UE e USA si accordano: nasce il Data Privacy Framework

Con il debutto di nuovi servizi del calibro di Threads (il nuovo social network di Meta, pronto a sfidare Twitter) e di Google Bard, il vuoto normativo inerente il trasferimento dei dati personali tra Unione Europea e Stati Uniti è diventato un problema ancora più pressante. L’attuale GDPR – il regolamento dell’UE che stabilisce le regole su come possono essere raccolti e gestiti i dati personali – ha creato non pochi grattacapi alle grandi compagnie statunitensi, che nei casi citati (Bard e Threads) hanno preferito mettere un freno all’ingresso in Europa. Ma ora le cose sembra arrivate ad un punto di svolta, con l’approvazione da parte dalla Commissione Europea di un nuovo accordo, il Data Privacy Framework, che consentirà il libero trasferimento dei dati in possesso delle aziende tra UE e USA.

Arriva la svolta per la gestione dei dati personali tra Unione Europea con l’EU-US Data Privacy Framework

A partire da lunedì 11 luglio, la Commissione Europea ha adottato la decisione di adeguatezza sul Quadro UE-USA per la protezione dei dati personali con il nuovo EU-US Data Privacy Framework. Si tratta di un cambiamento importantissimo, in quanto sancisce che gli Stati Uniti sono in grado di garantire un livello di protezione adeguato, il quale può essere comparato a quello dell’Unione Europea. La svolta arriva dopo un vuoto normativo di circa tre anni, che ha causato una serie di problemi alla grande aziende (come quelli a cui abbiamo accennato in apertura).

Quindi i dati possono essere trasferiti negli USA senza autorizzazioni aggiuntive da parte dell’UE, ora che gli Stati Uniti hanno ricevuto il riconoscimento formare (ovviamente da parte di società statunitensi che partecipano al Framework). Ricordiamo che in precedenza il trasferimento dei dati personali era gestito dallo Scudo UE-USA per la privacy; tuttavia nel 2020 è arrivato lo stop al Privacy Shield da parte della Corte di Giustizia dell’Unione Europea: tutto a causa delle agenzie di intelligence USA e ai poteri eccessivi per quanto riguarda la capacità di mettere le mani nei dati personali dei cittadini europei.

Lo scorso ottobre, il presidente USA Joe Biden ha fatto il primo passo avanti firmando un ordine esecutivo che ha ridotto le capacità di accesso dell’intelligence ai dati europei. La settimana scorda il dipartimento di Giustizia statunitense ha dichiarato di aver raggiunto i requisiti indicati nell’ordine esecutivo, passaggio che ha dato po il via libera alla decisione di adeguatezza dell’UE.

Con il nuovo accordo Data Privacy Framework tra l’Unione Europea e gli Stati Uniti, ora il trasferimento dei dati è di nuovo “libero”, con un doppio vantaggio. Da un lato i nuovi requisiti hanno messo un freno alla gestione dei dati personali degli utenti europei mentre dall’altro, ora le grandi aziende statunitensi potranno lanciare i loro servizi in Europa senza troppi grattacapi (come nel caso di Threads e Google Bard, ad esempio). In realtà, in precedenza Meta aveva sollevato dei dubbi anche per il proseguimento dell’offerta di servizi come Facebook e Instagram, proprio a casa del vuoto normativo.

D’altro canto, i cittadini europei possono proteggersi in modo molto più semplice, nel caso i cui una compagnia USA violi l’accordo: è prevista infatti l’istituzione di un collegio arbitrale e di “meccanismi di risoluzione delle controversie indipendenti e gratuiti“. Vale lo stesso anche nel caso in cui i dati vengano raccolti in modo improprio dai vari servizi di intelligence USA (già una volta al centro di polemiche), con un meccanismo di ricorso imparziale.

Comunque la decisione della Commissione Europea non è stata accolta in modo favorevole da tutti: l’attivista Max Schrems (che già in passato ha denunciato la questione e contribuito al blocco dello Scudo UE-USA) ha già dichiarato che intende ricorrere alla Corte di Giustizia dell’Unione Europea per far annullare la decisione. Inoltre lo stesso Parlamento Europeo ha manifestato scetticismo intorno al nuovo accordo (il quale potrebbe consentire un trasferimento di dati senza protezioni sufficienti per i cittadini europei).