Schrems II, il Data Privacy Framework e l'incertezza

Modulo 1: Perché un cloud europeo? · Tempo di lettura: 12 minuti

Obiettivo della lezione: Al termine di questa lezione sarà in grado di ripercorrere la storia degli accordi sui dati tra l'UE e gli USA, spiegare cosa ha deciso Schrems II, cosa è l'EU-US Data Privacy Framework e perché il quadro attuale resta incerto.

Concetti chiave: trasferimento, decisione di adeguatezza, Safe Harbor, Schrems I, Privacy Shield, Schrems II, clausole contrattuali standard (SCC), transfer impact assessment (TIA), misure supplementari, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, autocertificazione, Latombe, PCLOB

Trasferimento: la regola e l'eccezione

Nella lezione 1.2 ha visto che i dati possono lasciare lo Spazio Economico Europeo (SEE) solo se il paese di destinazione offre un livello di protezione adeguato, oppure se esistono garanzie supplementari (GDPR, capo V). Questo "lasciare" si chiama trasferimento. Un trasferimento non consiste solo nell'invio di un file verso gli Stati Uniti: anche quando un addetto all'assistenza americano accede da remoto al Suo ambiente europeo, o quando i Suoi dati risiedono presso un servizio americano, si può trattare di un trasferimento.

La via più semplice è una decisione di adeguatezza (art. 45): la Commissione europea decide che un paese ha un livello di protezione "sostanzialmente equivalente" a quello dell'UE. Decisioni di questo tipo esistono, tra gli altri, per la Svizzera, il Regno Unito, il Giappone e il Canada (per le organizzazioni commerciali). Per gli Stati Uniti la vicenda è più complicata: lì la Commissione è stata bocciata due volte dalla Corte di giustizia.

Questo è materiale informativo, non una consulenza legale. Lo stato delle cose descritto in questa lezione è aggiornato a novembre 2026.

Ponte 1: Safe Harbor e Schrems I

Nel 2000 l'UE e gli USA conclusero l'accordo Safe Harbor. Le aziende americane potevano aderire e impegnarsi a proteggere adeguatamente i dati europei. La Commissione adottò per questo una decisione di adeguatezza.

Nel 2013 Edward Snowden rivelò come i servizi di intelligence americani raccogliessero su larga scala dati presso le aziende internet. Il giurista austriaco Max Schrems presentò un reclamo contro Facebook in Irlanda: i suoi dati andavano verso gli USA e lì non erano protetti. Il caso arrivò alla Corte di giustizia dell'Unione europea (CGUE). Il 6 ottobre 2015 la Corte dichiarò invalida la decisione Safe Harbor (causa C-362/14, "Schrems I"). Il punto centrale: la Commissione non aveva verificato se le autorità americane rispettassero dei limiti, e i cittadini europei non disponevano di una reale tutela giurisdizionale.

Ponte 2: Privacy Shield e Schrems II

Già nel 2016 arrivò un successore: l'EU-US Privacy Shield, con regole più severe e un difensore civico (ombudsman) presso il Dipartimento di Stato americano. Schrems avviò una nuova causa.

Il 16 luglio 2020 la Corte si pronunciò nella causa C-311/18, "Schrems II". La Corte dichiarò invalido il Privacy Shield. Le ragioni:

• I programmi di sorveglianza americani, in particolare ai sensi di FISA Section 702 e dell'Executive Order 12333 (lezione 1.3), non erano limitati a quanto "strettamente necessario".
• I cittadini europei non avevano un accesso effettivo a un giudice indipendente; l'ombudsman non era sufficientemente indipendente e non poteva adottare decisioni vincolanti.

La Corte disse anche qualcosa di importante sull'alternativa, le clausole contrattuali standard (SCC, in inglese standard contractual clauses). Si tratta di contratti tipo della Commissione che il mittente e il destinatario firmano. Queste restavano valide, ma: la parte che trasferisce i dati deve verificare caso per caso se il diritto del paese destinatario non comprometta tali garanzie. Se ciò accade, sono necessarie misure supplementari, per esempio una cifratura in cui il destinatario non possiede la chiave. Se ciò non è possibile, il trasferimento deve cessare.

Questa valutazione si chiama transfer impact assessment (TIA). Le autorità europee di controllo sulla protezione dei dati (EDPB) hanno pubblicato raccomandazioni in merito nel 2021. Nel 2021 sono state inoltre introdotte nuove clausole contrattuali standard (decisione di esecuzione (UE) 2021/914).

Per una piccola organizzazione questo era complicato: come può una panetteria valutare il diritto americano in materia di intelligence? Nella pratica molti si sono affidati ai contratti e alla documentazione dei grandi fornitori.

Ponte 3: l'EU-US Data Privacy Framework

Gli USA e l'UE hanno negoziato di nuovo. Il presidente Biden ha firmato il 7 ottobre 2022 l'Executive Order 14086. Questo stabilisce tra l'altro che le attività di intelligence devono essere "necessarie e proporzionate", e istituisce una procedura di reclamo il cui ultimo grado è una Data Protection Review Court (DPRC) presso il Dipartimento di Giustizia americano.

Il 10 luglio 2023 la Commissione ha adottato la decisione di adeguatezza per l'EU-US Data Privacy Framework (DPF). Come funziona:

• Si applica solo alle organizzazioni americane che vi hanno aderito (autocertificazione presso il Dipartimento del Commercio americano). Sul sito dataprivacyframework.gov è pubblicato l'elenco. Se un'azienda non vi figura, il DPF non si applica a quell'azienda.
• Il rispetto delle regole è controllato negli USA, tra gli altri, dalla Federal Trade Commission (FTC).
• È prevista una valutazione periodica da parte della Commissione.

Per gli utenti il DPF significa che il trasferimento verso un'azienda americana aderente è nuovamente consentito senza TIA. Per questo molti fornitori dichiarano: "Siamo conformi al GDPR."

Perché il quadro resta incerto

Il DPF esiste, ma su basi fragili:

• L'Executive Order non è una legge. Un presidente successivo può modificarlo o revocarlo, senza il Congresso.
• Il Tribunale e l'appello. Il parlamentare francese Philippe Latombe ha chiesto al Tribunale dell'UE di annullare la decisione sul DPF. Il 3 settembre 2025 il Tribunale ha respinto la richiesta (causa T-553/23): secondo il Tribunale la DPRC era sufficientemente indipendente. Latombe ha presentato ricorso in appello alla Corte di giustizia (causa C-703/25 P). A novembre 2026 non è ancora intervenuta una sentenza. In Schrems I e II la Corte è stata più severa del Tribunale ora.
• Il controllo negli USA sotto pressione. Nel gennaio 2025 i membri della Privacy and Civil Liberties Oversight Board (PCLOB) designati dai Democratici sono stati rimossi dall'incarico; da allora questo organo di controllo non ha il numero legale e può svolgere solo in modo limitato il proprio lavoro, compreso il controllo sulla procedura di reclamo. Il 29 giugno 2026 la Corte Suprema americana ha deciso nel caso Trump v. Slaughter che il presidente può rimuovere i membri della FTC senza motivazione. I giuristi fanno notare che questo rende più acuta la questione dell'indipendenza del controllo su cui si fonda il DPF.
• Nuove procedure. L'organizzazione per la tutela della privacy noyb ha annunciato di valutare un proprio procedimento. Una causa di questo tipo richiede anni.

Se il DPF dovesse cadere, accadrebbe quanto già avvenuto nel 2015 e nel 2020: le organizzazioni dovrebbero, da un giorno all'altro, ricorrere alle clausole contrattuali standard con una TIA, oppure interrompere il trasferimento. Non è previsto in tal caso alcun periodo transitorio.

Cosa significa questo per Lei?

Per la Panetteria De Korrel la domanda non è "è consentito adesso?", perché con il DPF al momento lo è. La domanda è: "voglio dipendere da un quadro già caduto due volte e ora per la terza volta all'esame della Corte?" Un servizio stabilito all'interno del SEE che mantiene i dati all'interno del SEE non dipende dal DPF. Non si tratta di un obbligo giuridico, ma di un punto di partenza più tranquillo.

Nella pratica: ecco come si presenta presso un fornitore

Verifichi nell'informativa sulla privacy o nell'accordo sul trattamento dei dati del Suo attuale fornitore su quale base giuridica questo trasferisce i dati verso gli USA: il DPF, le clausole contrattuali standard, o entrambi. I grandi fornitori spesso citano entrambi, proprio per far fronte a un'eventuale caduta del DPF. Un fornitore europeo senza trasferimenti al di fuori del SEE non deve occuparsene; il suo elenco di subresponsabili del trattamento mostra se è effettivamente così (lezione 9.2). Presso WebOké l'accordo sul trattamento dei dati stabilisce che il trasferimento al di fuori dell'UE è consentito solo con previo consenso scritto; presso altri fornitori troverà di norma una disposizione simile in un articolo relativo al "trasferimento" o al "trasferimento internazionale".

Riepilogo

• Il trasferimento al di fuori del SEE è consentito solo con una decisione di adeguatezza o con garanzie come le clausole contrattuali standard.
• La Corte ha dichiarato invalidi Safe Harbor (2015, Schrems I) e il Privacy Shield (2020, Schrems II), soprattutto a causa della sorveglianza americana e della mancanza di tutela giurisdizionale.
• Dal 10 luglio 2023 è in vigore l'EU-US Data Privacy Framework, applicabile solo alle aziende americane che vi hanno aderito.
• Il DPF si fonda su un atto presidenziale ed è oggetto di discussione: è in corso l'appello Latombe (C-703/25 P), il controllo americano è sotto pressione.
• Un servizio che mantiene i dati all'interno del SEE non dipende dal DPF.

Quiz

Esercizio

Esercizio E1.4: Su quale base giuridica i Suoi dati vanno verso gli USA? Cerchi nell'informativa sulla privacy o nell'accordo sul trattamento dei dati del Suo attuale servizio cloud se i dati vengono trattati al di fuori del SEE, e su quale base giuridica (DPF, SCC, decisione di adeguatezza per un altro paese). Verifichi su dataprivacyframework.gov se l'azienda figura nell'elenco. Descriva cosa accadrebbe nel Suo caso se il DPF venisse annullato.

Per approfondire

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori il funzionamento è simile.

• Guida a Nextcloud 15.13: Domande frequenti su sicurezza e privacy
• Corte di giustizia, sentenze C-362/14 (Schrems I, 6 ottobre 2015) e C-311/18 (Schrems II, 16 luglio 2020), su curia.europa.eu
• Decisione di esecuzione (UE) 2023/1795 (decisione di adeguatezza EU-US Data Privacy Framework, 10 luglio 2023), su EUR-Lex
• Decisione di esecuzione (UE) 2021/914 (clausole contrattuali standard), su EUR-Lex
• Tribunale dell'UE, causa T-553/23 (Latombe, 3 settembre 2025); appello C-703/25 P
• Elenco del Data Privacy Framework: https://www.dataprivacyframework.gov