Scontro tra titani: GDPR e arbitrato internazionale: uno sguardo al futuro

Introduzione

Negli ultimi anni si sono presentate domande sulle implicazioni pratiche della privacy dei dati personali e della cybersecurity sull'effettivo svolgimento degli arbitrati internazionali, soprattutto se si tiene conto del ritmo costante dei cambiamenti tecnologici.

Il Regolamento generale sulla protezione dei dati (GDPR)^[1] ha festeggiato il suo secondo compleanno nel maggio 2020. Il quadro normativo sulla protezione dei dati personali del GDPR mira a garantire la libera circolazione dei dati personali di "persone fisiche identificate o identificabili".^[2] Si applica all'interno dell'Unione europea e ha un ambito di applicazione extraterritoriale che può estendersi al di fuori dell'UE.^[3] Il GDPR può riguardare non solo tutte le persone fisiche o giuridiche, ma assoggetta anche le autorità pubbliche, le agenzie e gli altri organismi, comprese eventualmente le organizzazioni internazionali, agli obblighi di protezione dei dati personali.[Le sanzioni previste dal GDPR possono ammontare al 4% del fatturato annuo mondiale dell'ente che ha commesso la violazione nell'esercizio finanziario precedente o a 20 milioni di euro, a seconda di quale sia il valore più alto.^[5] La necessità di prendere seriamente in considerazione la sua applicazione è già stata stabilita attraverso multe multimilionarie che sono state inflitte in diverse giurisdizioni.^[6]

Sebbene l'applicazione delle leggi sulla protezione dei dati personali all'arbitrato sia ormai assodata, non lo è il modo in cui tali leggi dovrebbero essere applicate. Per questo motivo, nel febbraio 2019 l'International Council for Commercial Arbitration (ICCA) e l'International Bar Association (IBA) hanno istituito una task force congiunta sulla protezione dei dati nei procedimenti arbitrali internazionali, con l'obiettivo di produrre una guida che fornisca indicazioni pratiche sulla protezione dei dati personali negli arbitrati internazionali. La Task Force ha pubblicato una bozza di consultazione di questa guida nel marzo 2020.^[7] Il presente commento si baserà su questa bozza di guida (la Roadmap),^[8] mentre la versione finale e rivista della Roadmap dovrebbe essere pubblicata nel settembre 2021. Sebbene al momento della stesura del presente documento sia scaduto il termine per la presentazione dei commenti sulla bozza di consultazione, la versione preliminare della Roadmap è comunque esemplificativa delle questioni sollevate dal GDPR negli arbitrati internazionali. Verrà pertanto utilizzata come base di discussione.

La maggior parte delle leggi sulla protezione dei dati personali sono obbligatorie nei procedimenti arbitrali, il che significa che prescrivono:

• quali dati personali possono essere trattati
• dove;
• con quali mezzi
• con quali misure di sicurezza delle informazioni; e
• per quanto tempo.^[9]

Tuttavia, non si occupa di come questi obblighi vincolanti debbano essere rispettati nei procedimenti arbitrali. In assenza di indicazioni specifiche da parte delle autorità di regolamentazione, la Roadmap intende aiutare i professionisti dell'arbitrato a identificare e comprendere gli obblighi in materia di protezione dei dati personali e della privacy a cui possono essere soggetti nel contesto di un arbitrato internazionale. Inoltre, la portata della protezione del GDPR rimane rilevante nei procedimenti arbitrali internazionali, soprattutto se le leggi del GDPR si applicano agli arbitrati con sede al di fuori dell'UE. Se si ritiene che il GDPR si applichi all'arbitrato, vi sono diverse altre implicazioni: in primo luogo, se il trattamento dei dati personali è vietato e, in secondo luogo, se vi sono restrizioni al trasferimento dei dati personali al di fuori dell'UE. Infine, a causa della crescente frequenza degli attacchi informatici, le conseguenze di un tale attacco a un arbitrato potrebbero comportare danni significativi.

Questo articolo si propone di commentare la Roadmap e di esplorare le misure pratiche che dovrebbero essere prese in considerazione per quanto riguarda gli obblighi di protezione dei dati personali nei procedimenti arbitrali internazionali. La Roadmap è considerata uno strumento promettente, anche se incompleto, per integrare i vari tentativi di armonizzazione dell'arbitrato internazionale finora compiuti, in particolare gli strumenti dell'IBA e della Commissione delle Nazioni Unite per il diritto commerciale internazionale (UNCITRAL).

In primo luogo, verrà fornita una breve sintesi della Roadmap che include un riferimento ai principi del GDPR. Non si tratta di una panoramica completa, ma piuttosto di introdurre i punti principali della Roadmap per fornire al lettore un contesto per la discussione successiva. In secondo luogo, verrà fornito un commento che tocca sei questioni pertinenti:

• l'applicabilità del GDPR agli arbitrati svolti al di fuori dell'UE;
• il GDPR nel contesto degli arbitrati dell'Accordo di libero scambio nordamericano (NAFTA), come illustrato nella causa Tennant Energy, LLC contro il Governo del Canada;^[10]
• la questione delle videoconferenze, la cui importanza è aumentata notevolmente nel corso della pandemia Covid-19, compresi i riferimenti al "Protocollo ICCA-NYC Bar-CPR sulla Cybersecurity nell'arbitrato internazionale" (Protocollo sulla Cybersecurity)^[11] alle Linee guida sulla Cybersecurity dell'IBA^[12] e alla Nota di orientamento dell'ICC sulle possibili misure volte a mitigare gli effetti della pandemia COVID-19;^[13]
• i "finanziatori terzi" e il modo in cui vengono presi in considerazione nella Roadmap;
• l'abuso del GDPR, soprattutto come scudo per la mancata divulgazione; e
• la possibilità di utilizzare la non conformità ai requisiti di protezione dei dati personali come mezzo per l'annullamento o il rifiuto del riconoscimento e dell'esecuzione del lodo arbitrale.

Le riflessioni finali saranno fornite nella conclusione.

La tabella di marcia

Le persone fisiche e giuridiche sono soggette all'obbligo di proteggere i dati personali degli interessati. L'arbitrato in sé non è soggetto agli obblighi di protezione dei dati personali. Tuttavia, se solo un partecipante all'arbitrato è soggetto agli obblighi di protezione dei dati personali, l'arbitrato può essere influenzato nel suo complesso. Il fatto che il trattamento dei dati personali rientri nelle leggi, nel materiale e nell'ambito giurisdizionale pertinenti determinerà l'applicazione delle leggi sulla protezione dei dati personali.^[14]

Le moderne leggi sulla protezione dei dati personali si applicano ogni volta che i dati personali di un soggetto vengono trattati durante le attività che rientrano nell'ambito di applicazione giurisdizionale delle leggi sulla protezione dei dati personali.^[15] I dati personali comprendono "qualsiasi informazione relativa a una persona fisica identificata o identificabile".^[16] Durante i tipici procedimenti arbitrali, vengono scambiate porzioni sostanziali di informazioni relative, tra l'altro, alle parti, ai loro consulenti, al tribunale e a terzi. In quanto tali, è probabile che rientrino nella definizione di "dati personali". ^Il trattamento comprende operazioni attive e passive e comprende l'utilizzo, la diffusione e la cancellazione di dati personali, nonché la ricezione, l'organizzazione e la conservazione di dati personali.[L'ambito di applicazione comprende azioni ogniqualvolta i dati personali sono trattati nel contesto delle attività di uno stabilimento di un responsabile del trattamento o di un incaricato del trattamento nell'UE^[19] e a livello extraterritoriale, ad esempio quando i dati personali sono trasferiti al di fuori dell'UE a entità o persone che non sono per altri motivi già soggette al GDPR.^[20]

Gli arbitri saranno qualificati come responsabili del trattamento dei dati, il che significa che saranno responsabili della conformità alle leggi sulla protezione dei dati personali. Tuttavia, in base alla definizione di "responsabile del trattamento dei dati",^[21] la maggior parte dei partecipanti all'arbitrato^[22] sarà probabilmente considerata tale, compresi i consulenti, le parti e l'istituzione. I responsabili del trattamento dei dati possono delegare il trattamento dei dati agli incaricati del trattamento^,[23] che saranno sotto il loro controllo e richiederanno accordi sul trattamento dei dati nei termini previsti dalla legge applicabile. Pertanto, segretari, trascrittori, traduttori e altri soggetti possono essere considerati responsabili del trattamento. Vi è poi la questione dei contitolari del trattamento che determinano congiuntamente le finalità e i mezzi del trattamento dei dati. La contitolarità è interpretata in senso lato, ma la responsabilità del contitolare del trattamento è limitata solo al trattamento che il responsabile del trattamento ha determinato, alle sue finalità e ai suoi mezzi, e non al trattamento complessivo.^[24]

Negli arbitrati internazionali, le restrizioni ai trasferimenti di dati personali tra giurisdizioni sono un modo evidente di applicare le leggi sulla protezione dei dati personali. Il background dei diversi partecipanti all'arbitrato determinerà l'applicazione di diversi regimi di protezione dei dati personali. Le moderne leggi sulla protezione dei dati personali limitano i trasferimenti di dati personali verso Paesi terzi per garantire che gli obblighi di legge non siano elusi dal trasferimento di dati personali verso giurisdizioni con standard inferiori di protezione dei dati personali.^[25] Il GDPR consente il trasferimento di dati personali da un Paese terzo se si verifica una delle seguenti condizioni:

• il Paese è stato ritenuto dalla Commissione UE in grado di fornire un'adeguata protezione dei dati personali;
• viene messa in atto una delle garanzie espressamente elencate;
• una deroga che consenta i trasferimenti se necessari per l'accertamento, l'esercizio o la difesa di diritti legali; oppure
• un interesse legittimo impellente di una parte.^[26]

Queste regole si applicano ai partecipanti all'arbitrato e non all'arbitrato nel suo complesso, per cui ogni partecipante all'arbitrato deve considerare quali restrizioni al trasferimento dei dati personali si applicano a lui.

I principi di protezione dei dati personali applicabili all'arbitrato comprendono il trattamento equo e legittimo, la proporzionalità, la minimizzazione dei dati, la limitazione delle finalità, i diritti degli interessati, l'accuratezza, la sicurezza dei dati, la trasparenza e la responsabilità.^[27]

Alcuni di questi principi richiedono ulteriori commenti. Un trattamento corretto e lecito significa che i dati personali devono essere trattati solo secondo modalità che gli interessati si aspetterebbero ragionevolmente e che deve esistere una base giuridica per il trattamento. Applicando il principio di correttezza, la parte e i suoi consulenti devono chiedersi se, nel contesto di tutti i fatti, le persone si sarebbero aspettate che i loro dati personali fossero trattati in questo modo, se ciò avrà conseguenze negative su di loro e se tali conseguenze sono giustificate. Questo principio non impedirà che i dati personali trovati nelle e-mail aziendali siano ammessi come prova.

La nozione di trattamento lecito implica una base giuridica che è basata sui fatti e specifica per il caso. Piuttosto che basarsi sul consenso, si dovrebbero invocare le basi giuridiche specifiche del GDPR.^[28]

La proporzionalità richiede una considerazione della natura, dell'ambito, del contesto e delle finalità del trattamento in relazione ai rischi per l'interessato.^[29] La minimizzazione dei dati richiede che i partecipanti all'arbitrato limitino il trattamento ai dati personali adeguati, pertinenti e limitati a quanto necessario.^[30] La trasparenza richiede che gli interessati siano informati del trattamento e delle finalità del trattamento dei dati personali attraverso avvisi generali, notifiche specifiche o entrambi.^[31] La responsabilità riguarda la responsabilità personale per la conformità alla protezione dei dati, il che significa che i partecipanti all'arbitrato devono documentare tutte le misure di protezione dei dati personali e le decisioni prese al fine di dimostrare la conformità.^[32]

La conformità alla protezione dei dati personali riguarda le singole fasi del procedimento arbitrale internazionale, non solo durante l'arbitrato stesso ma anche durante la preparazione. Fin dall'inizio, i partecipanti all'arbitrato devono considerare quali leggi sulla protezione dei dati personali si applicano a loro stessi e agli altri partecipanti all'arbitrato, e quali partecipanti all'arbitrato tratteranno i dati personali in qualità di responsabili, incaricati del trattamento o corresponsabili del trattamento. Occorre inoltre considerare le norme sul trasferimento dei dati personali dei paesi terzi e gli accordi sul trattamento dei dati personali relativi ai fornitori di servizi terzi. Durante il processo di raccolta e revisione dei documenti, le parti e i loro consulenti legali hanno bisogno di una base legale per le attività di trattamento e per i trasferimenti di dati personali da paesi terzi.^[33]

La richiesta di arbitrato, così come le successive comunicazioni, includeranno dati personali che rientrano a pieno titolo nell'ambito del trattamento. Se un'istituzione arbitrale è vincolata dalle leggi applicabili in materia di protezione dei dati personali, deve prendere in considerazione i potenziali obblighi di protezione dei dati personali che si applicano durante ogni fase procedurale. Se un'istituzione arbitrale è soggetta al GDPR, in genere diventa un responsabile del trattamento dei dati personali. Per conformarsi agli articoli 13 e 14 del GDPR, tale istituzione dovrebbe includere nella sua informativa sulla privacy informazioni relative alle misure di sicurezza, all'esercizio dei diritti degli interessati, alla tenuta dei registri e alle politiche di violazione e conservazione dei dati.^[34] Le organizzazioni internazionali che amministrano arbitrati tra investitori e Stati, tuttavia, possono essere escluse dall'ambito di applicazione delle leggi sulla protezione dei dati personali a causa dei privilegi e delle immunità dello Stato costituente o di un accordo con il Paese ospitante. In questo caso, quindi, occorre fare considerazioni distinte, tra cui stabilire se l'organizzazione è vincolata dalle leggi sulla protezione dei dati personali e se - e in che misura - i partecipanti all'arbitrato sarebbero coperti da privilegi e immunità.^[35]

Durante la nomina degli arbitri in un tribunale arbitrale, vengono generalmente scambiate quantità significative di dati personali dei potenziali arbitri. I partecipanti all'arbitrato dovrebbero includere la base giuridica per il trattamento di questi dati personali nelle loro comunicazioni legali e notificare espressamente agli arbitri che vengono presi in considerazione per la nomina il trattamento dei loro dati personali, soprattutto in caso di trasferimenti di dati personali da paesi terzi.^[36]

Una volta avviato l'arbitrato, le responsabilità di conformità in materia di protezione dei dati personali dovrebbero essere assegnate tempestivamente per ridurre al minimo i rischi. La protezione dei dati personali dovrebbe essere inclusa nell'ordine del giorno della prima conferenza di procedura e i partecipanti all'arbitrato dovrebbero cercare di accordarsi su come affrontare la conformità alla protezione dei dati personali il più presto possibile. Le parti, i loro consulenti e gli arbitri dovrebbero considerare la possibilità di stipulare un protocollo sulla protezione dei dati personali per gestire efficacemente le questioni di conformità. Qualora ciò non sia possibile, un'opzione alternativa è che il Tribunale li includa nell'Ordine di procedura numero uno.^[37]

Nel processo di produzione e divulgazione dei documenti, il principio della minimizzazione dei dati personali è particolarmente rilevante. Ai sensi del GDPR, ciò richiederebbe probabilmente

• limitare i dati personali divulgati a quelli pertinenti e non duplicativi;
• identificare i dati personali contenuti nel materiale di risposta; e
• eliminare o pseudonimizzare i dati personali non necessari.

Anche queste questioni dovrebbero essere prese in considerazione nelle prime fasi del procedimento, preferibilmente durante o prima della prima conferenza di procedura.^[38]

Quando si tratta di emettere i lodi, gli arbitri e le istituzioni dovrebbero considerare la base e la necessità di includere i dati personali nei lodi. Se l'arbitrato è riservato, c'è comunque il rischio che un lodo diventi pubblico quando viene eseguito. Anche se i dati personali vengono cancellati, in genere rimangono dati personali in quanto l'interessato è identificabile dal resto del lodo o dal materiale correlato.^[39]

La conservazione e la cancellazione dei dati sono considerate un trattamento ai sensi del GDPR, che prevede che i dati personali siano "conservati in una forma che consenta l'identificazione dell'interessato per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono trattati".^[40] I responsabili del trattamento devono considerare, documentare ed essere in grado di giustificare la durata della conservazione. I partecipanti all'arbitrato devono considerare quale periodo di conservazione dei dati sia ragionevole e devono adottare un approccio proporzionato per bilanciare le loro esigenze con l'impatto della conservazione dei dati sull'interessato.^[41]

L'applicabilità del GDPR agli arbitrati svolti al di fuori dell'UE

L'ambito territoriale del Regolamento generale sulla protezione dei dati è relativamente ampio. I professionisti devono essere consapevoli della sua applicazione, indipendentemente dal fatto che si trovino o meno nell'UE o che l'arbitrato abbia sede nell'UE. Il GDPR si applica al trattamento dei dati personali da parte di responsabili o incaricati del trattamento stabiliti nell'UE, indipendentemente dal fatto che il trattamento stesso abbia luogo nell'UE (articolo 3, paragrafo 1). Inoltre, quando si tratta di offrire beni o servizi a cittadini dell'UE o di monitorare comportamenti che avvengono all'interno dell'UE, il GDPR si applica al trattamento dei dati personali da parte di un responsabile o incaricato del trattamento non stabilito nell'UE (articolo 3, paragrafo 2).

Applicato al contesto arbitrale, il GDPR impone obblighi ai responsabili e agli incaricati del trattamento dei dati - arbitri, consulenti, parti e istituzioni - che rientrano nel suo ambito di applicazione materiale e territoriale, piuttosto che direttamente al procedimento arbitrale. Anche se un solo partecipante all'arbitrato ha un legame con l'UE, sarà obbligato a trattare i dati personali in conformità al GDPR. Possono sorgere implicazioni per il procedimento nel suo complesso.^[42]

Forse le più importanti nel contesto dell'arbitrato internazionale, dove il trasferimento di materiale arbitrale contenente dati personali è comune, sono le restrizioni poste al trasferimento di dati personali a "Paesi terzi" al di fuori dello Spazio economico europeo (SEE). In questo scenario, per consentire il trasferimento di dati personali è necessaria una delle quattro basi legali. In primo luogo, il trasferimento a un paese terzo è consentito se il paese terzo è soggetto a una decisione di adeguatezza (articolo 45, paragrafo 1).^[43] In caso contrario, è necessario adottare, ove possibile, una delle garanzie appropriate (articolo 46, paragrafo 1).^[44] Se non c'è una decisione di adeguatezza e non è possibile una salvaguardia appropriata, si può invocare una deroga specifica (articolo 49, paragrafo 1).^[45] Infine, in assenza di quanto sopra, una parte può invocare un interesse legittimo impellente (articolo 49, paragrafo 1)^[46] come base legittima per un trasferimento di dati personali da parte di terzi.

La Roadmap illustra in modo abbastanza esaustivo le considerazioni necessarie che i partecipanti all'arbitrato devono fare. Sottolinea in più occasioni che sono i partecipanti all'arbitrato, e non l'arbitrato in quanto tale, a cui si applicano i principi di protezione dei dati personali e le norme sul trasferimento.^[47] In linea con ciò, la conclusione presuntiva è che un arbitro con sede nell'UE che partecipi a un arbitrato extra-UE, altrimenti non soggetto al GDPR, dovrà comunque rispettare i requisiti del GDPR in materia di trattamento e trasferimento dei dati personali. Ciò è in effetti generalmente accettato nei procedimenti di arbitrato commerciale,^[48] ma la situazione non è altrettanto chiara quando si tratta di arbitrato tra investitori e Stati.

Il caso di Tennant Energy, LLC contro il Governo del Canada

Nel 2019, nell'arbitrato NAFTA Capitolo 11 Tennant Energy, LLC v Government of Canada (Tennant),^[49] Tennant, il ricorrente, ha sollevato la questione dell'applicazione del GDPR al procedimento alla luce della nazionalità e del domicilio nel Regno Unito di uno dei membri del tribunale. Tuttavia, il Tribunale ha dato indicazioni alle parti affermando che "un arbitrato ai sensi del capitolo 11 del NAFTA, un trattato di cui non fanno parte né l'Unione europea né i suoi Stati membri, non rientra, in via presuntiva, nell'ambito di applicazione materiale del GDPR"^[50].

È importante distinguere tra arbitrato basato su trattati e arbitrato commerciale, e Tennant rientra nella prima categoria. La Roadmap si impegna a fare questa distinzione, notando che le organizzazioni internazionali possono essere escluse dall'ambito di applicazione delle leggi sulla protezione dei dati personali.^[51] I membri del tribunale nell'arbitrato Tennant possono essere soggetti ad alcune immunità derivanti dall'accordo di sede della Corte permanente di arbitrato (PCA) con i Paesi Bassi. Tuttavia, il tribunale NAFTA non ha considerato se, in quanto organizzazione internazionale, l'APC sarebbe stata soggetta alle norme sul trasferimento del GDPR o se i membri del tribunale avrebbero beneficiato di alcune immunità derivanti dall'accordo.

L'orientamento di Tennant solleva più domande che risposte in merito all'applicabilità del GDPR ai procedimenti NAFTA e, più in generale, agli arbitrati basati su trattati, una discussione sfumata dei quali esula dal presente scopo. Tuttavia, l'orientamento di Tennant, considerato alla luce della Roadmap, dimostra che questo argomento rimane molto incerto. È discutibile, nella migliore delle ipotesi, che la Roadmap porti un po' di chiarezza ai partecipanti all'arbitrato che si trovano ad affrontare tale questione, considerando soprattutto che la Roadmap è stata emanata dopo la pronuncia del Tennant direction, ma non ha concesso a quest'ultimo alcuna considerazione.

La questione della videoconferenza

La Roadmap riconosce l'importanza della sicurezza dei dati personali. Tuttavia, con il recente utilizzo di ulteriori tecnologie per facilitare le udienze virtuali, nonché il lavoro da casa - per lo più alimentato dalle attuali circostanze imposte dalla pandemia di Covid-19 - la questione assume un peso maggiore. Il Protocollo sulla Cybersecurity^[52] e le Linee guida sulla Cybersecurity dell'IBA^[53] hanno fatto luce sulla questione.

Come la Roadmap, il Protocollo sulla Cybersecurity stabilisce diversi principi di base. Si applica il principio di proporzionalità, il Tribunale ha l'autorità e la discrezionalità per determinare le misure di sicurezza in atto e la sicurezza delle informazioni è una questione che dovrebbe essere discussa alla prima conferenza di gestione del caso. L'Allegato A al Protocollo sulla Cybersecurity fornisce una lista di controllo che le parti di un arbitrato possono utilizzare per salvaguardare il procedimento.

In seguito al recente cambiamento dei modelli e degli ambienti di lavoro dovuto alla pandemia di Covid-19, a questi temi dovrebbe essere data maggiore importanza. In un mondo che ha dovuto trovare nuovi modi di condurre gli affari e di adattarsi a tempi di incertezza, uno dei problemi che il settore legale ha affrontato è la questione delle udienze combinata con le restrizioni e la necessità di un allontanamento sociale. Per questo motivo, la popolarità delle videoconferenze e il loro utilizzo nei procedimenti arbitrali internazionali è un aspetto che la Roadmap dovrebbe affrontare, ma non l'ha fatto - o almeno non ancora.

Sebbene molti abbiano discusso e sottolineato i problemi delle videoconferenze, la maggior parte di essi non ha affrontato il tema dell'applicazione delle leggi sulla protezione dei dati personali, non solo per quanto riguarda la protezione dei dati personali, ma anche per quanto riguarda la sicurezza, dato che alcune piattaforme sono state oggetto di attacchi alla sicurezza.^[54]

Come discusso in precedenza, è essenziale comprendere i diversi ruoli delle parti coinvolte nell'arbitrato relativo al GDPR, ovvero chi sono i "responsabili del trattamento dei dati" e i "responsabili del trattamento dei dati". Se il software di videoconferenza elabora dati personali, come il nome utente e l'indirizzo e-mail derivanti dall'utilizzo del servizio da parte di una delle parti, sarà considerato un "responsabile del trattamento". Ciò significa che deve rispettare le norme del GDPR se uno dei partecipanti è domiciliato nell'UE. Poiché il Tribunale è il "responsabile del trattamento dei dati", sarà sua responsabilità garantire tale conformità.

La Camera di commercio internazionale (ICC) ha pubblicato una nota di orientamento^[55] che fornisce alle parti clausole suggerite per i protocolli di sicurezza informatica e le udienze virtuali. La nota mira ad affrontare l'aspetto della sicurezza, ma non quello della protezione dei dati personali. La Roadmap dovrebbe discutere le possibilità di applicazione della protezione dei dati personali alle udienze condotte virtualmente e le modalità di adesione alla stessa. Sebbene il GDPR specifichi i requisiti che devono essere soddisfatti per quanto riguarda le videoconferenze, non fornisce indicazioni sul modo in cui i suoi requisiti sono direttamente applicabili.

Sebbene la Roadmap non fornisca raccomandazioni su specifici fornitori di software, potrebbe compilare e fornire agli operatori del settore un elenco delle specifiche necessarie di un software ideale per le videoconferenze, così come fornisce liste di controllo su varie altre questioni all'interno dei suoi allegati.

Qual è il ruolo dei finanziatori terzi?

Per finanziatore terzo si intende qualsiasi soggetto non parte del procedimento arbitrale che stipula un accordo per finanziare in tutto o in parte i costi del procedimento in cambio di una somma che dipende in tutto o in parte dall'esito del caso.^[56] I finanziatori terzi hanno accesso a vari dati personali dei procedimenti arbitrali che finanziano o che stanno considerando di finanziare. Sebbene la Roadmap si rivolga espressamente solo ai partecipanti agli arbitrati, essa afferma che la guida è rilevante per i fornitori di servizi che sono anch'essi interessati dai requisiti di protezione dei dati personali^[57].

Nella Roadmap, i fornitori di servizi includono "esperti di e-discovery, professionisti delle tecnologie dell'informazione, cronisti giudiziari, servizi di traduzione, ecc"^[58] ma i finanziatori terzi non sono esplicitamente menzionati. Ai sensi del GDPR, la raccolta e l'archiviazione dei dati personali sono incluse nel trattamento. Pertanto, se i finanziatori terzi raccolgono dati personali da altri, le leggi sui dati personali si applicano anche a loro.^[59]

Il GDPR consente a una parte di trattare i dati personali se "il trattamento è necessario ai fini degli interessi legittimi perseguiti dal responsabile del trattamento o da un terzo"^[60], il che può essere potenzialmente citato dai partecipanti all'arbitrato come base giuridica applicabile per il trattamento dei dati personali pertinenti. Esiste una guida limitata su questo argomento.^[61] La Roadmap afferma che:

Il primo passo nella valutazione dell'interesse legittimo consiste nell'identificare l'interesse legittimo: qual è lo scopo del trattamento dei dati personali e perché è importante per voi in quanto responsabili del trattamento? Nel contesto dell'arbitrato, l'interesse legittimo può riguardare l'amministrazione della giustizia, la garanzia del rispetto dei diritti delle parti e la risoluzione rapida ed equa delle controversie ai sensi delle norme arbitrali applicabili, nonché molti altri interessi"[^62].

L'inclusione di "molti altri interessi" potrebbe forse includere il legittimo interesse monetario dei finanziatori terzi. Se così fosse, essi sarebbero chiaramente obbligati a stipulare accordi di trattamento dei dati con le parti del procedimento arbitrale e rientrerebbero nell'ambito di applicazione delle norme e dei requisiti in materia di protezione dei dati personali. È interessante notare che la Roadmap omette di specificare esplicitamente come i finanziatori terzi si inseriscano nel quadro, in particolare considerando l'aumento della loro inclusione nei procedimenti arbitrali.

Uno scudo per la non divulgazione

Gli obblighi di protezione dei dati personali comportano un potenziale abuso. Le parti arbitrali possono usare il GDPR come scudo in malafede per impedire la divulgazione di informazioni rilevanti per il procedimento o richieste dalla controparte. Ad esempio, una parte può opporsi a una richiesta di divulgazione sostenendo che i documenti contengono dati personali estranei alla controversia, o che la cancellazione dei dati personali sarebbe indebitamente onerosa.^[63]

La Roadmap affronta il potenziale di abuso. Suggerisce di sollevare e chiarire gli obblighi di protezione dei dati personali il più presto possibile per ridurre il rischio che questi abbiano un impatto sui procedimenti. I partecipanti dovrebbero considerare la possibilità di stipulare un "protocollo di protezione dei dati", ossia un accordo sulle modalità di applicazione della protezione dei dati personali in un determinato contesto. In alternativa, qualora non sia possibile giungere a un protocollo di protezione dei dati firmato, tali questioni dovrebbero essere affrontate nell'ordinanza procedurale n. 1.^[64]

A titolo di paragone, si può considerare la conformità al GDPR durante la scoperta nelle controversie statunitensi. I tribunali federali statunitensi hanno utilizzato test di bilanciamento per decidere se ordinare o meno la divulgazione o l'adempimento di citazioni o ordini di scoperta potenzialmente in violazione di leggi straniere, comprese le leggi sulla protezione dei dati personali.^[65] Un elenco non esaustivo di fattori presi in considerazione dai tribunali federali statunitensi è il seguente:

• l'importanza dei documenti o delle altre informazioni richieste per la controversia;
• il grado di specificità della richiesta
• l'origine delle informazioni negli Stati Uniti
• la disponibilità di mezzi alternativi per ottenere le informazioni; e
• la misura in cui l'inosservanza pregiudicherebbe importanti interessi degli Stati Uniti.^[66]

Il più delle volte, i tribunali federali richiedono la divulgazione nonostante le potenziali violazioni delle leggi straniere sulla protezione dei dati personali.^[67]

Gli arbitri si trovano di fronte a considerazioni diverse rispetto ai tribunali quando decidono se ordinare la divulgazione da parte di una parte. È corretto, come sostenuto in letteratura,^[68] che i tribunali devono essere consapevoli dei diritti e dei doveri concorrenti alla luce della minaccia di annullamento o di rifiuto dell'esecuzione ai sensi della Convenzione del 1958 sul riconoscimento e l'esecuzione dei lodi arbitrali stranieri (Convenzione di New York). Tuttavia, questa visione non tiene conto del fatto che le ordinanze di divulgazione sono soggette a un controllo minimo da parte dei tribunali statali, in virtù del principio di non interferenza giudiziaria.^[69] Gli esempi di tribunali statali che si sono astenuti dal riesaminare le ordinanze di divulgazione sono numerosi.^[70]

Alla luce della discrezionalità concessa ai tribunali in materia procedurale, è improbabile che la minaccia di annullamento o di rifiuto dell'esecuzione sia una considerazione centrale. L'inevitabilità che le parti tentino di abusare degli obblighi del GDPR per ottenere un potenziale vantaggio procedurale metterà i tribunali nella difficile posizione di bilanciare gli interessi dell'interessato, da un lato, e di mantenere un solido processo probatorio, dall'altro.^[71] Chiarire gli obblighi di conformità alla protezione dei dati personali all'inizio del procedimento - preferibilmente in un protocollo di protezione dei dati firmato - in linea con le raccomandazioni della Roadmap sembra essere un passo fondamentale per controllare questo comportamento.

L'inosservanza dei requisiti di protezione dei dati personali come via per l'annullamento e il rifiuto del riconoscimento e dell'esecuzione

La Roadmap non si occupa di stabilire se l'inosservanza dei requisiti di protezione dei dati personali possa essere utilizzata per annullare un lodo arbitrale o per rifiutarne il riconoscimento e l'esecuzione. Le parti hanno mezzi di ricorso molto limitati contro i lodi. Ciononostante, una parte soccombente può voler contestare l'esito del lodo e utilizzare uno dei principali motivi comuni per impugnare il lodo o per impedirne il riconoscimento o l'esecuzione.

La Convenzione di New York conta attualmente 168 Stati contraenti, il che la rende la base giuridica principale per il riconoscimento e l'esecuzione dei lodi stranieri nell'arbitrato commerciale internazionale. La Convenzione prevede, all'articolo V, motivi limitati per cui il riconoscimento e l'esecuzione di un lodo arbitrale possono essere rifiutati. In particolare, ai fini attuali, l'articolo V, paragrafo 2, lettera b), riconosce la possibilità per l'autorità competente di uno Stato firmatario di rifiutare il riconoscimento o l'esecuzione di un lodo che violi l'ordine pubblico.^[72]

I motivi per cui un lodo arbitrale può essere annullato variano a seconda delle giurisdizioni. La Legge modello UNCITRAL sull'arbitrato commerciale internazionale, che è stata ampiamente adottata, stabilisce un elenco di motivi di annullamento all'articolo 34(2). L'articolo 34(2)(b)(ii) stabilisce che un lodo arbitrale può essere annullato dal tribunale se il lodo è in conflitto con l'ordine pubblico dello Stato.^[74]

La Corte di giustizia europea (CGUE) ha stabilito nella causa Eco Swiss/Benetton che le disposizioni imperative inderogabili del diritto dell'UE possono costituire norme fondamentali di ordine pubblico, la cui violazione può costituire un motivo di annullamento di un lodo arbitrale basato su tale motivo nel diritto nazionale.^[75] L'annullamento o meno di un lodo, o il rifiuto del suo riconoscimento o della sua esecuzione, a causa del mancato rispetto dei requisiti in materia di protezione dei dati personali dipenderà quindi dal fatto che le norme del GDPR debbano essere considerate disposizioni imperative inderogabili, la cui violazione è contraria all'ordine pubblico nazionale.^[76]

L'articolo 9, paragrafo 1, del Regolamento Roma I definisce le disposizioni imperative come disposizioni "il cui rispetto è considerato cruciale da un paese per la salvaguardia dei propri interessi pubblici... in misura tale da essere applicabili a qualsiasi situazione che rientri nel loro ambito di applicazione, indipendentemente dalla legge altrimenti applicabile". Come Cervenka e Schwarz hanno precedentemente riconosciuto, la maggior parte delle norme del GDPR possono essere considerate disposizioni imperative ai sensi del diritto dell'UE. In quanto tali, la loro violazione può essere considerata una violazione dell'ordine pubblico.^[77]

La possibilità che l'inosservanza dei requisiti di protezione dei dati personali possa portare all'annullamento o al mancato riconoscimento e alla mancata esecuzione di un lodo arbitrale solleva diverse preoccupazioni. In primo luogo, occorre definire con precisione quali obblighi di protezione dei dati personali costituiscano disposizioni imperative, poiché non tutte le violazioni hanno lo stesso peso. In ultima analisi, la Corte di giustizia europea sarà probabilmente chiamata a fornire ulteriori chiarimenti. In secondo luogo, si dovrebbe tenere conto anche del potenziale abuso della possibilità di impugnare o contestare l'esecuzione di un lodo sulla base di una violazione del GDPR, per evitare che le parti violino intenzionalmente le norme sulla protezione dei dati personali per avere la possibilità di ricorrere contro il lodo in un momento successivo. Infine, si dovrebbe definire se le norme sulla protezione dei dati personali faranno parte del diritto procedurale o sostanziale e in che modo.^[78]

Sebbene ci sia ancora molto da definire, si dovrebbero affrontare le conseguenze dell'inosservanza dei requisiti di protezione dei dati personali sull'annullamento, nonché sul riconoscimento e sull'esecuzione dei lodi arbitrali. È molto interessante che la tabella di marcia non ne faccia menzione.

Conclusione

La Roadmap ha lo scopo di aiutare i professionisti dell'arbitrato a identificare e comprendere gli obblighi in materia di protezione dei dati personali e della privacy a cui possono essere soggetti in un contesto di arbitrato internazionale. Tuttavia, come discusso in precedenza, non affronta ancora alcune questioni specifiche che oggi sono rilevanti e urgenti. Le sei questioni individuate e approfondite nel presente documento sono:

• l'applicabilità del GDPR agli arbitrati svolti al di fuori dell'UE;
• il GDPR nel contesto degli arbitrati NAFTA;
• la questione delle udienze arbitrali virtuali;
• i finanziatori terzi e il loro ruolo nella Roadmap;
• potenziale abuso del GDPR; e
• la potenziale inosservanza del GDPR come via per l'annullamento o il rifiuto del riconoscimento e dell'esecuzione del lodo arbitrale.

Ciascuna di queste questioni richiederà un'ulteriore riflessione, poiché si prevede che diventeranno sempre più rilevanti nei prossimi anni. L'auspicio è che sia stato dimostrato che questi temi sono degni di essere inclusi nella Roadmap.

Gli allegati^[79] aggiunti alla Roadmap hanno lo scopo di aiutare i professionisti ad affrontare questi requisiti in modo pratico. L'aggiunta della Checklist per la protezione dei dati, della Checklist per la valutazione dell'interesse legittimo, degli esempi di informative sulla privacy e delle Clausole contrattuali standard dell'UE sono tutte risorse estremamente preziose e dovrebbero essere utilizzate dai professionisti per assicurarsi di essere conformi al GDPR.

Tuttavia, in una situazione di conflitto tra diverse giurisdizioni, le differenze tra le varie legislazioni nazionali in materia di protezione dei dati personali possono generare ambiguità. Anche se le linee guida fornite dalla Roadmap sono di ampio respiro, non sono ancora vincolanti. In passato, l'UNCITRAL e l'IBA hanno puntato sull'armonizzazione dell'arbitrato internazionale attraverso le loro regole, linee guida e simili; sebbene non siano vincolanti, sono certamente persuasive. Come l'UNCITRAL e l'IBA hanno tentato di fare con vari aspetti dell'arbitrato internazionale, c'è anche un'estrema necessità di armonizzare i requisiti di protezione dei dati personali in materia di arbitrato; pertanto, le linee guida necessarie dovrebbero essere messe in atto con l'obiettivo dell'armonizzazione.

Sebbene l'armonizzazione, la comprensione e la consapevolezza dei requisiti di conformità al GDPR e delle sue implicazioni nel contesto dell'arbitrato internazionale siano ancora carenti, noi professionisti dell'arbitrato continueremo ad accontentarci del quadro giuridico attualmente in vigore. Tuttavia, nonostante i suoi difetti, la Roadmap rappresenta un passo incoraggiante e necessario nella direzione di una comprensione comune degli obblighi di protezione dei dati personali per i partecipanti agli arbitrati.