di Vincenzo Tiani
Il 28 giugno la Commissione europea ha pubblicato l’accordo che regolerà il trasferimento di dati personali tra l’Unione europea e il Regno Unito. Dopo la Brexit questo era un passo tanto necessario quanto atteso per definire il modo in cui le aziende del vecchio continente e quelle d’oltremanica possono gestire le informazioni dei loro clienti.
Perché è importante avere un accordo
Che questo sia un nodo cruciale della data economy lo dimostra l’attuale stallo della analoga situazione tra Stati Uniti e Unione europea. Quasi un anno fa la Corte di giustizia europea annullò per la seconda volta l’accordo che permetteva il trasferimento di dati personali tra le due sponde dell’Atlantico perché non garantiva sufficientemente i cittadini europei.
La mancanza di un accordo non blocca di per sé la possibilità di trasferire questi dati ma aumenta l’onere delle imprese nella verifica che il Paese terzo abbia una normativa adeguata in tema di protezione dei dati. I dati potranno sempre essere trasferiti in base a un contratto tra l’azienda e il suo fornitore di cloud, per esempio. Ma quanto garantito nel contratto dovrà corrispondere allo stato reale delle cose e non solo teorico. Laddove invece ci sia un accordo tra Unione europea e lo Stato terzo, quel controllo sarà già stato fatto dalla Commissione. Per questo basterà alle imprese dire di fondare il trasferimento su quell’accordo, rendendo tutto più semplice.
La particolarità del Regno Unito
Il caso del Regno Unito teoricamente non avrebbe dovuto richiedere grossi sforzi sul lato della contrattazione. Poiché la Brexit è avvenuta dopo l’entrata in vigore del Gdpr, la normativa inglese è praticamente la stessa di quella dei 27 Paesi dell’Unione. Ma a mettere in allerta le istituzioni, e soprattutto il Parlamento europeo, sono state diverse notizie che fanno pensare che il governo di Johnson potrebbe presto andare a modificare alcuni articoli della norma sulla protezione dei dati. L’organizzazione Open Rights Group ha denunciato come il report della task force del governo su innovazione, crescita e riforme regolamentari abbia proposto di deregolamentare il Gdpr per “accelerare la crescita nell’economia digitale e migliorare la produttività e la vita delle persone liberandole da onerosi requisiti di conformità”.
Inoltre la task force propone di abolire l’articolo 22 del Gdpr che garantisce che, in caso di una decisione originata da un processo automatizzato, le persone abbiano la possibilità di richiedere una verifica da parte di un operatore. Il motivo è che questa tutela per la task force “rende oneroso, costoso e poco pratico per le organizzazioni utilizzare l’Ai per automatizzare i processi di routine“. Peccato che alcuni di questi processi di routine abbiano degli impatti considerevoli sulla vita delle persone. Si pensi a domande per un mutuo o per un colloquio di lavoro respinte per una logica oscura e senza la possibilità di parlare con un impiegato che possa rivedere la decisione dell’algoritmo o dell’intelligenza artificiale. Moltiplicate questo caso per quei milioni di persone che hanno una minore comprensione di questi processi e non sanno che, per esempio, non inserendo alcune parole chiave la domanda sarà automaticamente rigettata, per immaginare il risultato.
A ciò si aggiunge la recente sentenza della Corte europea dei diritti dell’uomo che ha da poco riconosciuto come la sorveglianza di massa operata dai servizi di sicurezza inglesi a danno dei cittadini fosse illecita perché sproporzionata e assente di ogni salvaguardia. Visto il curriculum del Regno unito e la pressione del Parlamento europeo, la Commissione ha stabilito, in modo eccezionale rispetto ad accordi simili stipulati con altri Paesi, che l’accordo abbia una durata di quattro anni dopo i quali sarà rivisto per essere eventualmente rinnovato. La Commissione conserverà comunque il diritto di annullarlo se nei quattro anni il Regno Unito modificherà in modo peggiorativo la sua normativa sulla privacy
…
Originariamente pubblicato su Wired Italia
Licenza Creative Commons Attribution, Non Commercial, Non Derivs 3.0
