Dal Safe Harbor al Privacy Shield. Il trasferimento di dati personali verso gli Stati Uniti dopo la sentenza Schrems

The international transfer of personal data represents one of the core issues in data protection law since its inception in Europe. On the 6th October 2015, in the case Schrems v. Data Protection Commissioner, the European Court of Justice (ECJ) invalidated the EU Commission’s decision on the adequacy of the ’Safe Harbor’, the data transfer system in place between the European Union and the United States. On the 12th July 2016, the European Commission adopted a decision on the adequacy of a new personal data transfer regime called ’Privacy Shield’. This paper aims at understanding the significance of the Schrems decision, by comparing the deficiencies highlighted by the ECJ in the Safe Harbor scheme with the solutions provided by the new Privacy Shield. It will be argued that the Privacy Shield does not address all the issues underlined in the ECJ’s decision and that an invalidation of the new regime could only be avoided by more boldly protecting the existing fundamental rights. Part II of this paper will examine the evolution of the notion of international data transfer from the legal instruments adopted by the OECD and the Council of Europe to the European directive 95/46/EC; Part III will study the main characteristics and deficits of the Safe Harbor scheme; Part IV will focus on the arguments used by the ECJ in the Schrems decision and will consider whether the existing alternatives to the Safe Harbor scheme are really effective; Part V will critically analyse the new features introduced in the Privacy Shield scheme, by highlighting its main risks of failure and presenting possible improvements.

Il trasferimento internazionale di dati personali rappresenta una delle questioni fondamentali del diritto alla protezione dei dati fin dalle sue origini in Europa. Il 6 ottobre 2015, nel caso Schrems v Data Protection Commissioner, la Corte di Giustizia europea (CGE) ha invalidato la decisione della Commissione europea sulla adeguatezza del “Safe Harbor”, il sistema di trasferimento dei dati in atto tra l'Unione europea e gli Stati Uniti. Il 12 luglio 2016, la Commissione europea ha adottato una decisione sull'adeguatezza di un nuovo regime di trasferimento dei dati personali chiamato “Privacy Shield”. Questo lavoro si propone di comprendere l’impatto ed il significato della decisione relativa al caso Schrems, confrontando le carenze rilevate dalla Corte nello schema Safe Harbor con le soluzioni offerte dal nuovo Privacy Shield. La tesi che emerge dal lavoro è quella secondo cui il Privacy Shield non risolve tutti i problemi evidenziati nella decisione della Corte di Giustizia europea e che una invalidazione del nuovo regime potrebbe essere evitato solo proteggendo in modo più deciso e coraggioso i diritti fondamentali esistenti. Dopo una prima parte introduttiva, la seconda parte del presente lavoro esamina l'evoluzione del concetto di trasferimento dei dati internazionale dagli strumenti giuridici adottati dall'OCSE e dal Consiglio d'Europa alla direttiva europea 95/46 / CE; la terza parte analizza le caratteristiche principali e le carenze del sistema Safe Harbor; la quarta parte si concentra sugli argomenti utilizzati dalla Corte di Giustizia europea nella sentenza Schrems e valuta se le alternative esistenti allo schema Safe Harbor sono realmente efficaci; la quinta parte, infine, studia ed affronta criticamente le nuove funzionalità introdotte nel regime Shield Privacy, mettendo in evidenza i principali rischi di fallimento e le prospettive evolutive di miglioramento possibili.