L’ordine esecutivo del Presidente statunitense, annunciato lo scorso venerdì 7 ottobre, mira a risolvere le questioni sollevate dalla Corte di giustizia dell’Unione europea (CGUE) nel caso di invalidazione del Privacy Shield di luglio 2020, noto come Schrems II. A questa data corrisponde anche l’inizio dei lavori per una nuova normativa sulla data privacy tra UE e Stati Uniti. Se tutto andrà a buon fine, l’accordo verrà pubblicato a marzo 2023, ponendo fine a un lungo periodo di incertezza per l’economia digitale transatlantica.
Fin dalla revoca del Privacy Shield, le autorità europee per la protezione dei dati hanno iniziato a indagare sulle organizzazioni che utilizzavano i prodotti delle Big Tech statunitensi per inviare oltreoceano informazioni personali.
Google è stato il più colpito: Google Analytics, uno dei più popolari tool di web analytics al mondo, è stato bandito in Unione europea dalle Autorità per la protezione dei dati di Francia, Austria, Italia e Danimarca.
Le ripercussioni legali di Schrems II hanno così generato confusione e incertezza nelle aziende europee che si affidavano alle compagnie tech americane per le proprie attività di business e marketing.
Privacy USA-UE, le nuove regole di Biden sui dati personali degli europei
Indice degli argomenti
La nuova soluzione è già fallace
L’ordine esecutivo di Biden introduce una serie di garanzie e requisiti aggiuntivi per limitare l’accesso da parte della sicurezza a stelle e strisce ai dati dei cittadini europei, oltre a stabilire un sistema di ricorso per gestire i reclami.
Sebbene, però, l’entità e la portata dei cambiamenti introdotti siano senza precedenti, la soluzione è imperfetta. Lo sottolinea Noyb, l’ONG austriaca responsabile dello smantellamento dei due precedenti data transfer deal, nella propria valutazione iniziale del documento:
- Un ordine esecutivo non è una legge e può facilmente essere rovesciato da un altro ordine esecutivo. Una costruzione giuridica così debole probabilmente non soddisferà la CGUE.
- Dalla prospettiva statunitense, gli europei non hanno diritto alla privacy. Il quarto emendamento lo garantisce solamente ai cittadini USA, mentre chiunque altro potrebbe facilmente diventare bersaglio delle attività di sorveglianza governative.
- Le organizzazioni USA operanti nell’Unione europea non saranno vincolate dal GDPR. Secondo quanto esplicitato nell’ordine esecutivo, infatti, queste non avranno bisogno di una base legale per la raccolta dei dati e potranno limitarsi solamente a fornire un meccanismo di opt-out per coloro che vogliono rifiutare la condivisione delle proprie informazioni. Ciò metterà in una posizione di serio svantaggio le aziende UE che devono invece conformarsi al GDPR.
Come già accaduto in precedenza con Safe Harbor e Privacy Shield, l’ONG austriaca è determinata a contestare il nuovo accordo in tribunale.
Fronteggiare tempi incerti
Fin dalla sentenza Schrems II, che ha di fatto vietato la trasmissione dei dati dall’UE agli USA, molte organizzazioni europee hanno aggiornato le proprie tecnologie e metodologie per operare in linea con il rinnovato panorama giuridico.
Due le strade più comunemente intraprese:
- Limitazione o esclusione del trasferimento e anonimizzazione dei dati. Le aziende tech statunitensi si affidano fortemente alla user identification e al trasferimento dei dati. Limitare quest’ultimo e privare i dati delle informazioni personali possono contribuire alla risoluzione del problema, ma sono scelte che hanno un prezzo. Per esempio, configurando Google Analytics secondo gli standard del GDPR (come illustrato nelle linee guida del garante francese), lo strumento perde gran parte delle sue funzionalità.
- Aggiornamento dello stack tecnologico con alternative UE. Schrems II ha creato uno spazio nel mercato per le aziende europee che offrono software di business e marketing con hosting locale all’interno dell’Unione. Queste alternative permettono alle imprese di allontanarsi completamente dal problema del trasferimento dei dati.
Non si torna indietro
Il nuovo regolamento segnerà la fine di oltre due anni di turbolenze, ma non invertirà il corso del tempo. Schrems II ha irreversibilmente cambiato il modo in cui aziende e legislatori si approcciano alla questione della privacy e del data transfer e quanto segue ne è una testimonianza.
- Ulteriori aggiornamenti del panorama giuridico. Il Digital Service Act e il Digital Market Act stanno rimodellando i rapporti tra l’Europa e le Big Tech statunitensi, mentre il regolamento ePrivacy, ancora in lavorazione, dettaglierà le normative per la raccolta e l’elaborazione dei dati nel mondo digitale.
- Il mutamento nella visione delle organizzazioni in materia di privacy. Secondo un recente studio, oltre il 70% dei marketing executive e dei CEO dell’Unione europea concorda sull’importanza del rispetto della privacy online degli utenti. Quasi la metà degli intervistati pensa di sostituire lo stack attuale con alternative basate in UE.
- Cambiamenti nel marketing e nella pubblicità digitale, settori che contano molto sul trasferimento e l’elaborazione dei dati personali. I loro due meccanismi chiave, l’IAB TCF2 e il sistema di Real Time Bidding, sono ora al centro delle mire dei garanti e delle ONG legali. L’esito di queste indagini darà nuova forma all’operato dell’industry in UE.
Una volta che l’accordo sarà entrato in vigore, quindi, le aziende, ormai consce della qualità delle tecnologie alternative a loro disposizione, non riprenderanno a utilizzare le soluzioni pre-Schrems II.
Si sono compiuti troppi passi avanti, sia a livello giuridico che mentale, per tornare semplicemente indietro. Le imprese stanno adottando un approccio innovativo basato sul rispetto della privacy: è questo il modo migliore per guardare al futuro.
