L’European Data Protection Board nella sua ultima seduta plenaria del 22 febbraio ha adottato il testo definitivo delle linee guida 4/2021 sui codici di condotta quali strumenti per il trasferimento di dati personali al di fuori dell’Unione Europea.
L’EDPB, con l’adozione di queste linee guida, ha ribadito il proprio impegno nell’agevolare i trasferimenti di dati personali offrendo al contempo delle garanzie per i diritti e le libertà che il framework normativo comunitario assicura ai cittadini europei nel trattamento dei dati personali.
Codici di condotta come strumento per i trasferimenti dati, le linee guida EDPB
L’approvazione di tali linee guida offre un chiaro segnale della volontà delle istituzioni comunitarie di offrire, in un’ottica di libero scambio e globalizzazione, il più ampio novero di strumenti per agevolare i flussi informativi da e verso l’Unione Europea. È altresì chiaro che questa libertà non può tradursi in una compressione dei preziosi diritti dei cittadini europei, consolidati dall’avvento del GDPR.
Per far ciò è necessario, dunque, un contemperamento che disciplini in maniera compiuta, ma non costrittiva, i flussi di dati internazionali.
L’articolo 46 del Gdpr e i codici di condotta
In tal senso l’articolo 46 del GDPR prevede che, in assenza di una decisione di adeguatezza della Commissione Europea, il trasferimento è consentito quando il data exporter (ossia il soggetto giuridico che si trova al di fuori del perimetro europeo) sia in grado di fornire garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.
Tra le “garanzie adeguate” presenti nell’elenco fornito dallo stesso articolo 46, oltre agli strumenti più noti come le Clausole Contrattuali Standard o le Binding Corporate Rules, si possono trovare anche i codici di condotta.
I codici di condotta, previsti dall’art. 40 del GDPR, sono strumenti ai quali può essere riconosciuto un importante ruolo di soft law. L’adesione a questi codici da parte di un titolare o di un responsabile del trattamento può fungere da elemento di prova del rispetto dei principi sanciti dal GDPR e, in generale, della loro conformità al Regolamento (accountability).
L’adesione ai codici di condotta riconosciuti quali strumento per i trasferimenti internazionali di dati da parte di soggetti esterni all’Unione Europea permette a questi di fornire una prova degli sforzi intrapresi nell’adozione delle garanzie sulla sicurezza nel trattamento dei dati personali richieste dalla normativa europea. In questo modo, i codici di condotta agiscono quale garanzia del rispetto degli standard di sicurezza richiesti dal GDPR.
La scelta di promuovere o aderire a codici di condotta può costituire dunque una soluzione molto efficace sotto diversi profili. La loro natura di strumenti di autodisciplina, ponderati sulle esigenze e sui trattamenti di uno specifico settore o attività, fa sì che questi siano in grado di supportare a livello organizzativo ed economico il soggetto aderente nell’implementazione di sistemi di data protection pienamente compliant al GDPR. Nel caso dei codici di condotta adottati nel rispetto dei canoni previsti dalle Linee Guida EDPB 4/2021, questi potranno altresì assolvere a condizione per il trasferimento verso quei Paesi che non hanno superato il vaglio di adeguatezza da parte della Commissione Europea.
I codici di condotta e i flussi verso gli USA
Lo sviluppo di questo strumento è da considerarsi auspicabile in questo periodo transitorio nel quale, orfane del Privacy Shield, le aziende statunitensi – da sempre tra i principali interlocutori economici sul mercato tecnologico e non solo – necessitano di strumenti che gli permettano di proseguire le loro attività, che vedono nei dati personali un asset strategico imprescindibile per il loro business.
Chiari indicatori di tali esigenze sono le recenti pronunce delle Data Protection Authority europee (Austriaca e Francese in particolare) nei confronti del più grande operatore tecnologico statunitense, ossia Google. L’assenza di adeguate condizioni per il trasferimento è difatti stato al centro delle pronunce, trancianti, delle due Autorità.
Le Authorities si sono, d’altro canto, attenute all’attuale stato delle cose e si sono espresse in conformità con l’impostazione conseguente alla sentenza della Corte di Giustizia Europea nel celebre caso Schrems 2. La mancanza di garanzie in merito alla impermeabilità dei database di “Big G” alle possibili ingerenze da parte delle autorità di controllo statunitensi e l’assenza di consistenti strumenti di tutela per gli interessati europei hanno necessariamente condotto le due Autorithies comunitarie verso il blocco dei trasferimenti verso gli USA, effettuati da Google per l’erogazione di uno dei servizi principali offerti dall’azienda di Mountain View, ossia Google Analytics.
Conclusioni
L’ennesimo contrasto tra il contesto, legale e sociale, europeo e la compagine americana evidenzia come sia necessario trovare nuove strade per non ostacolare un imprescindibile flusso di conoscenze, strumenti, know-how che richiedono uno scambio di dati personali tra UE e US. Non è infatti da considerarsi percorribile, in quanto anacronistica rispetto ad una globalizzazione che nel mondo tecnologico è già dato acquisito, una opzione autarchica di chiusura nei confronti di ciò che è estraneo al nostro contesto normativo.
D’altronde questa apertura alla globalizzazione non deve essere interpretata quale inclinazione al sacrificio di diritti fondamentali, riconosciuti dai nostri più prestigiosi trattati internazionali, quale, ad esempio, la Convenzione Europea dei diritti dell’uomo e delle libertà fondamentali.
In medio stat virtus. La ricerca di nuovi strumenti di salvaguardia, tra i quali si collocano i codici di condotta in oggetto, deve aspirare proprio alla ricerca del giusto bilanciamento tra la tutela dei diritti fondamentali degli individui e lo sviluppo dell’economia e del benessere (non solo economico) dei cittadini.
Spetterà ora, alla luce anche delle indicazioni fornite dall’EDPB, ad aziende, associazioni o organizzazioni internazionali adoperarsi nella predisposizione di codici di condotta che rispondano a questo ambizioso obiettivo.
