Il 16 luglio 2020 la Corte di Giustizia dell’Unione Europea ha emesso l’attesa decisione sulla pronuncia pregiudiziale nel caso noto come Schrems II (C-311/18) che ha ritenuto invalido lo strumento del Privacy Shield, con effetto immediato ed ha chiarito alcuni aspetti riguardo all’ambito di validità delle clausole tipo adottate dalla Commissione UE sui trasferimenti esteri di dati personali (cosiddette “SCC”). 

Dopo 5 anni dalla decisione che invalidò il “Safe Harbor” (C-362/14, “Schrems I”), ora tocca al suo successore e, nell’intermezzo, la Corte ha anche bocciato con un suo parere una proposta di accordo internazionale per i trasferimenti verso il Canada di dati dei passeggeri di voli aerei. 

In parentesi i riferimenti ai paragrafi della decisione.

Sintesi 

 

Percorso precedente

Il caso nasce da una denuncia di Max Schrems all’autorità di supervisione irlandese riguardo alla presunta illegittimità dei trasferimenti dei dati personali del proprio account da Facebook Ireland verso gli Stati Uniti. 

Ritenendo necessario risolvere alcuni aspetti interpretativi delle pertinenti prescrizioni del GDPR sui flussi di dati oltre i confini dell’Unione, l’autorità irlandese si è rivolta al giudice affinchè questi potesse rinviare il caso alla Corte di Giustizia della UE, inoltrando una domanda di pronuncia pregiudiziale.  

I dubbi sulla tenuta giuridica dello strumento del Privacy Shield datano indietro nel tempo, quasi a partire dalla vigilia della data dell’accordo: ad esempio, il Gruppo di lavoro dell’articolo 29 non ne sostenne l’approvazione, mentre per il seguito si veda al riguardo l’Alert del 19 luglio 2018.

Quesiti sottoposti alla CGUE

I principali quesiti sottoposti alla Corte di giustizia sono stati: 

1. quale livello di protezione si applica alle clausole contrattuali tipo (“SCC”) adottate dalla Commissione ai sensi dell’art. 46 del GDPR (paragrafo 90); 
2. se le autorità di supervisione nazionali (ASN) sono tenute a sospendere o vietare i trasferimenti di dati basati sulle SCC quando, a loro avviso, le clausole non sono rispettate o il livello di protezione non può essere garantito (paragrafo 106); 
3. se le SCC sono uno strumento giuridicamente valido (paragrafo 122); 
4. se il Privacy Shield garantisce un livello adeguato di protezione ai sensi dell’art. 45 GDPR (paragrafo 160).

Decisione 

La decisione ha ricalcato le conclusioni dell’avvocato generale – come è prassi nei giudizi dinanzi alla Corte – stabilendo quanto segue:

• le clausole contrattuali tipo  (nella specie quelle tra titolari e responsabili adottate dalla Commissione con decisione 2010/87/UE successivamente emendate dalla decisione 2016/2297) costituiscono uno strumento di salvaguardia volto a fondare la legittimità dei trasferimenti di dati personali; esse, tuttavia, non garantiscono in via assoluta che i dati trasferiti possano effettivamente godere di un livello di protezione “sostanzialmente equivalente” a quello offerto nell’Unione; è compito di titolari e responsabili verificare caso per caso che la sostanziale equivalenza sia realmente conseguita con riferimento al regime giuridico di protezione presso il paese di importazione;
• il Privacy Shield oggetto della decisione di adeguatezza 2016/1250 da parte della Commissione UE, cui spetta il giudizio in merito alla “sostanziale equivalenza” di cui sopra, non offre garanzie essenziali per l’adeguata tutela dei diritti e delle libertà fondamentali degli interessati, le quali vanno vagliate con riferimento a garanzie adeguate, diritti azionabili e mezzi di ricorso effettivo [art. 46(1), GDPR].

Le considerazioni della Corte hanno valore generale, ancorchè abbiano come riferimento le tutele disponibili per l’interessato nel caso di accesso ai propri dati da parte di autorità di contrasto o di servizi di sicurezza nazionale del paese di destinazione.

Valore giuridico 

Il valore giuridico della decisione della Corte è quello di interpretazione autentica delle norme di diritto dell’Unione che ne formano oggetto. Pertanto, le ASN e i giudici nazionali dovranno attenersi alle pronunce della CGUE quando applicano le prescrizioni da essa vagliate. Lo stesso avverrà per il caso Schrems pendente dinanzi all’autorità irlandese, la quale dovrà decidere nel merito del reclamo presentato dallo stesso Max Schrems, applicando l’interpretazione fornita dalla Corte e le risposte date ai quesiti formulati da quella autorità.