Bruxelles – Gli Stati uniti non offrono le garanzie di essere un “approdo sicuro” per i nostri dati personali, come sostiene la Commissione europea, e i magistrati dell’Unione europea possono impedire alle società, come ad esempio Facebook, di trasferire in quel territorio informazioni su di noi.
E’ il contenuto di una rivoluzionaria sentenza emessa oggi dalla Corte di Giustizia dell’Unione europea a seguito di una denuncia del giovane austriaco Maximilian Schrems, iscritto a Facebook dal 2008. Il ragazzo sapeva che come accade per gli altri iscritti che risiedono nell’Unione, i dati da lui forniti a Facebook sono trasferiti, in tutto o in parte, a partire dalla filiale irlandese di Facebook, su server situati nel territorio degli Stati Uniti. Schrems non ha avuto problemi per anni, forse si sentiva tranquillo della protezione offerta dagli Usa alle sue informazioni personali, fino a quando nel 2013 non ha presentato una denuncia presso l’autorità irlandese di controllo ritenendo che, alla luce delle rivelazioni fatte da Edward Snowden in merito alle attività dei servizi di intelligence negli Stati Uniti (in particolare della National Security Agency, l’Nsa), il diritto e le prassi statunitensi non offrano una tutela adeguata contro la sorveglianza svolta dalle autorità pubbliche sui dati trasferiti verso tale paese.
Sulle prime le autorità irlandesi hanno respinto la denuncia, adducendo il fatto che una decisione della Commissione europea del 26 luglio 2000 definiva gli Usa un “approdo sicuro” per i nostri dati, garantendone un adeguato livello di protezione. La procedura però non si è fermata lì, e si è arrivati alla magistratura europea che, come prima cosa, ha stabilito che “l’esistenza di una decisione della Commissione che dichiara che un paese terzo garantisce un livello di protezione adeguato dei dati personali trasferiti non può sopprimere e neppure ridurre i poteri di cui dispongono le autorità nazionali di controllo in forza della Carta dei diritti fondamentali dell’Unione europea”. Dunque devono essere i Tribunali nazionali a decidere e in questo caso specifico i dubbi sono tanti. La Corte li espone uno per uno, sottolineando come la Commissione europea, a suo tempo, era stata un po’ tanto sbrigativa nel concedere agli Usa la qualifica di “approdo sicuro”. Intanto i magistrati europei spiegano che la regolamentazione sulla protezione dei dati lì “è esclusivamente applicabile alle imprese americane” e che, invece, “le autorità pubbliche degli Stati Uniti non vi sono assoggettate. Inoltre, le esigenze afferenti alla sicurezza nazionale, al pubblico interesse e all’osservanza delle leggi statunitensi prevalgono sul regime dell’approdo sicuro, cosicché le imprese americane sono tenute a disapplicare, senza limiti, le norme di tutela previste da tale regime laddove queste ultime entrino in conflitto con tali esigenze”. Dunque: “Il regime americano dell’approdo sicuro rende così possibili ingerenze da parte delle autorità pubbliche americane nei diritti fondamentali delle persone”.
Poi la Corte aggiunge che “una normativa che consenta alle autorità pubbliche di accedere in maniera generalizzata al contenuto di comunicazioni elettroniche deve essere considerata lesiva del contenuto essenziale del diritto fondamentale al rispetto della vita privata”. E continua sentenziando che “una normativa che non preveda alcuna facoltà per il singolo di esperire rimedi giuridici diretti ad accedere ai dati personali che lo riguardano o ad ottenerne la rettifica o la cancellazione viola il contenuto essenziale del diritto fondamentale ad una tutela giurisdizionale effettiva, facoltà, questa, che è connaturata all’esistenza di uno Stato di diritto”.
Ne ha ovviamente anche per la Commissione la Corte di Giustizia, e dichiara che la decisione del 26 luglio 2000 priva le autorità nazionali di controllo dei loro poteri […] e che “la Commissione non aveva la competenza di limitare in tal modo i poteri delle autorità nazionali di controllo”.
Dunque, inevitabilmente la Corte dichiara invalida la decisione della Commissione del 26 luglio 2000. “Tale sentenza – spiega una nota della Corte – comporta la conseguenza che l’autorità irlandese di controllo è tenuta a esaminare la denuncia del sig. Schrems con tutta la diligenza necessaria e che a essa spetta, al termine della sua indagine, decidere se, in forza della direttiva, occorre sospendere il trasferimento dei dati degli iscritti europei a Facebook verso gli Stati Uniti perché tale paese non offre un livello di protezione dei dati personali adeguato”.
