la paralisi del PCLOB, il caso Latombe e cosa fare in azienda
Negli articoli precedenti abbiamo visto la natura selettiva dell’adeguatezza, le due normative americane al cuore del conflitto (Sezione 702 FISA e CLOUD Act), le censure delle sentenze Schrems e la risposta dell’Executive Order 14086, con le ragioni giuridiche ed economiche della firma della Commissione. Chiudiamo con la domanda decisiva: il DPF regge, oggi? E cosa deve fare, concretamente, chi trasferisce dati oltreoceano?
Lo stato dell’arte: il DPF regge, ma sotto osservazione
Il fronte giudiziario europeo. Il ricorso del parlamentare francese Philippe Latombe (causa T-553/23), che contestava l’indipendenza della DPRC e la legittimità della bulk collection, è stato respinto dal Tribunale UE il 3 settembre 2025. Latombe ha impugnato la sentenza dinanzi alla CGUE (Corte di Giustizia dell’Unione Europea); una pronuncia non è attesa prima del 2027. Il Tribunale ha peraltro valutato l’adeguatezza alla data di adozione della decisione (luglio 2023), lasciando aperta la questione — decisiva — della tenuta del quadro rispetto ai mutamenti successivi. Ed è proprio sui mutamenti successivi che si concentra il problema.
Il PCLOB: l’organo su cui poggiava la fiducia europea, oggi paralizzato
Il Privacy and Civil Liberties Oversight Board (PCLOB) è l’agenzia indipendente di vigilanza nata dalle raccomandazioni della Commissione sull’11 settembre: cinque membri nominati dal Presidente e confermati dal Senato, vincolo bipartisan (non più di tre dello stesso partito), quorum di tre per deliberare. Ha un duplice mandato di oversight e advice sulle attività antiterrorismo, con accesso a informazioni classificate, e ha prodotto i rapporti pubblici di riferimento sulla sorveglianza americana, incluso quello fondamentale sulla Sezione 702. La decisione di adeguatezza lo menziona trentuno volte, affidandogli la revisione indipendente dell’attuazione dell’EO 14086: la Commissione non ha creduto sulla parola all’esecutivo americano, ma ha confidato nell’esistenza di un controllore indipendente in grado di verificarne gli impegni. I suoi componenti — va precisato — non sono giudici, ma membri di un organo amministrativo di vigilanza; i giudici, nel DPF, siedono nella DPRC.
La vicenda della destituzione. Il 27 gennaio 2025 l’amministrazione Trump ha rimosso, senza giusta causa, i tre membri di nomina democratica (Franklin, LeBlanc, Felten), lasciando in carica la sola Beth Williams, repubblicana, con il quinto seggio già vacante: da allora il Board, sotto quorum, non può deliberare. LeBlanc e Felten hanno impugnato la rimozione e il 21 maggio 2025 la Corte distrettuale del District of Columbia ha dato loro ragione, ordinandone il reintegro: il Congresso aveva inteso proteggere i membri dalla rimozione ad nutum proprio per preservarne l’indipendenza. Il reintegro ha però avuto vita breve: il 1° luglio 2025 la Corte d’Appello del D.C. Circuit lo ha sospeso in pendenza di giudizio, qualificando i membri come principal officers al servizio “at the President’s pleasure”. La parola fine l’ha messa la Corte Suprema con Trump v. Slaughter: superando il precedente Humphrey’s Executor del 1935 — per novant’anni fondamento dell’indipendenza delle agenzie americane — ha riconosciuto al Presidente un potere generale di rimozione dei vertici delle agenzie esecutive, rendendo la destituzione definitiva sul piano degli effetti.
Le conseguenze per il DPF. L’organo su cui la Commissione aveva fondato una parte significativa della propria fiducia è oggi ridotto a un solo membro (il cui mandato è peraltro scaduto a gennaio 2026), privo di quorum, privo del carattere bipartisan richiesto dal suo statuto e strutturalmente esposto alla volontà presidenziale. La stessa sentenza Trump v. Slaughter erode l’indipendenza della FTC, l’autorità di enforcement commerciale del DPF. Su queste basi noyb ha chiesto formalmente alla Commissione il ritiro ordinato della decisione di adeguatezza. Non si tratta di una violazione formale del DPF — l’EO 14086 e la DPRC restano in piedi, e la valutazione di adeguatezza è complessiva — ma il venir meno di fatto di un presidio espressamente valorizzato nella decisione è esattamente il mutamento di condizioni che l’art. 45, par. 4, GDPR impone alla Commissione di monitorare. E questa volta la minaccia non viene (solo) dal Lussemburgo, ma dall’erosione interna delle garanzie americane.
Il fronte FISA. Come visto nel secondo articolo, la Sezione 702 è decaduta il 12 giugno 2026 ma la raccolta prosegue sotto le certificazioni FISC valide fino a marzo 2027. L’esito della riautorizzazione inciderà sulla prossima revisione periodica del DPF.
Implicazioni operative: cosa devono fare aziende e DPO
La conclusione operativa non è “interrompere i trasferimenti verso gli USA”: il DPF è pienamente efficace e costituisce una base giuridica valida ex art. 45 GDPR. La conclusione corretta è: usarlo con metodo e senza affidamento cieco. In concreto:
1. Verificare la certificazione, sempre — l’adeguatezza copre solo le organizzazioni attivamente autocertificate sul registro dataprivacyframework.gov (inclusa l’adesione specifica per i dati HR); la certificazione va rinnovata annualmente e un’iscrizione scaduta fa venir meno la base giuridica.
2. Documentare la base giuridica nel registro dei trattamenti e nelle informative ex artt. 13-14 GDPR, distinguendo i fornitori coperti dal DPF da quelli in SCC (con relativo TIA) o BCR.
3. Non abbandonare le SCC come rete di sicurezza: molti contratti cloud le prevedono già in via automatica per il caso di invalidazione dell’adeguatezza; verificare che sia così e che il TIA sia aggiornato.
4. Predisporre un piano di contingenza: mappare i trattamenti dipendenti da provider USA, classificarli per criticità, valutare data residency europea con chiavi di cifratura sotto controllo esclusivo del titolare e provider alternativi per i trattamenti più sensibili — ricordando che il rischio residuo CLOUD Act non è eliminato da alcuna adeguatezza.
5. Monitorare le scadenze critiche: riautorizzazione della Sezione 702, contenzioso PCLOB, appello Latombe (non prima del 2027), revisione periodica della Commissione, iniziative di noyb.
Conclusione
Il Data Privacy Framework è il tentativo più sofisticato fino ad ora realizzato di conciliare due culture giuridiche divergenti: quella europea, che tratta la protezione dei dati come diritto fondamentale (artt. 7 e 8 della Carta), e quella statunitense, che subordina la privacy degli stranieri alle esigenze di sicurezza nazionale. Ma resta un equilibrio costruito su un ordine esecutivo revocabile, su organi di vigilanza la cui indipendenza è stata compromessa e su una norma di sorveglianza il cui destino è nelle mani di un Congresso diviso.
Per l’impresa europea la lezione di tre accordi in vent’anni è una sola: la conformità dei trasferimenti transatlantici non è un adempimento una tantum, ma un processo di monitoraggio continuo. Chi lo tratta come tale non avrà nulla da temere da un eventuale “Schrems III”; chi lo tratta come una casella spuntata nel 2023 rischia di rivivere, impreparato, il luglio del 2020.