La Brexit, dopo anni di negoziazioni, ha finalmente avuto luogo e sono stati chiariti i termini del “divorzio” fra Regno Unito ed Unione Europea. Ci sono però ancora alcuni capitoli aperti: non ultimo, quello su come verranno trattati i dati. Negli ultimi anni, infatti, anche per il Regno Unito, come per il resto della Ue, erano valse le regole del regolamento per la protezione dei dati personali (Gdpr); i dati scambiati da aziende e cittadini, fluivano senza problemi fra le due sponde della Manica. Non è detto però che tale situazione rimanga invariata. 

Perché questo avvenga, bisogna infatti che, entro sei mesi dall’uscita (quindi entro fine giugno di quest’anno) la Ue promulghi una dichiarazione di “adeguatezza” e compatibilità della normativa britannica in materia di dati personali con la normativa europea. Sarebbe la soluzione più semplice e più indolore per entrambe le parti: la Commissione europea ha già concesso, in passato, uno status simile ad altri paesi come l’Argentina, il Giappone, la Svizzera e la Nuova Zelanda. 

Il Governo di sua Maestà ha però invitato ufficialmente aziende e organizzazioni varie a prendere precauzioni in caso qualcosa andasse storto e la dichiarazione di adeguatezza non arrivasse. In quel caso, farebbero testo le Standard Contractual Clauses (Scc); in sostanza dei contratti che devono essere firmati sia da chi invia che da chi riceve i dati e contengono disposizioni specifiche su come regolare il trasferimento. Il problema è che le aziende dovrebbero prima di tutto analizzare il modo in cui tali informazioni vengono ricevute ed emesse e poi stilare clausole diverse per i diversi tipi di trasferimento: secondo uno studio della New Economics Foundation uscito a novembre, mettersi in regola comporterebbe un costo complessivo fino a 1,76 miliardi di euro per le aziende del Regno Unito. 

Questo perché, come ha spiegato uno dei ricercatori autori del rapporto, Duncan McCann, “Non è sufficiente mettere un certo testo nel contratto. Ci deve essere una reale valutazione del rischio del Paese in cui i dati sono stati inviati, per assicurarsi che la Scc abbia una qualche validità”. Il che significa mappare tutte le transazioni e analizzarle chiedendo la consulenza di tecnici e legali.

Se le grandi multinazionali dispongono di solito di competenze adeguate al loro interno, a pagare il prezzo maggiore sarebbero invece le piccole e medie aziende, che dovrebbero ricorrere a esperti esterni, profumatamente stipendiati. Qualche esempio: un hotel con sede nel Regno Unito che riceve informazioni sui clienti europei attraverso un'agenzia di prenotazioni, dovrebbe far ricorso alle Scc; lo stesso varrebbe per un portale che vende libri, oppure uno studio legale inglese con clienti in Europa. Anche organizzazioni più grandi ne sarebbero comunque affette: la Nhs, il sistema sanitario britannico, ha confermato che potrebbero esserci problemi, in caso di dichiarazione di adeguatezza non pervenuta, per trattare i dati dei cittadini Eu per gli studi clinici. 

Dato che per anni oltre Manica è stata in vigore il regolamento europeo per la protezione dei dati, i consigli del governo e le stime della New Economics Foundation potrebbero sembrare soltanto le predizioni buie delle solite Cassandre o al meglio, un eccesso di zelo preventivo. Gli ottimisti non tengono conto però dell’impatto di alcune leggi di sorveglianza di massa vigenti nell’isola, in particolare l’Investigatory Powers Act voluto nel 2016 dall’allora segretario agli affari interni Theresa May. La legge, contestata dalla Corte di Giustizia europea (assieme ad altre norme simili vigenti in Francia e Belgio), dà ampi poteri a polizia e servizi segreti per l’accesso al traffico telefonico e Internet dei cittadini, di default e senza che vi sia un immediato pericolo per la sicurezza nazionale. Per la Corte, si tratta di un’impostazione in contrasto con la Carta dei diritti fondamentali dell’Unione.  

Dato che, di recente, la Ue ha deciso di invalidare il Privacy Shield - l’accordo per il trasferimento dei dati da e per gli Stati Uniti - per ragioni simili, è lecito sospettare che anche nel caso del Regno Unito l’estensione della Gdpr potrebbe non filare liscia come governo e aziende si augurano.