Corte di giustizia, Sentenza C-311/18

Trasferimento di dati personali verso gli Stati Uniti: clausole tipo e scudo UE-USA per la privacy

La pronuncia proviene da un rinvio pregiudiziale della High Court irlandese nell’ambito della controversia tra il Data Protection Commissioner, Facebook Ireland Ltd e Max Schrems. La Corte è chiamata a chiarire il regime dei trasferimenti di dati personali verso paesi terzi, con particolare riferimento agli Stati Uniti, alle clausole contrattuali tipo e alla decisione di adeguatezza sullo scudo UE-USA per la privacy.

Fatti e procedimento principale

Il sig. Schrems, utente di Facebook residente in Austria, aveva contestato al Commissario irlandese il trasferimento dei suoi dati personali da Facebook Ireland a Facebook Inc. negli Stati Uniti. Dopo la sentenza Schrems del 2015, che aveva dichiarato invalida la precedente decisione di adeguatezza del 2000, la controversia si è concentrata sui trasferimenti effettuati sulla base della decisione 2010/87/UE sulle clausole contrattuali tipo e, successivamente, sulla decisione di esecuzione (UE) 2016/1250 sullo scudo UE-USA per la privacy.

Normativa rilevante

La Corte richiama, in via centrale, il regolamento (UE) 2016/679 (RGPD), in particolare:

• articolo 2, paragrafo 1 e paragrafo 2, sull’ambito di applicazione;
• articoli 44, 45 e 46 sui trasferimenti verso paesi terzi;
• articolo 49 sulle deroghe;
• articoli 51, 55, 57 e 58 sui poteri delle autorità di controllo;
• articoli 77 e 78 sui reclami e sui ricorsi. Sono inoltre rilevanti gli articoli 7, 8, 47 e 52 della Carta dei diritti fondamentali, l’articolo 4, paragrafo 2, TUE, l’articolo 267 TFUE e l’articolo 288 TFUE. La Corte prende in esame anche la decisione 2010/87/UE e la decisione di esecuzione (UE) 2016/1250.

Ricevibilità e scelta del quadro normativo

La Corte respinge le eccezioni di irricevibilità. Pur rilevando che la direttiva 95/46 era stata abrogata dal RGPD al momento della decisione, la Corte afferma che la controversia deve essere risolta alla luce del RGPD, poiché il Commissario non aveva ancora adottato una decisione definitiva e le disposizioni della direttiva richiamate dal giudice del rinvio sono state sostanzialmente riprese nel regolamento.

Ambito di applicazione del RGPD nei trasferimenti verso paesi terzi

Sulla prima questione, la Corte afferma che il trasferimento commerciale di dati personali da un operatore stabilito nell’Unione a un operatore in un paese terzo costituisce un trattamento di dati personali effettuato nel territorio di uno Stato membro e quindi rientra nell’ambito di applicazione del RGPD. Il fatto che, durante o dopo il trasferimento, i dati possano essere trattati dalle autorità del paese terzo per fini di sicurezza pubblica, difesa o sicurezza dello Stato non esclude l’applicabilità del regolamento.

Livello di protezione richiesto per i trasferimenti fondati su clausole tipo

La Corte chiarisce che, in assenza di una decisione di adeguatezza, il trasferimento è possibile solo se il titolare del trattamento fornisce garanzie adeguate e se gli interessati dispongono di diritti azionabili e mezzi di ricorso effettivi. Il livello richiesto deve essere "sostanzialmente equivalente" a quello garantito all’interno dell’Unione dal RGPD, letto alla luce della Carta. La valutazione deve considerare sia il contenuto delle clausole contrattuali sia, per quanto riguarda il possibile accesso delle autorità pubbliche del paese terzo, gli elementi rilevanti del suo sistema giuridico, in particolare quelli indicati dall’articolo 45, paragrafo 2, RGPD.

Poteri dell’autorità di controllo

La Corte afferma che l’autorità di controllo, investita di un reclamo, deve esercitare con piena indipendenza i suoi poteri di indagine e, se ritiene che le clausole tipo non siano o non possano essere rispettate e che la protezione richiesta non possa essere garantita altrimenti, è tenuta a sospendere o vietare il trasferimento, salvo che il titolare abbia già sospeso o cessato il flusso. Tale obbligo opera in assenza di una decisione di adeguatezza validamente adottata e non è limitato a casi eccezionali.

Validità della decisione 2010/87/UE sulle clausole contrattuali tipo

La Corte dichiara che l’esame della decisione 2010/87/UE, alla luce degli articoli 7, 8 e 47 della Carta, non ne infirma la validità. Le clausole tipo non vincolano le autorità del paese terzo, ma ciò non le rende invalide, perché il loro meccanismo contrattuale è idoneo a funzionare se accompagnato da controlli caso per caso, garanzie supplementari e, se necessario, sospensione o divieto del trasferimento.

Inadeguatezza del sistema statunitense e invalidità dello scudo UE-USA per la privacy

Per quanto riguarda la decisione di esecuzione (UE) 2016/1250, la Corte constata che il diritto statunitense, in particolare l’articolo 702 del FISA, l’EO 12333 e la PPD-28, non impone limiti e garanzie sufficientemente chiari e precisi per soddisfare il principio di proporzionalità richiesto dagli articoli 7 e 8 della Carta. Inoltre, il meccanismo del Mediatore previsto dallo scudo non offre un rimedio effettivo equivalente all’articolo 47 della Carta, poiché non assicura un organo indipendente e non attribuisce poteri vincolanti sufficienti. Ne consegue l’invalidità dell’articolo 1 della decisione e, per inscindibilità, dell’intera decisione di adeguatezza.

Effetti della dichiarazione di invalidità

La Corte precisa che l’invalidità della decisione sullo scudo UE-USA per la privacy non crea una lacuna giuridica, poiché il RGPD prevede all’articolo 49 deroghe specifiche che consentono, in certi casi, il trasferimento di dati anche in assenza di una decisione di adeguatezza o di garanzie adeguate.

Dispositivo

La Corte decide che:

• il trasferimento commerciale verso un paese terzo rientra nel RGPD anche se i dati possono essere trattati dalle autorità di quel paese per sicurezza nazionale;
• le clausole tipo ex articolo 46 RGPD richiedono un livello di protezione sostanzialmente equivalente e impongono, se necessario, garanzie supplementari;
• l’autorità di controllo deve sospendere o vietare il trasferimento se tale protezione non è garantita;
• la decisione 2010/87/UE è valida;
• la decisione di esecuzione (UE) 2016/1250 è invalida.