Confesso che non ho ben capito la tua logica.
La questione a cui stavo rispondendo è se i vincoli di localizzazione dei dati personali siano legali ai sensi della GDPR.
La mia interpretazione del concetto di “localizzazione” in questo contesto si riferisce ai vincoli imposti dalle leggi (o equivalenti) di uno Stato Membro dell’UE, non ad eventuali accordi privati. Inoltre, per chiarezza, mi riferisco a trasferimenti di dati personali intra-UE (ed Area Economica Europea).
Il trattamento dei dati personali è generalmente (ma non esclusivamente) normato dalla GDPR, nella misura in cui essa non prevede eccezioni generali o particolari.
Nel primo caso rientrano le attività legate alla sicurezza nazionale di uno Stato Membro, che non rientrano tra le competenze dell’UE, ma che devono comunque essere giustificate - cioè uno Stato Membro non può tirar fuori dal cappello la carta “sicurezza nazionale” per rifiutarsi di applicare il diritto UE, senza alcuna spiegazione (a volte gli Stati Membri ci provano, ma non sempre ci riescono).
Vi rientrano anche le attività legate alla “Politica Estera e di Sicurezza Comune” o allo scambio di dati personali a fini di contrasto alla criminalità, che per altro sono normate in tal senso da altri strumenti con una base legale differente.
Nel secondo caso rientrano alcune eccezioni come la salvaguardia dell’ordine pubblico. Tali eccezioni sono comunque definite in maniera esaustiva nella GDPR e non si applicano necessariamente alla libera circolazione dai dati personali all’interno dell’UE (che rimane possibile) quanto per esempio all’obbligo o alle modalità di notificare che un trattamento è in corso. Gli Stati Membri non possono inventarsi eccezioni cosi come viene loro in mente (di nuovo, a volte ci provano, ma raramente ci riescono).
Posto quanto sopra, bisogna guardare all’impianto generale della GDPR e ai suoi obiettivi, nonché a quelli più generali dell’ordine legale dell’UE di cui ovviamente la GDPR è espressione.
In tal senso, il testo della GDPR è secondo me chiarissimo: uno degli obiettivi principali (se non il principale) è garantire la libera circolazione dei dati personali all’interno dell’UE, per raggiungere il quale è necessario garantire un livello uniforme di protezione in tutti gli Stati Membri. Vedi considerando 170 della GDPR, ma ne potrei citare altri.
Tale obiettivo è come ho menzionato espressione di due obbiettivi più generali del diritto UE, ovvero la promozione e salvaguardia del mercato interno e la creazione di uno spazio europeo di libertà, sicurezza e giustizia. Essi sono chiaramente indicati nei Trattati UE - che, vale la pena ricordarlo, gli Stati Membri hanno liberamente sottoscritto e a cui sono vincolati, almeno sinché non decidono di uscire dall’UE (o non hanno ottenuto uno dei vari opt-out, ma non voglio complicare troppo la questione).
Dunque dal mio punto di vista la risposta alla domanda “i vincoli [ ex lege ] di localizzazione [ intra-UE ] dei dati personali sono legali ai sensi della GDPR?” dovrebbe essere “generalmente no, nella misura in cui la GDPR è applicabile (il che è lapalissiano) e fatte salve le eccezioni previste dalla GDPR, che devono essere interpretate in maniera specifica e funzionalmente agli obbiettivi della GDPR e più generalmente del diritto UE, che sono di promuovere e non di restringere il flusso di dati personali all’interno dell’UE”.
Spero di aver capito le tue osservazioni, e che le mie siano comprensibili e persino corrette.