Come ormai sanno anche i muri, a luglio, la CJEU con la sentenza C-311\/18\u00a0ha deciso che, a causa delle normative sulla sicurezza interne degli States (1), non poteva essere garantita ai cittadini europei (i cui dati personali fossero stati oggetto di trasferimento oltre oceano) una protezione sostanzialmente equiparabile a quella garantita loro nei confini dell’Unione. Pertanto, lo strumento che consentiva il trasferimento dei dati \u00e8 stato dichiarato non pi\u00f9 adatto.<\/p>\r\n
Alternativa? Le Clausole Contrattuali Tipo. Bene si potrebbe dire, no diremo noi: perch\u00e9 \u00e8 stato fornito un ombrello \u00a0di cartapesta per ripararsi da un fall-out nucleare. Cerchiamo di capire perch\u00e9 il quadro assuma tinte cos\u00ec fosche. Iniziamo a prendere nota di quali siano le fonti del diritto in questa articolata vicenda.<\/p>\r\n
In prima istanza, chiaramente, dobbiamo fare riferimento a quella che costituisce le fondamenta di tutta la struttura dell’Unione, la Carta dei Diritti Fondamentali dell’Unione Europea dai cui articoli 7 e 8 si ha la scaturigine di tutta la legislazione relativa alla privacy e alla protezione dei dati personali (2).<\/p>\r\n
Secondariamente, viene il GDPR<\/a> stesso. Il punto di vista sul quale vorremo porre l’accento \u00e8 duplice: non solo l’articolo 32 e la sua pretesa di sicurezza tecnica e organizzativa, ma anche il 5 con quei diritti che dalla Carta originano.<\/p>\r\n A seguire possiamo fare riferimento a:\u00a0la sentenza che possiamo reperire qui<\/a>, le FAQ sulla sentenza<\/a> emesse in tutta fretta dall’EDPB e tradotte dal Garante per la Protezione dei dati personali<\/a>\u00a0in italiano, infine ultime in ordine di arrivo le Raccomandazioni<\/a> di cui abbiamo gi\u00e0 parlato in una breve news<\/a> qualche giorno addietro.<\/p>\r\n Tutta la querelle che ruota attorno alla sentenza Schrems II pu\u00f2 essere analizzata in molti modi, sotto molteplici punti di vista. Uno che ritengo essere (nella mia esperienza sul campo) degno di attenzione \u00e8 quello relativo al concetto stesso di trasferimento dei dati personali. Il nocciolo sta tutto qui. Se gi\u00e0 concepissimo il concetto di trasferimento come prendere una cosa e portarla altrove<\/i>, la sentenza avrebbe un impatto molto forte. Ma l’interpretazione che sta prevalendo non \u00e8 questa.<\/p>\r\n Infatti, come desumiamo anche dalle raccomandazioni dell’EDPB, l’interpretazione che sta avendo pi\u00f9 spazio \u00e8 quella per la quale anche solo vedere dei dati personali dall’estero \u00e8 un trasferimento<\/i><\/strong>.<\/p>\r\n Ora, stanti cos\u00ec le cose, tutto, in un mondo ormai cloudizzato (mi si passi il neologismo), diventa trasferimento di dati personali fuori del territorio UE. Ogni gesto, click, tap, gesture. Inciampiamo nel trasferimento a ogni pi\u00e8 sospinto. Ma a questo punto dobbiamo fare delle riflessioni, perch\u00e9 ogni applicazione pratica di una certa logica porta con s\u00e9 delle conseguenze.\u00a0<\/p>\r\n Tutto questo al netto dell’affermazione (parimenti importante) per la quale le Standard Clauses non sono sempre lo strumento efficace che si pensa<\/b><\/em>, lo vedremo nel prossimo paragrafo.<\/p>\r\n Cosa significa che tutto o quasi \u00e8 trasferimento? Significa, in prima istanza, che dovendo scegliere, per esempio, un servizio informatico per la posta elettronica dovremo farci delle domande e compiere analisi che prima non erano necessarie. Facciamo degli esempi.<\/p>\r\n Google si \u00e8 affrettata a mettere addendum<\/em> vari e assortiti alla sua complicatissima DPA (per leggere la quale oltre a dover conoscere l’inglese giuridico serve anche molto tempo). Alla faccia delle informative semplici e scritte con un linguaggio comprensibile. Ma sorvoliamo il dettaglio. Google \u00e8 a posto?<\/b> Chi usa il servizio GSuite e scrive nelle sue informative che il trasferimento estero avviene sulla base giuridica delle SCC \u00e8 a posto?<\/b> Perch\u00e9 la sola domanda veramente importante \u00e8 se siamo o no in compliance<\/i>.<\/p>\r\n Nel suo papello, Google concentra tutta l’attenzione sulle misure tecnico organizzative ex articolo 32. Ma non dice nulla (e del resto come potrebbe) dell’articolo 5 e delle sue implicazioni. Non pu\u00f2 farlo, perch\u00e9 banalmente, nonostante le SCC (che sono poco pi\u00f9 che una foglia di fico), le autorit\u00e0 americane possono tranquillamente intervenire sui dati. Nessun limite, nessuna attenuazione di potere, nessuna tutela.<\/p>\r\n Cos\u00ec, di sfuggita, ricordo che la maggior parte delle scuole italiane ha come piattaforma per la DaD Google Classroom e in alternativa Microsoft 365 (poco cambia). Qui ha senso ricordare che entrambi i colossi hanno datacenter in EU, il dato non lascia fisicamente il territorio, ma potenzialmente viene visto dagli States, fosse anche solo per ragioni di manutenzione.<\/p>\r\n Beh, loro ci provano. Dicono nel loro Data Processing Agreement<\/i> (oggettivamente pi\u00f9 comprensibile) che faranno il possibile per essere compliant<\/i>, che hanno le SCC, che cercheranno di non dare i dati alle pubbliche autorit\u00e0, ma qualora queste li chiedessero dovrebbero cedere (limitandosi a un avviso all’utente interessato). Di nuovo, la SCC si rivela il famoso ombrellino per ripararsi dal fall-out. Ed ecco che inizia ad avere senso la frase della CJEU quando dice che va analizzato case by case\u00a0<\/i>l’uso delle SCC, ogni singola situazione \u00e8 differente.<\/p>\r\n Altro caso assurdo capita a me. Uso il mio cellulare personale (un iPhone) per esigenze di lavoro. Salvo al suo interno numeri di telefono e mail di un numero ormai piuttosto cospicuo di interessati (siano essi clienti, fornitori, consulenti e via cos\u00ec). Ma siccome sono un bravo Titolare e mi curo delle misure tecniche e organizzative ai sensi dell’articolo 32, organizzo un backup per business continuity\/disaster recovery usando iCloud di Apple (che non ha datacenter europei per questo servizio). In questo modo i miei dati sono protetti dal rischio di perdita distruzione, ecc. Ma cos\u00ec facendo li sposto in USA. Ed ecco che paradossalmente per tentare di essere in compliance<\/i>, divento non compliant<\/i>.<\/p>\r\n I consulenti \u00a0e i DPO stanno alfabetizzando e scolarizzando un mondo che parlava in modo epilettico di privacy, che blaterava parole senza capirne il senso. Insegnando a capire l’utilit\u00e0 di una Data Protection<\/i> reale, non fatta di pezzi di carta. La Corte con questa sentenza spazza via tutto questo lavoro. Dura spiegare alle aziende che usare GSuite o Microsoft 365 non \u00e8 compliant<\/i> e quindi le imprese sono passibili di sanzioni. Lo strumento Privacy Shield<\/i> era oggettivamente ridicolo? S\u00ec, siamo tutti d’accordo; poteva essere utile, prima di eliminarlo, trovare uno strumento pi\u00f9 rispondente alle necessit\u00e0? Fate voi.\u00a0<\/p>\r\n Il rischio qui \u00e8 che questi anni \u00a0vengano vanificati. Sarebbe il fallimento del GDPR.<\/p>\r\n Posso comprendere le ragioni della CJEU, lo scontro di filosofie radicalmente differente: tra gli europei garantisti e i Cowboys<\/i> che dei diritti non si curano, se non a parole. Ma dando corso a questo scontro culturale a pagarne le conseguenze sar\u00e0 il GDPR.\u00a0<\/p>\r\n Ancora una volta (come nella sentenza a favore di Google in un caso di richiesta di applicazione worldwide dell’articolo 17 del GDPR), la Corte ha agito in modo arcaico<\/b>. Non ha considerato il contesto, il cloud<\/i>, la realt\u00e0 dell’informatica odierna, non ha considerato che il mondo del lavoro, oggi, non pu\u00f2 prescindere da quelle multinazionali dell’informazione e del dato. Banalmente perch\u00e9 l’Europa non \u00e8 in grado di offrire alcuna valida alternativa.\u00a0<\/p>\r\n Abbiamo giusto un servizio alternativo di newsletter (che tra l’altro \u00e8 stato oggetto di databreach<\/em> recentemente). La domanda \u00e8 se il GDPR medesimo sia ancora adeguato o se non necessiti gi\u00e0 di un restyling che tenga conto di taluni contesti.<\/p>\r\n Il boomerang lanciato dalla Corte presto o tardi torner\u00e0 indietro, il problema \u00e8 capire se ci sia a riceverlo qualcuno in grado di afferrarlo con le mani e non con la faccia.<\/p>\r\n ___________________________________________<\/p>\r\n (1):<\/p>\r\n Le principali normative americane che consentono alle PA di violare i date personali di cittadini non europei sono:<\/p>\r\n (2):<\/p>\r\n Gli articoli della Carta che fondano tutta la logica della privacy europea:<\/p>\r\n Il quadro iniziale Come ormai sanno anche i muri, a luglio, la CJEU con la sentenza C-311\/18\u00a0ha deciso che, a causa delle normative sulla sicurezza interne degli States (1), non poteva essere garantita ai cittadini europei (i cui dati personali fossero stati oggetto di trasferimento oltre oceano) una protezione sostanzialmente equiparabile a quella garantita loro […]<\/p>\n","protected":false},"author":3,"featured_media":850,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[46],"tags":[34,26,27,32,31,33,35,24,25,36,29],"yoast_head":"\nIl nodo cruciale della vicenda<\/h3>\r\n
Alcuni casi pratici<\/h3>\r\n
GOOGLE GSUITE<\/h4>\r\n
MAILCHIMP<\/h4>\r\n
IL PARADOSSO iCLOUD<\/h4>\r\n
Rischi connessi alla sentenza<\/h3>\r\n
Due culture opposte<\/h3>\r\n
Conclusioni<\/h3>\r\n
\r\n
\r\n