento di tutela per i cittadini europei.

Come funzionerà il nuovo meccanismo di autocertificazione?

Secondo la Commissione, saranno anche rafforzati gli obblighi in capo alle società statunitensi. Non vi sono particolari informazioni in merito, se non che è stata manifestata la volontà di definire un meccanismo in base al quale le società potranno autocertificare presso il Dipartimento del Commercio statunitense la propria adesione alla normativa introdotta dagli accordi UE-USA.

Tale meccanismo di autocertificazione era già previsto dai precedenti accordi, come il Privacy Shield; pertanto, ci si chiede quali saranno le novità che verranno introdotte per migliorarne l’adeguatezza.

Aleggia lo spettro di una sentenza “Schrems III”?

Ad oggi non si conosce il testo dell’accordo, che dovrebbe essere finalizzato nei prossimi mesi e, ancora meno, le disposizioni di diritto statunitense che dovranno attuarlo. Inoltre, secondo un noto adagio, “the devil is in the detail” e già si rilevano difformità tra quanto annunciato dagli Stati Uniti e i principi delle Raccomandazioni 02/2020 dell’EDPB sulle “European Essential Guarantees for surveillance measures”.

È allora lecito nutrire qualche dubbio sulla buona riuscita della prossima fase: trasformare le parole dei politici di Europa e Stati Uniti in efficaci misure di tutela della privacy dei cittadini europei.

Per ora, non è possibile scacciare lo spettro di una sentenza “Schrems III”, ed anzi, l’avvocato austriaco ha già dichiarato che se il testo non sarà conforme al diritto dell’Unione, si attiverà affinché la Corte di Giustizia venga adita una terza volta. Non c’è due senza tre? Vedremo.

Download Article

The post NUOVO ACCORDO USA-UE SUI DATI PERSONALI. ANNUNCIATO IL TRANS-ATLANTIC DATA PRIVACY FRAMEWORK appeared first on Studio Legale De Berti Jacchia Franchini Forlani.

«Il Garante Privacy, già con il provvedimento del 26 febbraio 2020, aveva ritenuto illecito il trattamento di dati personali condotto dal Comune di Como mediante telecamere con riconoscimento facciale, non essendoci alcuna norma nazionale che lo giustifichi», spiegano Bridget Ellison, partner e Adriano Garofalo, associate De Berti Jacchia. «Ai sensi dell’art. 7 del dlgs 51/2018, infatti, il trattamento di dati biometrici da parte delle autorità competenti a fini di prevenzione, indagini, accertamento dei reati è lecito solo se strettamente necessario e specificamente previsto da norme europee o nazionali».

Intervento di Bridget Ellison e Adriano Garofalo su ItaliaOggi Sette.

Download Article

The post SICUREZZA, PRIVACY A RISCHIO CON IL RICONOSCIMENTO FACCIALE appeared first on Studio Legale De Berti Jacchia Franchini Forlani.

Cosa accade quando un minore dichiara un’età superiore ai fini dell’iscrizione? «Su espressa richiesta del Garante della Privacy», spiega Bridget Ellison di De Berti Jacchia, «TikTok ha introdotto una procedura di age verification volta ad escludere dal social gli utenti minori di 14 anni, ma purtroppo essa era facilmente aggirabile; per questo TikTok ha ora implementato un sistema di Age Verification tramite crowdsourcing, basato sulla raccolta e verifica delle segnalazioni, effettuate dagli utenti del social, relative a violazioni della soglia di età consentita. Tuttavia, si augura che, nel prossimo futuro, tale meccanismo sia integrato con ulteriori sistemi che sfruttino la tecnologia già a disposizione delle piattaforme dei social network, e l’utilizzo dell’intelligenza artificiale, per raccogliere dati sull’età, ma non l’identità, dell’utente così come…»

ItaliaOggi7

Download Article

The post SOCIAL E MINORI, LA SFIDA DEI LEGALI È COME TUTELARE LA LIBERTÀ DI RETE appeared first on Studio Legale De Berti Jacchia Franchini Forlani.

Introduction

The long awaited new Standard Contractual Clauses (“SCCs”) which may be used to transfer personal data outside the European Economic Area (“EEA”) pursuant to art. 46 of the GDPR were adopted by the European Commission on June 4^th. They are drafted using a modular approach, so can be applied to all kinds of personal data transfers (controller to controller, controller to processor, processor to controller processor to processor). They are also specifically drafted so they can be used as data processing agreements (controller to processor) pursuant to art. 28.

The new SCCs will come into effect on June 27, 2021. The previous SCCs can be used for “new” data transfers during a transition period of three months and also can be used for existing data transfers for up to 18 months.

The adoption of new SCCs, fully justified in any event by changes in technology and practices since the previous ones were issued, comes a little less than one year after the Schrems II judgment of the European Court of Justice (“ECJ”), which substantially toughened the obligations of the parties involved in transferring personal data outside the EEA. After months of uncertainty, the new SCCs do however shed light on some of the many doubts which the Schrems II judgment raised, and which were not completely resolved by the two sets of Recommendations of the European Data Protection Board (“EDPB”) published in November 2020 or by the Joint Opinion on the Commission draft Implementing Decision published by the EDPB and the and the European Data Protection Supervisor (“EDPS”) earlier this year.

The new SCCs confirm the need for a Transfer Impact Assessment

In the Schrems II judgment, the ECJ indicated that data exporters are responsible for assessing whether the laws and practice of the importing country impinge on the effectiveness of the appropriate safeguards provided by the Art. 46 tools, such as the SCCs. Where such safeguards are not guaranteed, the ECJ leaves open the possibility of nevertheless transferring the data where the exporter and importer adopt supplementary measures to fill the gap in protection. So let’s review the SCCs and in particular Section III concerning “Local laws and practices affecting compliance with the Clauses” and “Obligations of the data importer in case of access by public authorities”. Are they consistent with the Schrems II judgment and with Recommendations published by the EDPB?

First of all, it can be noted that the European Commission has drawn up the SCCs undoubtedly adopting the risk-based approach, which permeates the GDPR and has also guided the ECJ in defining the additional obligations related to the transfer of personal data to non-EEA countries, as well as, consequently, the EDPB in the drafting of the abovementioned Recommendations.

The new SCCs confirm in Section III the most important new feature concerning personal data transfers outside the EEA introduced by the ECJ in Schrems II, which is the need for the data exporter and data importer to carry out what has come to be known as a Transfer Impact Assessment in order to assess the risks of the transfer of personal data and, where necessary, define the supplementary measures whose implementation is necessary to adequately protect personal data.

In the first place, the SCCs clarify duties and responsibilities of the importer related to the carrying out of the Transfer Impact Assessment. The data exporter is by implication bound to draft the assessment but the data importer warrants that it has made its best efforts to provide the data exporter with relevant information and, jointly with the exporter, warrants that they have “no reason to believe” that the destination territory’s laws will cause the data importer to be unable to fulfill its commitments under the SCCs, both the importer and the exporter having assessed the specific circumstances of the transfer, the laws and practices of the third country of destination and any appropriate supplementary measure to be implemented. Therefore, the SCCs oblige the data importer to collaborate with the data exporter in carrying out the Transfer Impact Assessment, which is essential in order to meets the Schrems II requirements.

Secondly, the SCCs supplement what is established by the ECJ regarding what needs to be assessed by the parties, expressly specifying that the analysis of the circumstances of the transfer (“the length of the processing chain, the number of actors involved and the transmission channels used; intended onward transfers; the type of recipient; the purpose of processing; the categories and format of the transferred personal data; the economic sector in which the transfer occurs; the storage location of the data transferred”) must be taken into account for the purposes of the assessment. Therefore, it is clarified that the Transfer Impact Assessment is not an assessment of the third country regulations, detached from any reference to the specific case, but, on the contrary, it is an assessment that strongly depends on the concrete features of the specific transfer of personal data in question.

Supplementary Measures

The specific circumstances of the transfer are also crucial to the choice of supplementary measures where the Transfer Impact Assessment finds that on their own, the combination of laws and practices of the destination country with the contractual, organizational and technical measures provided by the SCCs fails to guarantee an EU-equivalent level of protection of the personal data being transferred. Probably for this reason, the new SCCs shed no further light on what the supplementary measures should consist of, beyond making it clear that the technical and organization measures listed in Annex II are an exemplification of basic appropriate measures so any supplementary measures must be in addition to these.

So on this point, it will be necessary for the data exporter and the data importer to refer to the EDPB Recommendations 1/2020, which tried to clarify the doubts on the supplementary measures that must be applied to protect personal data transferred outside the EEA to countries whose public authorities’ powers of access to personal data are not limited to what is necessary and proportionate in a democratic society and where data subjects are not afforded effective redress, illustrating examples of supplementary measures that would or would not be effective in providing adequate protection. However, it should be noted that the final version of these Recommendations has not yet been published and it is unlikely that it will resolve the numerous doubts in specific situations leaving the parties with the heavy burden of identifying and implementing supplementary measures and assuming the responsibility of deciding whether they are adequate to grant EU-equivalent protection as required by Schrems II.

Conclusions

The situation after Schrems II is taking shape over time and the adoption of SCCs has been important in shedding some light, although in some cases they have had the opposite effect, in particular, there are questions about the correct interpretation of Recital 7 of the Implementing Decision.

That said, the SCCs have confirmed how Schrems II has burdened companies with onerous requirements, and in particular that of undertaking Transfer Impact Assessments and implementing supplementary measures, taking on themselves important risks, responsibilities, costs that many cannot afford. Is Europe on the right path? At the moment it is impossible to say; only time will give the answer.

Download Article

The post SCHREMS II AND TRANSFER IMPACT ASSESSMENTS: THE NEW SCCS SHED SOME LIGHT BUT STILL LEAVE DOUBTS appeared first on Studio Legale De Berti Jacchia Franchini Forlani.

L’EDPB e EDPS hanno rilevato profili di incompatibilità normativa di una certa rilevanza tra la proposta di Regolamento sulla governance europea dei dati e la normativa in materia di dati personali. Vediamo le disarmonie rilevate e i prossimi passi.

Pubblicato su Agenda Digitale

Download Article

The post DATA GOVERNANCE ACT E GDPR, I PROFILI DI INCOMPATIBILITÀ: IL PARERE DELLE AUTORITÀ UE appeared first on Studio Legale De Berti Jacchia Franchini Forlani.

Secondo la Corte di Giustizia europea Facebook e altre società simili non possono trasferire all’estero i dati personali dei cittadini dell’Unione fuori, e in ogni caso devono attenersi al Gdpr: la situazione è però tuttora incerta

Pubblicato su Società e Rischio

Download Article

The post UNA BARRIERA UE A DIFESA DELLA PRIVACY appeared first on Studio Legale De Berti Jacchia Franchini Forlani.

Download Programme

The post SUCCESSFUL COOPERATION WITH ITALY: FROM THEORY TO PRACTICE – Milan, October 21st – 23rd, 2019 appeared first on Studio Legale De Berti Jacchia Franchini Forlani.

A parere di Bridget Ellison di De Berti Jacchia, «dal lato delle imprese, credo che la maggior parte delle società̀, in particolar modo quelle che beneficiano di una struttura sufficientemente ampia e complessa, abbiano preso sul serio il tema “privacy”, facendo quanto necessario per conformarsi alla nuova normativa. La mia sensazione è che ormai sia pressoché terminata la fase di preparazione documentale, adeguamento dei processi aziendali e formazione delle società in ambito privacy, mentre stiamo per entrare in una fase in cui le società, fatti propri i principi della materia, dovranno utilizzare correttamente la documentazione e attenersi in concreto a quanto è stato pianificato per conformarsi al Gdpr. In pratica le società stanno passando dal processo di integrazione della privacy nei processi aziendali all’implementazione di tali processi e alla “privacy by default”»…

Le Fonti – Legal

Download Article

The post LA NUOVA PRIVACY COMPIE UN ANNO, MA L’ADEGUAMENTO È A OSTACOLI appeared first on Studio Legale De Berti Jacchia Franchini Forlani.

Esame delle principali novità in tema di privacy e riservatezza nei rapporti di lavoro.
Conciliazione della privacy del dipendente con il business aziendale.

Download Program

The post GDPR THE DAY AFTER E PRIVACY NEL MONDO DEL LAVORO – Milan, February 19th, 2019 appeared first on Studio Legale De Berti Jacchia Franchini Forlani.

While the European Data Protection Commissioners are expected to publish in November their first annual review of the Privacy Shield, the system created by agreement between the US and the EU to legitimate, subject to specific conditions, EU to US personal data transfers pursuant to Directive 95/46/EC (“Directive”), doubts…

Download Article

The post DOUBTS CAST ON THE VALIDITY OF PERSONAL DATA TRANSFERS TO THE US UNDER THE STANDARD CONTRACTUAL CLAUSES appeared first on Studio Legale De Berti Jacchia Franchini Forlani.