Un’analisi tecnica in cinque articoli per imprenditori, professionisti e aziende che trasferiscono dati personali oltreoceano
Con questo articolo apre una serie in cinque articoli dedicati al trasferimento di dati personali verso gli Stati Uniti: un tema che tocca, spesso inconsapevolmente, la quasi totalità delle imprese europee. In questo primo articolo inquadriamo il problema e lo strumento che oggi lo governa, il Data Privacy Framework (DPF), chiarendone subito la natura, spesso fraintesa. Nella seconda esamineremo la Sezione 702 del FISA, la norma di sorveglianza americana al cuore del conflitto. Nella terza il CLOUD Act e le due sentenze — Schrems I e Schrems II — che hanno cancellato i precedenti accordi. Nella quarta la risposta americana (l’Executive Order 14086) e le ragioni che hanno portato la Commissione Europea alla firma. Nella quinta, lo stato di salute attuale del DPF — a partire dalla paralisi del suo organo di vigilanza, il PCLOB — e le azioni concrete da mettere in campo in azienda.
Perché il tema riguarda (quasi) ogni azienda europea
Chiunque utilizzi un CRM (Customer Relationship Management) in cloud, una piattaforma di email marketing, un servizio di analytics, un provider di posta elettronica o un’infrastruttura IaaS (Infrastructure as a Service) di matrice statunitense sta, con ogni probabilità, effettuando un trasferimento di dati personali verso gli Stati Uniti ai sensi del Capo V del GDPR (General Data Protection Regulation, Regolamento UE 2016/679), artt. 44-50. Non serve che i server siano fisicamente in Virginia: secondo l’orientamento consolidato delle autorità di controllo europee, anche il semplice accesso remoto da parte di personale statunitense a dati conservati nell’UE configura un trasferimento.
Il principio cardine è quello dell’art. 44 GDPR: il trasferimento verso un Paese terzo è lecito solo se il livello di protezione garantito dal Regolamento non viene pregiudicato. Lo strumento più solido per soddisfare questa condizione è la decisione di adeguatezza ex art. 45 GDPR, con cui la Commissione Europea attesta che l’ordinamento del Paese terzo assicura un livello di protezione “sostanzialmente equivalente” a quello dell’Unione Europea — standard fissato dalla Corte di Giustizia dell’Unione Europea nella sentenza Schrems I (C-362/14).
Per gli Stati Uniti, questa attestazione è oggi rappresentata dall’EU-U.S. Data Privacy Framework (DPF), oggetto della decisione di adeguatezza 2023/1795 del 10 luglio 2023. È il terzo tentativo in vent’anni, dopo il naufragio giudiziario del Safe Harbor (2015) e del Privacy Shield (2020). Per capire perché i primi due accordi sono caduti e perché la Commissione ha ritenuto di poter sottoscrivere il terzo, occorre esaminare le due normative statunitensi che costituiscono il cuore del problema: la Sezione 702 del FISA (Foreign Intelligence Surveillance Act) e il CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
Una precisazione essenziale: adeguatezza selettiva, non un giudizio sull’intero ordinamento USA
Prima di procedere va sgombrato il campo da un equivoco frequente, che è anche fonte di errori applicativi. La decisione di adeguatezza non certifica che gli Stati Uniti, come Paese, garantiscano un livello di protezione adeguato per qualsiasi trasferimento. L’adeguatezza è riconosciuta limitatamente ai trasferimenti effettuati verso le organizzazioni statunitensi che hanno aderito volontariamente al DPF mediante autocertificazione presso il Department of Commerce, si sono impegnate a rispettarne i principi (finalità, minimizzazione, sicurezza, diritti degli interessati, responsabilità per i trasferimenti successivi) e risultano attivamente iscritte nell’elenco pubblico consultabile su dataprivacyframework.gov. In questo senso è legittimo affermare — con una semplificazione efficace — che il DPF opera, sul versante commerciale, più come un perimetro di aziende “adeguate” che come un giudizio di adeguatezza sull’ordinamento statunitense nel suo complesso: il trasferimento verso una società USA non certificata (o la cui certificazione sia scaduta, revocata, o non copra la categoria di dati in questione, come i dati HR — Human Resources, i dati dei dipendenti — che richiedono un’adesione specifica) resta privo di copertura e deve fondarsi sugli altri strumenti del Capo V: le SCC (Standard Contractual Clauses, clausole contrattuali standard), le BCR (Binding Corporate Rules, norme vincolanti d’impresa) o, in via residuale, le deroghe dell’art. 49 GDPR.
Gli Stati Uniti, al di fuori del perimetro DPF, restano a tutti gli effetti un Paese terzo non adeguato.
La qualificazione va però completata, perché la semplificazione non deve oscurare l’altra metà del quadro. La componente della valutazione che riguarda l’accesso governativo ai dati — i limiti alla sorveglianza posti dall’Executive Order (EO) 14086, il meccanismo di ricorso dinanzi al CLPO (Civil Liberties Protection Officer) e alla DPRC (Data Protection Review Court), di cui si dirà nel corso della serie, le garanzie rispetto a FISA 702 — non dipende dalla certificazione della singola azienda: attiene all’ordinamento statunitense nel suo complesso e si applica a tutti i dati europei che raggiungono il territorio USA, quale che sia lo strumento di trasferimento utilizzato. Non a caso la Commissione ha chiarito che questa parte della valutazione giova anche ai trasferimenti fondati su SCC o BCR, semplificandone il Transfer Impact Assessment (TIA, la valutazione d’impatto sul trasferimento). Il DPF è quindi, tecnicamente, un’adeguatezza condizionata e a doppio strato: sistemica sul piano delle garanzie contro la sorveglianza governativa — che valgono per qualunque dato europeo giunto negli USA, chiunque sia il destinatario —, selettiva sul piano degli obblighi commerciali di protezione dei dati, che il diritto statunitense non impone per default e che nascono, azienda per azienda, solo dall’impegno assunto con l’autocertificazione. Per il titolare del trattamento la conseguenza operativa è una sola: la verifica della certificazione del destinatario — puntuale, cioè riferita a quella specifica organizzazione e alle categorie di dati trattate, e periodica, perché le certificazioni si rinnovano annualmente e possono scadere, essere revocate o divenire inattive — non è un adempimento formale, ma il presupposto di validità, iniziale e continuativa, della base giuridica del trasferimento.
Nel prossimo articolo — entreremo nel cuore del problema: la Sezione 702 del FISA, la norma che autorizza l’intelligence americana a sorvegliare — per definizione — i cittadini non statunitensi, senza un giudice che autorizzi i singoli bersagli. Vedremo come funziona, che ruolo ha il tribunale speciale FISC e perché, pur essendo formalmente scaduta nel giugno 2026, la sorveglianza non si è fermata.