“No-deal Brexit”: possibile impatto sulla privacy
L’European Data Protection Board, ovvero il Comitato Europeo per la Protezione dei Dati, ha pubblicato una nota sui trasferimenti dei dati personali dallo Spazio economico europeo al Regno Unito nel caso in cui non si dovesse trovare un accordo sulla Brexit, nel caso cioè si verificasse il cosiddetto “no-deal brexit” che la premier Theresa May sta cercando, tra mille difficoltà, di scongiurare.
In assenza di un tale accordo, dal 30 marzo 2019 il Regno Unito diventerà un Paese terzo ai fini della privacy, pertanto il trasferimento di dati personali dal SEE in UK dovrà seguire le regole di cui al Capo V del GDPR.
Inoltre, il Comitato Europeo sottolinea come le condizioni di cui all’art. 49 del GDPR (con particolare riferimento al consenso espresso dell’interessato) siano delle deroghe e, pertanto, siano applicabili solo in casi eccezionali, vale a dire in mancanza di una decisione di adeguatezza ovvero in mancanza delle altre garanzie e, in alcune ipotesi, solo per trattamenti occasionali e non ripetitivi.
Al fine di prepararsi a un “no-deal Brexit” e adeguare al GDPR i trasferimenti di dati personali dal SEE verso il Regno Unito, la nota suggerisce alle imprese di mettere in campo le seguenti azioni:
- identificare quali attività di trattamento implicheranno un trasferimento di dati personali verso il Regno Unito;
- individuare uno strumento appropriato per il trasferimento dei dati personali verso il Regno Unito;
- implementare entro il 30 marzo 2019 lo strumento scelto per il trasferimento dati;
- indicare nella documentazione interna (es. registro delle attività di trattamento) i trasferimenti di dati personali verso il Regno Unito;
- aggiornare le informative sulla protezione dei dati.
Infine, con riferimento ai trasferimenti di dati personali dal Regno Unito al SEE, la nota richiama l’orientamento del governo britannico, che prevede la libera circolazione dei dati personali dal Regno Unito al SEE anche in caso di Brexit “no-deal”. A tal proposito sarà opportuno tenere monitorati i siti istituzionali del Governo UK e del Garante privacy UK.
(Fonte: AIB)