A distanza di 20 mesi, dal 16 luglio 2020, data nella quale si è espressa la Corte di Giustizia dell’Unione Europea con la fatidica “Sentenza Schrems II”, forse siamo finalmente alle battute finali per un nuovo accordo che consenta il trasferimento dati personali dall’UE agli USA con regole idonee alla tutela degli interessi dei cittadini europei secondo le norme del GDPR.

---

Si è svolto infatti alcuni giorni fa, a Bruxelles, un incontro tra il presidente americano Biden e la presidente della Commissione Europea Von Der Leyen per concordare delle nuove disposizioni che “segnano un impegno senza precedenti da parte degli Stati Uniti ad attuare riforme che rafforzeranno la tutela della privacy e delle libertà civili applicabili alle attività di intelligence delle agenzie statunitensi”, come espresso nella dichiarazione congiunta tra Stati Uniti e Commissione Europea diffusa dalla Casa Bianca.

Come riportato nella scheda informativa rilasciata ancora dalla Casa Bianca dopo la conferenza stampa, con il nuovo “Trans-Atlantic Data Privacy Framework” gli Stati Uniti hanno assunto impegni senza precedenti per:

• Rafforzare le tutele della privacy e delle libertà civili che regolano le attività di intelligence delle agenzie governative degli Stati Uniti;
• Istituire un nuovo meccanismo di ricorso con autorità indipendente e vincolante;
• Migliora la supervisione rigorosa e stratificata esistente delle attività di intelligence delle agenzie governative.

Ad esempio, il nuovo Framework garantisce che:

• La raccolta di informazioni da parte delle agenzie può essere effettuata solo ove necessario per il raggiungimento di legittimi obiettivi di sicurezza nazionale e non deve avere un impatto sproporzionato sulla protezione della vita privata e delle libertà civili;
• I cittadini dell’UE possono chiedere un risarcimento tramite un nuovo meccanismo di ricorso multilivello che includa un tribunale di revisione della protezione dei dati indipendente che sarebbe composto da individui scelti al di fuori del governo degli Stati Uniti e che avrebbero piena autorità per giudicare i reclami e dirigere le misure correttive secondo necessità; 
• Le agenzie di intelligence statunitensi adotteranno procedure per garantire un controllo efficace dei nuovi standard sulla privacy e sulle libertà civili. 

Come si ricorderà, infatti, gli accordi precedenti, il “Safe Harbor” del 2001 e il “Privacy Shield” del 2016, sono saltati a seguito di provvedimenti mossi da corti dell’Unione Europea in quanto i dati che entrano in possesso di aziende con sede statunitense non erano abbastanza tutelati di fronte all’accesso senza richiesta di consenso effettuato dalle varie agenzie di intelligence americane, senza nessun distinguo tra cittadini statunitensi, europei o di qualsiasi altra nazionalità. Inoltre, in caso di trattamento illecito, non vi erano modalità facilmente fruibili per un cittadino dell’UE né per poter accedere alle verifiche dei propri dati, né per poter fare eventuali reclami o richieste di modifiche e cancellazione. Questo, e il dover sottendere delle aziende americane al cosiddetto USA Cloud Act, hanno portato alle ormai famose “Sentenze Schrems I e II” che hanno invalidato gli accordi transatlantici e praticamente reso illegali i trasferimenti dei dati nel flusso UE verso gli USA. La conseguenza è stata il ritrovarsi invalide le soluzioni di utilizzo di servizi a livello mondiale di Microsoft, Google, ActiveCampaign, giusto per citarne alcuni, con l’emissione di provvedimenti (e salate multe) verso aziende europee ce ne facevano uso, come per esempio l’università Bocconi di Milano, multata anche per trasferimento dati verso gli USA. Se non si trova un accordo che possa soddisfare i criteri di legalità del GDPR, infatti, si rischia il crollo di un enorme settore dell’economia che si basa sulla commercializzazione digitalizzata e globale anche da parte di piccole e medie imprese, che altrimenti si troverebbero costrette a tornare alla sola economia locale. Si parla di un giro di affari stimato più di 7 trilioni di dollari.

Gli impegni statunitensi sopra presentati saranno inclusi in un ordine esecutivo del governo USA che formerà la base della valutazione della Commissione Europea nella sua futura decisione di adeguatezza. Ovviamente, i gruppi di attivisti della privacy sono tutti in prima fila in attesa dell’uscita dell’atto, e Max Schrems, un attivista il cui gruppo Noyb ha guidato gli sforzi per invalidare gli accordi transatlantici da cui hanno poi preso il nome le sentenze, ha dichiarato di essere scettico sull’accordo e che la sua organizzazione analizzerà attentamente tutta la documentazione che “Se non è  in linea con il diritto dell’UE, noi o un altro gruppo probabilmente lo contesteremo”, come da lui stesso affermato.