Verso Schrems III? Analisi del nuovo EU-US Data Privacy Framework

Abstract: The Insight aims to analyse whether the Executive Order 14086 of 7 October 2022, signed by the President of the United States following the achievement of the so-called EU-US Data Privacy Framework, has addressed the requirements emerging from the Court of Justice’s ruling in the case Schrems II (case C-311/18). It further aims to assess whether, as claimed by the European Commission, the US effectively ensures a level of data protection “essentially equivalent” to that guaranteed in the EU by Regulation 2016/679 (GDPR).

Keywords: data protection – Data Privacy Framework – Schrems II – art. 52 CDFUE – art. 47 CDFUE – GDPR.

I.   Introduzione

Il 25 marzo 2022, dopo quasi due anni di contrattazione, il Presidente degli Stati Uniti e la Presidente della Commissione europea hanno annunciato il raggiungimento del c.d. EU-US Data Privacy Framework, un accordo volto ad apporre delle modifiche sostanziali alla legislazione statunitense al fine di renderla compatibile con i requisiti stabiliti dalla Corte di Giustizia nella sentenza del 2020 Schrems II[1] e, così facendo, favorire i flussi di dati tra l’Unione e gli Stati Uniti.

A seguito dell’accordo, il presidente Biden ha firmato il nuovo Executive order 14086 (Enhancing Safeguards for United States Signals Intelligence Activities)[2] il quale mira a rafforzare la tutela della privacy e delle libertà civili applicabili alle attività di intelligence degli Stati Uniti. La Commissione europea, sostenendo che le innovazioni della legislazione statunitense costituiscono una protezione “sostanzialmente equivalente” a quella accordata dall’UE, il 13 dicembre 2022 ha presentato la Draft Adequacy Decision for the EU-US Data Privacy Framework[3] con cui ha dato avvio alla procedura[4] di adozione della definitiva decisione di adeguatezza.[5]

Il contributo intende analizzare come l’Executive order 14086 è intervenuto sulle violazioni lamentate dalla Corte di giustizia nella sentenza Schrems II e verificare se, come sostiene la Commissione europea, gli Stati Uniti garantiscono effettivamente un livello di tutela di protezione dei dati “sostanzialmente equivalente”[6] a quello garantito nell’UE dal Regolamento 2016/679 (GDPR) letto alla luce della Carta dei diritti fondamentali dell’Unione europea. È opportuno sottolineare che l’analisi viene svolta su documenti preliminari che, tuttavia, costituiscono la base del futuro accordo e della relativa normativa in materia.

La struttura del Draft ricalca essenzialmente quella delle due precedenti decisioni di adeguatezza. Come nel caso del Safe Harbour[7] e del Privacy Shield,[8] anche la nuova decisione di adeguatezza presenta un sistema di certificazione: i titolari e responsabili del trattamento potranno autocertificare la loro adesione a una serie di principi[9] al fine di poter ricevere e trattare i dati provenienti dall’UE.[10] Tali principi presentano una struttura molto analoga a quelli del Privacy Shield, tuttavia, le modifiche intervenute mirano ad avvicinarli a quelli enunciati dal GDPR.

Il punto del Draft che merita maggiore attenzione è quello dedicato all’accesso e utilizzo dei dati personali da parte delle autorità pubbliche statunitensi per scopi di sicurezza nazionale.[11] Questo profilo, infatti, ha costituito la questione centrale sulla quale poggia l’intera vicenda Schrems.[12]

Difatti, nella sentenza del 2020 la Corte di Giustizia ha invalidato la decisione di adeguatezza della Commissione 2016/1250 (c.d. Privacy Shield)[13] per l’incompatibilità con l’art. 45 (1) GDPR,[14] letto alla luce degli art. 7, 8 e 47 della Carta di Nizza.[15]

La decisione della Corte si articola in due profili:

- il mancato rispetto del principio di proporzionalità ex art. 52 della Carta di Nizza in quanto i programmi di intelligence statunitensi permettevano una sorveglianza governativa ingiustificatamente ampia. La Corte di giustizia ha quindi accertato che l’ingerenza nei diritti fondamentali di cui agli art. 7 e 8 della Carta non fosse necessaria e proporzionata rispetto alle esigenze di sicurezza nazionale;

- la violazione dell’art. 47 della Carta poiché, in relazione a tale sorveglianza statunitense, gli interessati europei non disponevano del diritto a un ricorso effettivo dinnanzi a un giudice indipendente e imparziale.

È bene esaminare per prime le questioni attinenti al principio di proporzionalità per passare, successivamente, a quelle che concernono i diritti al ricorso effettivo.

II.  Art. 52 della Carta dei diritti fondamentali dell’Unione europea

Con riferimento al principio di proporzionalità, l’Executive order 14086 ribadisce il principio, già presente nel Privacy Shield, del primato delle esigenze di sicurezza nazionale, interesse pubblico o amministrazione della giustizia, in forza del quale le società statunitensi che ricevono dati dall’Unione europea sono tenute a disapplicare l’accordo allorché questo interferisca con tali esigenze.[16] Tuttavia, a differenza del precedente accordo, l’Executive order prevede una serie di obiettivi legittimi che giustificano le attività di intelligence e un elenco di casi in cui invece suddette attività sono proibite.[17] Vi sono, dunque, delle migliorie rispetto al Privacy Shield.

Ciononostante, la Corte di giustizia ha più volte indicato che, in ossequio all’art. 52 della Carta, eventuali limitazioni all’esercizio dei diritti e delle libertà riconosciuti dalla Carta dei diritti fondamentali dell’Unione europea devono essere previste dalla legge e devono rispettare il contenuto essenziale di detti diritti e libertà; inoltre, tali limitazioni possono essere apportate solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dell’UE o all’esigenza di proteggere i diritti e le libertà altrui.[18]

Tra i criteri enunciati dall’art. 52 della Carta, il nuovo Executive order presenta maggiori criticità con riferimento alla previsione per legge della limitazione al diritto fondamentale e il rispetto del contenuto essenziale dei diritti e delle libertà enunciate dalla Carta.

Quanto al primo criterio, dalla giurisprudenza della Corte[19] emerge come la base giuridica dell’ingerenza nel diritto fondamentale deve essere chiara, precisa e prevedibile. Nel testo dell’Executive Order, gli obiettivi legittimi che giustificano le attività di intelligence hanno una formulazione generica che ne permette un’interpretazione altrettanto ampia,[20] dunque, è lecito dubitare della chiarezza e precisione della limitazione; in aggiunta non può dirsi soddisfatto neppure il requisito della prevedibilità dell’applicazione della misura poiché nell’Executive order 14086 è indicato come tali obiettivi possano essere modificati e integrati dal Presidente in caso di minaccia alla sicurezza nazionale.[21]

Un altro nodo problematico è dato dal fatto che nell’Executive Order è chiaramente indicato che lo stesso non sarebbe intervenuto sulla normativa vigente, o meglio, sarebbe intervenuto unicamente sulla Presidential Policy Directive 28,[22] lasciando invariata sia la sez. 702 Foreign Intelligence Surveillance Act (FISA)[23] sia l’Executive Order 12333,[24] disposizioni già valutate negativamente dalla Corte di giustizia. In effetti, sia nella sentenza Schrems II che nella sentenza Schrems I, la Corte ha concluso che tale normativa non “corrisponde ai requisiti minimi connessi, nel diritto dell’Unione, al principio di proporzionalità”[25] poiché dette disposizioni, che consentono ingerenze nei diritti fondamentali, non definiscono la portata della limitazione all’esercizio del diritto fondamentale ex art. 7 e 8 della Carta e non prevedono norme chiare e precise che regolino la portata e l’applicazione della misura.

Con riferimento al rispetto del contenuto essenziale dei diritti, sebbene non vi sia una giurisprudenza cospicua per quanto riguarda le condizioni in cui l’essenza di un diritto viene intaccata,[26] si può sostenere che ciò si verificherebbe se la limitazione si spingesse a tal punto da svuotare il diritto dai suoi elementi fondamentali e impedirne, dunque, l’esercizio. Nella sentenza Schrems I, la Corte ha chiarito che “una normativa che consente alle autorità pubbliche di accedere in modo generalizzato al contenuto delle comunicazioni elettroniche compromette l'essenza del diritto fondamentale al rispetto della vita privata, come garantito dall'art. 7 della Carta”.[27]

Pertanto, seguendo il ragionamento della Corte, è la stessa raccolta in massa a non rispettare l’essenza dei diritti fondamentali in questione e, sebbene l’Executive Order prediliga la raccolta mirata, esso non esclude che la sorveglianza di massa possa comunque avvenire.

Ne consegue che, applicando i criteri di cui all’art. 52 della Carta, come interpretati dalla Corte di giustizia, alle modalità di accesso e utilizzo dei dati personali da parte delle autorità pubbliche statunitensi come riformate dall’Executive Order, si arriva alla conclusione che la sostanziale equivalenza rispetto ai requisiti del diritto europeo non viene raggiunta.

III. Art. 47 della Carta dei diritti fondamentali dell’Unione europea

Per quanto attiene all’art. 47 della Carta, il nuovo Executive Order istituisce un meccanismo di ricorso a due livelli: i cittadini UE potranno presentare reclamo al Civil Liberties Protection Officer, il quale emetterà una decisione che potrà essere appellata davanti alla Data Protection Review Court.[28]

Il Civil Liberties Protection Officer (CLPO) è incardinato nell’ufficio del Direttore della National Intelligence.[29] Il CLPO dovrà svolgere un’indagine preliminare indipendente sui reclami ricevuti, verificare se le garanzie dell’ordine esecutivo o altre leggi statunitensi in materia sono state violate e, nel caso, applicare le misure correttive appropriate,[30] tuttavia, non potrà comunicare al denunciante se esso è stato o meno oggetto di attività di intelligence.

La Data Protection Review Court (DPRC)[31] si compone di membri nominati dall’Attorney General, in consultazione con il Segretario e il Presidente del Dipartimento del commercio. I giudici in questione vengono scelti sulla base di specifiche qualifiche e possono essere licenziati unicamente per cause gravi. Al ricevimento della domanda di riesame, viene convocato un panel composto da tre giudici che dovranno valutare la decisione del CLPO. Nel giudizio, la DPRC è tenuta a nominare uno special advocate[32] – per il quale non vi è alcun requisito di indipendenza – che garantirà gli interessi del denunciante davanti alla Corte.

Rispetto al precedente meccanismo di mediazione vi sono miglioramenti significativi: a differenza del Privacy Shield, che non conteneva alcuna indicazione sulla vincolatività delle decisioni del mediatore,[33] nell’Executive Order – e anche nella bozza di decisione di adeguatezza – viene sottolineata la vincolatività delle decisioni sia del CLPO che della Corte.

È però dubbio che tale nuovo meccanismo sia idoneo a garantire una tutela giurisdizionale effettiva sostanzialmente equivalente a quella assicurata dalla Carta di Nizza. Difatti, il meccanismo di ricorso previsto dall’Executive Order presenta delle criticità sia dal punto di vista dell’effettività del ricorso sia dal punto di vista delle garanzie di indipendenza del giudice.

Per quanto riguarda la prima criticità, la decisione della DPRC avrà ad oggetto la valutazione dell’attività svolta del CLPO a seguito del reclamo presentato dal titolare dei dati. In altre parole, la DPRC andrà a valutare la correttezza formale della procedura effettuata dal CLPO senza però riconoscere al ricorrente il diritto alla riparazione.[34] In particolare, il meccanismo previsto dall’Executive Order non dispone a favore dei ricorrenti il diritto di ottenere l’accesso, la ratifica o la cancellazione dei propri dati personali trattati dai servizi di intelligence o alcuna possibilità di chiedere il risarcimento dei danni,[35] come invece previsto nel contesto europeo dall’art. 82 GDPR.

Essendo il diritto ad una riparazione equa e proporzionata un requisito strutturale dell’art. 47 della Carta di Nizza in quanto volto ad assicurare l’effettività dei diritti individuali, è lecito dubitare del rispetto da parte del sistema statunitense del requisito della sostanziale uguaglianza al sistema europeo.

Con riferimento alla seconda criticità, la Corte di giustizia nella sua precedente giurisprudenza ha più volte indicato che la mancanza di indipendenza e imparzialità del giudice si verifica quando “le condizioni oggettive nelle quali è stato creato l’organo di cui trattasi e le caratteristiche del medesimo nonché il modo in cui i suoi membri sono stati nominati siano idonei a generare dubbi legittimi, nei singoli, quanto all’impermeabilità di detto organo rispetto a elementi esterni, in particolare rispetto a influenze dirette o indirette dei poteri legislativo ed esecutivo”.[36] Il punto fondamentale che fa propendere per la non indipendenza della DPRC non è la nomina da parte dell’esecutivo – questione oramai risolta dalla Corte di giustizia, la quale nella recente sentenza Getin Noble Bank S.A.[37] ha indicato che il semplice fatto che un organo giudiziario comprenda un giudice nominato da un organo esecutivo non mette in discussione l’indipendenza e l’imparzialità di tale organo giudiziario[38] – ma la plausibile influenza da parte del potere esecutivo.[39] Sebbene nella bozza della decisione di adeguatezza venga sottolineata l’indipendenza della DPRC, quest’ultima è comunque incardinata nel potere esecutivo e non nel sistema giudiziario.[40] Alla luce di ciò, la DPRC non dispone dell’indipendenza di un organo giudiziario pienamente indipendente istituito ai sensi dell’art. 3 della Costituzione statunitense, bensì di un’indipendenza limitata che non soddisfa il test della sostanziale equivalenza. Utilizzando le parole del sig. Schrems, la soluzione proposta “non prevede un ricorso giudiziario, ma un organo di ricorso all'interno del ramo esecutivo che la CGUE ha ritenuto non solo sproporzionato ma anche una violazione dell'essenza dell'art. 47 della Carta, […] l'approccio sembra essere meglio descritto come un Ombudsperson Plus”.[41]

Un’altra argomentazione che supporta tale lettura è la dottrina del privilegio del segreto di Stato, confermata dalla Corte Suprema degli Stati Uniti nella recente sentenza FBI c Fazaga.[42] Con la sentenza in questione, i giudici statunitensi hanno ampliato il potere del governo degli Stati Uniti di invocare il segreto di stato nelle controversie riguardanti le attività di intelligence realizzate dalle proprie agenzie investigative. Qualora tale dottrina dovesse applicarsi alla Data Protection Review Court verrebbe resa in ultima analisi ancora più ardua la contestazione dei programmi di sorveglianza da parte dei soggetti europei interessati.

La sentenza in questione rende evidente la distanza tra la visione statunitense e la visione europea poiché, nonostante la disciplina del segreto di Stato rientri nell’ambito della sicurezza nazionale, che rimane di competenza degli Stati membri, l’Unione europea fornisce alcune indicazioni e requisiti in merito alla protezione di dati personali che possono essere interconnessi con le questioni di sicurezza nazionale. Ai sensi del GDPR,[43] qualsiasi trattamento di dati personali da parte delle autorità pubbliche per finalità di sicurezza nazionale deve essere soggetto a garanzie e limitazioni adeguate. Anche la Corte di giustizia si è espressa in questo senso,[44] indicando che il diritto di accesso ai dati detenuti dalle autorità pubbliche costituisce un diritto fondamentale e, come tale, qualsiasi ingerenza a tale diritto non può essere generale, bensì deve essere interpretata in modo restrittivo e soggetta ad un esame rigoroso[45] così da garantire la conformità al diritto europeo. In generale, dunque, pur riconoscendo l’importanza della sicurezza nazionale e della protezione del segreto di stato, l’UE si impegna a salvaguardare la protezione dei dati personali che, nel contesto europeo, assurge a diritto fondamentale.

IV. Conclusioni

Alla luce dell’analisi svolta, nonostante gli sforzi e i notevoli cambiamenti occorsi nella legislazione statunitense, ad opinione di chi scrive, non può dirsi rispettato il requisito della sostanziale equivalenza alla normativa europea in materia, letta alla luce degli art. 7, 8 e 47 della Carta di Nizza.

Gli Stati Uniti non dispongono ancora di una legge federale sulla protezione dei dati ed il modello di regolazione rimane improntato all’aspetto economico e di sicurezza nazionale[46]. Sebbene l’instabilità giuridica circa i trasferimenti di dati personali tra Unione europea e Stati Uniti abbia generato importanti costi aggiuntivi ed oneri sia alle imprese europee che alle imprese statunitensi, la decisione di adeguatezza non può essere concessa se non per motivi giuridici. Allo stato attuale, non sembra di poter concludere che il processo di convergenza in atto tra i due sistemi sia in grado di soddisfare il requisito della sostanziale equivalenza stabilito dalla Corte di giustizia.