La decisione della Commissione Europea sul Safe Harbor non è più valida. Niente giri di parole, è questo il nocciolo della storica sentenza odierna della Corte di Giustizia Europea sul caso che ha visto Max Schrems opporsi all’Autorità per la protezione dei dati Irlandese (Data Protection Commissioner) riguardo ai trasferimenti di dati effettuati da Facebook verso gli Stati Uniti.
Decisione attesa e per nulla sorprendente. Ma “niente panico” – recitano alcuni titoli di giornale – ci sono molti altri strumenti che legittimano il flusso di informazioni al di là dell’Atlantico. E sono d’accordo, è ovviamente vero.
Ma è anche vero che alcuni dei principali e più imponenti trasferimenti di dati tra le due sponde dell’Oceano Atlantico vengono oggi compiuti sulla sola base del Safe Harbor.
Di cosa si trattava esattamente? Correva l’anno 2000. A capo del Gruppo dei Garanti per la protezione dei dati personali dell’Unione Europea sedeva Stefano Rodotà, allora Presidente dell’Autorità italiana, il noto Garante della Privacy. Rodotà, assieme all’allora Segretario generale del Garante, Giovanni Buttarelli, oggi Presidente dell’importante EDPS, European Data Protection Supervisor, tessero un lungo negoziato con il DoC, Department of Commerce, ed in particolare con l’allora Head of Privacy del DoC, Nuala O’Connor Kelly, affinchè i flussi di dati personali tra Usa e Ue potessero circolare liberamente e facilitare gli scambi commerciali tra i due blocchi commerciali bypassando i meccanismi previsti dalla Direttiva 95/46/Ce per il trasferimento all’estero dei dati personali, incluso il consenso di ciascun interessato.
Non erano ancora i tempi della rivoluzione di Internet, ma queste persone intuirono con largo anticipo la necessità di dotare l’Europa di strumenti agili che governassero i flussi di dati personali, garantendo al tempo stesso, fluidità dei dati e protezione dei diritti degli individui. Basti pensare che più di 4.500 società – attive in ogni campo e non solo nel digitale – operano oggi facendo affidamento su tale schema.
Qualcosa però negli anni non ha funzionato. Nelle decine di pagine della sentenza oggi pubblicata vengono puntualmente toccati i diversi passaggi critici. Consenso, clausole standard e Binding Corporate Rules restano senza alcun dubbio strumenti fondamentali per il trasferimento di dati verso gli Stati Uniti, ma pare allo stesso tempo assai improbabile che i grandi player che fino ad oggi hanno fatto esclusivo affidamento su un regime di “libera circolazione dei dati” abbiano nel frattempo implementato misure alternative per il trasferimento.
Se quindi il Safe Harbor non è (più) la sola soluzione, resta comunque la più importante, o meglio quella preferita dalla multinazionali in regime di interscambio Usa-Eu. Ma la rilevanza della sentenza odierna è anche più ampia, perché impatta in qualche modo su vari fronti anche politici, oltre che legali, dal mantenimento dei rapporti diplomatici – già più volte messi alla prova – tra le Istituzioni Europee e la Federal Trade Commission, fino al destino di alcune delle più discusse norme del Regolamento Europeo sulla protezione dei dati, in discussione da mesi a Bruxelles, in materia di trasferimento dei dati all’estero.
D’altra parte, leggendo dalla sentenza odierna una frase come «le legislazioni che consentono alle autorità pubbliche di accedere su basi massive al contenuto delle comunicazioni elettroniche devono essere interpretate come limitanti l’essenza del diritto fondamentale al rispetto della vita privata» appare chiaro come la questione rivesta anche un carattere politico per principi più che non una mera censura legata al singolo caso sottoposto alla giurisdizione della Corte Europea.
Nonostante questo, considerato l’elevato rischio di fraintendimenti e di ingiustificati allarmismi, occorre evidenziare – come opportunamente fatto, tra l’altro, anche dall’Information Commissioner’s Office sul proprio sito web – che la sentenza non sottintende o dà per presupposto alcun incremento dei livelli di rischio per i dati personali dei cittadini europei, ma evidenzia solamente l’importanza cruciale del rispetto degli standard di protezione dei dati imposti dall’Unione Europea da parte di tutti i soggetti a vario titolo coinvolti in operazioni di trattamento dei dati, ivi ovviamente incluse le multinazionali statunitensi.
Una cosa è certa, la battaglia esce dalle aule dei tribunali e nei prossimi mesi sarà tutta incentrata sul piano politico e istituzionale.
