800 561720
Con la pronuncia del 3 settembre nel caso Latombe, il Tribunale dell’Unione europea ha confermato la legittimità del quadro normativo che regola i trasferimenti di dati personali tra UE e USA, rigettando il ricorso del deputato francese. Deciso il commento di Max Schrems: “Stiamo valutando le nostre opzioni per presentare ricorso”. Cosa possiamo aspettarci ora?
Il DPF: funzionamento e garanzie alla base
Prima di affrontare la pronuncia del Tribunale torna utile ricordare, in breve, le caratteristiche essenziali del Data Privacy Framework (DPF), ovvero il meccanismo giuridico, adottato dalla Commissione europea il 10 luglio 2023, volto a disciplinare i trasferimenti di dati personali dall’Unione europea verso gli Stati Uniti, assicurare un livello di protezione dei dati sostanzialmente equivalente a quello garantito nell’UE, fornendo al contempo certezza giuridica agli operatori economici transatlantici e rafforzando i diritti degli interessati in materia di rimedi effettivi e tutele giurisdizionali.
Il DPF sostituisce i precedenti sistemi di regolamentazione - ossia il “Safe Harbor” (invalido dal 2015 con la sentenza Schrems I, C-362/14) e il “Privacy Shield” (annullato nel 2020 con la sentenza Schrems II, C-311/18) - introducendo rinnovate garanzie per la tutela degli interessati. Tali garanzie sono state definite grazie all’Executive Order 14086 di ottobre 2022, con cui il Presidente americano Joe Biden ha imposto dei vincoli giuridici ai programmi di sorveglianza statunitensi e istituito meccanismi di controllo indipendenti, tra cui il Tribunale per il riesame della protezione dei dati (Data Protection Review Court, DPRC).
Dal 17 luglio 2023 le imprese statunitensi possono aderire volontariamente al DPF autocertificando la conformità ai principi stabiliti, sotto la supervisione della Federal Trade Commission, mediante l’apposita piattaforma web.
Il ricorso di Latombe
In data 6 settembre 2023 Philippe Latombe, deputato centrista francese, chiedeva l’annullamento della decisione di adeguatezza degli Stati Uniti contestando, in particolare:
- l’insufficienza di garanzie del rispetto della vita privata e familiare in considerazione della raccolta massiva e «in blocco» di dati personali da parte delle agenzie di intelligence statunitensi;
- la mancanza di garanzia del diritto a un ricorso effettivo e a un giudice indipendente (in considerazione del fatto che la DPRC viene istituita da un atto del potere esecutivo statunitense e non dalla legge);
- il fatto che il diritto statunitense non preveda alcuna garanzia generale contro i processi decisionali automatizzati, né garanzie relative alla sicurezza dei dati.
La pronuncia della Corte
Con sentenza nella causa T-553/23, del 3 settembre 2025, il Tribunale dell’Unione europea ha confermato la legittimità del Data Privacy Framework, rigettando il ricorso di Latombe. Secondo i giudici, infatti, “alla data di adozione della decisione impugnata, gli Stati Uniti garantivano un livello adeguato di protezione dei dati personali trasferiti dall’Unione a organizzazioni stabilite in tale Paese”. A supporto di tale interpretazione, la decisione di adeguatezza adottata dalla Commissione, che non richiederebbe alcuna ulteriore condizione o autorizzazione a garanzia della legittimità dei trasferimenti di dati personali verso gli Stati Uniti.
I punti principali della decisione
- In merito alla raccolta massiva di dati da parte delle Autorità statunitensi, il Tribunale ha precisato che le attività di intelligence sono sottoposte alla verifica della Data Protection Review Court, circostanza che le rende compatibili con gli standard europei;
- In merito all’indipendenza della DPRC, il Tribunale ha rilevato che la nomina dei giudici avviene secondo procedure che assicurano tutele specifiche, escludendo indebite pressioni da parte delle autorità politiche o dei servizi di intelligence. Peraltro, i giudici della DPRC sono revocabili esclusivamente dal Procuratore generale e solo per giusta causa; al contempo, né quest’ultimo né le agenzie di intelligence possono interferire o esercitare indebite pressioni sull’esercizio delle loro funzioni.
Il Tribunale ha quindi confermato che le salvaguardie introdotte dall’ordinamento statunitense assicurano un livello di protezione dei dati personali “essenzialmente equivalente” a quello garantito nell’Unione europea.
Il commento di NOYB
In seguito alla pubblicazione della sentenza, Max Schrems, avvocato austrico a guida dell’Associazione NOYB, ha dichiarato che “È chiaro che il tribunale di primo grado si discosta in modo massiccio dalla giurisprudenza della CGUE. Siamo molto sorpresi di questo risultato. Può darsi che il Tribunale non abbia avuto prove sufficienti davanti a sé”.
Secondo NOYB, le tutele previste dal DPF rappresentano quasi un copia-incolla degli accordi precedenti giudicati illegittimi dalla CGUE nelle sentenze Schrems I e Schrems II. Per questo, Schrems si dichiara convinto che un’altra contestazione legale, che argomenti più compiutamente i problemi derivanti dal DPF, possa produrre risultati finali ben diversi. Inoltre, lo stesso Latombe potrebbe decidere di ricorrere avverso la Sentenza secondo il rimedio giudiziale dell’impugnazione dinanzi alla CGUE, la quale sulla scorta delle precedenti decisioni potrebbe riformare o annullare la decisione del Tribunale.
Prospettive future
In conclusione, almeno per ora il Data Privacy Framework rimane valido, fornendo una base legale sicura per i trasferimenti di dati fra Unione Europea e Stati Uniti, pur restando soggetto a monitoraggio della Commissione europea e a possibili futuri riesami.
Per i DPO ciò significa che la documentazione adottata dai titolari del trattamento, per legittimare i trasferimenti effettuati verso gli Stati Uniti, resta compliant, senza necessità di revisioni. La questione merita comunque di essere seguita con attenzione, in considerazione di quanto dichiarato da Max Schrems: “Sebbene la Commissione abbia guadagnato un altro anno, manca ancora la certezza del diritto per gli utenti e le imprese".
Se desideri restare informato sul tema ti invitiamo ad iscriverti alla nostra newsletter: clicca qui.
