Rapporto esplicativo

cioè «assicurare un elevato livello di protezione dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del diritto alla vita privata (…)». Il livello di protezione offerto da un Paese terzo o da un organo internazionale può essere ritenuto adeguato, quando i dati della persona interessata sono trattati in modo da soddisfare nella sostanza i principi di protezione dei dati indicati dalla decisione quadro⁶². Nel caso specifico l'autorità competente dovrà dunque esaminare l'insieme delle circostanze che svolgono un ruolo chiave nel quadro del trasferimento di dati che intende effettuare. Una verifica generale del livello di protezione nello Stato terzo non è sufficiente. È infatti possibile che uno Stato terzo sia in grado di assicurare un livello di protezione adeguato in un determinato settore o per una certa categoria di comunicazioni, ma non in altri settori.

È opportuno sottolineare che la nozione di «adeguato livello di protezione» si ritrova anche nell'articolo 6 LPD, che, tuttavia, si applica solo ai procedimenti di assistenza giudiziaria internazionale pendenti (art. 2 cpv. 2 lett. c LPD).

Il capoverso 4 dell'articolo 355f riporta un elenco esaustivo di eccezioni al divieto di comunicazione, qualora lo Stato terzo o l'organo internazionale non garantisca un livello di protezione adeguato. In caso di applicazione di una di queste eccezioni, viene meno il divieto per l'autorità competente di comunicare dati personali allo Stato terzo o all'organo internazionale che non garantisce un livello di protezione sufficiente.

In deroga al capoverso 1 lettera d, il capoverso 4 lettera a stabilisce che, in singoli casi, i dati possono essere comunicati per proteggere interessi superiori legittimi della persona interessata, come la sua vita o la sua salute, o quelli di terzi. La lettera b prevede inoltre un'ulteriore eccezione per tutelare un interesse pubblico superiore.

Secondo il capoverso 4 lettera c, è possibile comunicare dati personali se sono fornite garanzie sufficienti per assicurare un adeguato livello di protezione. Questa eccezione permette dunque all'autorità competente di predisporre la trasmissione di dati personali a uno Stato terzo o a un organo internazionale invitandolo, per esempio nell'ambito di uno scambio di note, a impegnarsi formalmente a rispettare un determinato numero di principi generali di protezione dei dati a favore della persona interessata. Affinché le garanzie possano essere ritenute sufficienti in base ai requisiti della decisione quadro, esse devono riferirsi al trattamento dei dati da parte dell'autorità competente dello Stato terzo o dell'organo internazionale ricevente e assicurare che i dati comunicati saranno trattati nel rispetto dei principi generali di protezione indicati dalla decisione, in particolare per quanto concerne la legittimità, la finalità, la buona fede, la proporzionalità, la protezione dei dati sensibili e i diritti della persona interessata. Le garanzie fornite saranno giudicate sufficienti se, sulla base delle misure prese e delle circostanze, è possibile prevedere in modo abbastanza sicuro che la protezione materiale nello Stato terzo o presso l'organo internazionale ricevente avrà successo. Tale protezione può essere attuata con varie misure; deve solo essere possibile prevedere con un grado di certezza sufficiente che la persona interessata beneficerà della protezione necessaria⁶³.