Decisione di esecuzione (UE) 2025/1226 della Commissione del 24 giugno 2025 che modifica la decisione di esecuzione (UE) 2021/1772 a norma del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio sull’adeguata protezione dei dati personali da parte del Regno Unito [notificata con il numero C(2025) 3928] (Testo rilevante ai fini del SEE)

visto il trattato sul funzionamento dell’Unione europea,

visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)¹, in particolare l’articolo 45, paragrafo 3,

La decisione di esecuzione (UE) 2021/1772 della Commissione² ha concluso che, ai fini dell’articolo 45 del regolamento (UE) 2016/679, il Regno Unito assicura un livello di protezione adeguato dei dati personali trasferiti dall’Unione europea verso il Regno Unito nell’ambito di applicazione di tale regolamento³.

Nell’adottare la decisione di esecuzione (UE) 2021/1772, la Commissione ha tenuto conto del fatto che, con la fine del periodo di transizione previsto dall’accordo sul recesso del Regno Unito di Gran Bretagna e Irlanda del Nord dall’Unione europea e dalla Comunità europea dell’energia atomica⁴ e quando la disposizione provvisoria di cui all’articolo 782 dell’accordo sugli scambi commerciali e la cooperazione tra l’Unione europea e la Comunità europea dell’energia atomica, da una parte, e il Regno Unito di Gran Bretagna e Irlanda del Nord, dall’altra⁵ avrebbe cessato di applicarsi, il Regno Unito avrebbe adottato, applicato e fatto rispettare un nuovo regime di protezione dei dati, diverso da quello in vigore quando era vincolato dal diritto dell’Unione. Poiché ciò avrebbe potuto comportare in particolare modifiche del quadro di protezione dei dati valutato nella decisione di esecuzione (UE) 2021/1772 o altri sviluppi pertinenti, si è ritenuto opportuno prevedere che tale decisione si applicasse per un periodo di quattro anni a decorrere dalla sua entrata in vigore. La decisione di esecuzione (UE) 2021/1772 scadrà pertanto il 27 giugno 2025, a meno che non sia prorogata secondo la procedura di cui all’articolo 93, paragrafo 2, del regolamento (UE) 2016/679.

Per decidere in merito a un eventuale rinnovo della decisione di esecuzione (UE) 2021/1772, la Commissione deve valutare se la conclusione secondo cui il Regno Unito assicura un livello di protezione adeguato dei dati personali trasferiti dall’Unione europea verso il Regno Unito rimanga giustificata sotto il profilo fattuale e giuridico. Tale valutazione può essere svolta solo sulla base di un quadro giuridico stabile in vigore nel Regno Unito.

Il quadro di protezione dei dati valutato nella decisione di esecuzione (UE) 2021/1772, che si basa sul diritto dell’Unione, continua ad applicarsi nel Regno Unito. Tuttavia, il 23 ottobre 2024 il governo ha presentato al Parlamento il disegno di legge sull’accesso ai dati e sul loro utilizzo⁶, proponendo modifiche del regolamento generale sulla protezione dei dati del Regno Unito e della legge del 2018 sulla protezione dei dati del Regno Unito.

La validità della decisione di esecuzione (UE) 2021/1772 dovrebbe pertanto essere prorogata per un periodo di sei mesi per consentire alla Commissione di svolgere la valutazione dell’adeguatezza del livello di protezione dei dati personali assicurato dal Regno Unito sulla base di un quadro giuridico stabile, una volta concluso il processo legislativo in corso dinanzi al parlamento del Regno Unito.

Il comitato europeo per la protezione dei dati ha pubblicato un parere⁷, del quale si è tenuto conto nell’elaborazione della presente decisione.

La misura di cui alla presente decisione è conforme al parere del comitato istituito a norma dell’articolo 93 del regolamento (UE) 2016/679.

È pertanto opportuno modificare di conseguenza la decisione di esecuzione (UE) 2021/1772,