scaduta ma non ancora fermata
Nell’articolo precedente abbiamo visto perché quasi ogni azienda europea effettua trasferimenti di dati verso gli Stati Uniti e perché il Data Privacy Framework (DPF) è un’adeguatezza “selettiva e a doppio strato”: sistemica quanto alle garanzie contro la sorveglianza governativa, circoscritta alle sole organizzazioni certificate quanto agli obblighi commerciali. Entriamo ora nel cuore del problema: la norma di sorveglianza che ha fatto cadere due accordi transatlantici.
Cosa prevede la Sezione 702
La Sezione 702 del Foreign Intelligence Surveillance Act (FISA), introdotta dal FISA Amendments Act del 2008 autorizza le agenzie di intelligence statunitensi — in primis la NSA (National Security Agency) e l’FBI (Federal Bureau of Investigation) — ad acquisire le comunicazioni elettroniche di persone non statunitensi ragionevolmente ritenute al di fuori del territorio USA, al fine di raccogliere foreign intelligence information.
Tre caratteristiche rendono questo strumento particolarmente critico dalla prospettiva europea.
Primo: l’assenza di un controllo giurisdizionale individuale. La Foreign Intelligence Surveillance Court (FISC) non autorizza i singoli bersagli, ma approva annualmente delle “certificazioni” generali — categorie di intelligence raccoglibili (controterrorismo, controproliferazione, governi stranieri, narcotraffico internazionale) — insieme alle procedure di targeting e minimizzazione. Individuato il perimetro, è l’esecutivo a decidere chi sorvegliare, senza alcun provvedimento del giudice sul singolo caso.
Secondo: la cooperazione obbligatoria dei provider. I fornitori di servizi di comunicazione elettronica soggetti alla giurisdizione USA ricevono direttive dall’Attorney General e dal Director of National Intelligence e sono legalmente tenuti a consegnare le comunicazioni dei bersagli, con sanzioni che possono superare i 250.000 dollari al giorno in caso di inottemperanza. È questa la base giuridica dei programmi resi noti nel 2013 dalle rivelazioni di Edward Snowden.
Terzo: il bersaglio designato è, per definizione, il cittadino non statunitense. Il quarto emendamento della Costituzione USA tutela le U.S. persons; gli europei, in quanto stranieri all’estero, ne restano fuori. Il dibattito interno americano si concentra quasi solo sulla incidental collection — le comunicazioni di cittadini americani intercettate perché in contatto con i bersagli — e sulle backdoor searches dell’FBI su tali dati. La posizione del cittadino europeo, storicamente, non godeva di alcuna tutela sostanziale né di rimedi giurisdizionali effettivi: esattamente il vulnus censurato dalla Corte di Giustizia dell’Unione Europea.
Il giudice speciale: la FISC
La FISC è il tribunale federale specializzato istituito dal FISA nel 1978 (50 U.S.C. § 1803). È formata da 11 giudici federali distrettuali, nominati dal Chief Justice della Corte Suprema per un mandato non rinnovabile di sette anni, provenienti da almeno sette diversi circuiti giudiziari. A differenza di qualunque altro tribunale USA, opera quasi integralmente ex parte e in forma classificata: si presenta solo il governo, non c’è controparte, e le decisioni raramente vengono desecretate; solo dal 2015 esistono gli amici curiae, avvocati esterni con nulla osta di sicurezza che assicurano un minimo di contraddittorio nelle questioni di maggior rilievo. Le sue decisioni sono appellabili dinanzi alla FISCR (Foreign Intelligence Surveillance Court of Review) e, in ultima istanza, alla Corte Suprema.
Il punto qualificante è cosa autorizza. Nella FISA “tradizionale” la FISC emette ordini individuali su bersagli specifici, previa dimostrazione di probable cause che il soggetto sia agente di una potenza straniera. Nel regime della Sezione 702, invece, approva annualmente le certifications — i documenti in cui l’esecutivo individua le categorie di intelligence raccoglibili e le procedure di targeting e minimizzazione — senza verificare se le singole persone siano correttamente prese di mira, ma solo l’adeguatezza astratta delle procedure. È qui il punto critico che aveva colpito la Corte di Giustizia dell’Unione Europea in Schrems II.
Il lapse del 2026 e la clausola di grandfathering
Il Congresso ha riautorizzato la Sezione 702 nell’aprile 2024 con il RISAA (Reforming Intelligence and Securing America Act), che ha introdotto 56 misure di riforma ma ha anche ampliato in modo controverso la platea dei provider assoggettabili, fissando la scadenza al 20 aprile 2026. Il percorso di riautorizzazione si è però arenato: dopo due proroghe tecniche (di 10 e 45 giorni), il 12 giugno 2026 la Sezione 702 è decaduta per la prima volta dalla sua introduzione, per stallo politico al Congresso. I negoziati sono tuttora in corso.
Attenzione, però, a non trarre conclusioni affrettate: la decadenza dello statuto non ha interrotto la sorveglianza, in forza di una clausola di grandfathering (clausola di salvaguardia o di ultrattività). Il principio è quello, generale, per cui gli atti legittimamente sorti sotto una norma continuano a produrre effetti anche dopo la sua scadenza, fino al loro termine naturale. Nel FISA la clausola è espressa (50 U.S.C. § 1881a, transition procedure, rafforzata dal RISAA): le certifications approvate dalla FISC e le direttive emesse ai provider su quella base restano valide fino alla loro naturale scadenza, anche se lo statuto sottostante decade. La ratio è pragmatica: evitare che uno stallo del Congresso interrompa bruscamente attività di intelligence in corso.
Le certifications approvate dalla FISC nel marzo 2026 continuano a produrre effetti fino a marzo 2027; i provider (Google, Microsoft, Meta, AT&T, Verizon e gli altri destinatari di direttive) restano obbligati a consegnare i dati dei bersagli, e la FISC conserva il potere di ordinare coattivamente la cooperazione — come già accadde nel 2008 in un caso analogo che riguardò Yahoo. Per noi europei il messaggio è chiaro: “Sezione 702 scaduta” non significa “flussi verso gli USA più sicuri”. La raccolta sui dati degli interessati europei prosegue, e l’esito del dibattito congressuale — riautorizzazione secca, riforma con warrant requirement, o stallo prolungato — è una variabile da monitorare anche per i riflessi sulla tenuta del DPF.
Nel prossimo articolo — cambieremo piano: dall’intelligence all’accesso penale. Il CLOUD Act consente a un giudice americano di raggiungere dati conservati in un data center di Milano o Francoforte — la “data residency” europea non è uno scudo. E vedremo perché, con le sentenze Schrems I e Schrems II, la Corte di Giustizia ha cancellato i due accordi che hanno preceduto il DPF.