Il 4/06/2025 l’European Data Protection Board (EDPB) ha pubblicato le Linee Guida sull’applicazione dell’art. 48 del GDPR (Guidelines 02/2024), chiarendo che le richieste di disclosure di dati personali provenienti da autorità di paesi terzi non sono legittime per il solo fatto di provenire da un ente istituzionale.
Con le recenti Linee Guida, l’EDPB ha fornito indicazioni operative ai privati che si trovino a dover gestire questo tipo di richieste, riepilogando le verifiche da svolgere prima di comunicare dati personali a qualsiasi autorità stabilità fuori dall’UE.
Art: 48 del GDPR: l’ambito di applicazione della norma
In base all’art. 48 del GDPR:
“Le sentenze di un’autorità giurisdizionale e le decisioni di un’autorità amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l’Unione o un suo Stato membro, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del presente capo”.
Si tratta quindi di una norma che si applica quando un titolare o un responsabile del trattamento situato nell’UE riceve un provvedimento, emesso dall’autorità amministrativa o giudiziaria di un paese terzo, che impone il trasferimento o la divulgazione di dati personali.
L’art. 48 non fa distinzione tra soggetti pubblici o privati che ricevono richieste di dati da autorità di paesi terzi. Tuttavia, l’EDPB si è concentrato sulle richieste rivolte a soggetti privati, sia perché rappresenta lo scenario più frequente, sia perché le richieste rivolte alle autorità pubbliche sono generalmente gestite sulla base di accordi di cooperazione internazionale.
Le indicazioni dell’EDPB per gestire le richieste provenienti da autorità di paesi terzi
In primo luogo, l’EDPB ha precisato che richieste di questo tipo non possono essere considerate automaticamente lecite solo perché provengono da un’autorità pubblica. Infatti, quando i dati trattati nell’UE vengono trasferiti o comunicati in risposta a una richiesta di un’autorità di un paese terzo, tale divulgazione resta soggetta al GDPR.
Questo implica che, come per qualsiasi altro trasferimento disciplinato dal GDPR, è necessaria l’individuazione di una base giuridica ai sensi dell’art. 6 e la sussistenza dei presupposti per i trasferimenti fuori dall’UE previsti dal Capo V del GDPR.
Quindi, la prima verifica da svolgere riguarda l’esistenza di un accordo internazionale con il paese dell’autorità richiedente, dal quale discenda l’obbligo giuridico di adempiere. In tal caso, la base giuridica per il trasferimento dei dati è l’obbligo legale (art. 6, par. 1, lett. c). Se, invece, non ci fosse un accordo internazionale, allora la base giuridica corretta andrà individuata volta per volta, tenendo conto delle specifiche circostanze ed escludendo, in ogni caso, quella contrattuale (art. 6, par. 1, lett. b).
Inoltre, dopo aver individuato la base giuridica, resta necessario verificare se sussistano o meno i presupposti per il trasferimento di dati personali fuori dall’UE. Si dovrà quindi valutare se esista o meno una decisione di adeguatezza della Commissione UE rispetto al paese dell’autorità richiedente (art. 45). Se non ci fosse, allora il trasferimento potrà essere eseguito solo se è possibile individuare una delle garanzie ritenute adeguate dall’art. 46.
In assenza di una decisione di adeguatezza o di garanzie adeguate, il trasferimento di dati fuori dall’UE potrebbe essere effettuato solo in forza delle deroghe previste dall’art. 49 GDPR, che consente i trasferimenti di dati in situazioni considerate eccezionali (ad esempio, se necessario per importanti motivi di interesse pubblico o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria). Tuttavia, l’EDPB ha chiarito che le deroghe previste dall’art. 49 del GDPR devono essere interpretate in senso restrittivo e, se la richiesta del paese terzo non rientra nella casistica tassativamente prevista dalla norma, i dati non potranno essere comunicati.
Ilaria Feriti