Dati personali su Facebook, gli USA non sono un posto sicuro

I dati personali di chi utilizza Facebook in Europa finiscono in un posto insicuro: gli Stati Uniti d’America, sede dei server della società, “non offrono un livello di protezione dei dati personali adeguato”. Non solo: fin dal 2000, la Commissione europea ha deliberatamente limitato i poteri delle autorità nazionali di controllo senza averne la minima “competenza”. L’ha stabilito la Corte di giustizia dell’Unione europea nella storica sentenza della causa C-362/14, nata dalla denuncia presentata da un ragazzo austriaco iscritto a Facebook dal 2008 –Maximillian Schrems– dinanzi all’autorità irlandese di controllo. L’Irlanda è il primo snodo perché lì, per motivi fiscali, ha sede la succursale della multinazionale americana.
 

Schrems -come si legge nel testo del comunicato della Corte- era convinto che “alla luce delle rivelazioni fatte nel 2013 dal sig. Edward Snowden in merito alle attività dei servizi di intelligence negli Stati Uniti (in particolare della National Security Agency), il diritto e le prassi statunitensi non offrano una tutela adeguata contro la sorveglianza svolta dalle autorità pubbliche sui dati trasferiti verso tale Paese”. 

 

Ma la denuncia del giovane utente era stata inizialmente respinta dalle autorità irlandesi in forza di una decisione della Commissione europea datata 26 luglio 2000 (la 520), secondo la quale gli Usa si potessero definire un “approdo sicuro” in materia di protezione dei dati personali trasferiti. Una sorta di dichiarazione di affidabilità senza data di scadenza -stando all’autorità irlandese- che è stata però nettamente smentita dalla Corte di Lussemburgo. “La Corte -si legge nella sintesi della sentenza- reputa che l’esistenza di una decisione della Commissione che dichiara che un Paese terzo garantisce un livello di protezione adeguato dei dati personali  trasferiti non può sopprimere e neppure ridurre i poteri di cui dispongono le autorità nazionali di controllo in forza della Carta dei diritti fondamentali dell’Unione europea e della direttiva” 95/46/CE. Le autorità di controllo “devono” infatti esaminare i casi “in piena indipendenza”. Quella stessa indipendenza che per 15 anni è stata azzerata in forza di una decisione che al posto di “constatare che gli Stati Uniti garantiscono effettivamente, in considerazione della loro legislazione nazionale o dei loro impegni internazionali, un livello di protezione dei diritti fondamentali sostanzialmente equivalente a quello garantito nell’Unione”, “si è limitata a esaminare il regime dell’approdo sicuro”. Un “regime” dove sono possibili “ingerenze da parte delle autorità pubbliche americane nei diritti fondamentali delle persone”, senza alcuna “tutela giuridica efficace”.
Per la Corte, i dati personali dei cittadini Ue finiscono nelle maglie di una legislazione dove l’accesso alle informazioni riservate è “generalizzato” ed il “contenuto essenziale del diritto fondamentale al rispetto della vita privata” costantemente “leso”. Un colpo allo Stato di diritto che la Commissione europea non avrebbe dovuto, sempre secondo la Corte, consentire.

 

Ecco perché la parola dovrà tornare all’autorità irlandese di controllo, “tenuta a esaminare la denuncia del sig. Schrems con tutta la diligenza necessaria”, e decidere se “sospendere il trasferimento dei dati degli iscritti europei a Facebook verso gli Stati Uniti perché tale Paese non offre un livello di protezione dei dati personali adeguato”. 

 

Ancora una volta, l’ecosistema della Rete mostra le sue irrisolvibili incoerenze. Un mondo “nuovo” che è in realtà regolato da decisioni o descritto da definizioni antiche, datate, totalmente scollate dalla reale fisionomia assunta o dai Paesi o ancor più dai colossi multinazionali. E non è un caso che proprio al 2000 risalga non soltanto la contestata “decisione” della Commissione sugli Stati Uniti d’America oggetto della sentenza della Corte europea, ma anche quella direttiva comunitaria (la 31) che regolava le responsabilità in capo ai “providers”, a quelli cioè che un tempo erano fornitori puri della piattaforma web e che oggi sono invece giganti commerciali che fondano il proprio agire d’impresa sulla pubblicità. E che non andrebbero avanti senza i dati personali degli utenti.