La Commissione europea,

visto il trattato sul funzionamento dell'Unione europea,

visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (1), in particolare l'articolo 45, paragrafo 3,

considerando quanto segue:

1. INTRODUZIONE

(1)Il regolamento (UE) 2016/679 stabilisce le norme per il trasferimento di dati personali da titolari del trattamento o responsabili del trattamento nell'Unione verso paesi terzi e organizzazioni internazionali nella misura in cui tale trasferimento rientri nel suo ambito di applicazione. Le norme sui trasferimenti internazionali di dati sono stabilite nel capo V di detto regolamento, ossia negli articoli da 44 a 50. Sebbene la circolazione di dati personali verso e da paesi al di fuori dell'Unione europea sia essenziale per l'espansione della cooperazione internazionale e degli scambi transfrontalieri, occorre garantire che il livello di protezione offerto ai dati personali nell'Unione europea non sia compromesso da trasferimenti verso paesi terzi (2).

(2)Ai sensi dell'articolo 45, paragrafo 3, del regolamento (UE) 2016/679 la Commissione può decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all'interno di un paese terzo, o un'organizzazione internazionale garantiscono un livello di protezione adeguato. Nel rispetto di tale condizione, i trasferimenti di dati personali verso un paese terzo possono avvenire senza la necessità di ottenere ulteriori autorizzazioni, come previsto dall'articolo 45, paragrafo 1, e dal considerando 103 di tale regolamento.

(3)Come specificato all'articolo 45, paragrafo 2, del regolamento (UE) 2016/679, l'adozione della decisione di adeguatezza deve basarsi su un'analisi completa dell'ordinamento giuridico del paese terzo, per quanto riguarda tanto le norme applicabili agli importatori di dati quanto le limitazioni e le garanzie relative all'accesso ai dati personali da parte delle autorità pubbliche. Nella propria valutazione la Commissione deve stabilire se il paese terzo in questione assicura un livello di protezione «sostanzialmente equivalente» a quello garantito all'interno dell'Unione europea (considerando 104 del regolamento (UE) 2016/679). Il criterio rispetto al quale viene valutata l'«equivalenza sostanziale» è quello stabilito dalla legislazione dell'UE, in particolare il regolamento (UE) 2016/679, nonché dalla giurisprudenza della Corte di giustizia dell'Unione europea (3). Anche i criteri di riferimento per l'adeguatezza del comitato europeo per la protezione dei dati (EDPB) sono rilevanti a questo proposito (4).

(4)Come chiarito dalla Corte di giustizia dell'Unione europea, non è richiesto un livello di protezione identico (5). In particolare, gli strumenti dei quali il paese terzo in questione si avvale per proteggere i dati personali possono essere diversi da quelli attuati all'interno dell'Unione europea, purché si rivelino efficaci, nella prassi, al fine di assicurare un livello adeguato di protezione (6). Il livello di adeguatezza non comporta pertanto una duplicazione pedissequa delle norme dell'Unione. La prova consiste, piuttosto, nel determinare se, con la sostanza dei diritti alla protezione dei dati e rendendone l'attuazione, l'azionabilità e il controllo effettivi, il sistema estero, nel suo insieme, offre il necessario livello di protezione (7).

(5)La Commissione ha analizzato attentamente la normativa e la prassi del Regno Unito. Sulla base delle risultanze illustrate nei considerando da 8 a 270, la Commissione conclude che il Regno Unito assicura un livello di protezione adeguato per i dati personali trasferiti dall'Unione europea verso il Regno Unito nell'ambito di applicazione del regolamento (UE) 2016/679.

(6)Questa conclusione non riguarda i dati personali trasferiti a fini di controllo dell'immigrazione da parte del Regno Unito o che altrimenti rientrano nell'ambito di applicazione dell'esenzione rispetto a determinati diritti degli interessati a fini di mantenimento dell'effettivo controllo dell'immigrazione («esenzione per motivi di immigrazione») a norma dell'allegato 2, paragrafo 4, punto 1, della legge del 2018 sulla protezione dei dati. La validità e l'interpretazione dell'esenzione per motivi di immigrazione ai sensi del diritto del Regno Unito non sono stabilite, a seguito di una decisione della Corte d'appello di Inghilterra e Galles del 26 maggio 2021. Pur riconoscendo che i diritti degli interessati possono, in linea di principio, essere limitati a fini di controllo dell'immigrazione quale «aspetto importante dell'interesse pubblico», la Corte d'appello ha ritenuto che l'esenzione per motivi di immigrazione, nella sua forma attuale, è incompatibile con il diritto del Regno Unito, in quanto la misura legislativa non contiene disposizioni specifiche che prevedono le garanzie elencate all'articolo 23, paragrafo 2, del regolamento generale sulla protezione dei dati del Regno Unito (in appresso «GDPR del Regno Unito») (8). In tali condizioni, i trasferimenti di dati personali dall'Unione verso il Regno Unito ai quali può applicarsi l'esenzione per motivi di immigrazione dovrebbero essere esclusi dall'ambito di applicazione della presente decisione (9). Una volta posto rimedio all'incompatibilità con il diritto del Regno Unito, l'esenzione per motivi di immigrazione dovrebbe essere riesaminata, come pure la necessità di mantenere la limitazione dell'ambito di applicazione della presente decisione.

(7)La presente decisione non dovrebbe incidere sull'applicazione diretta del regolamento (UE) 2016/679 alle organizzazioni stabilite nel Regno Unito qualora siano soddisfatte le condizioni relative all'ambito di applicazione territoriale di tale regolamento, di cui all'articolo 3 dello stesso.

2.NORME CHE SI APPLICANO AL TRATTAMENTO DI DATI PERSONALI

2.1.Il quadro costituzionale

(8)Il Regno Unito è una democrazia parlamentare che ha un sovrano costituzionale come capo di Stato. Dispone di un parlamento sovrano che costituisce l'autorità suprema rispetto a tutte le altre istituzioni pubbliche, di un potere esecutivo designato dal parlamento e responsabile di fronte a quest'ultimo, e di un potere giudiziario indipendente. Il potere esecutivo deriva la propria autorità dalla propria capacità di ottenere la fiducia della House of Commons (Camera dei Comuni) eletta, e risponde a entrambe le camere del parlamento competenti per l'esame dell'operato del governo nonché per la discussione e l'emanazione di leggi.

(9)Il parlamento del Regno Unito ha delegato al parlamento scozzese, al parlamento gallese (Senedd Cymru) e all'assemblea dell'Irlanda del Nord il potere di legiferare, rispettivamente in Scozia, Galles e Irlanda del Nord, in materie interne che il parlamento del Regno Unito non ha riservato a sé stesso. Sebbene la protezione dei dati sia una materia di competenza del governo centrale, il che significa che la medesima legislazione si applica in tutto il paese, la regolamentazione di altri settori politici pertinenti per la presente decisione è stata delegata. Ad esempio i sistemi di giustizia penale, comprese le attività di polizia di Scozia e Irlanda del Nord, sono soggetti rispettivamente alla competenza del parlamento scozzese e dell'assemblea dell'Irlanda del Nord. Il Regno Unito non dispone di una costituzione codificata nel senso di un documento costitutivo attestato. I principi costituzionali si sono affermati nel corso del tempo, tratti in particolare dalla giurisprudenza e dalla convenzione. Il valore costituzionale di taluni statuti, quali la Magna Carta, il Bill of Rights 1689 e la Human Rights Act 1998 (legge del 1998 sui diritti umani), è stato riconosciuto dagli organi giurisdizionali. I diritti fondamentali delle persone fisiche sono stati sviluppati, come parte della costituzione, attraverso la «common law» (diritto giurisprudenziale), gli statuti corrispondenti e i trattati internazionali, in particolare la convenzione europea dei diritti dell'uomo che il Regno Unito ha ratificato nel 1951. Nel 1987 il Regno Unito ha ratificato altresì la convenzione del Consiglio d'Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale (convenzione 108) (10).

(10)La legge del 1998 sui diritti umani integra nel diritto del Regno Unito i diritti sanciti dalla convenzione europea dei diritti dell'uomo (CEDU). Tale legge accorda a qualsiasi persona fisica i diritti e le libertà fondamentali di cui agli articoli da 2 a 12 e 14 CEDU, agli articoli 1, 2 e 3 del suo primo protocollo e all'articolo 1 del suo tredicesimo protocollo, in combinato disposto con gli articoli 16, 17 e 18 CEDU. Tra di essi è compreso il diritto al rispetto della vita privata e familiare (così come il diritto alla protezione dei dati rientrante in tale diritto) e il diritto a un equo processo (11). In particolare, conformemente all'articolo 8 di tale convenzione, può esservi ingerenza da parte di un'autorità pubblica in relazione al diritto alla tutela della vita privata conformemente alla legge soltanto laddove ciò costituisca in una società democratica una misura necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell'ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui.

Per saperne di più:

Tratto da:

Link:

https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=uriserv%3AOJ.L_.2021.360.01.0001.01.ITA&toc=OJ%3AL%3A2021%3A360%3ATOC

 

Nb: Ritenete che possiamo migliore le nostre attività, oppure siete soddisfatti?

Cliccando sul link sottostante potrete esprimere, in modo anonimo, una valutazione sul centro Europe Direct di Gioiosa Jonica ‘CalabriaEuropa’:

http://occurrence-survey.com/edic-users-satisfaction/page1.php?lang=it