Carlo Terzano

Avvocato generale Ue pro Facebook: valido il trasferimento dati negli Usa

L'approfondimento di Carlo Terzano sulla decisione dell'Avvocato generale dell'Unione europea

19 Dicembre 2019 16:00

Carlo Terzano

Non è vero che le istituzioni del Vecchio continente sono contro i colossi statunitensi del Web per partito preso. Nell’attesa che si pronunci la Corte di Giustizia, Facebook (leggi anche: Nuova tegola per Mark Zuckerberg dopo Cambridge Analytica) ha infatti ottenuto un inatteso assist dall’Avvocato generale per quel che concerne l’ormai famoso “caso Schrems” che potrebbe costituire un importante precedente nel caso in cui i giganti extra-Ue prevedano il “trasferimento dati” degli utenti comunitari dall’Unione ai propri server su suolo americano.

COS’È IL CASO SCHREMS

Prima di venire al parere reso dall’Avvocato generale della Corte di Giustizia occorre però ripercorrere la vicenda giudiziaria dal principio. Vicenda che risale al 2013, anno in cui lo studente austriaco Max Schrems denunciò l’azienda di Mark Elliot Zuckerberg accusandola di aver trasferito senza il nulla osta dell’avente diritto i suoi dati verso gli Stati Uniti. La vicenda passò dal Garante per la Privacy irlandese (competente per territorio) alla Corte di Giustizia dell’Unione Europea che, nel 2016, girò il fascicolo all’autorità irlandese invitandola a valutare se il trasferimento dati fosse conforme ai diritti fondamentali riconosciuti dal diritto comunitario.

DAL SAFE HARBOR AL PRIVACY SHIELD

Nel frattempo i legislatori, solitamente piuttosto lenti nel regolamentare la materia, sono intervenuti. Nel 2016 il Privacy Shield ha sostituito il Safe Harbor, l’accordo USA-Ue sul trasferimento dati basato su sette principi: gli utenti devono essere avvertiti circa la raccolta e l’utilizzo dei propri dati personali; ciascuno deve essere libero di rifiutare e negare il loro trasferimento a terzi; i dati possono essere trasferiti solo a organizzazioni che seguono principi adeguati di protezione dei dati; le aziende devono fornire garanzie opportune di sicurezza; devono essere raccolti solo i dati rilevanti ai fini della rilevazione; gli utenti hanno il diritto di accedere ai dati raccolti ed eventualmente chiederne modifica; queste regole devono essere efficacemente attuate. Una volta che l’impresa ha aderito al programma, deve rinnovare la certificazione ogni 12 mesi.

I DIRITTI RICONOSCIUTI AGLI UTENTI COMUNITARI

La Commissione europea ritenne che il sistema previsto nel Privacy Shield offrisse un livello adeguato di protezione per i dati personali trasferiti da un soggetto nell’Ue a una società stabilita negli Stati Uniti e che, pertanto, lo Scudo costituisse una fonte di garanzie giuridiche con riguardo ai trasferimenti dati in questione. In particolare, oltre a riconoscere in capo all’utente comunitario il diritto di essere informato del trasferimento e di esercitare i diritti di accesso – per esempio, chiedendo la correzione o la cancellazione dei dati personali trasferiti, il Privacy Shield consente agli utenti di verificare se una società stabilita negli USA sia certificata consultando l’elenco disponibile online “Privacy Shield List”.

IL TRASFERIMENTO DATI MAI CESSATO

Facebook non ha mai interrotto le proprie attività di trasferimento dati dall’Europa ai suoi server statunitensi, inquadrando le condotte nelle nuove regole europee Standard Contractual Clauses che prevedono la possibilità per i Garanti della riservatezza di bloccarle. Schrems, che nel frattempo era divenuto legale, è così immancabilmente tornato all’attacco di Facebook rivolgendosi nuovamente all’autorità irlandese, che questa volta, sulla base della raccomandazione precedente, aveva preferito trasferire il fascicolo alla Corte di Giustizia attenendone la pronuncia.

NEGLI USA NON È TUTELATO IL DIRITTO ALLA PRIVACY

Ora Schrems sostiene che non possa esserci trasferimento di dati tra Unione europea e Stati Uniti dal momento che i due ordinamenti prevedono tutele della privacy estremamente difformi. Estremizzando, mentre nel Vecchio continente il diritto alla riservatezza del singolo è strettamente regolamentato (si pensi al Gdpr), negli USA dall’11 settembre in poi ha dovuto soccombere di fronte alla preminente necessità governativa di tutelare la comunità (i vari Patriot Act e Foreign Intelligence Surveillance Act che si sono succeduti). In realtà, anche in diversi ordinamenti comunitari, tra cui quello francese, dopo vari attentati, il diritto alla privacy ha subito attenuazioni importanti, forse persino incostituzionali.

IL PARERE DELL’AVVOCATO GENERALE

Torniamo all’oggi. L’Avvocato generale della Corte di Giustizia si è espresso in modo favorevole a Facebook. Nel parere (non vincolante) si sostiene infatti che le “clausole contrattuali tipo” per il trasferimento dati verso Paesi terzi debbano essere considerate valide. Per logica, quindi, non sarebbe messo a rischio il diritto alla riservatezza dell’utente comunitario o, quanto meno, si reputa il cittadino europeo sufficientemente informato nel momento in cui clicca sull’apposito quadratino per l’iscrizione o per l’accettazione di tali clausole. Si tratta, come è detto, di un parere non vincolante, ma è pur vero che in otto casi su dieci la sentenza della Corte non si discosta dalle motivazioni dell’Avvocato generale.