Protezione dei dati: la Commissione europea ha adottato le decisioni di adeguatezza per il Regno Unito

La Commissione europea ha adottato, il 28 giugno 2021, due decisioni di adeguatezza per il Regno Unito, una ai sensi del Regolamento generale sulla protezione dei dati (GDPR) e l'altra ai sensi della Direttiva (UE) 2016/680 sull'applicazione della legge. 

In base alle due decisioni adottate, la C(2021) 4800 "final pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council on the adequate protection of personal data by the United Kingdom" e la C(2021) 4801 "final pursuant to Directive (EU) 2016/680 of the European Parliament and of the Council on the adequate protection of personal data by the United Kingdom", i dati personali potranno ora fluire liberamente dall'Unione Europea al Regno Unito, dove beneficiano di un livello di protezione sostanzialmente equivalente a quello garantito dal diritto dell'UE. 

Le decisioni di adeguatezza facilitano, inoltre, la corretta attuazione dell'Accordo commerciale e di cooperazione UE-Regno Unito, che prevede lo scambio di informazioni personali, ad esempio per la cooperazione in materia giudiziaria. Entrambe le decisioni di adeguatezza includono forti garanzie in caso di divergenza futura, come una "clausola di decadenza", che limita la durata dell'adeguatezza a quattro anni. 

Il 19 febbraio la Commissione ha pubblicato due progetti di decisioni di adeguatezza e ha avviato la procedura per la loro adozione. Negli ultimi mesi la Commissione ha valutato attentamente la legislazione e la prassi del Regno Unito in materia di protezione dei dati personali, comprese le norme sull'accesso ai dati da parte delle autorità pubbliche del Regno Unito. La Commissione è stata in stretto contatto con il Comitato europeo per la protezione dei dati, che ha espresso il suo parere il 13 aprile 2021, con il Parlamento europeo e gli Stati membri. A seguito di questo approfondito processo, la Commissione Europea ha chiesto il via libera alle decisioni di adeguatezza da parte dei rappresentanti degli Stati membri nella cosiddetta "procedura di comitatologia". L'adozione delle due decisioni, previo accordo dei rappresentanti degli Stati membri, è l'ultima fase della procedura. 

L'Accordo commerciale e di cooperazione UE-Regno Unito (TCA) include un impegno da parte dell'UE e del Regno Unito a mantenere elevati livelli di standard di protezione dei dati. Il TCA prevede inoltre che qualsiasi trasferimento di dati da effettuare nel contesto della sua attuazione deve rispettare i requisiti di protezione dei dati della parte trasferente (per l'UE, i requisiti del GDPR e la direttiva sull'applicazione della legge). L'adozione delle due decisioni di adeguatezza unilaterali e autonome è un elemento importante per garantire la corretta applicazione e funzionamento del TCA. L'Accordo UE-Regno Unito prevede un regime provvisorio condizionale in base al quale i dati possono fluire liberamente dall'UE al Regno Unito. Questo periodo intermedio scade il 30 giugno 2021.
 

Věra Jourová, vicepresidente per i valori e la trasparenza, ha dichiarato nel commentare l'adozione delle due decisioni di adeguatezza:

"Il Regno Unito ha lasciato l'UE, ma oggi il suo regime legale di protezione dei dati personali è rimasto com'era. Per questo motivo, oggi adottiamo queste decisioni di adeguatezza. Allo stesso tempo, abbiamo ascoltato con molta attenzione le preoccupazioni espresse dal Parlamento, dagli Stati membri e dal Comitato europeo per la protezione dei dati, in particolare sulla possibilità di future divergenze dai nostri standard nel quadro della privacy del Regno Unito. Si tratta di un diritto fondamentale dei cittadini dell'UE che abbiamo il dovere di tutelare. Per questo abbiamo tutele significative e se qualcosa cambia da parte del Regno Unito, interverremo".

Didier  Reynders , Commissario per la Giustizia, ha affermato:

"Dopo mesi di attente valutazioni, oggi possiamo dare ai cittadini dell'UE la certezza che i loro dati personali saranno protetti quando verranno trasferiti nel Regno Unito. Questa è una componente essenziale del nostro nuovo rapporto con il Regno Unito. È importante per un commercio regolare e per una lotta efficace contro la criminalità. La Commissione seguirà da vicino l'evoluzione futura del sistema del Regno Unito e abbiamo rafforzato le nostre decisioni per consentire ciò e per un intervento se necessario. L'UE ha gli standard più elevati in materia di protezione dei dati personali e questi non devono essere compromessi quando i dati personali vengono trasferiti all'estero".

Il sistema di protezione dei dati del Regno Unito continua ad essere basato sulle stesse regole che erano applicabili quando il Regno Unito era uno Stato membro dell'UE. Il Regno Unito ha pienamente incorporato i principi, i diritti e gli obblighi del GDPR e della direttiva sull'applicazione della legge nel proprio sistema giuridico post-Brexit.

Per quanto riguarda l'accesso ai dati personali da parte delle autorità pubbliche nel Regno Unito, in particolare per motivi di sicurezza nazionale, il sistema del Regno Unito prevede solide garanzie. La raccolta di dati da parte delle autorità di intelligence è, in linea di principio, soggetta alla preventiva autorizzazione di un organo giudiziario indipendente. Qualsiasi misura deve essere necessaria e proporzionata a ciò che si intende ottenere. Chiunque ritenga di essere stato oggetto di sorveglianza illecita può adire il Tribunale dei poteri investigativi. Il Regno Unito è inoltre soggetto alla giurisdizione della Corte europea dei diritti dell'uomo e deve aderire alla Convenzione europea dei diritti dell'uomo nonché alla Convenzione del Consiglio d'Europa per la protezione delle persone rispetto al trattamento automatizzato dei dati a carattere personale, che è l'unico trattato internazionale vincolante in materia di protezione dei dati. Questi impegni internazionali sono elementi essenziali del quadro giuridico valutato nelle due decisioni di adeguatezza.

Per la prima volta, le decisioni di adeguatezza includono una cosiddetta "clausola di decadenza", che ne limita rigorosamente la durata. Ciò significa che le decisioni scadranno automaticamente quattro anni dopo la loro entrata in vigore. Dopo tale periodo, le risultanze di adeguatezza potrebbero essere rinnovate, tuttavia, solo se il Regno Unito continua a garantire un livello adeguato di protezione dei dati. Durante questi quattro anni, la Commissione continuerà a monitorare la situazione giuridica nel Regno Unito e potrebbe intervenire in qualsiasi momento se il Regno Unito si discosta dal livello di protezione attualmente in vigore. Qualora la Commissione decidesse di rinnovare l'accertamento di adeguatezza, il processo di adozione riprenderebbe.

I trasferimenti ai fini del controllo dell'immigrazione nel Regno Unito sono esclusi dall'ambito della decisione di adeguatezza adottata ai sensi del GDPR al fine di riflettere una recente sentenza della Corte d'appello di Inghilterra e Galles sulla validità e l'interpretazione di alcune restrizioni dei diritti di protezione dei dati in questo la zona. La Commissione valuterà nuovamente la necessità di tale esclusione una volta che la situazione sarà stata risolta ai sensi del diritto britannico.