In caso di “Hard Brexit” cambiano le regole per il trasferimento dei dati in UK
Nel corso della settima sessione plenaria, il Comitato Europeo per la protezione dei dati (Edpb) ha pubblicato una nota informativa rivolta ad autorità pubbliche e società, in merito alle modalità da adottare per il trasferimento di dati personali, in caso di Hard Brexit.
In tale nota, l’Edpb ha chiarito che, qualora il Regno Unito fuoriesca dall’Unione Europea senza che sia stato raggiunto un accordo, a far data dal 30 marzo 2019, diventerà ufficialmente un paese terzo rispetto all’Unione Europea, con la conseguenza che il trasferimento dei dati dallo Spazio economico europeo verso il Regno Unito dovrà essere supportato da una delle garanzie previste dall’art. 46 del GDPR o basarsi su una delle deroghe di cui all’art. 49 GDPR.
Ne deriva che, in base al Regolamento UE 679/2016 GDPR, il trasferimento dei dati verso tale paese – sia esso un trasferimento tra titolari autonomi, tra titolare e responsabile del trattamento o infragruppo – , sarà valido solo in presenza di:
- standard contractual clauses sottoscritte con la società destinataria di dati;
- binding corporate rules adottate infragruppo;
- codici di condotta o meccanismi di certificazione approvati e a cui la società destinataria aderisce;
oppure, a titolo di deroga:
- qualora sussista il previo consenso al trasferimento da parte degli interessati;
- il trasferimento sia necessario all’esecuzione di un contratto concluso tra l’interessato e il titolare del trattamento o tra quest’ultimo e un’altra persona fisica o giuridica a favore dell’interessato;
- il trasferimento sia necessario per tutelare gli interessi vitali dell’interessato o di altre persone, qualora l’interessato si trovi nella incapacità fisica o giuridica di prestare il proprio consenso;
- il trasferimento sia effettuato a partire da un registro che, a nome del diritto dell’Unione o degli Stati Membri, mira a fornire informazioni al pubblico e può essere consultato tanto dal pubblico quanto da chiunque abbia un legittimo interesse;
- il titolare ponga in essere il trasferimento nel perseguimento di un interesse legittimo cogente, su cui non prevalgano gli interessi o i diritti e le libertà dell’interessato.
Per quanto riguarda, invece, il trasferimento di dati personali dal Regno Unito al SEE, il governo britannico ha chiarito che la libera circolazione dei dati personali continuerà ad essere garantita anche in caso di Hard Brexit.
E’ evidente che tale scenario complicherebbe in maniera ingiustificata i rapporti con le società inglesi, soprattutto in caso di trasferimenti di dati infragruppo.
Auspichiamo, pertanto, che il Regno Unito riesca a raggiungere un accordo prima del prossimo 30 marzo o che, entro breve termine, la Commissione Europea adotti una decisione di adeguatezza, come è avvenuto, a titolo esemplificativo, con la Svizzera e il Giappone, al fine di rendere più fluida la circolazione dei dati verso tale paese.
