La Corte di Giustizia dell'Unione Europea ha dichiarato non valida la decisione della Commissione UE che, nel 2016, aveva dichiarato il Privacy Shield adeguato in termini di protezione dei dati. Il Privacy Shield è un accordo UE-USA che istituisce una serie di vincoli e protezioni a quei dati di cittadini e imprese europee che vengono trasferiti in server negli USA. Per la Corte di Giustizia, "semplicemente", tale accordo non offre sufficienti garanzie e, inoltre, i programmi di sorveglianza americani vanno oltre i limiti previsti dalla normativa europea su privacy e dati. Insomma, il Privacy Shield non rispetta il GDPR e la sorveglianza massiva di Stato invade lo spazio privato del cittadino.

"Ai sensi del GDPR il trasferimento di dati personali verso un paese terzo può avvenire, in linea di principio, solo se il paese terzo garantisce ai dati un adeguato livello di protezione" scrive la Corte UE.

In dettaglio, le limitazioni di protezione ai dati che risultano dalla normativa statunitense non riescono a rispondere in maniera equivalente, sia che si parli di accesso che di utilizzo di tali dati, ai diritti previsti dalla normativa europea per gli interessati e, inoltre, viene leso il principio di proprozionalità poichè i programmi di sorveglianza nazionale non si limitano allo stretto necessario: alcuni di questi programmi, rileva la Corte, non prevedono garanzie per gli stranieri che possono esserne potenzialmente oggetto e neppure il diritto degli interessati di agire dinanzi ai giudici contro l'utilizzo dei propri dati o per rivendicare un diritto individuale.

Le conseguenze
La sentenza non interrompe del tutto la condivisione dei dati, ma impone comunque un'intensificazione dei controlli sul trattamento e accesso ai dati di cittadini europei eseguito negli USA: restano infatti in vigore alcuni meccanismi legali che le aziende possono utilizzare per continuare a trasferire i dati. Per le grandi aziende tech come Google o Facebook la decisione non cambia molto: già dopo l'abolizione del Safe Harbor si sono dotate di server europei. La situazione potrebbe invece diventare problematica per aziende più piccole, per le quali la decisione potrebbe obbligare ad una riorganizzazone tecnica.

Da questo punto di vista la Corte ha indicato che è compito delle Autorità Garanti dei singoli stati UE quello di sospendere o vietare un trasferimento dati personali verso un paese terzo se ritengono violati i diritti degli interessati. Resta aperto il punto: non sarà possibile ricorrere ad espedienti per lungo tempo e un nuovo accordo andrà siglato presto.

La sentenza origina dalla denuncia di un singolo cittadino
La Corte europea si è occupata del Privacy Shield in seguito alla segnalazione di un cittadino austriaco, Maxilimian Schrems. Schrems è utente Facebook fin dal 2008, ma ha scoperto che i suoi dati sono stati trasferiti da Facebook Ireland a Facebook In, ovvero dall'Unione Europea agli Stati Uniti: ha quindi fatto appello alle autorità perchè i suoi dati siano riportati su server europei e per il divieto di trasferimento dei suoi dati, senza però successo. Il tribunale irlandese ha optato per portare il caso a livello più alto, ovvero la Corte di Giustizia europea, dato che il problema originava dalla incompatibilità tra il GDPR e il Privacy Shield.

Breve storia del Privacy Shield
Prima del 2015 il flusso di dati verso gli Stati Uniti era regolamentato dal Safe Harbor, ma in modo estremamente blando. Il 2013 però sconvolge questo sistema, quando le rivelazioni di Edward Snowden sul gigantesco e fondamentalmente illimitato sistema di sorveglianza di massa dell'NSA e della Cia con l'accordo di Google, Facebook e Apple sconvolgono il mondo: gli Stati Uniti spiano tutto e tutti, cittadini americani o meno, con la collaborazione delle Tech Corporation che cedono loro l'accesso a tutti i dati. E' il cosiddetto "DataGate" che fa tremare il governo degli Stati Uniti e correre ai riparti l'intera Silicon Valley. Così nel 2015 l'Unione Europea annulla il Safe Habor: l'anno dopo arriva il Privacy Shield con il quale, fondamentalmente, il governo degli Stati Uniti si impegna ad aumentare le tutele riguardo i dati dei cittadini europei imponendo una serie di obblighi alle aziende.