{"id":572,"date":"2020-10-20T09:27:00","date_gmt":"2020-10-20T09:27:00","guid":{"rendered":"https:\/\/www.polimeni.legal\/?p=572"},"modified":"2023-05-10T09:28:19","modified_gmt":"2023-05-10T09:28:19","slug":"trasferimento-dei-dati-in-usa-dopo-la-sentenza-schrems-ii-cosa-accade-a-chi-era-gia-compliant","status":"publish","type":"post","link":"https:\/\/www.polimeni.legal\/articoli\/uncategorized\/trasferimento-dei-dati-in-usa-dopo-la-sentenza-schrems-ii-cosa-accade-a-chi-era-gia-compliant\/","title":{"rendered":"Trasferimento dei dati in USA dopo la sentenza Schrems II: cosa accade a chi era gi\u00e0 compliant?"},"content":{"rendered":"\n<p><em>Trasferimento dei dati in USA dopo la sentenza Schrems II: cosa accade a chi era gi\u00e0 compliant?<\/em>&nbsp;Lo scorso 16 luglio La Corte di giustizia dell\u2019Unione Europea ha invalidato il Privacy Shield, il meccanismo di autocertificazione per le societ\u00e0 negli USA che intendevano ricevere dati personali dall\u2019Unione Europea. Questo \u00e8 avvenuto per mezzo della sentenza Schrems II, emanata in seguito ad una denuncia presentata contro Facebook dall\u2019omonimo attivista, Maximillian Schrems.<br>La Corte sostiene che la&nbsp;<strong>normativa degli USA<\/strong>&nbsp;in tema di accesso e di utilizzo dei dati che vengono trasferiti dall\u2019UE non soddisfi i&nbsp;<strong>principi base del GDPR<\/strong>, in quanto le autorit\u00e0 di controllo americane possono accedere ai dati per motivi di sorveglianza.<br>D\u2019altronde, l\u2019art. 46 del GDPR consentiva il trasferimento dei dati verso un Paese terzo solo se il titolare o il responsabile avesse fornito adeguate garanzie di protezione e tutela.<\/p>\n\n\n\n<p>Una valida misura di garanzia poteva essere quella delle SCC, ossia le \u201cClausole Contrattuali Standard\u201d, a protezione dei dati di cittadini UE nel momento in cui vengono trasferiti ad un Paese terzo. Tuttavia, la sentenza Schrems II si \u00e8 pronunciata anche a questo proposito, vincolando l\u2019utilizzo delle SCC unitamente a meccanismi di protezione dei dati che siano compatibili con quanto riportato all\u2019interno del GDPR.<br>Ne deduciamo che la sentenza non abbia impattato solamente verso grandi nomi come Facebook, Apple o Microsoft, ma anche contro le imprese IT e chi si avvale di fornitori IT provenienti dagli USA.<br>D\u2019ora in avanti, quindi, non sar\u00e0 pi\u00f9 possibile esportare i dati in USA sulla base di questa \u201cdecisione di adeguatezza\u201d.<br>Cosa cambia effettivamente, dopo la sentenza Schrems II, per i titolari e i responsabili del trattamento? Qual \u00e8 l\u2019impatto sulla&nbsp;<a href=\"https:\/\/www.polimeni.legal\/compliance-gdpr\/\">compliance privacy<\/a>&nbsp;gi\u00e0 effettuata? Chi, fino al 16 luglio era compliant essendosi adeguato in base alla normativa, deve modificare qualcosa oggi?<br>Ora spiegheremo come colmare il gap che si \u00e8 creato nel trasferimento dei dati in USA dopo la sentenza Schrems II.<\/p>\n\n\n\n<p>Ecco come devono comportarsi titolari e responsabili del trattamento dei dati.<br>Per adeguarsi sono necessarie tre azioni specifiche.<\/p>\n\n\n\n<ul>\n<li>Titolari e responsabili dei dati devono:<\/li>\n\n\n\n<li>Verificare dove risiedono i dati;<\/li>\n\n\n\n<li>Richiedere un nuovo data processing agreement;<\/li>\n\n\n\n<li>Modificare il registro dei trattamenti.<\/li>\n<\/ul>\n\n\n\n<p>Analizziamo nello specifico ogni singolo passaggio.<\/p>\n\n\n\n<ol>\n<li><strong>Verificare dove risiedono i dati<\/strong><br>Effettuare la verifica \u00e8 un procedimento molto semplice. Occorre prendere il registro dei trattamenti e vedere cosa c\u2019\u00e8 scritto alla voce: \u201cGaranzie adottate per il trasferimento extra UE\u201d.<br>A questa voce \u00e8 necessario controllare se c\u2019\u00e8 il Privacy Shield. Dopodich\u00e9, occorre chiedere un nuovo atto di nomina.<\/li>\n\n\n\n<li><strong>Richiedere\/fornire una DPA<\/strong><br>Come noto, quando il titolare del trattamento dei dati affida una o pi\u00f9 operazioni ad un soggetto estraneo alla propria azienda, deve nominarlo responsabile del trattamento.<br>L\u2019atto di nomina \u00e8 un documento con cui formalmente, ai sensi dell\u2019art.28, vengono impartite delle istruzioni. Tra le diverse istruzioni c\u2019\u00e8 anche quella di rispettare i dettami del Regolamento europeo in caso di trasferimento di dati extra UE.<br>Si impone cos\u00ec la necessit\u00e0 di verificare che i fornitori di servizi a cui ci si \u00e8 appoggiati abbiano modificato le condizioni di trasferimento e di chiedere un nuovo atto di nomina.<\/li>\n\n\n\n<li><strong>Modificare il registro dei trattamenti<\/strong><br>Dopo aver ottenuto il nuovo accordo per il trattamento dei dati, occorre modificare il registro dei trattamenti indicando quali sono le nuove garanzie adottate.<br>L\u2019ultimo aspetto da prendere in considerazione nell\u2019ambito del trasferimento dei dati in USA dopo la sentenza Schrems II \u00e8 l\u2019eventualit\u00e0 che le societ\u00e0 non vogliano adeguarsi. In questo caso, l\u2019unica soluzione \u00e8 quella di cambiare fornitore.<\/li>\n<\/ol>\n\n\n\n<p><strong>Per ogni dubbio o richiesta a proposito del tema in esame, il nostro team di professionisti \u00e8 a completa disposizione.<\/strong><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Trasferimento dei dati in USA dopo la sentenza Schrems II: cosa accade a chi era gi\u00e0 compliant?&nbsp;Lo scorso 16 luglio La Corte di giustizia dell\u2019Unione Europea ha invalidato il Privacy Shield, il meccanismo di autocertificazione per le societ\u00e0 negli USA che intendevano ricevere dati personali dall\u2019Unione Europea. Questo \u00e8 avvenuto per mezzo della sentenza Schrems [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"slim_seo":[],"footnotes":""},"categories":[1],"tags":[],"meta_box":{"page-header-img":false,"page-header-desc":"","page-indice":"0"},"_links":{"self":[{"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/posts\/572"}],"collection":[{"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/comments?post=572"}],"version-history":[{"count":1,"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/posts\/572\/revisions"}],"predecessor-version":[{"id":573,"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/posts\/572\/revisions\/573"}],"wp:attachment":[{"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/media?parent=572"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/categories?post=572"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.polimeni.legal\/wp-json\/wp\/v2\/tags?post=572"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}