Privacy Shield: lo scudo UE-USA è inadeguato

Come anticipato da più parti, oggi la Corte di Giustizia dell’Unione Europea si è pronunciata sul cosiddetto Privacy Shield, l’accordo bilaterale tra Europa e Stati Uniti per il trasferimento oltreoceano dei dati appartenenti ai cittadini del vecchio continente. Viene di fatto annullata la decisione 2016/1250 che affermava l’adeguatezza delle misure in atto.

Caso Schrems: inadeguato lo scudo UE-USA per la privacy

La Corte ritiene che i requisiti imposti dagli USA in termini di sicurezza, interesse pubblico e supporto all’attività delle forze dell’ordine nell’ambito della sorveglianza hanno la priorità, finendo con l’impattare su alcuni diritti fondamentali delle persone inclusi quelli che riguardano il trasferimento delle informazioni che li riguardano a paesi terzi. Uno scenario che non si può ritenere conforme a quanto prevedono le normative europee sul tema.

#ECJ: the Decision on the adequacy of the protection provided by the EU-US Data Protection Shield is invalidated, but @EU_Commission Decision on standard contractual clauses for the transfer of personal data to processors established in third countries is valid #Facebook #Schrems pic.twitter.com/BgxGAvuq3T

— EU Court of Justice (@EUCourtPress) July 16, 2020

È l’ultimo colpo di scena del caso Schrems che prende il nome dall’attivista e avvocato austriaco Maximillian Schrems: negli anni scorsi ha presentato una denuncia contro il trasferimento delle informazioni legate al suo account Facebook verso server negli Stati Uniti, chiedendone l’interruzione. Richiesta respinta inizialmente al mittente dalla High Court irlandese poiché, con la decisione 2000/520, le autorità europee avevano ritenuto adeguato il livello di protezione garantito dagli Stati Uniti con la cosiddetta “sentenza Schrems I”. Queste le parole del diretto interessato.

Sono molto felice per la sentenza. Sembra che la Corte ci abbia ascoltati in ogni aspetto. Si tratta di un duro colpo all’Irish DPC e a Facebook. È chiaro che gli stati Uniti dovranno cambiare in modo serio le loro leggi sulla sorveglianza se le aziende USA vogliono continuare a giocare un ruolo importante nel mercato europeo.

https://twitter.com/maxschrems/status/1283669789181960197

Ecco quanto si legge nel documento pubblicato oggi dalla Corte di Giustizia in relazione all’accordo definito scudo UE-USA.

Con la sua sentenza odierna, la Corte constata che … non è emerso alcun elemento idoneo ad inficiarne la validità. Essa dichiara, invece, invalida la decisione 2016/1250.

La sentenza non interessa solo Facebook, ma più in generale tutte quelle realtà che offrendo i loro servizi ai cittadini europei svolgono la raccolta, l’archiviazione o l’elaborazione dei dati al di fuori del vecchio continente. Ad oggi sono circa 5.300 le società che fanno ricorso a quanto consentito dallo Privacy Shield.

… limitazioni della protezione dei dati personali che risultano dalla normativa interna degli Stati Uniti in materia di accesso e di utilizzo, da parte delle autorità statunitensi, di siffatti dati trasferiti dall’Unione verso tale Paese terzo, e che sono state valutate dalla Commissione nella decisione 2016/1250, non sono inquadrate in modo da rispondere a requisiti sostanzialmente equivalenti a quelli richiesti, nel diritto dell’Unione, dal principio di proporzionalità, giacché i programmi di sorveglianza fondati sulla suddetta normativa non si limitano a quanto strettamente necessario.

Non è da escludere che in seguito a quanto stabilito realtà come la già citata Facebook, ma anche Google, Amazon, Microsoft, Apple e gli altri big del mondo online siano chiamati a intervenire sul loro modus operandi garantendo una più attenta gestione dei dati, basata sul principio della territorialità, organizzando di conseguenza la propria strategia che oggi fa leva principalmente sulle infrastrutture cloud. Da valutare poi eventuali ripercussioni a livello di relazioni diplomatiche tra gli Stati Uniti e l’Europa.