Uno “scudo” a prova di privacy

Le norme cercano (inutilmente) di tenere il passo con la tecnologia che corre ormai alla velocità della luce, e la Commissione europea cerca di innalzare le tutele a favore della privacy dei suoi cittadini varando uno scudo (il Privacy Shield appunto) per regolare il trattamento dei dati tra Unione europea e Stati Uniti,
[auth href=”https://www.lefonti.legal/registrazione/” text=”Per leggere l’intero articolo devi essere un utente registrato.
Clicca qui per registrarti gratis adesso o esegui il login per continuare.”] fino a oggi regolati dal Safe Harbor del 2000. Un accordo che la Corte di Giustizia europea, nell’ottobre 2015, aveva definito un sistema di protezione poco garantista, in quanto non impediva alle pubbliche autorità degli Stati Uniti di interferire con i diritti fondamentali delle persone. «I nostri popoli possono essere sicuri che i loro dati personali sono pienamente protetti», è stato il commento Andrus Ansip, vice presidente per il Mercato unico digitale dell’Unione europea. Che ha aggiunto: «Le nostre imprese, soprattutto le più piccole, hanno ora la certezza legale di cui hanno bisogno per sviluppare le loro attività oltre Atlantico». Věra Jourová, Commissaria Ue alla Giustizia, ha voluto invece sottolineare che, «Per la prima volta gli Stati Uniti hanno dato all’Unione europea la rassicurazione scritta che l’accesso delle autorità pubbliche ai dati personali nell’applicazione della legge o per ragioni di sicurezza nazionale saranno soggetti a chiare limitazioni, salvaguardie e meccanismi di controllo, escludendo la sorveglianza indiscriminata di grandi quantità di dati di cittadini europei». Quasi tutti i Paesi dell’Ue hanno quindi votato a favore del nuovo accordo, a eccezione di Austria, Slovenia, Bulgaria e Croazia, che hanno ritenuto che il patto non fornisse sufficiente protezione alla privacy dei loro cittadini. 

Eppure il nuovo “scudo” è giudicato un buon accordo, certamente migliore del precedente, in tema di privacy. Molti osservatori inoltre sottolineano come il Privacy Shield sia la risposta dell’Europa alle intercettazioni americane diffuse da Edward Snowden, il tecnico informatico dell’Nsa (National security agency) che nel 2013 ha dato il via allo scandalo Datagate rivelando i dettagli di un programma di sorveglianza di massa top secret messo a punto dai governi degli Stati Uniti e della Gran Bretagna. Anche se i tempi di implementazione del nuovo accordo potrebbero essere molto lunghi, lo scudo mette finalmente nero su bianco l’impegno degli Stati Uniti a non attuare più un controllo indiscriminato sui cittadini europei accumulando una quantità di dati, soprattutto quando questa pratica non è conforme ai principi di necessità e proporzionalità. Tutto ciò non era garantito dal Safe Harbour dove, in sintesi, non prevaleva il diritto alla privacy sul diritto di controllo da parte dell’autorità pubblica, poiché la legge americana consente alle autorità nazionali di accedere ai dati piuttosto liberamente.

Il rispetto del patto che l’Unione europea ha stretto con gli Stati Uniti dipenderà da un costante monitoraggio del funzionamento del nuovo regime grazie a una revisione annuale congiunta, condotta dalla Commissione Europea e dal Department of Commerce americano. È questa un’importante innovazione in quanto il rispetto dell’accordo prima dello ‘scudo” era basato solo sulla fiducia, con il Dipartimento del commercio che faceva iscrivere le aziende americane nel protocollo Safe Harbour che dichiaravano di adottarlo, una specie di autocertificazione dopo la quale non era previsto alcun controllo. «Il Privacy Shield stabilisce metodi di controllo molto pressanti sulle aziende Usa attuati da istituzioni svincolate dagli organi di intelligence americani», dice un esperto che vuole mantenere l’anonimato, «A prima vista sembrerebbe solo una risposta diplomatica dell’Europa al Datagate, ma nella realtà è un passo avanti molto positivo sulla strada della diritto alla riservatezza dei cittadini europei». Ma chi in concreto garantirà questa nuova procedura? Una figura un po’ mitologica in Italia, ma molto reale nei Paesi del nord Europa, ovvero l’Ombudsman, o difensore civico. Gli Stati Uniti istituiranno infatti un Ombudsman all’interno del Dipartimento di Stato per rispondere alle lamentele dei cittadini europei che ritengono negato il loro diritto alla privacy. Nel caso di violazioni ripetute, le compagnie o aziende potranno essere sanzionate ed escluse dall’accordo e, di conseguenza, il trasferimento dei dati tra i due continenti per loro potrebbe diventare illegale.

Per ricapitolare, sono quattro i grandi principi enunciati nel Privacy Shield: obblighi rigorosi per le imprese che operano sui dati; garanzie chiare e obblighi di trasparenza applicabili all’accesso da parte del governo degli Stati Uniti; tutela effettiva dei diritti individuali; e infine analisi annuale comune. Riguardo al primo punto il Dipartimento del Commercio degli Stati Uniti sottoporrà le imprese aderenti allo “scudo” a verifiche e aggiornamenti periodici per accertare che rispettino nella pratica le regole che hanno volontariamente accettato. In caso contrario, l’impresa si espone a sanzioni e al depennamento dall’elenco degli aderenti. L’accordo ovviamente garantisce lo stesso livello di protezione anche quando l’impresa aderente allo “scudo” trasferisce i dati a terzi.

Quanto alle garanzie chiare e agli obblighi di trasparenza applicabili all’accesso da parte del governo degli Stati Uniti, questi ultimi hanno assicurato ufficialmente che l’accesso delle autorità pubbliche ai dati personali per scopi di applicazione della legge e di sicurezza nazionale è soggetto a limitazioni, garanzie e a meccanismi di vigilanza precisi. Gli Stati Uniti hanno quindi escluso attività indiscriminate di sorveglianza di massa sui dati personali trasferiti negli Stati Uniti nell’ambito dello “scudo”. Secondo le precisazioni fornite dall’Ufficio del Direttore dell’intelligence nazionale, la raccolta di dati in blocco sarà eventualmente ammissibile solo in presenza di determinati presupposti, e comunque si tratterà obbligatoriamente di una raccolta quanto più mirata e concentrata possibile. L’Ufficio ha poi illustrato nei particolari le garanzie vigenti riguardo all’uso dei dati in tali circostanze eccezionali, mentre il Segretario di Stato degli Usa ha istituito all’interno del Dipartimento di Stato una via di ricorso aperta agli europei per gli aspetti legati all’intelligence nazionale, chiamato meccanismo di mediazione.

Ed ecco il terzo principio enunciato, ovvero quello della tutela dei diritti individuali. Chiunque ritenga che, nell’ambito dello “scudo”, abbia subìto un abuso sui dati che lo riguardano ha a disposizione vari meccanismi di composizione delle controversie di agevole accesso e dal costo contenuto. In prima battuta sarà l’impresa stessa a risolvere il caso di reclamo oppure saranno offerte gratuitamente soluzioni basate su un organo alternativo di composizione delle controversie. Le persone si potranno anche rivolgere alle rispettive autorità nazionali di protezione dei dati, che collaboreranno con la Commissione federale del Commercio per assicurare che i casi di reclamo sottoposti da cittadini dell’Ue vengano esaminati e risolti. Esperiti tutti gli altri mezzi a disposizione, come extrema ratio il caso irrisolto potrà essere sottoposto ad arbitrato. Per i casi che implicano la sicurezza nazionale, i cittadini dell’Ue dispongono di una possibilità di ricorso nella figura del mediatore, che, come detto, è indipendente dai servizi d’intelligence degli Stati Uniti.

Infine, l’analisi annuale comune consentirà di monitorare il funzionamento dello “scudo”, compresi gli impegni e le garanzie relative all’accesso ai dati a fini di contrasto della criminalità e finalità di sicurezza nazionale. La Commissione europea e il Dipartimento del Commercio degli Stati Uniti effettueranno l’analisi, alla quale assoceranno esperti dell’intelligence nazionale statunitense e le autorità europee di protezione dei dati. La Commissione attingerà a tutte le altre fonti di informazioni disponibili e presenterà una relazione pubblica al Consiglio e al Parlamento europeo.