L’EDPB (European Data Protection Board) ha pubblicato online (edpb.europa.eu) il documento “Frequently Asked Questions on the judgment of the Court of Justice of the European Union in Case C-311/18 – Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems”, al fine di rispondere alle richieste di chiarimenti ricevute dalle Autorità di controllo sulla sentenza del 16 luglio 2020 (nella causa C-311/18, cd. “Schrems II”), con cui la Corte di Giustizia ha dichiarato l’invalidità del Privacy Shield (Decisione di esecuzione della Commissione europea 2016/1250), sul quale fino ad ora si fondava la liceità dei trasferimenti di dati personali dall’Europa verso gli Stati Uniti.

Per la Corte di Giustizia, infatti, la normativa statunitense non garantisce un livello di protezione sostanzialmente equivalente a quello garantito all’interno dell’Unione, prevedendo l’accesso, da parte delle Autorità pubbliche e in attuazione dei programmi si sorveglianza, ai dati personali trasferiti dall’UE verso gli Stati Uniti senza che siano conferiti agli interessati diritti azionabili dinanzi ai giudici. La Corte di Giustizia, inoltre, pur confermando la validità della Decisione della Commissione europea 2010/87 sulle clausole contrattuali standard, ha stabilito che prima di procedere a qualsivoglia trasferimento di dati personali verso una Paese terzo sulla base di tali clausole, è necessario procedere ad una valutazione circa il livello di protezione garantito dal Paese di destinazione.

Con il summenzionato documento, l’EDPB fornisce chiarimenti in merito a quanto deciso dalla Corte di Giustizia con la sentenza Schrems II, specificando che ogni trasferimento di dati personali verso gli Stati Uniti effettuato sulla base del Privacy Shield deve considerarsi illecito e i trasferimenti effettuati sulla base delle clausole contrattuali standard o delle binding corporate rules possono essere effettuati solo ad esito di una valutazione caso per caso. I trasferimenti verso Paesi terzi diversi dagli Stati Uniti, invece, potranno essere effettuati sulla base di clausole contrattuali standard o di binding corporate rules, purché siano effettuate le valutazioni preliminari stabilite dalla Corte di Giustizia e siano individuate, qualora necessaria, misure di protezione supplementari.