Il Data Privacy Framework EU-USA torna al centro del confronto sui trasferimenti transatlantici di dati dopo la sentenza Trump v. Slaughter, che mette in discussione l’indipendenza della FTC e riapre interrogativi sulla tenuta dell’adeguatezza riconosciuta dalla Commissione europea.
Indice degli argomenti
Perché una sentenza sulla FTC tocca la privacy europea?
Il 29 giugno 2026, con la sentenza Trump v. Slaughter, la Corte Suprema degli Stati Uniti ha stabilito che il Presidente può rimuovere liberamente («… at will…») i Commissari della Federal Trade Commission (FTC), dichiarando incostituzionale la norma che ne garantiva l’inamovibilità salvo giusta causa. Con una maggioranza di 6 a 3, la Corte ha superato il precedente Humphrey’s Executor del 1935, cancellando l’indipendenza dal potere esecutivo della FTC e di molte altre agenzie federali, con la sola eccezione della Federal Reserve.
La sentenza non parla di privacy, di GDPR, né di trasferimenti internazionali di dati, eppure la tocca da vicino. L’FTC è, infatti, una “colonna” del Data Privacy Framework EU-USA, l’accordo su cui, dal 2023, si fonda gran parte dei trasferimenti di dati personali dall’Europa agli USA. Con la decisione di adeguatezza del 10 luglio 2023 (decisione (UE) 2023/1795), la Commissione ha riconosciuto un livello di protezione «sostanzialmente equivalente» a quello europeo, poggiando su due pilastri: da un lato l’attività di controllo (enforcement) sulle regole commerciali, affidata appunto alla FTC, e dall’altro il meccanismo di ricorso a disposizione dei cittadini europei contro l’accesso ai dati da parte dell’intelligence (Executive Order 14086, con la Data Protection Review Court (DPRC) e il Privacy and Civil Liberties Oversight Board (PCLOB)). Entrambi presuppongono autorità indipendenti. Ed è proprio l’indipendenza che la sentenza mette in discussione.
Il possibile rischio di instabilità dei trasferimenti
Il diritto europeo (art. 16 TFUE e art. 8 della Carta dei diritti fondamentali) esige che la protezione dei dati sia vigilata da autorità indipendenti. Se la FTC è rimovibile a piacimento dalla Casa Bianca, viene meno il presupposto su cui la Commissione aveva fondato l’adeguatezza. Non è un timore teorico: già nel gennaio 2025 Trump aveva rimosso tre membri del PCLOB, facendogli perdere il quorum, ma la Corte d’Appello del Distretto di Columbia aveva sospeso il relativo giudizio in attesa della decisione sulla controversia Slaughter. Ora quella tutela – e con essa quella dei giudici della Data Protection Review Court – perde fondamento. In altre parole, entrambi i pilastri del DATA PRIVACY FRAMEWORK EU-USA poggiano su un terreno che la sentenza ha reso instabile: è ciò che è già accaduto.
È la terza volta in dieci anni che l’impalcatura dei trasferimenti transatlantici vacilla: dopo il Safe Harbor (Schrems I, 2015) e il Privacy Shield (Schrems II, 2020), e ora è il DATA PRIVACY FRAMEWORK EU-USA ad essere nel mirino di quella che i commentatori chiamano già «Schrems III». Puntuale è arrivata la reazione di Max Schrems e della sua organizzazione noyb, che il 30 giugno 2026 – il giorno dopo la sentenza – ha chiesto formalmente alla Commissione di revocare l’adeguatezza, annunciando un ricorso alla Corte di Giustizia UE. «Dato che negli Stati Uniti non esistono più autorità indipendenti, chiediamo alla Commissione di revocare in modo ordinato la decisione di adeguatezza», ha dichiarato Schrems, parlando di un «castello di carte» costruito sotto la pressione dell’industria. Sono posizioni volutamente forti, ma che in passato hanno già avuto ragione due volte davanti alla Corte di Giustizia. Sul fronte istituzionale, per ora, prevale la cautela: la Commissione, per ora, si limita a «valutare» l’impatto della sentenza: la decisione di adeguatezza resta in vigore e le imprese certificate possono continuare a ricevere dati.
Cosa devono verificare le aziende con i fornitori USA?
In assenza di un’emergenza immediata, ma di un rischio concreto, è forse il momento di prepararsi. Un’impresa che affida a fornitori cloud, software o piattaforme AI statunitensi (… praticamente quasi tutte…) dovrebbe: mappare i fornitori e i flussi, le categorie e i volumi di dati trasferiti; verificare la base giuridica del trasferimento, controllando se il fornitore si affida alla sola certificazione DATA PRIVACY FRAMEWORK EU-USA (consultabile nell’elenco pubblico del Framework) o dispone già di clausole contrattuali standard; rivedere, ove possibile, i DPA (ex art. 28 GDPR) e i trasferimenti successivi lungo la catena dei sub-responsabili; valutare l’esposizione concreta a norme come il CLOUD Act e la Section 702 FISA, che possono imporre la consegna dei dati a prescindere da dove sono conservati.
Quali strumenti alternativi o aggiuntivi valutare?
Se il DATA PRIVACY FRAMEWORK EU-USA vacilla, la prima rete di sicurezza sono le Clausole Contrattuali Standard (SCC, decisione (UE) 2021/914). Ma dopo Schrems II le SCC da sole non bastano: vanno accompagnate da una valutazione d’impatto del trasferimento (Transfer Impact Assessment) e, se il Paese di destinazione non offre garanzie sufficienti, da misure supplementari (Raccomandazioni EDPB 01/2020). Di qui il paradosso segnalato da noyb: se cade l’adeguatezza, anche le valutazioni basate su SCC e norme vincolanti d’impresa (BCR) si indeboliscono. Sul piano operativo servono misure tecniche (cifratura con chiavi gestite in UE, pseudonimizzazione), organizzative (procedure sulle richieste di accesso, audit) e contrattuali (obblighi di notifica, garanzie di localizzazione). Per i dati più critici resta l’opzione del cloud sovrano o di fornitori europei, ove possibile, utilizzando anche il framework, previsto per la P.A., del Regolamento cloud ACN del 27 giugno 2024. Nessuno di questi strumenti è però risolutivo da solo, ma insieme possono spostare il baricentro del rischio e restituiscono margini di manovra.
Conclusioni
La sentenza non “chiude” il DATA PRIVACY FRAMEWORK EU-USA, ma ne indebolisce le fondamenta e riporta i trasferimenti UE-USA in una zona di potenziale incertezza. A parere di chi scrive, l’atteggiamento forse più prudente non è né l’allarmismo né l’attesa passiva della prossima pronuncia di Lussemburgo, ma la costruzione di una vera resilienza dei dati: sapere dove sono, chi può accedervi e con quale strumento giuridico, per cambiare rotta rapidamente, ove possibile, se l’adeguatezza dovesse cadere. Perché l’esperienza degli ultimi dieci anni insegna, con un certo disincanto, che la domanda non è se il tema tornerà d’attualità, ma quando. Con la piena consapevolezza, peraltro, che la partita è squisitamente politica, mentre le sue ricadute – soprattutto economiche – restano sempre in capo alle nostre aziende europee.
Partecipa alla community