Dal 1 gennaio 2021, come sappiamo, al termine del periodo di transizione il Regno Unito sarà da trattare a tutti gli effetti quale Paese terzo (in realtà, sul piano giuridico, lo è già dal 1 febbraio 2020), in particolare – per quel che qui rileva – con riferimento alla applicazione della normativa sulla protezione dei dati personali. Ciò significa che la comunicazione/trasmissione di dati a soggetti ivi stabiliti da parte di titolari/responsabili nell'Unione Europea si trasformerà in una operazione od un complesso di operazioni denominate come 'trasferimento', così come configurato e disciplinato dal Capo V del Regolamento UE 2016/679.

L'art. 97 è una delle disposizioni meno citate del Regolamento UE 2016/679 e tuttavia ha una sua rilevanza nella misura in cui formalizza un principio importante (ribadito dall'art. 98 per gli altri atti legislativi dell'Unione in materia di protezione dei dati), anche se scontato: il Regolamento non è le Tavole della Legge di Mosè e nel corso del tempo potrebbe essere inciso da modifiche.

Lo Schema ISDP 10003:2020 ha tradotto i 99 articoli e i 173 considerando del Gdpr in controlli operativi – Con esso non si certifica il sistema di gestione, che pure sussiste, bensì il processo, il prodotto, il servizio - Lo Schema è gratuito ed è arricchito da una check list che può essere utilizzata per una verifica del gap dell'organizzazione rispetto ai requisiti in esso ordinati.

E' sicuro che la decisione della Corte di Giustizia dell'Unione Europea nella causa C-311/18 del 16 luglio 2020 - la c.d. sentenza “Schrems II” - dovrà essere ricordata e metabolizzata per qualcosa di più che per il colpo di ghigliottina inferto al “Privacy Shield”.  C'è, in buona sintesi, un argomento/punto – certo non nuovo! - su cui deve/dovrà concentrarsi l'attenzione degli interpreti e degli operatori. Con la domanda di pronuncia pregiudiziale, il giudice del rinvio ha interrogato la CGUE sulla applicabilità del Regolamento UE 2016/679 (d'ora in poi anche solo 'Regolamento') a trasferimenti di dati personali fondati su clausole tipo di protezione contenute nella decisione 2010/87, sul livello di protezione richiesto nel quadro di un trasferimento siffatto e sugli obblighi correlativamente incombenti sulle autorità di controllo.

Al “Privacy Shield” è toccato, in sostanza, il destino del “Safe Harbor” – Nella decisione della Corte di Giustizia ha pesato, segnatamente, il primato delle esigenze di sicurezza nazionale, interesse pubblico e amministrazione della giustizia, tale da consentire ingerenze del governo nei diritti fondamentali delle persone fisiche i cui dati sono trasferiti alle imprese U.S.A. – A ciò si è aggiunta la verifica della mancanza di garanzie di indipendenza, rispetto al Dipartimento di Stato U.S.A., della figura del Mediatore dello “Scudo Privacy”, in contrasto con l’articolo 47 della Carta dei Diritti Fondamentali dell'Unione Europea.

Una tabella per mettere a confronto le cautele/caratteristiche definite per la 'app' “Immuni” dall'art. 6 (“sistema di allerta Covid-19”) del Decreto Legge n. 28 del 30 aprile 2020 con i principali requisiti definiti dall'European Data Protection Board (Comitato europeo per la protezione dei dati) nelle recenti Linee Guida n. 4/2020 (l'adozione è del 21 aprile scorso) sull'uso dei dati di localizzazione e degli strumenti per il tracciamento dei contatti nel contesto dell’emergenza legata al Covid-19.

Il Regolamento UE 2016/679 disciplina il trasferimento dei dati extra-UE al fine di garantire che non sia pregiudicato il livello di protezione assicurato alle persone fisiche, in relazione ai trattamenti di dati personali, quando i dati siano trasferiti a soggetti stabiliti al di fuori dello Spazio Economico Europeo e in luoghi non soggetti al diritto di uno Stato membro in virtù del diritto internazionale pubblico (le disposizioni sul trasferimento si completano combinandosi con la lettura dell'art. 3, concernente l'ambito di applicazione territoriale).

Risale al 27 novembre 2008 il Provvedimento del Garante avente ad oggetto “Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema”, poi modificato nel 2009. Non è dunque di ieri, eppure risulta ancora (e non di rado) del tutto ignorato.