Parlamento europeo 2014-2019 Documento di seduta B8-0639/2016 23.5.2016 PROPOSTA DI RISOLUZIONE presentata a seguito di dichiarazioni del Consiglio e della Commissione a norma dell'articolo 123, paragrafo 2, del regolamento sui trasferimenti transatlantici di dati (2016/2727(RSP)) Claude Moraes, Birgit Sippel, Emilian Pavel, Ana Gomes a nome del gruppo S&D RE\1095751.doc PE582.660v01-00 Unita nella diversità
B8-0639/2016 Proposta di risoluzione del Parlamento europeo sui trasferimenti transatlantici di dati (2016/2727(RSP)) Il Parlamento europeo, vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (in appresso "la direttiva sulla protezione dei dati") 1, in particolare l'articolo 25, visto il regolamento (UE) n. 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE 2 (in appresso "il regolamento generale sulla protezione dei dati"), entrato in vigore il 24 maggio 2016 e che verrà applicato due anni dopo tale data, viste la Carta dei diritti fondamentali dell'unione europea (in appresso la "Carta") e la Convenzione europea dei diritti dell'uomo (CEDU), vista la sentenza della Corte europea dei diritti dell'uomo del 4 dicembre 2015 nella causa Roman Zakharoc/Russia, vista la sentenza della Corte europea dei diritti dell'uomo del 12 gennaio 2016 nella causa Zsabó e Vissy/Ungheria, vista la sentenza della Corte di giustizia europea del 6 ottobre 2015 nella causa C- 362/14 Maximillian Schrems/Data Protection Commissioner, visto il progetto di decisione di esecuzione della Commissione, del 29 febbraio 2016, relativa all'adeguatezza della protezione offerta dallo scudo per la privacy UE-USA e i relativi allegati, sotto forma di lettere tra l'amministrazione USA e la Commissione federale per il commercio degli USA, vista la comunicazione della Commissione del 29 febbraio 2016 su tale argomento (COM(2016)0117), la comunicazione della Commissione del 27 novembre 2013 sul funzionamento del regime "Approdo sicuro" dal punto di vista dei cittadini dell'ue e delle società ivi stabilite (COM(2013)0847) e la comunicazione della Commissione del 27 novembre 2013 su "Ripristinare un clima di fiducia negli scambi di dati fra l'ue e gli USA" (COM(2013)0846), visti il parere (WP 238) adottato il 13 aprile 2016 dal gruppo di lavoro istituito ai sensi dell'articolo 29 della direttiva, nonché i pareri espressi in precedenza sulla stessa questione (WP 12, WP 27 e WP 32), visto il regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio, del 16 1 GU L 281 del 23.11.1995, pag. 31. 2 GU L 119 del 4.5.2016, pag. 1. PE582.660v01-00 2/6 RE\1095751.doc
febbraio 2011, che stabilisce le regole e i principi generali relativi alle modalità di controllo da parte degli Stati membri dell'esercizio delle competenze di esecuzione attribuite alla Commissione 1 e in particolare l'articolo 5 relativo alla procedura d'esame, vista la sua risoluzione del 5 luglio 2000 sul progetto di decisione della Commissione relativa all'adeguatezza della protezione garantita dai "Principi di riservatezza dell'approdo sicuro" e dalle connesse "Domande frequenti" (Frequently Asked Questions) pubblicati dal Dipartimento del commercio degli Stati Uniti 2, viste la sua risoluzione del 12 marzo 2014 sul programma di sorveglianza dell'agenzia per la sicurezza nazionale degli Stati Uniti, sugli organi di sorveglianza in diversi Stati membri e sul loro impatto sui diritti fondamentali dei cittadini dell'ue, e sulla cooperazione transatlantica nel campo della giustizia e degli affari interni 3 e la sua risoluzione del 29 ottobre 2015 sul seguito dato alla risoluzione del Parlamento europeo del 12 marzo 2014 sulla sorveglianza elettronica di massa dei cittadini dell'unione europea 4, vista la lettera comune del 16 marzo 2016 delle organizzazioni americane ed europee per le libertà civili al presidente del gruppo di lavoro dell'articolo 29, al presidente della commissione per le libertà civili, la giustizia e gli affari interni e all'ambasciatore e rappresentante permanente dei Paesi Bassi presso l'unione europea, visto l'articolo 123, paragrafo 2, del suo regolamento, A. considerando che protezione dei dati personali significa proteggere le persone oggetto delle informazioni in corso di trattamento e che tale protezione è uno dei diritti fondamentali riconosciuti dall'unione (articolo 8 della Carta dei diritti fondamentali e articolo 16 del trattato sul funzionamento dell'unione europea); B. considerando che la direttiva sulla protezione dei dati, la quale entro il 2018 sarà sostituita dal regolamento generale sulla protezione dei dati, stabilisce diritti per l'interessato e contestualmente obblighi per quanti trattano i dati personali o esercitano il controllo su tale trattamento; C. considerando che la Commissione ha l'obbligo di garantire, a nome dei cittadini dell'unione e dei suoi Stati membri, che il trasferimento di dati personali verso paesi all'esterno dell'ue o del SEE avvenga solo qualora sia garantito un livello di protezione adeguato; D. considerando che per "livello di protezione adeguato" si intende l'obbligo dei paesi terzi di garantire, in virtù della legislazione nazionale o degli impegni assunti a livello internazionale, un livello di protezione delle libertà e dei diritti fondamentali che sia essenzialmente equivalente a quello garantito all'interno dell'unione europea a norma della direttiva sulla protezione dei dati in combinato disposto con la Carta; E. considerando che, nell'esaminare il livello di protezione garantito da un paese terzo, la 1 GU L 55 del 28.2.2011, pag. 13. 2 GU C 121 del 24.4.2001, pag. 152. 3 Testi approvati, P7_TA(2014)0230. 4 Testi approvati, P8_TA(2015)0388. RE\1095751.doc 3/6 PE582.660v01-00
Commissione ha l'obbligo di valutare il contenuto delle norme applicabili in tale paese derivanti dal diritto interno o dagli impegni internazionali, nonché la prassi intesa ad assicurare il rispetto di tali norme, poiché, a norma dell'articolo 25, paragrafo 2, della direttiva sulla protezione dei dati, la valutazione deve avvenire con riguardo a tutte le circostanze relative ad un trasferimento di dati personali verso un paese terzo; F. considerando che i flussi di dati a livello transfrontaliero tra gli Stati Uniti e l'europa sono i più intensi al mondo e che il trasferimento e lo scambio di dati personali sono una componente essenziale alla base degli stretti legami tra l'unione europea e gli Stati Uniti nell'ambito delle attività commerciali e nel settore dell'applicazione della legge; G. considerando che, nella sua sentenza del 6 ottobre 2015, la Corte europea di giustizia ha annullato la decisione della Commissione sull'adeguatezza della protezione offerta dai principi di riservatezza dell'approdo sicuro e delle relative domande frequenti del Dipartimento del commercio degli Stati Uniti; Introduzione 1. sottolinea la necessità di salvaguardare i diritti fondamentali, compresi i diritti alla protezione dei dati e alla riservatezza; 2. segnala l'importanza della cooperazione e degli scambi commerciali transatlantici; 3. sottolinea l'importanza della certezza del diritto per i soggetti interessati dal trattamento dei dati e per i responsabili del trattamento sia nell'unione europea sia negli Stati Uniti; 4. accoglie con favore gli sforzi compiuti dalla Commissione e dall'amministrazione degli Stati Uniti per conseguire miglioramenti sostanziali nello scudo per la privacy rispetto alla decisione invalidata sull'approdo sicuro; 5. si compiace degli ambiti in cui il livello di protezione è stato migliorato nel contesto dello scudo per la privacy, quali il meccanismo per garantire la sorveglianza dello scudo e i controlli interni ed esterni della conformità, ora obbligatori; 6. accoglie con favore la salvaguardia prevista dall'articolo 3 del progetto di decisione di adeguatezza, che consente alle autorità europee di controllo della protezione dei dati di continuare a sospendere i trasferimenti di dati personali ai responsabili del trattamento partecipanti all'accordo sullo scudo per la privacy in caso di violazioni; 7. osserva che, una volta applicato il regolamento, i responsabili del trattamento dei dati statunitensi dovranno conformarsi direttamente ad esso quando offrono servizi sul mercato dell'ue o monitorano individui nell'unione; 8. constata che negli Stati Uniti manca una legge orizzontale e globale sulla protezione dei dati dei consumatori, nonostante siano stati compiuti alcuni sforzi negli ultimi anni; Preoccupazioni 9. esprime il timore che il meccanismo di ricorso per gli individui previsto dallo scudo per la privacy sia troppo complesso e di difficile utilizzo e che ciò lo renda pertanto inefficace (denuncia al responsabile del trattamento; risoluzione alternativa della PE582.660v01-00 4/6 RE\1095751.doc
controversia; denuncia presso il Dipartimento del commercio degli Stati Uniti o la Commissione federale per il commercio degli Stati Uniti attraverso un'autorità europea di controllo della protezione dei dati (Comitato dello scudo per la privacy, tribunale statunitense)); ribadisce che a norma della direttiva 93/13/CEE del Consiglio, del 5 aprile 1993, la risoluzione alternativa delle controversie è vietata per i contratti stipulati con i consumatori; 10. segnala che l'unica sanzione prevista per la violazione dei principi dello scudo per la privacy da parte di un responsabile del trattamento dei dati è la cancellazione dall'elenco dello scudo, che non può essere considerata sostanzialmente equivalente alle sanzioni amministrative e di altra natura previste dal diritto dell'ue in materia di protezione dei dati e, in particolare, dal regolamento generale sulla protezione dei dati; 11. sottolinea che né la Commissione federale per il commercio degli Stati Uniti né il Dipartimento del commercio degli Stati Uniti né i responsabili della risoluzione alternativa delle controversie hanno poteri di indagine sostanzialmente equivalenti a quelli delle autorità europee di controllo della protezione dei dati, che la Corte di giustizia dell'unione europea ha dichiarato necessari ai fini della vigilanza sulla protezione dei dati a norma del diritto primario dell'ue; 12. osserva che l'allegato VI (lettera di Robert S. Litt, Ufficio del Direttore dell'intelligence nazionale (ODNI)) chiarisce che, ai sensi della direttiva presidenziale 28 ("Presidential Policy Directive 28", in appresso "PPD-28"), la raccolta di massa di dati e comunicazioni personali di cittadini non statunitensi è ancora consentita in sei casi; sottolinea che tale raccolta generalizzata deve essere soltanto "per quanto possibile mirata" e "ragionevole", e quindi non risulta conforme ai più rigorosi criteri di necessità e proporzionalità stabiliti nella Carta; 13. accoglie con favore la nomina di un mediatore nel Dipartimento di Stato degli Stati Uniti in qualità di punto di contatto per le autorità di controllo dell'ue in relazione alla sorveglianza del governo; osserva che all'allegato III (lettera del Segretario di Stato John F. Kerry) si afferma che il mediatore non confermerà né negherà se l'individuo sia stato oggetto di sorveglianza, né confermerà il ricorso specifico (punto 4, lettera e)); esprime preoccupazione per il fatto che il mediatore non possiede attribuzioni adeguate né la necessaria indipendenza dall'esecutivo, in quanto risponde al Segretario di Stato; 14. si compiace dell'adozione, da parte degli Stati Uniti, dello "USA Freedom Act" (legge degli Stati Uniti sulla libertà) del 2015, che ha limitato la sorveglianza di massa esercitata dalle agenzie di intelligence statunitensi all'interno degli Stati Uniti; esprime tuttavia timori per l'immutata situazione giuridica della sorveglianza di massa esercitata dalle agenzie di intelligence statunitensi al di fuori degli Stati Uniti e nei confronti di cittadini non statunitensi sul territorio nazionale come previsto dal Codice degli Stati Uniti (titolo 50, 1881a ("sezione 702")); 15. sottolinea che lo status giuridico dei principi dello scudo per la privacy di cui all'allegato II, nonché le garanzie e gli impegni assunti dall'amministrazione degli Stati Uniti, quali stabiliti negli allegati da III a V, rimangono poco chiari; nutre preoccupazione per il fatto che tali impegni e garanzie potrebbero essere revocati da una futura amministrazione degli Stati Uniti senza conseguenze per la validità della decisione di adeguatezza; RE\1095751.doc 5/6 PE582.660v01-00
16. ricorda che la Commissione non ha effettuato alcuna valutazione dei diritti e della protezione dei cittadini dell'ue in caso di trasferimento dei loro dati personali da parte di un responsabile del trattamento statunitense coperto dallo scudo per la privacy a un'autorità di contrasto degli Stati Uniti; 17. esprime preoccupazione, alla luce di quanto precede e dei pareri espressi dalle autorità responsabili della protezione dei dati, dagli studiosi e dalle organizzazioni competenti in materia di riservatezza e protezione dei dati, per il fatto che l'accordo sullo scudo per la privacy, nel suo stato attuale, potrebbe non adempiere pienamente gli obblighi stabiliti dalla Carta, dalla direttiva sulla protezione dei dati, dal regolamento generale sulla protezione dei dati e dalle pertinenti sentenze della Corte di giustizia dell'unione europea e della Corte europea dei diritti dell'uomo; Conclusioni 18. nutre preoccupazioni per il fatto che l'accordo sullo scudo per la privacy nel suo stato attuale e la situazione giuridica negli Stati Uniti non comportano miglioramenti sufficientemente considerevoli rispetto all'accordo sull'approdo sicuro e non garantiscono pertanto la legittimità della decisione di adeguatezza; 19. sottolinea che è estremamente probabile che il progetto di decisione di adeguatezza, dopo l'adozione, sarà oggetto di una nuova impugnazione in tribunale; segnala che ciò crea una situazione di incertezza giuridica per le imprese e gli individui; osserva che esperti in materia di protezione dei dati e associazioni imprenditoriali stanno già consigliando alle imprese di utilizzare altri mezzi per trasferire dati personali negli Stati Uniti; 20. invita la Commissione a tenere debitamente conto del parere 01/2016 del gruppo di lavoro sulla protezione dei dati istituito a norma dell'articolo 29 quanto al progetto di decisione sull'adeguatezza dello scudo per la privacy e ad integrare pienamente le sue raccomandazioni nel progetto di documento; 21. invita la Commissione a inserire una clausola di durata massima biennale per la validità della decisione di adeguatezza e ad avviare nuovi negoziati con gli Stati Uniti per migliorare il quadro attuale sulla base del regolamento generale sulla protezione dei dati, così da garantire che il maggior livello di protezione nell'ue sia pienamente integrato nel nuovo strumento; 22. incarica il suo Presidente di trasmettere la presente risoluzione al Consiglio, alla Commissione, ai governi e ai parlamenti degli Stati membri, al governo degli Stati Uniti e al Congresso degli Stati Uniti. PE582.660v01-00 6/6 RE\1095751.doc