perché l’Europa ha detto si al terzo accordo
Negli articoli precedenti abbiamo esaminato i due strumenti americani di accesso ai dati — la Sezione 702 FISA (intelligence, programmatica, sugli stranieri) e il CLOUD Act (accesso penale mirato, extraterritoriale) — e le sentenze Schrems I e Schrems II, che hanno invalidato Safe Harbor e Privacy Shield per difetto di proporzionalità e di tutela giurisdizionale effettiva. Vediamo ora come gli Stati Uniti hanno risposto a quelle censure e perché la Commissione ha firmato.
Il CLOUD Act: l’extraterritorialità dell’accesso penale
Il Clarifying Lawful Overseas Use of Data Act (CLOUD Act) del 2018 opera su un piano diverso rispetto alla Sezione 702: non l’intelligence, ma l’accesso ai dati per finalità di law enforcement (indagini penali). La sua norma chiave stabilisce che un provider soggetto alla giurisdizione statunitense deve conservare e consegnare i dati in suo possesso, custodia o controllo indipendentemente dal luogo in cui sono fisicamente conservati.
Le implicazioni pratiche sono rilevanti e spesso sottovalutate: la localizzazione europea dei dati (“data residency”) non è, di per sé, uno scudo. Un ordine emesso da un giudice USA (tipicamente un warrant fondato su probable cause ai sensi dello Stored Communications Act) può raggiungere i dati conservati in un data center di Francoforte o Milano, se il provider — o la sua controllante — ricade nella giurisdizione statunitense. La società europea controllata da un gruppo USA, o che si avvale di un hyperscaler americano, resta quindi esposta a questo rischio giuridico, mitigabile ma non azzerabile con misure tecniche (crittografia con chiavi detenute esclusivamente dal cliente, architetture zero knowledge) e contrattuali (obbligo del provider di contestare gli ordini e di notificarli ove legalmente possibile).
Va peraltro mantenuta la corretta prospettiva: il CLOUD Act non istituisce un accesso libero e indiscriminato. Richiede un provvedimento giudiziario fondato su uno standard probatorio elevato, riguarda indagini penali su bersagli specifici e prevede che il provider possa contestare l’ordine quando esso confligga con la legge di uno Stato estero (contestazione peraltro dall’esito incerto quando l’obiettivo non è una U.S. person). Il conflitto con il GDPR resta però strutturale: l’art. 48 GDPR nega efficacia diretta alle decisioni di autorità straniere che impongano trasferimenti, se non fondate su accordi internazionali (come i MLAT, Mutual Legal Assistance Treaties, i trattati di mutua assistenza giudiziaria). Un provider destinatario di un ordine CLOUD Act su dati europei si trova quindi potenzialmente stretto tra due obblighi giuridici confliggenti. L’accordo esecutivo UE-USA che dovrebbe comporre il conflitto è in negoziazione da anni, senza esito.
La distinzione operativa da tenere a mente: la Sezione 702 riguarda la sorveglianza di intelligence, massiva e programmatica, su stranieri; il CLOUD Act riguarda l’accesso mirato, autorizzato da un giudice, per indagini penali. Il DPF interviene in modo significativo sul primo fronte; sul secondo incide solo indirettamente.
Schrems I e Schrems II: perché i primi due accordi sono caduti
La sentenza Schrems I (6 ottobre 2015, C-362/14) invalidò il Safe Harbor: la Corte di Giustizia rilevò che una normativa che consente alle autorità pubbliche di accedere in maniera generalizzata al contenuto delle comunicazioni compromette il contenuto essenziale del diritto alla vita privata (art. 7 della Carta di Nizza), e che l’assenza di rimedi giurisdizionali per l’interessato viola il diritto a una tutela giurisdizionale effettiva (art. 47).
La sentenza Schrems II (16 luglio 2020, C-311/18) demolì il Privacy Shield con un’analisi ancora più chirurgica, centrata proprio sulla Sezione 702 FISA e sull’Executive Order 12333. La Corte censurò due profili:
Proporzionalità. I programmi di sorveglianza fondati sulla Sezione 702 non erano circoscritti allo “stretto necessario”: le limitazioni al potere di raccolta non erano formulate in modo da conferire agli interessati diritti azionabili, e la FISC non verificava se le singole persone fossero correttamente prese di mira.
Tutela giurisdizionale. Il meccanismo dell’Ombudsperson (istituzione di un mediatore) istituito dal Privacy Shield non costituiva un rimedio effettivo: privo di reale indipendenza dall’esecutivo e privo del potere di adottare decisioni vincolanti nei confronti dei servizi di intelligence.
Il combinato disposto delle due sentenze fissa i requisiti che qualunque accordo transatlantico deve soddisfare: limiti chiari, precisi e proporzionati all’accesso governativo; diritti azionabili dagli interessati europei; un organo di ricorso indipendente e dotato di poteri vincolanti.
Nel prossimo articolo — chiuderemo la serie con lo stato di salute attuale del DPF: la sentenza del Tribunale UE sul caso Latombe, la paralisi del PCLOB — l’organo di vigilanza ridotto a un solo membro dopo destituzioni, reintegri giudiziari e una sentenza della Corte Suprema e, soprattutto, le cinque azioni concrete che aziende e DPO devono mettere in campo oggi.