» Infrastrutture » Privacy Shield, le sfide del recepimento Privacy Shield, le sfide del recepimento
l'accordo USA-UE L’accordo politico sull’EU-US Privacy Shield pare ragionevole e corrispondente ai principi elencati sopra, nell’interesse delle persone, delle imprese e delle rispettive sovranità nazionali. Tuttavia, dovremo comunque valutare come verrà concretamente recepito e tradotto in norme vincolanti ed efficaci da entrambe le parti dell’Atlantico
Come noto, il 6 ottobre 2015 la Corte di Giustizia UE aveva dichiarato invalida la decisione della Commissione Europea del 2000 che riconosceva da tre lustri, appunto, nel programma Safe Harbor una solida base di legittimazione dell’export di dati personali UE-USA. Tra le ragioni addotte dalla Corte contro l’ormai defunto programma, vi è stata quella della sorveglianza massiva e indiscriminata operata dalle autorità americane, incompatibile con i principi di protezione dei dati personali europei. Oggi, chi si avvale di provider americani ha comunque la possibilità di farlo e di esportare legittimamente i dati personali europei su server USA (come di altri Paesi terzi), adottando le Model Clause Data Controller-Processor - anch’esse approvate dalla Commissione UE, 6 anni fa, e consistenti in testi contrattuali standard di solito allegati ai contratti di servizio o agli intercompany agreement - oppure, con qualche fatica burocratica in più, ottenendo l’approvazione di apposite norme vincolanti d’impresa (le BCRs, perfette per le circolazioni di dati all’interno di gruppi multinazionali).
La questione del post-Safe Harbor è ancora più scottante se pensiamo che le autorità USA si considerano legittimate ad imporre alle imprese americane, per esempio nel corso di indagini giudiziarie, perfino il rilascio di dati di clienti contenuti in loro data center seppure collocati in Europa. E il paradosso è che sono proprio dei grandi colossi americani ad essersi trasformati, via via, vuoi per interesse commerciale, vuoi per responsabilità sociale, in paladini della privacy dei cittadini e ad avere perfino avviato un braccio di ferro con le autorità USA per evitare accessi indiscriminati a dati dei propri clienti. E’ il caso di Microsoft, che ha impugnato in appello una decisione relativa ad un ordine di produzione di dati di un cliente, memorizzati su server irlandesi, sostenendo che il giudice USA dovrebbe attenersi alle rogatorie previste dai trattati internazionali e non certo esigere un accesso diretto a dati collocati su territorio straniero in virtù della mera “americanità” dell’impresa fornitrice. Condivisibile, a maggior ragione se pensiamo che i grandi cloud provider americani non intendono certo perdere il grande mercato della pubblica amministrazione in Europa. Vedremo come finirà anche questa partita collaterale (che ha già visto prendere posizione ufficiale il governo irlandese, a sostegno di Microsoft). Tutto quanto scritto sopra corrisponde ai fatti, in corso di continua e imminente evoluzione. Ma restano degli interrogativi di fondo.
Secondo: se per la Corte UE (e in generale per le autorità europee che si occupano di privacy e data protection) un problema fondamentale era rappresentato dai controlli indiscriminati e massivi operati dalle autorità americane per fini di pubblica sicurezza, antiterrorismo e anticrimine – e devo ammettere che condivido le preoccupazioni di una società digitale iper-sorvegliata – che dire delle stesse identiche pratiche di monitoraggio adottate dai Paesi europei? La sensazione è di ipocrisia eurocentrica, quando si leggono certi commenti allarmati. Un esempio a caso, il nostro: in Italia abbiamo l’art. 226 delle Disp. Att. Del Codice di procedura penale, con le intercettazioni preventive che consentono di setacciare a strascico le nostre comunicazioni, per scongiurare reati gravi; abbiamo l’art. 11 del DPCM 24 gennaio 2013 che consente alla Presidenza del Consiglio dei Ministri e ai servizi, per ragioni di cybersecurity – sacrosante per carità – di accedere a tutte le basi di dati detenute anche da fornitori di servizi di comunicazione elettronica; abbiamo ancora – malgrado sia contrario al diritto dell’Unione Europea con sentenza chiarissima della Corte di Giustizia UE in merito – l’obbligo vigente di conservazione di tutti i dati di traffico telematico e telefonico fino alla fine del 2016, per fini di accertamento e repressione dei reati. Dulcis in fundo, aspettiamo dal lontano 2004 due decreti – uno del Ministro della Giustizia, l’altro del Ministro dell’Interno – che dovrebbero stabilire le garanzie e le misure di sicurezza nel trattamento di dati per fini di giustizia e di polizia, il famigerato (perché “missing”) Allegato C al Codice Privacy. Con buona pace dei cittadini che finiscono in quelle banche dati. E gli altri Stati del Vecchio Continente non sono da meno. Insomma, da che pulpito facciamo dei controlli americani una questione di principi europei? Non è del tutto chiaro.
Pare, in definitiva, inutile bloccare scambi economici e di dati personali, sulla base di pretese superiorità formali e astratte. La partita USA-UE dovrebbe correttamente giocarsi tutta sulla reciprocità di: Trasparenza sui controlli (che implica chiarezza su regole, strumenti e algoritmi, controllo verificabile sui controllori e certezza del diritto che regola il potere di sorveglianza, per rule of law);
Effettive e facili possibilità dei cittadini (sia UE, sia USA) di difendersi dagli abusi e dalle violazioni, in accordo con le convenzioni e i trattati internazionali, con le costituzioni e le carte dei diritti fondamentali. L’accordo politico sull’EU-US Privacy Shield pare ragionevole e corrispondente ai principi elencati sopra, nell’interesse delle persone, delle imprese e delle rispettive sovranità nazionali. Tuttavia, dovremo comunque valutare come esso verrà concretamente recepito e tradotto in norme vincolanti ed efficaci da entrambe le parti dell’Atlantico, e poi guarderemo alla giurisprudenza che ne sarà interprete costruttiva o, come accaduto per il vecchio Safe Harbor, distruttiva e invalidante. 04 Febbraio 2016 TAG:
safe harbor, privacy Gli Essenziali