A seguito dell’annullamento del Privacy Shield, è stato finalmente avviato da parte della Commissione Europea il processo formale che porterà alla definitiva adozione di una decisione di adeguatezza per il trasferimento dei dati tra l’UE e gli Stati Uniti.
La decisione di adeguatezza rappresenta uno degli strumenti, previsti dall’art. 45 GDPR, per il trasferimento di dati personali verso un paese terzo senza dover richiedere specifiche autorizzazioni in tal senso.
La bozza di decisione di adeguatezza fa seguito alla firma dell’ordine esecutivo da parte del presidente degli Stati Uniti Joe Biden di ottobre, che aveva inteso introdurre una serie di salvaguardie per i dati personali degli interessati residenti negli Stati Membri dell’UE, limitando, in particolare, l’accesso a detti dati da parte delle agenzie di intelligence statunitensi e introducendo dei meccanismi che consentivano agli interessati di proporre un ricorso indipendente.
Proprio l’incontrollato e sproporzionato accesso ai dati da parte dei servizi di sicurezza statunitensi, infatti, era stato l’elemento che aveva contribuito a far dichiarare illegittimo, da parte della Corte di Giustizia dell’UE, il previgente Privacy Shield, con la nota sentenza Schrems II. La CGUE, infatti, riteneva che non fosse fornita negli USA un’adeguata protezione dei dati personali, e che non fossero previsti dei meccanismi di ricorso che consentissero di far valere degli illeciti innanzi ad un tribunale.
Vista la rilevanza dei flussi di dati fra l’UE e gli USA (sede delle principali società tech che hanno come proprio core business il trattamento dei dati personali o forniscono comunque servizi di assoluto rilievo anche in Europa) appare comunque fondamentale definire un quadro giuridico che possa consentire il flusso legittimo di detti dati, consentendo soprattutto a piccole e medie aziende di beneficiare dei servizi offerti aziende statunitensi – spesso a condizioni economiche maggiormente vantaggiose – senza incappare in pesanti sanzioni da parte delle autorità garanti.
Allo stesso tempo, il raggiungimento di un accordo sul trasferimento dei dati rappresenta una necessità per le stesse grandi aziende tecnologiche statunitensi, tra cui Meta Platforms Inc. e Alphabet Inc., già al centro di indagini e provvedimenti, da parte delle autorità garanti europee, che ordinano o prevedono di ordinare a loro o ai loro clienti di interrompere i trasferimenti di dati negli Stati Uniti, citando la sentenza della CGUE del 2020.
Trasferire dati negli USA, dopo l’ordine esecutivo di Biden: le cautele da adottare
Indice degli argomenti
Opinioni contrastanti
“Negli ultimi mesi abbiamo valutato il quadro giuridico statunitense fornito dall’Executive Order in materia di protezione dei dati personali. Ora siamo fiduciosi di passare alla fase successiva della procedura di adozione”, ha dichiarato il commissario europeo per la giustizia Didier Reynders.
Non mancano, tuttavia, opinioni di dissenso: “Poiché il progetto di decisione si basa sul noto ordine esecutivo, non vedo come questo possa sopravvivere a un’impugnazione dinanzi alla Corte di giustizia. Sembra che la Commissione europea emetta decisioni simili più e più volte, in flagrante violazione dei nostri diritti fondamentali”, ha affermato a Euractiv Max Schrems, l’avvocato austriaco che ha contribuito alle storiche sentenze Schrems I e Schrems II.
Schrems sostiene, in particolar modo, che ad oggi vi sono poche indicazioni che lasciano intendere che la sorveglianza di massa attuata dalle forze dell’ordine statunitensi cambierà nella pratica, in quanto i sistemi e le prassi legali americane ed europee divergono in modo significativo sulla definizione dei concetti di necessità e proporzionalità, posti dall’ordine esecutivo di Biden alla base delle attività di trattamento dei dati concesse ai servizi segreti.
L’Europa si mostra comunque assolutamente favorevole al raggiungimento di un accordo: “Sono sicuro che avremo una nuova discussione davanti alla Corte di Giustizia. Il trattamento dei dati personali è nel modello di business di molte aziende Big Tech. Ma andare davanti alla Corte di giustizia forse fa parte del modello di business del signor Schrems”, ha dichiarato ad EURACTIV il commissario europeo per la giustizia Didier Reynders. Reynders ha inoltre rimarcato, come riporta lo stesso EURACTIV, di essere “fiducioso che il nuovo accordo legale fosse veramente solido” e ha invitato gli scettici a “testare il meccanismo di ricorso contestando alcune decisioni delle agenzie di intelligence statunitensi prima di tentare di abbattere l’intero sistema”.
I punti principali della decisione di adeguatezza
Seppur senza pretesa di esaustività, appare utile effettuare una breve disamina del contenuto della proposta di decisione di adeguatezza resa pubblica dalla Commissione Europea. Il testo reso noto rappresenta la bozza di accordo preliminare che è stata raggiunta nel marzo di quest’anno tra l’UE e il governo statunitense, volta a ristabilire un framework che legittimasse il trasferimento dei dati personali e risolvesse le criticità presenti nel Privacy Shield.
Nelle premesse della bozza di decisione di adeguatezza si rileva, innanzitutto, come il trasferimento di dati personali possa essere consentito anche nell’ipotesi in cui il livello di protezione dello stato terzo non sia identico a quello europeo, ma ad esso assimilabile.
I mezzi di cui si avvale il Paese terzo, si legge, possono differire da quelli impiegati nell’Unione, purchè si dimostrino, nella pratica, efficaci per garantire un livello di protezione adeguato. “La norma di adeguatezza”, continua, non richiede pertanto una replica punto a punto delle norme dell’Unione.
Piuttosto, il test è se, attraverso la sostanza dei diritti alla privacy e la loro effettiva attuazione, supervisione e applicazione, il sistema estero nel suo complesso fornisca il livello di protezione richiesto”.
Inoltre, secondo il testo della sentenza Schrems II, la Commissione è chiamata a valutare, in particolare, “se il quadro giuridico del paese terzo in questione preveda norme intese a limitare le interferenze con i diritti fondamentali delle persone i cui dati sono trasferiti dall’Unione, e che le entità statali di quel paese sarebbero autorizzate a impegnarsi quando perseguono obiettivi legittimi, come la sicurezza nazione, e forniscono un’effettiva protezione legale contro interferenze di questo tipo”.
Si evidenza, poi, come la CGUE avesse rilevato che le limitazioni alla protezione dei dati personali previste dal diritto interno USA sull’accesso e sull’utilizzo da parte delle autorità pubbliche dei dati trasferiti dall’Unione per finalità di sicurezza nazionale non fossero “sostanzialmente equivalenti a quelli previsti dal diritto dell’Unione, per quanto riguarda la necessità e la proporzionalità di tali interferenze con il diritto alla protezione dei dati” e che non fosse possibile “agire dinanzi a un organismo che offra alle persone i cui dati sono stati trasferiti negli Stati Uniti garanzie sostanzialmente equivalenti a quelle richieste dall’articolo 47 della Carta sul diritto a un ricorso effettivo”.
Proprio su questo punto, la Commissione afferma di aver avviato delle attività di verifica volte all’attenta analisi della legislazione USA, inclusi, in particolar modo, l’EO 14086 e il regolamento AG, e che “gli Stati Uniti assicurano un livello adeguato di protezione dei dati personali trasferiti nell’ambito del DPF UE-USA [Data Privacy Framework, n.d.a.] da un titolare del trattamento o da un incaricato del trattamento nell’Unione a organizzazioni certificate negli Stati Uniti”.
Le organizzazioni che decidono di certificarsi saranno interite all’interno di un elenco che garantisca e consenta di verificare periodicamente il pieno rispetto, da parte di quest’ultime, dei principi fondamentali del GDPR.
Al fine di garantire una migliore tutela degli interessati, (posto che deve essere garantito all’interessato di disporre di un ricorso amministrativo e giudiziario effettivo) si prevede poi che gli stessi possano perseguire i casi di mancato rispetto dei principi attraverso contatti diretti con le organizzazioni del DPF UE-USA: per facilitare la risoluzione di dette controversie, l’organizzazione dovrà mettere in atto un meccanismo di ricorso efficace per la gestione di detti reclami.
In secondo luogo, i singoli potranno presentare un reclamo direttamente all’organismo indipendente di risoluzione delle controversie (negli Stati Uniti o nell’Unione) designato da un’organizzazione per indagare e risolvere i reclami individuali (a meno che non siano palesemente infondati o futili) e per fornire un adeguato ricorso gratuito al singolo.
Nei casi in cui l’organizzazione non si conformi alla decisione di un organismo di risoluzione delle controversie o di autoregolamentazione, quest’ultimo deve notificare tale non conformità alla FTC o ad altra autorità statunitense competente per indagare sulla non conformità dall’organizzazione, o ad un tribunale competente.
Resta ferma, poi, la possibilità dei singoli di presentare reclami direttamente ad un’autorità di protezione dei dati nazionale presente nell’Unione.
Quale meccanismo di ricorso di “ultima istanza”, la decisione di adeguatezza prevede poi, nel caso in cui nessuna delle altre vie di ricorso disponibili abbia risolto in modo soddisfacente il reclamo di un individuo, che l’interessato dell’Unione può invocare l’arbitrato vincolante dell'”EU-US Data Privacy Framework Panel”.
L’accesso ai dati da parte delle autorità pubbliche
Sul punto, si legge come la Commissione abbia valutato “le limitazioni e le garanzie, compresi i meccanismi di controllo e di ricorso individuale disponibili nel diritto degli Stati Uniti per quanto riguarda la raccolta e il successivo utilizzo da parte delle autorità pubbliche statunitensi dei dati personali trasferiti ai responsabili del trattamento e ai responsabili del trattamento negli Stati Uniti nell’interesse pubblico , in particolare ai fini dell’applicazione del diritto penale e della sicurezza nazionale (accesso governativo)” secondo il criterio della c.d. equivalenza essenziale di cui all’art. 45 GDPR.
Sono i seguenti i criteri di cui si è tenuto conto per la valutazione della sussistenza di detta equivalenza:
- qualsiasi limitazione al diritto alla protezione dei dati personali deve essere prevista dalla legge e la base giuridica che consente l’interferenza con tale diritto deve essa stessa definire la portata della limitazione all’esercizio del diritto in questione;
- al fine di soddisfare il requisito di proporzionalità, secondo il quale deroghe e limitazioni alla protezione dei dati personali devono applicarsi solo nella misura strettamente necessaria in una società democratica per soddisfare specifici obiettivi di interesse generale equivalenti a quelli riconosciuti dall’Unione, tale base giuridica deve stabilire regole chiare e precise per disciplinare la portata e l’applicazione delle misure in questione e imporre garanzie minime affinché le persone i cui dati sono stati trasferiti abbiano garanzie sufficienti per proteggere efficacemente i loro dati personali dal rischio di abuso;
- tali norme e tutele devono essere giuridicamente vincolanti e applicabili da parte dei singoli, che devono avere la possibilità di adire un tribunale indipendente e imparziale per avere accesso ai propri dati personali o per ottenerne la rettifica o la cancellazione.
Si prevedono, poi, sulla base di detti criteri una serie di specifiche limitazioni, basi giuridiche e tutele relative alla raccolta di dati personali a fini di contrasto penale, sulla base della normativa attualmente vigente negli Stati Uniti , che concede, in particolare, ai procuratori e agli agenti investigativi federali di accedere ai dati personali secondo diverse procedure, spiegate ai considerando 90-95 della decisione di adeguatezza e legati alla sussistenza, ad esempio, di mandati di perquisizione o sequestro, o su ordinanze autorizzative dei tribunali.
C’è poi un richiamo ad una serie di linee guida e normative statunitensi di settore che prevedono come ai dati personali ottenuti per finalità di natura investigativa debbano essere comunque applicati principi di protezione dei dati personali, come la limitazione della conservazione dei dati, o l’utilizzo di metodi investigativi meno intrusivi possibili, che tengano conto dell’effetto delle indagini sulla privacy e sulle libertà civili.
Inoltre, si legge, “nella maggior parte dei casi le autorità di contrasto penale devono ottenere un’autorizzazione giudiziaria preventiva per raccogliere dati personali. Sebbene ciò non sia richiesto per le citazioni in giudizio amministrative, queste sono limitate a situazioni specifiche e saranno soggette a controllo giurisdizionale indipendente almeno laddove il governo richieda l’esecuzione in tribunale.
In particolare, i destinatari di citazioni in giudizio amministrative possono impugnarle in giudizio in quanto irragionevoli, vale a dire eccessive, oppressive o gravose”.
Inoltre, “il diritto statunitense prevede una serie di vie di ricorso giurisdizionale per i privati, nei confronti di un’autorità pubblica o di uno dei suoi funzionari, laddove tali autorità trattino dati personali. Queste vie, che includono in particolare l’APA, il Freedom of Information Act (FOIA) e l’Electronic Communications Privacy Act (ECPA), sono aperte a tutti gli individui indipendentemente dalla loro nazionalità, fatte salve le condizioni applicabili”.
Anche nel caso in cui l’accesso avvenga per motivi di sicurezza, si rimanda ad una serie di limitazioni e garanzie che il diritto statunitense prevede in relazione all’accesso e all’utilizzo dei dati personali, compresi meccanismi di controllo e ricorso che sono ritenuti in linea con quanto previsto dalla decisione e dalla normativa europea.
In particolare, si afferma che le agenzie di intelligence statunitensi possono richiedere l’accesso ai dati personali che sono stati trasferiti a organizzazioni situate negli Stati Uniti per motivi di sicurezza nazionale solo se autorizzati dalla legge, in particolare ai sensi del Foreign Intelligence Surveillance Act (FISA) o e delle disposizioni di legge che autorizzano l’accesso tramite Lettere di Sicurezza Nazionale (NSL). Il FISA contiene varie basi giuridiche che legittimano alla raccolta e al successivo trattamento dei dati personali trasferiti dall’unione.
Le misure di salvaguardia dei dati, poi, sono state implementate dall’executive order di Joe Biden, che definisce più in generale gli obiettivi, le direzioni, i doveri e le responsabilità dell’intelligence degli Stati Uniti e stabilisce i parametri generali per lo svolgimento delle attività di intelligence.
Inoltre, tali attività possono essere condotte solo “nella misura e in modo proporzionato alla priorità di intelligence convalidata per la quale sono state autorizzate”. In altre parole, deve essere raggiunto un giusto equilibrio “tra l’importanza della priorità di intelligence perseguita e l’impatto sulla vita privata e sulle libertà civili delle persone interessate, indipendentemente dalla loro nazionalità o dal luogo in cui risiedono”.
In particolare, qualsiasi attività di intelligence dei segnali può essere svolta solo “a seguito di una determinazione, basata su una valutazione ragionevole di tutti i fattori pertinenti, che le attività sono necessarie per promuovere una priorità di intelligence convalidata”.
A ciò si aggiunga che gli obiettivi legittimi stabiliti nell’ordine esecutivo non possono essere invocati di per sé dalle agenzie di intelligence per giustificare la raccolta di informazioni sui segnali, ma “devono essere ulteriormente comprovati, a fini operativi, da priorità più concrete per le quali è possibile raccogliere informazioni sui segnali. […] Tali priorità sono stabilite attraverso un processo dedicato volto a garantire il rispetto dei requisiti legali applicabili, inclusi quelli relativi alla privacy e alle libertà civili”.
Sono poi esaminati una serie di ulteriori requisiti normativi che comportano la vigilanza sulle attività di intelligence ed il controllo delle loro conformità ai principi generali di riservatezza dei dati. Alcuni obblighi di supervisione sono stati introdotti, da ultimo, proprio con il citato ordine esecutivo di Biden.
La decisione di adeguatezza si concentra, poi, sull’analisi delle azioni consentite dalla normativa statunitense per garantire agli interessati il diritto di intentare un’azione legale innanzi ad un tribunale indipendente ed imparziale dotato di poteri vincolanti.
Sempre l’executive order, in tal senso, ha introdotto ulteriori meccanismi di ricorso, tra cui il tribunale per il riesame della protezione dei dati, chiamato specificatamente a gestire e risolvere i reclami degli interessati oggetto di attività di intelligence. A detto tribunale ciascun interessato europeo può avanzare reclamo rilevando una presunta violazione della normativa USA che disciplina l’attività di intelligence e che leda i suoi interessi in materia di privacy e libertà civili.
È poi prevista la possibilità di presentare ricorso anche ad un’autorità di controllo di uno stato membro dell’UE competente, sulla base di bassi requisiti di ammissibilità: “le persone”, infatti, “non hanno bisogno di dimostrare che i loro dati sono stati effettivamente oggetto di attività di intelligence sui segnali degli Stati Uniti” pur essendo chiamate a fornire delle informazioni di base, come i dati personali che si ritiene ragionevolmente siano stati trasferiti in USA, e i mezzi con i quali detto trasferimento è avvenuto.
Sono previsti, poi, meccanismi di riesame delle decisioni che garantiscono una effettiva tutela degli interessati, uniti a forme di controllo delle decisioni medesime.
Inoltre, si legge, “esistono diverse vie specifiche per adire le vie legali contro i funzionari governativi per l’accesso o l’uso illegale da parte del governo di dati personali, anche per presunte finalità di sicurezza nazionale (vale a dire il Computer Fraud and Abuse Act; l’Electronic Communications Privacy Act; e Diritto alla Privacy Finanziaria). Tutte queste azioni legali riguardano specifici dati, obiettivi e/o tipi di accesso (ad es. accesso remoto a un computer via Internet) e sono disponibili a determinate condizioni (ad es. comportamento intenzionale/doloso, comportamento al di fuori della capacità ufficiale, danno subito)”.
Conclusioni
Alla luce del contenuto della decisione di adeguatezza, dunque, la Commissione conclude, nella prima bozza resa nota, che sussistano gli elementi, viste le modifiche introdotte anche dall’executive order, per poter garantire il rispetto degli elementi di sostanziale equivalenza delle tutele e dei principi previsti nel GDPR.
Appare dunque ben più prossimo il raggiungimento di un nuovo accordo che possa costituire una legittima base giuridica per il trasferimento dei dati oltreoceano, in sostituzione dell’ormai abrogato Privacy Shield.
Non si esclude, tuttavia, che anche detto nuovo accordo possa essere oggetto di nuova impugnativa, come già avvenuto per il citato Privacy Shield: certo è da accogliere favorevolmente la volontà dei legislatori di uniformare le tutele concesse agli interessati, in un contesto globale che vede sempre più al centro i dati personali.
