La Commissione analizza se la decisione della Corte Suprema degli Stati Uniti riguardo all'indipendenza delle autorità federali influisce sui trasferimenti di dati con l'UE

Il governo europeo esamina le possibili conseguenze della sentenza Trump v. Slaughter, con cui la Corte Suprema degli Stati Uniti ha invalidato la protezione contro la revoca di un membro della Federal Trade Commission. Fino ad ora, la Commissione non ha identificato alcun impatto sul quadro che consente il trasferimento dei dati personali alle aziende americane partecipanti.

La Commissione Europea ha iniziato ad analizzare se la sentenza della Corte Suprema degli Stati Uniti, che estende il potere del presidente di revocare membri della Federal Trade Commission, possa avere conseguenze sul quadro utilizzato per il trasferimento dei dati personali dall'Unione Europea alle aziende americane partecipanti.

In breve
La sentenza in esame riguarda la protezione legale che limitava la possibilità per il presidente degli Stati Uniti di revocare un membro della Federal Trade Commission, l'autorità responsabile dell'applicazione degli impegni assunti dalle aziende partecipanti al quadro transatlantico per i dati.

La Commissione ha dichiarato che sta esaminando la decisione e il modo in cui sarà applicata, senza concludere che i trasferimenti di dati siano già influenzati o che la decisione di adeguatezza debba essere modificata.

Il quadro adottato a luglio 2023 consente il trasferimento dei dati dall'UE alle aziende americane partecipanti senza la necessità di introdurre garanzie aggiuntive per ogni trasferimento.

Il commissario europeo per la democrazia, giustizia, stato di diritto e protezione dei consumatori, Michael McGrath, ha discusso il quadro con il presidente della Federal Trade Commission e con un membro del Privacy and Civil Liberties Oversight Board durante una visita a Washington.

La Commissione monitora costantemente la decisione di adeguatezza e può intervenire se le modifiche giuridiche o istituzionali negli Stati Uniti riducono il livello di protezione su cui si è basata la valutazione europea.

Il portavoce della Commissione per la giustizia e la protezione dei consumatori ha confermato in un briefing stampa del 23 luglio che il governo europeo ha preso atto della sentenza della Corte Suprema degli Stati Uniti nel caso Trump v. Slaughter e che analizzerà attentamente il modo in cui essa viene applicata.

"Abbiamo preso atto della decisione della Corte Suprema degli Stati Uniti nel caso Trump v. Slaughter. Analizzeremo attentamente qualsiasi misura di attuazione e le sue eventuali implicazioni per la nostra agenda con gli Stati Uniti", ha dichiarato il portavoce.

La Commissione non ha affermato che la sentenza influisca già sui trasferimenti di dati personali e non ha annunciato una rivalutazione formale o una procedura per sospendere il quadro transatlantico. L'analisi è ancora in una fase iniziale e l'istituzione non ha presentato un calendario per il suo completamento.

La Corte Suprema degli Stati Uniti ha deciso che la norma che consentiva la revoca di un membro della Federal Trade Commission solo per motivi specifici è incompatibile con la separazione dei poteri prevista dalla Costituzione americana. La sentenza rafforza il controllo del presidente sulla composizione della direzione dell'autorità federale.

La Federal Trade Commission ha un ruolo diretto nel funzionamento della componente commerciale del quadro UE–USA per la protezione dei dati. L'autorità può verificare il rispetto degli impegni assunti dalle aziende americane iscritte nel sistema e può intervenire quando un'azienda dichiara di rispettare i requisiti del quadro, ma non li applica nella pratica.

La possibile rilevanza per l'UE deriva dalla necessità che i meccanismi di applicazione e controllo su cui si basa la decisione di adeguatezza continuino a funzionare efficacemente. La Commissione deve verificare sia l'esistenza delle norme americane, sia la capacità delle istituzioni responsabili di applicarle in modo indipendente ed efficace.

Tuttavia, il governo europeo non ha stabilito che la possibilità di revocare membri della Federal Trade Commission riduca automaticamente la protezione dei dati trasferiti dall'UE. Una tale conclusione richiederebbe l'esame delle conseguenze giuridiche e pratiche della sentenza, del modo in cui l'autorità esercita la propria attività e delle eventuali misure adottate dall'amministrazione americana.

A luglio 2023, la Commissione ha deciso che gli Stati Uniti offrono un livello adeguato di protezione per i dati trasferiti alle aziende americane che partecipano al quadro EU–US Data Privacy Framework. La decisione consente alle organizzazioni europee di trasferire dati a queste aziende senza dover istituire meccanismi aggiuntivi per ogni operazione, come le clausole contrattuali standard.

Il quadro non copre automaticamente tutte le aziende degli Stati Uniti. Le aziende devono iscriversi e impegnarsi a rispettare i requisiti riguardanti l'uso dei dati, la limitazione dello scopo del trattamento, la conservazione delle informazioni, la sicurezza e l'esercizio dei diritti delle persone interessate.

La Federal Trade Commission e il Department of Transportation applicano gli obblighi delle aziende partecipanti, a seconda del settore in cui operano. Le persone i cui dati vengono trasferiti beneficiano anche di meccanismi per presentare reclami e risolvere controversie.

Un componente separato riguarda l'accesso delle autorità americane ai dati per scopi di sicurezza nazionale. Gli Stati Uniti hanno introdotto requisiti secondo cui le attività di intelligence devono rispettare i principi di necessità e proporzionalità e hanno creato un meccanismo di ricorso per le persone dell'UE.

Il Privacy and Civil Liberties Oversight Board fa parte della struttura americana di supervisione delle attività legate alla sicurezza nazionale e alla protezione della vita privata. Non ha lo stesso ruolo della Federal Trade Commission e non è stata l'istituzione direttamente interessata dalla sentenza Trump v. Slaughter.

Tuttavia, la Commissione monitora la situazione di entrambe le agenzie poiché il quadro transatlantico si basa su più livelli di protezione. La Federal Trade Commission è rilevante per il rispetto degli obblighi commerciali da parte delle aziende, mentre le autorità di controllo e i meccanismi di ricorso sono rilevanti per l'accesso delle autorità pubbliche americane ai dati.

Il commissario europeo per la democrazia, giustizia, stato di diritto e protezione dei consumatori, Michael McGrath, ha incontrato a Washington il presidente della Federal Trade Commission, Andrew Ferguson, e Beth Williams, membro del Privacy and Civil Liberties Oversight Board.

Secondo la Commissione, McGrath ha discusso con i due rappresentanti del quadro UE–USA e ha sottolineato la necessità di rafforzare la cooperazione transatlantica nel campo della protezione dei dati, sia per i cittadini che per le aziende.

La visita è avvenuta alcune settimane dopo la pronuncia della sentenza della Corte Suprema. La Commissione non ha specificato se le autorità americane abbiano fornito garanzie aggiuntive riguardo all'indipendenza istituzionale, alla continuità delle attività di controllo o agli effetti concreti della decisione.

Il portavoce ha ricordato che la decisione europea di luglio 2023 ha concluso che gli Stati Uniti offrono un livello adeguato di protezione per i dati trasferiti nel quadro del sistema. Ha aggiunto che, come tutte le decisioni di adeguatezza, questa è monitorata per verificare se il livello di protezione sia mantenuto.

La prima valutazione periodica del quadro è stata effettuata nel 2024. L'analisi ha seguito l'applicazione dei requisiti da parte delle aziende partecipanti, l'attività delle autorità americane, il funzionamento dei meccanismi di ricorso e le modifiche giuridiche rilevanti per l'accesso governativo ai dati.

Il monitoraggio non si limita alle valutazioni periodiche programmate. La Commissione può analizzare in qualsiasi momento le evoluzioni legislative, le sentenze dei tribunali, i cambiamenti istituzionali e le pratiche delle autorità americane che potrebbero modificare il livello di protezione considerato al momento dell'adozione della decisione.

Se dovesse constatare che gli Stati Uniti non garantiscono più la protezione necessaria, la Commissione potrebbe richiedere misure correttive e potrebbe modificare, sospendere o ritirare la decisione di adeguatezza. Nessuna di queste fasi è stata annunciata in relazione alla sentenza Trump v. Slaughter.

I trasferimenti effettuati sulla base del quadro continuano, pertanto, a essere consentiti. Le aziende possono utilizzare anche altri strumenti previsti dalle norme europee, come le clausole contrattuali standard e le regole aziendali vincolanti, a seconda della loro situazione.

Il quadro attuale è stato adottato dopo che la Corte di Giustizia dell'Unione Europea ha invalidato nel 2020 il meccanismo precedente, noto come Privacy Shield. La corte europea ha ritenuto allora che le protezioni riguardanti l'accesso delle autorità americane ai dati e le vie di ricorso disponibili per le persone dell'UE non fossero sufficienti.

Gli Stati Uniti hanno successivamente introdotto nuove garanzie riguardanti le attività dei servizi di intelligence e un meccanismo di ricorso destinato alle persone dell'UE. La Commissione ha ritenuto che questi cambiamenti consentano la ripresa dei trasferimenti sulla base di una nuova decisione di adeguatezza, ma il funzionamento del sistema rimane soggetto a monitoraggio.