La Commissione irlandese per la protezione dei dati (Ie Dpa), su incarico del Garante privacy dell’Ue Edpb, ha multato Meta per 1,2 miliardi di euro per aver violato le norme europee sulla protezione dei dati (Gdpr) con il suo social network Facebook. La sanzione è la più alta imposta da un regolatore della protezione dei dati in Europa.
Meta, che intende presentare ricorso, è stata multata per aver “continuato a trasferire dati personali” di utenti dallo Spazio economico europeo agli Stati Uniti in violazione delle norme europee in materia.
Meta deve inoltre “sospendere qualsiasi trasferimento di dati personali negli Stati Uniti entro cinque mesi” dalla notifica della decisione e deve conformarsi al Gdpr entro sei mesi.
Multa record, violazione “sistematica”
La multa è il risultato finale di un’indagine avviata nel 2020 ed è stata emessa dal Garante irlandese a seguito della decisione vincolante di risoluzione delle controversie dell’Edpb del 13 aprile 2023. È stata imposta per i trasferimenti di dati personali di Meta negli Stati Uniti sulla base di clausole contrattuali standard (Scc) dal 16 luglio 2020.
“L’Edpb ha scoperto che l’infrazione di Meta Ie è molto grave poiché riguarda trasferimenti sistematici, ripetitivi e continui”, ha commentato Andrea Jelinek, presidente dell’Edpb. “Facebook ha milioni di utenti in Europa, quindi il volume di dati personali trasferiti è enorme. La multa senza precedenti è un segnale forte per le organizzazioni che gravi violazioni hanno conseguenze di vasta portata”.
Meta farà ricorso
Meta definisce la multa “ingiustificata e non necessaria” e avvierà un’azione legale per sospenderla, ha fatto sapere il gigante dei social media in una dichiarazione. “Migliaia di aziende e organizzazioni fanno affidamento sulla capacità di trasferire dati tra Ue e Usa” e “c’è un conflitto di diritti fondamentali tra le regole del governo Usa sull’accesso ai dati e i diritti europei alla privacy”, ha spiegato il colosso californiano.
La decisione del Garante europeo
Nella sua decisione vincolante del 13 aprile 2023, l’Edpb ha incaricato il Garante irlandese di modificare il suo progetto di decisione e di imporre un’ammenda a Meta in Europa. Come si legge nella nota dell’autorità europea per la protezione dei dati, “Fata la gravità dell’infrazione, l’Edpb ha rilevato che il punto di partenza per il calcolo dell’ammenda dovrebbe essere compreso tra il 20% e il 100% del massimo legale applicabile. L’Edpb ha anche incaricato la Dpa irlandese di ordinare a Meta Ie di rendere le operazioni di trattamento conformi al capitolo V del Gdpr, cessando il trattamento illegale, compresa la conservazione, negli Stati Uniti dei dati personali degli utenti europei trasferiti in violazione del Gdpr, entro 6 mesi dalla notifica della decisione finale dell’Ie SA”.
Entro l’estate accordo Ue-Usa sui dati
La questione del trasferimento transatlantico dei dati è rimasta irrisolta da quando l’Ue ha invalidato gli accordi esistenti con gli Usa ritenendoli non adeguati a proteggere i dati dei cittadini e delle imprese europei.
La Commissione europea prevede di finalizzare un patto per il trasferimento dei dati con gli Stati Uniti entro l’estate. “Ci aspettiamo che il quadro di protezione dei dati tra l’UE e gli Stati Uniti sia pienamente operativo entro l’estate. Ciò garantirà stabilità e certezza giuridica”, ha dichiarato un portavoce della Commissione.
Le aziende nel caos
Secondo l’associazione Ccia, che rappresenta l’industria del digitale in Europa, “le organizzazioni e le aziende europee e statunitensi di tutte le dimensioni sono state lasciate senza linee guida chiare per i trasferimenti di dati transatlantici. Fino ad oggi, quell’incertezza continua a colpire non solo le aziende, ma anche organizzazioni non profit, enti di beneficenza, governi e altri. I flussi di dati tra l’UE e gli Stati Uniti costituiscono la via Internet più trafficata al mondo e sono vitali per il commercio transatlantico. Tuttavia, la decisione odierna di sospendere i trasferimenti di dati dall’Ue agli Stati Uniti ignora questa realtà. Rende effettivamente illegale il modo in cui Internet funziona, dalle videoconferenze e la navigazione in Internet, all’elaborazione dei pagamenti online”.
La Ccia chiede un nuovo e rafforzato accordo Ue-Usa: “Attendiamo con impazienza che l’amministrazione statunitense completi rapidamente l’attuazione di tutte le salvaguardie della privacy e dei meccanismi di ricorso che l’ordine esecutivo cerca di introdurre”. E ancora: “L’incertezza giuridica di oggi continuerà a persistere fino a quando questo nuovo meccanismo di trasferimento dei dati non sarà stato formalmente approvato dagli Stati membri dell’Ue. Chiediamo ai 27 governi nazionali dell’Ue di approvare senza indugio la decisione di adeguatezza della Commissione”.
