Venerdì scorso si è riunito il Consiglio Giustizia e Affari Interni (GAI), che ha discusso della proposta di Regolamento in materia di dati personali e, in particolare, del trasferimento dei dati in Paesi extra Ue e del meccanismo del one-stop-shop.
Quanto al trasferimento dei dati nei Paesi non europei (Capitolo V), il Consiglio ha raggiunto un accordo parziale sulle condizioni che lo legittimano. In particolare, tale accordo prevede che il trasferimento di dati personali verso un Paese extra Ue è ammesso se:
-
tale Paese garantisce un livello di protezione dei dati adeguato. L’adeguatezza è valutata dalla Commissione europea, previo parere del Comitato europeo per la protezione dei dati. In questo caso, il trasferimento non necessita di autorizzazioni specifiche;
-
in assenza di una decisione di adeguatezza della Commissione europea, il titolare applica garanzie adeguate di protezione dei dati. A tal fine, si distinguono le garanzie che non richiedono l’autorizzazione dell’autorità di controllo nazionale (es. le norme vincolanti d’impresa, le clausole contrattuali tipo adottate dalla Commissione europea e dall’autorità di controllo, i codici di condotta, i meccanismi di certificazione che garantiscono l'impegno del destinatario ad assicurare la protezione di dati personali provenienti dall'Ue) da quelle che, invece, vi rimangono soggette (es. le clausole contrattuali diverse da quelle adottate dalla Commissione europea);
-
l’interessato abbia manifestato il proprio consenso;
-
il trasferimento sia necessario per la conclusione ovvero l’esecuzione di un contratto;
-
il trasferimento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria;
-
il trasferimento sia necessario per il perseguimento di interessi legittimi del titolare.
Inoltre, l'accordo precisa che, in mancanza di una decisione di adeguatezza della Commissione europea, il diritto dell'Unione europea e quello degli Stati membri possono, per importanti motivi di interesse pubblico, limitare il trasferimento dei dati verso un Paese non europeo.
Il Consiglio ha precisato che l’accordo sul Capitolo V non è definitivo e che, pertanto, la Presidenza non ha ancora il mandato a negoziarne il testo con il Parlamento europeo.
Quanto al meccanismo del one-stop-shop, il Consiglio ha proseguito il dibattito in merito al modello da adottare. In particolare, si è approfondito il tema della prossimità dell’autorità di controllo all’interessato. A tal fine, è stato proposto un sistema che coinvolge tutte le autorità degli Stati membri in cui si svolgono i trattamenti e attribuisce il ruolo di capofila all’autorità dello Stato membro in cui è situato lo stabilimento principale del titolare.
Di seguito, i link alle note predisposte dalla Presidenza del Consiglio dell’Unione europea per la riunione: