Soppressione del Safe Harbor USA-UE in materia di protezione dei dati. Quali conseguenze per la Svizzera?

Wortlaut

Pongo al Consiglio federale le domande seguenti:

L'avvocato generale alla Corte di giustizia dell'Unione europea ha di recente affermato che la Commissione europea dovrebbe sospendere il "safe harbour" accordato agli Stati Uniti, per non dover più autorizzare sistematicamente l'esportazione di dati personali verso gli USA senza prima ottenere migliori garanzie di protezione.

1. Quali sono le conseguenze per la protezione dei dati in Svizzera?

2. La protezione dei dati negli Stati Uniti è ancora "adeguata" ai sensi dell'articolo 6 LPD?

Stellungnahme des Bundesrates

Nella sentenza del 6 ottobre 2015 nella causa C-362/14, la Corte di giustizia dell'Unione europea (CGUE) ha invalidato la decisione della Commissione europea secondo cui gli Stati Uniti garantiscono un livello di protezione adeguato dei dati personali. Secondo la CGUE, le autorità nazionali europee di protezione dei dati devono poter esaminare in tutta indipendenza qualsiasi domanda relativa alla tutela dei diritti e delle libertà nell'ambito del trattamento dei dati personali. In seguito a tale sentenza, il gruppo di lavoro "Articolo 29" ha invitato gli Stati membri dell'UE e le istituzioni europee a intavolare discussioni con le autorità americane al fine di trovare soluzioni appropriate entro fine gennaio 2016.

Il Consiglio federale risponde come segue alle domande poste e rinvia alla risposta all'interpellanza Eichenberger 15.4001, "'U.S.-Swiss Safe Harbor Framework'. Per una protezione effettiva dei dati personali":

1. La sentenza della CGUE, anche se non esplica alcun effetto vincolante per la Svizzera, riveste un'importanza considerevole per il nostro Paese. Evidenzia problemi che riguardano anche il quadro normativo di protezione dei dati istituito per la trasmissione di dati personali verso gli Stati Uniti negli scambi di lettere del 1° e del 9 dicembre 2008 (RS 0.235.233.6, qui di seguito Accordo sull'approdo sicuro tra la Svizzera e gli Stati Uniti). Questo accordo ricalca infatti il modello dell'intesa stipulata tra l'Unione europea e gli Stati Uniti. Per l'esecutivo, si tratterà ormai di esaminare l'impatto della decisione della CGUE sulle trattative. Il Consiglio federale ritiene che una rinegoziazione dell'accordo tra la Svizzera e gli Stati Uniti potrà giungere a buon fine soltanto nel quadro di una procedura coordinata con l'UE. Intende dunque seguire attentamente l'evoluzione dei negoziati in corso tra l'UE e gli Stati Uniti nonché le misure adottate dagli Stati membri e dalle istituzioni europee nel corso dei prossimi mesi. Finché non saranno trovate soluzioni appropriate con le autorità americane, l'incaricato federale della protezione dei dati e della trasparenza (IFPDT) raccomanda di convenire garanzie contrattuali ai sensi dell'articolo 6 capoverso 2 lettera a della legge federale sulla protezione dei dati (LPD; RS 235.1) per la trasmissione di dati verso gli Stati Uniti. Anche se tali garanzie non risolvono il problema degli ampi diritti d'accesso esercitati dalle autorità americane, possono comunque, secondo l'IFPDT, migliorare il livello di protezione dei dati. Si potrebbe pure raccomandare alle imprese e organizzazioni che esternalizzano dati di farli salvare su server in Europa. L'IFPDT ha inoltre la possibilità, prevista dall'accordo sull'approdo sicuro, di raccomandare, a determinate condizioni, di sospendere la trasmissione di dati verso un'impresa o un'altra organizzazione.

2. In virtù dell'articolo 31 capoverso 1 lettera d LPD spetta all'IFPDT valutare in che misura la legislazione in materia di protezione dei dati all'estero assicuri una protezione adeguata. Nel citato scambio di lettere, firmato dall'IFPDT, la Svizzera riconosce che "le imprese statunitensi che autocertificano di rispettare i principi dell'approdo sicuro in materia di protezione dei dati tra gli Stati Uniti e la Svizzera sono considerate imprese che dispongono di un livello di protezione dei dati adeguato ai sensi dell'articolo 6 capoverso 1 LPD". L'IFPDT ha dichiarato, in un comunicato stampa del 22 ottobre 2015, di non ritenere più l'accordo sull'approdo sicuro tra la Svizzera e gli Stati Uniti una base legale sufficiente per la trasmissione di dati personali negli Stati Uniti. La portata giuridica di questa dichiarazione è tuttavia controversa nella dottrina, in quanto l'accordo sull'approdo sicuro tra la Svizzera e gli Stati Uniti resta in vigore.

Risposta del Consiglio federale.