Corte di giustizia Ue invalida il Safe Harbor: gli Usa non tutelano i dati degli utenti

Non è rimasto un monito senza seguito ma, anzi, la Corte di Giustizia Ue ha confermato quanto sostenuto dalll’avvocato generale della Corte di Giustizia Ue, Yves Bot, e ha dichiarato non valido il Safe Harbor della Commissione datato 26 luglio del 2000. L’accordo Usa-Ue del “porto sicuro” stabiliva che il trasferimento di dati personali verso un paese terzo può, linea di principio, avere luogo solo “se il paese terzo garantisce un livello adeguato di protezione dei dati. La direttiva prevede inoltre che la Commissione possa constatare che un paese terzo garantisca un adeguato livello di protezione in ragione della sua legislazione nazionale o dei suoi impegni internazionali. Infine, la direttiva prevede che ogni Stato membro debba designare una o più autorità pubbliche responsabili del controllo dell’applicazione sul suo territorio delle disposizioni nazionali adottate in la base della direttiva“.

La Corte Ue oggi ha invalidato il Safe Harbour poichè c’è il rischio che questo principio riduca i poteri in capo alle authority di vigilanza dei singoli Stati diminuendo le tutele verso i cittadini europei.  Il che, secondo la Corte, non può e non deve verificarsi e anzi, gli Stati hanno il potere sovrano sui dati personali degli utenti e devono vigilare su di essi non limitandosi a rivolgersi al principio del porto sicuro.

Per comprendere meglio la natura, e la portata di quanto accaduto, bisogna fare un passo indietro quando Massimilian Schrems, già attivo sul tema dei diritti online, studente di legge austriaco, ha denunciato presso l’opportuna autorità irlandese per la protezione dei dati, il fatto che le sue informazioni contenute nel profilo Facebook fossero passate dall’essere ospitata su server locati in Irlanda, appunto, a server posizionati negli Stati Uniti. Schrems si è opposto a questa mossa specificando anche alla luce delle rivelazioni fatte nel 2013 da Edward Snowden sulle attività della Nsa, gli Usa “non offrono alcuna reale protezione contro il controllo ad opera dello Stato americano dei dati trasferiti verso tale paese”.  E l’Irlanda, invocando proprio il principio contenuto nel Safe harbor e considerando gli States un porto sicuro per i dati degli utenti, ha respinto la denuncia e Schrems è ricorso alla Corte di Giustizia Ue. Che oggi, gli ha dato ragione aprendo a una stagione di rivoluzioni per i colossi della rete che lavorano in Europa. E ora l’autorità irlandese di controllo dovrà “esaminare la denuncia” di Schrems “con tutta la diligenza necessaria e che a essa spetta, al termine della sua indagine, decidere se, in forza della direttiva, occorre sospendere il trasferimento dei dati degli iscritti europei a Facebook verso gli Stati Uniti perché tale paese non offre un livello di protezione dei dati personali adeguato”.

Il dettaglio

La Corte Ue, nella sua lunga e complessa argomentazione, rileva che le esigenze della sicurezza nazionale Usa “prevalgono sul regime dell’approdo sicuro” a cui sono sottoposti i dati privati dei cittadini europei trasferiti negli Usa “cosicché le imprese americane sono tenute a disapplicare, senza limiti, le norme di tutela previste“. Facebook raccoglie infatti su un server basato in Irlanda i dati degli utenti europei e da lì li trasferisce negli Usa. Di conseguenza “il regime americano dell’approdo sicuro rende così possibili ingerenze da parte delle autorità pubbliche americane nei diritti fondamentali delle persone“. Inoltre un sistema come quello Usa che “autorizza in maniera generalizzata la conservazione di tutti i dati personali di tutte le persone i cui dati sono trasferiti dall’Unione verso gli Stati Uniti senza che sia operata alcuna differenziazione, limitazione o eccezione in funzione dell’obiettivo perseguito e senza che siano fissati criteri oggettivi intesi a circoscrivere l’accesso delle autorità pubbliche ai dati e la loro successiva utilizzazione” non si può considerare “limitato allo stretto necessario” come prevede il diritto europeo sulla conservazione dei dati personali. Per Lussemburgo, quindi, “una normativa che consenta alle autorità pubbliche di accedere in maniera generalizzata al contenuto di comunicazioni elettroniche deve essere considerata lesiva del contenuto essenziale del diritto fondamentale al rispetto della vita privata“. La Commissione, poi, stabilendo con la sua decisione del 2000 che gli Usa garantivano un adeguato livello di tutela della privacy, ha privato le autorità nazionali di controllo dei loro poteri.

Le prime reazioni

Non si sono fatte attendere le reazioni degli esperti. Per il direttore generale dell’associazione dei consumatori europei (Beuc) Monique Goyens, La sentenza odierna della Corte di giustizia Ue “è una vittoria storica per la protezione del diritto alla privacy dei dati europei. C’è un messaggio chiarissimo nella sentenza di oggi: le leggi sulla protezione dei dati devono essere rispettate e applicate a prescindere se la società che maneggia i nostri dati sia europea o basata negli Usa”. Di conseguenza, “una corsia preferenziale per il trasferimento dei dati personali negli Usa dovrà pienamente rispettare le regole Ue sulla protezione dei dati“, ha sottolineato Goyens, aggiungendo che “se Facebook, Google e gli altri desiderano continuare a mandare i dati personali europei oltre Atlantico dovranno semplicemente garantire un adeguato livello di protezione in linea con le regole Ue”. 

Mentre urgenza è stata espressa da Markus Beyrer, direttore generale di BusinessEurope, l’associazione degli industriali europei: “l‘Ue e gli Usa devono urgentemente fornire un Safe Harbor rivisto”, altrimenti “un’interruzione del flusso transnazionale di dati potrebbe seriamente colpire il commercio transatlantico dell’Europa con gli Stati Uniti”. La sentenza “solleva una grande incertezza legale che deve essere risolta urgentemente”, ha sottolineato, in quanto “avrebbe effetti molto negativi sul funzionamento del mercato unico europeo in ogni settore dell’economia europea”. La soluzione quindi “non è abrogare il ‘Safe harbour’ ma migliorarlo” con più trasparenza e facendolo rispettare maggiormente.