Decisione di esecuzione (UE) 2016/1250 della Commissione del 12 luglio 2016 a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, sull'adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy [notificata con il numero C(2016) 4176] (Testo rilevante ai fini del SEE)

visto il trattato sul funzionamento dell'Unione europea,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati¹, in particolare l'articolo 25, paragrafo 6,

sentito il garante europeo della protezione dei dati²,

La direttiva 95/46/CE stabilisce le regole per il trasferimento dei dati personali dagli Stati membri ai paesi terzi nella misura in cui tale trasferimento rientri nel suo ambito d'applicazione.

L'articolo 1 e i considerando 2 e 10 della direttiva 95/46 intendono garantire non solo una tutela efficace e completa delle libertà e dei diritti fondamentali delle persone fisiche, e segnatamente del diritto fondamentale al rispetto della vita privata con riguardo al trattamento dei dati personali, ma anche un livello elevato di protezione di tali libertà e diritti fondamentali³.

La giurisprudenza della Corte di giustizia⁴ sottolinea l'importanza sia del diritto fondamentale al rispetto della vita privata, garantito dall'articolo 7 della Carta dei diritti fondamentali dell'Unione europea, sia del diritto fondamentale alla protezione dei dati personali, garantito dall'articolo 8 della stessa.

A norma dell'articolo 25, paragrafo 1, della direttiva 95/46/CE, gli Stati membri sono tenuti a consentire il trasferimento di dati personali verso un paese terzo soltanto se il paese terzo garantisce un livello di protezione adeguato e se, prima del trasferimento stesso, sono rispettate le norme adottate dagli Stati membri in attuazione delle altre disposizioni della direttiva. La Commissione può constatare che un paese terzo garantisce tale livello di protezione adeguato in considerazione della sua legislazione nazionale o degli impegni internazionali che ha stipulato per proteggere i diritti delle persone. Fermo restando il rispetto delle disposizioni nazionali adottate conformemente alle altre disposizioni della direttiva, gli Stati membri possono in tale caso trasferire i dati personali senza che siano necessarie garanzie supplementari.

A norma dell'articolo 25, paragrafo 2, della direttiva 95/46/CE, il livello di protezione garantito da un paese terzo dovrebbe essere valutato con riguardo a tutte le circostanze relative ad un trasferimento o ad una categoria di trasferimenti di dati, comprese le norme di diritto, generali o settoriali, vigenti nel paese terzo in questione.

La decisione 2000/520/CE della Commissione⁵ ha considerato che, ai fini dell'articolo 25, paragrafo 2, della direttiva 95/46/CE, i principi di approdo sicuro, attuati nel rispetto delle indicazioni fornite nelle cosiddette «domande più frequenti» pubblicate dal Dipartimento del Commercio degli Stati Uniti, garantissero un livello adeguato di protezione dei dati personali trasferiti dall'Unione alle organizzazioni stabilite negli Stati Uniti d'America.

Nelle comunicazioni COM(2013) 846 final⁶ e COM(2013) 847 final⁷ del 27 novembre 2013, la Commissione ha affermato la necessità di rivedere e rafforzare il fondamento stesso del regime dell'approdo sicuro, in considerazione di una serie di fattori che sollevavano dubbi circa il livello di tutela che il regime era in grado di garantire, tra cui l'aumento esponenziale dei flussi di dati e la relativa importanza fondamentale per l'economia transatlantica, la rapida crescita del numero di imprese statunitensi aderenti al regime dell'approdo sicuro e le nuove informazioni disponibili sull'ampiezza e la portata di alcuni programmi di intelligence statunitensi. La Commissione ha riscontrato inoltre una serie di carenze e lacune nel regime dell'approdo sicuro.

Muovendo dalle prove raccolte, tra cui le informazioni emerse dai lavori del gruppo di contatto UE-Stati Uniti sulla vita privata⁸ e le informazioni sui programmi di intelligence statunitensi ricevute nell'ambito del gruppo di lavoro ad hoc UE-USA⁹, la Commissione ha formulato 13 raccomandazioni per una revisione del regime dell'approdo sicuro. Le raccomandazioni chiedevano di rafforzare i principi sostanziali in materia di privacy attraverso una maggiore trasparenza delle politiche della privacy applicate delle imprese statunitensi che si autocertificano come aderenti al regime, un'azione più incisiva delle autorità statunitensi in termini di verifica, vigilanza e controllo dell'osservanza di tali principi, la disponibilità di meccanismi di composizione delle controversie di costo accessibile e la necessità di limitare alla misura strettamente necessaria e proporzionata il ricorso all'eccezione per motivi di sicurezza nazionale prevista dalla decisione 2000/520/CE.

Con la sentenza del 6 ottobre 2015 nella causa C-362/14 Maximillian Schrems contro Data Protection Commissioner¹⁰, la Corte di giustizia dell'Unione europea ha dichiarato invalida la decisione 2000/520/CE. Senza esaminare i principi dell'approdo sicuro nel merito, la Corte ha rilevato che, in tale decisione, la Commissione non ha affermato che gli Stati Uniti d'America «garantiscono» effettivamente un livello di protezione adeguato in considerazione della loro legislazione nazionale o dei loro impegni internazionali¹¹.

Al riguardo la Corte di giustizia ha chiarito che l'espressione «livello di protezione adeguato» figurante all'articolo 25, paragrafo 6, della direttiva 95/46/CE, pur non implicando un livello di protezione identico a quello garantito nell'ordinamento giuridico dell'Unione, deve essere intesa nel senso che esige che il paese terzo assicuri un livello di protezione delle libertà e dei diritti fondamentali «sostanzialmente equivalente» a quello garantito all'interno dell'Unione in forza della direttiva 95/46/CE, letta alla luce della Carta dei diritti fondamentali. Anche se gli strumenti dei quali tale paese terzo si avvale al riguardo possono essere diversi da quelli attuati all'interno dell'Unione, tali strumenti devono cionondimeno rivelarsi efficaci nella prassi¹².

La Corte di giustizia ha criticato il fatto che nella decisione 2000/520/CE manchino dichiarazioni sufficienti quanto all'esistenza, negli Stati Uniti, di norme statali destinate a limitare le eventuali ingerenze nei diritti fondamentali delle persone i cui dati vengono trasferiti dall'Unione verso gli Stati Uniti, ingerenze che entità statali di tale paese sarebbero autorizzate a compiere laddove perseguano obiettivi legittimi, come la sicurezza nazionale, e quanto all'esistenza di una tutela giuridica efficace nei confronti delle ingerenze di tale natura¹³.

Nel 2014 la Commissione ha avviato un dialogo con le autorità statunitensi al fine di discutere di un rafforzamento del regime dell'approdo sicuro in linea con le 13 raccomandazioni formulate nella comunicazione COM(2013) 847 final. I colloqui si sono intensificati a seguito della sentenza Schrems della Corte di giustizia dell'Unione europea, nella prospettiva dell'adozione di un'eventuale nuova decisione sull'adeguatezza rispondente ai requisiti dell'articolo 25 della direttiva 95/46/CE quali interpretati dalla Corte di giustizia. I documenti allegati alla presente decisione, che saranno pubblicati anche nel Registro federale degli Stati Uniti d'America, costituiscono il risultato delle discussioni tenute. I principi in materia di privacy (allegato II) costituiscono, insieme agli impegni e alle dichiarazioni ufficiali delle varie autorità degli Stati Uniti riportati nei documenti di cui agli allegati I e da III a VII, lo «scudo UE-USA per la privacy» («scudo» o «regime»).

La Commissione ha analizzato con attenzione le leggi e pratiche applicate negli Stati Uniti, compresi detti impegni e dichiarazioni ufficiali. In base alle constatazioni illustrate nei considerando 136-140, la Commissione giunge alla conclusione che gli Stati Uniti d'America assicurano un livello di protezione adeguato dei dati personali trasferiti nell'ambito dello scudo dall'Unione alle organizzazioni statunitensi che si sono autocertificate come aderenti al regime.

Lo scudo UE-USA per la privacy si fonda su un sistema di autocertificazione in base al quale l'organizzazione statunitense s'impegna a rispettare un insieme di principi in materia di privacy, ossia i principi del regime dello scudo UE-USA per la privacy, comprensivi dei principi supplementari (collettivamente denominati qui di seguito «principi»), emanati dal Dipartimento del Commercio degli USA e riportati nell'allegato II della presente decisione. Lo scudo si applica sia ai titolari sia ai responsabili del trattamento (procuratori), con la specificità che un contratto deve vincolare il responsabile del trattamento ad agire esclusivamente secondo le istruzioni del titolare del trattamento dell'UE e a prestargli assistenza per rispondere alle persone che esercitano i loro diritti nell'ambito dei principi¹⁴.

Fermo restando il rispetto delle disposizioni nazionali adottate in applicazione della direttiva 95/46/CE, la presente decisione ha l'effetto di autorizzare il trasferimento dei dati personali dai titolari o responsabili del trattamento nell'Unione alle organizzazioni presenti negli USA che si sono autocertificate come aderenti ai principi presso il Dipartimento del Commercio e si sono impegnate a conformarsi agli stessi. I principi si applicano al trattamento dei dati personali da parte di organizzazioni statunitensi esclusivamente se il trattamento da parte dell'organizzazione esula dall'ambito di applicazione della normativa dell'Unione¹⁵. Lo scudo lascia impregiudicata l'applicazione della normativa dell'Unione che disciplina il trattamento dei dati personali negli Stati membri¹⁶.

La protezione dei dati personali offerta dallo scudo si applica a tutti gli interessati dell'UE¹⁷ i cui dati personali sono trasferiti dall'Unione a organizzazioni degli USA che si sono autocertificate come aderenti ai principi presso il Dipartimento del Commercio.

I principi si applicano immediatamente alla data di certificazione. L'unica eccezione attiene al principio sulla responsabilità in caso di ulteriore trasferimento, nell'eventualità in cui l'organizzazione che si autocertifica come aderente allo scudo intrattenga preesistenti rapporti commerciali con terzi. Dato che potrebbe essere necessario un certo tempo per conformare tali rapporti commerciali alle norme applicabili nell'ambito del principio sulla responsabilità in caso di ulteriore trasferimento, l'organizzazione è tenuta a assicurare tale conformità il più presto possibile, e comunque trascorsi non oltre nove mesi dall'autocertificazione (a condizione che questa abbia luogo nei primi due mesi successivi alla data di efficacia dello scudo). Nel corso del conseguente periodo di transizione l'organizzazione deve applicare i principi di informativa e di scelta (dando quindi all'interessato dell'UE la possibilità di rifiuto) e, se i dati personali sono trasferiti a un terzo che agisce come procuratore, deve accertarsi che questi assicuri almeno lo stesso livello di protezione richiesto dai principi¹⁸. Il periodo di transizione rappresenta un equilibrio ragionevole e equo tra il rispetto del diritto fondamentale alla protezione dei dati e le legittime esigenze delle imprese in termini di disponibilità di tempo sufficiente per adattarsi al nuovo regime nei casi in cui l'adattamento interessi anche i rapporti commerciali che intrattengono con terzi.

Il sistema sarà gestito e controllato dal Dipartimento del Commercio in base agli impegni da esso assunti nelle dichiarazioni della segretaria di Stato al Commercio degli USA (allegato I della presente decisione). Per quanto riguarda il controllo dell'applicazione dei principi, valgono le dichiarazioni formulate dalla Commissione federale del Commercio (FTC) e dal Dipartimento dei Trasporti, riportate negli allegati IV e V della presente decisione.

Autocertificandosi nell'ambito dello scudo UE-USA per la privacy l'organizzazione s'impegna a rispettare i principi¹⁹.

Secondo il principio sull'informativa l'organizzazione è tenuta a informare l'interessato di una serie di elementi d'importanza fondamentale per il trattamento dei dati personali che lo riguardano (ad esempio, tipo di dati raccolti, finalità del trattamento, diritto di accesso e di scelta, condizioni applicabili all'ulteriore trasferimento, responsabilità). Si applicano ulteriori garanzie, in particolare l'obbligo in capo all'organizzazione di rendere pubblica la politica della privacy seguita (che deve rispecchiare i principi) e di fornire collegamenti ipertestuali al sito web del Dipartimento del Commercio (che riporta ulteriori precisazioni sull'autocertificazione, sui diritti degli interessati e sui meccanismi di ricorso disponibili), all'elenco degli aderenti dello scudo [di cui al considerando (30)] e al sito web di un adeguato organo alternativo di composizione delle controversie.

Secondo il principio sull'integrità dei dati e la limitazione della finalità i dati personali rilevati devono limitarsi a informazioni pertinenti ai fini del trattamento, affidabili per l'uso previsto, accurate, complete e aggiornate L'organizzazione non può trattare i dati personali in modo incompatibile con la finalità per cui sono stati raccolti in origine o con quella successivamente autorizzata dall'interessato. L'organizzazione deve assicurare che i dati personali siano affidabili per l'uso previsto, accurati, completi e aggiornati.

Se il trattamento ha una finalità nuova (modificata) sostanzialmente diversa dalla finalità originaria ma comunque compatibile con essa, il principio sulla scelta conferisce all'interessato il diritto di rifiuto. Il principio sulla scelta non soppianta l'esplicito divieto di trattamento incompatibile²⁰. Al marketing diretto si applicano norme particolari che permettono di rifiutare «in qualsiasi momento» l'uso dei dati personali²¹. Per i dati sensibili l'organizzazione deve di norma ottenere il consenso esplicito dell'interessato (facoltà di accettazione).

Sempre in base al principio sull'integrità dei dati e la limitazione della finalità, è possibile conservare le informazioni personali in una forma che identifica o permette d'identificare l'interessato (ossia in forma di dati personali) solo per il tempo necessario per conseguire la o le finalità per cui sono stati raccolti in origine o quella o quelle successivamente autorizzate. Quest'obbligo non osta a che l'organizzazione aderente allo scudo continui a trattare le informazioni personali per periodi più lunghi, ma limitatamente al periodo e alla misura in cui il trattamento sia ragionevolmente funzionale a uno dei seguenti scopi specifici: archiviazione nel pubblico interesse, attività giornalistica, letteraria e artistica, ricerca scientifica e storica, analisi statistica. Il periodo di conservazione dei dati personali può essere prolungato per uno di tali scopi subordinatamente alla vigenza delle garanzie previste dai principi.

Secondo il principio sulla sicurezza l'organizzazione che crea, detiene, usa o diffonde dati personali deve adottare misure di sicurezza «ragionevoli e adeguate», tenuto conto dei rischi insiti nel trattamento dei dati e nella loro natura. Se il trattamento è delegato a un terzo, l'organizzazione deve concludere con esso un contratto che garantisca lo stesso livello di protezione previsto dai principi e adottare misure per assicurarne la corretta attuazione.

Secondo il principio sull'accesso²², l'interessato ha diritto di sapere dall'organizzazione, senza dover giustificare la domanda e per un corrispettivo non eccessivo, se questa tratti dati personali che lo riguardano e di ottenerne la comunicazione entro tempi ragionevoli. Tale diritto può subire limitazioni soltanto in circostanze eccezionali: il diniego del diritto di accesso o la sua limitazione devono essere necessari e giustificati debitamente, e l'onere di dimostrare il soddisfacimento di tali condizioni incombe all'organizzazione. L'interessato deve poter correggere, modificare o cancellare le informazioni personali che lo riguardano quando non sono accurate o quando sono state trattate in violazione dei principi. Nei settori in cui è diffuso tra le imprese il ricorso al trattamento automatizzato dei dati personali per l'adozione di decisioni che si ripercuotono sulla persona (erogazione di credito, offerta di prestiti ipotecati, lavoro ecc.), la legge statunitense offre tutele specifiche contro le decisioni sfavorevoli²³. In base alla normativa vigente, la persona ha diritto di essere informata delle ragioni specifiche su cui si fonda decisione (ad esempio il rifiuto di erogarle un prestito), di contestare le informazioni incomplete o inesatte (e il fatto di aver basato illegittimamente la decisione su determinati fattori) e di impugnare la decisione sfavorevole. Queste norme tutelano la persona nei casi, presumibilmente assai limitati, in cui un'organizzazione aderente allo scudo adotterà in prima persona una decisione con procedura automatizzata²⁴. Poiché nell'economia digitale moderna è sempre più frequente il ricorso a un trattamento automatizzato (profilazione compresa) come base per l'adozione di decisioni che si ripercuotono sulle persone, si tratta tuttavia di un settore su cui esercitare un monitoraggio attento. Per agevolare questo monitoraggio, si è convenuto con le autorità statunitensi di comprendere nel primo riesame annuale e, secondo il caso, in quelli successivi un dialogo sul processo decisionale automatizzato, confrontandosi tra l'altro sulle analogie e sulle differenze d'impostazione tra l'UE e gli USA.

Secondo il principio su ricorso, controllo e responsabilità²⁵, l'organizzazione aderente allo scudo deve mettere a disposizione meccanismi solidi volti a garantire il rispetto dei principi e la possibilità di ricorso per l'interessato dell'UE i cui dati personali sono stati trattati in modo non conforme, compresi mezzi di ricorso efficaci. Una volta che ha volontariamente deciso di autocertificarsi²⁶ nell'ambito dello scudo, l'organizzazione è obbligata a rispettarne effettivamente i principi. Per poter continuare a fruire dello scudo per ricevere i dati personali dall'Unione, l'organizzazione deve ricertificare ogni anno l'adesione al regime. Deve inoltre verificare²⁷ che la politica della privacy pubblicata sia conforme ai principi e applicata effettivamente. La verifica può configurarsi come autovalutazione, nel cui sistema devono essere comprese procedure interne atte a assicurare che i dipendenti ricevano una formazione sull'attuazione della politica della privacy dell'organizzazione e che la conformità sia controllata periodicamente con metodo obiettivo, oppure come verifica esterna della compatibilità, nel cui sistema possono rientrare verifiche o controlli a campione. L'organizzazione deve inoltre predisporre un meccanismo di ricorso efficace per i casi di reclamo (al riguardo cfr. anche il considerando 43) e dev'essere sottoposta all'autorità d'indagine e di controllo dell'FTC, del Dipartimento dei Trasporti o di altro ente competente per legge autorizzato negli USA che assicuri effettivamente la conformità ai principi.

Al cosiddetto «ulteriore trasferimento», vale a dire il trasferimento dei dati personali da un'organizzazione a un terzo titolare del trattamento o responsabile del trattamento, si applicano norme particolari, a prescindere dal fatto che il terzo sia ubicato negli Stati Uniti o in un paese terzo rispetto agli Stati Uniti (e all'Unione). Dette norme intendono provvedere a che le tutele garantite ai dati personali degli interessati dell'UE non siano compromesse e non possano essere eluse attraverso l'inoltro dei dati a terzi. Si tratta di un aspetto particolarmente importante nelle catene di trattamento più complesse che contraddistinguono oggi l'economia digitale.

Secondo il principio sulla responsabilità in caso di ulteriore trasferimento²⁸, questo è possibile soltanto i) per finalità determinate e limitate, ii) in base a un contratto (o analogo accordo all'interno di un gruppo societario²⁹) e iii) solo se il contratto prevede lo stesso livello di protezione garantito dai principi, compresa la condizione che permette di limitare l'applicazione dei principi soltanto se ed in quanto necessario per soddisfare esigenze di sicurezza nazionale, amministrazione della giustizia o altro scopo d'interesse pubblico³⁰. Detto principio andrebbe letto in combinazione con il principio sull'informativa e, in caso di ulteriore trasferimento a un terzo titolare del trattamento³¹, con il principio sulla scelta, secondo cui l'interessato dev'essere informato (tra l'altro) del tipo/identità di qualsiasi terzo destinatario dei dati, dello scopo dell'ulteriore trasferimento e della scelta offerta, e può opporsi all'ulteriore trasferimento (facoltà di rifiuto) o, in caso di dati sensibili, deve necessariamente dare il «consenso esplicito» allo stesso (facoltà di accettazione). Alla luce del principio sull'integrità dei dati e la limitazione della finalità, l'obbligo di fornire lo stesso livello di protezione garantito dai principi presuppone che il terzo possa trattare le informazioni personali trasmessegli soltanto per scopi non incompatibili con le finalità per le quali erano state raccolte in origine o con quelle successivamente autorizzate dall'interessato.

L'obbligo di offrire lo stesso livello di protezione previsto dai principi si applica a ciascuno e a tutti i terzi che intervengono nel trattamento dei dati così trasferiti, ovunque siano ubicati (negli Stati Uniti o in altro paese terzo), così come si applica quando il primo terzo destinatario trasferisce a sua volta i dati ad altro terzo destinatario, cui ad esempio delega il trattamento. In tutti i casi il contratto con il terzo destinatario deve prevedere che questi informi l'organizzazione aderente allo scudo se constata di non poter più assolvere quest'obbligo. A seguito della constatazione in tal senso, il terzo cessa il trattamento oppure adotta altra misura ragionevole e adeguata per rimediare alla situazione³². Se si verificano problemi di conformità nella catena del trattamento (deleghe comprese), come indicato nel principio su ricorso, controllo e responsabilità l'organizzazione aderente allo scudo che agisce in qualità di titolare del trattamento dei dati personali deve dimostrare la sua estraneità all'evento che ha causato il danno; in caso contrario, incorre nella responsabilità dell'accaduto. In caso di ulteriore trasferimento a un terzo procuratore si applicano tutele supplementari³³.

Lo scudo prevede meccanismi di vigilanza e di controllo dell'attuazione atti a verificare e garantire che le imprese statunitensi autocertificatesi come aderenti al regime rispettino i principi e che qualsiasi caso di inosservanza sia affrontato. Tali meccanismi sono illustrati nei principi (allegato II) e negli impegni assunti dal Dipartimento del Commercio (allegato I), dall'FTC (allegato IV) e dal Dipartimento dei Trasporti (allegato V).

Ai fini di una corretta applicazione del regime dello scudo, le parti che intervengono in tale ambito, quali gli interessati, gli esportatori di dati e le autorità nazionali di protezione dei dati, devono essere in grado di riconoscere le organizzazioni che aderiscono ai principi. A tal fine il Dipartimento del Commercio si è impegnato a tenere e mettere a disposizione del pubblico un elenco delle organizzazioni che si sono autocertificate come aderenti ai principi e che rientrano nella sfera di competenza di almeno una delle autorità di applicazione della legge di cui agli allegati I e II della presente decisione («elenco degli aderenti allo scudo» o «elenco»)³⁴. Il Dipartimento del Commercio aggiorna l'elenco in funzione delle domande annuali di ricertificazione presentate dalle organizzazioni e degli eventuali ritiri o esclusioni di organizzazioni dal regime dello scudo. Tiene e mette a disposizione del pubblico anche un elenco ufficiale delle organizzazioni depennate dall'elenco, indicando per ciascuna il motivo dell'esclusione. Fornisce infine un collegamento ipertestuale all'elenco dei casi di applicazione della legge inerenti allo scudo avviati dall'FTC e caricati sul relativo sito web.

Il Dipartimento del Commercio mette a disposizione del pubblico, su un apposito sito web, sia l'elenco degli aderenti allo scudo sia le domande di ricertificazione. Dal canto loro, le organizzazioni devono indicare l'indirizzo web del Dipartimento in cui è reperibile l'elenco degli aderenti allo scudo. Inoltre, se consultabile in rete, la politica della privacy dell'organizzazione deve contenere un collegamento ipertestuale al sito web dedicato allo scudo e un collegamento ipertestuale al sito web, o al modulo di presentazione del reclamo, del meccanismo di ricorso indipendente disponibile per l'istruzione dei casi irrisolti di reclamo. Nel contesto dalla certificazione e ricertificazione delle organizzazioni ai fini dello scudo, il Dipartimento del Commercio verifica sistematicamente che la politica della privacy applicata dall'organizzazione sia conforme ai principi.

Il Dipartimento depenna dall'elenco degli aderenti allo scudo l'organizzazione che ha commesso reiterate inosservanze dei principi, la quale deve restituire o cancellare i dati personali ricevuti nell'ambito del regime. Negli altri casi di esclusione dall'elenco, quali il ritiro volontario dallo scudo o la mancata ricertificazione, l'organizzazione può conservare tali dati se conferma ogni anno al Dipartimento l'impegno di continuare ad applicare loro i principi oppure di proteggerli adeguatamente con altro mezzo autorizzato (ad esempio, un contratto che rispecchi totalmente le condizioni delle pertinenti clausole contrattuali tipo approvate dalla Commissione); in tal caso, l'organizzazione deve indicare al suo interno un referente per tutte le questioni relative allo scudo.

Il Dipartimento del Commercio controlla le organizzazioni che, essendosi ritirate volontariamente o non avendo rinnovato la certificazione, non sono più membri dello scudo, per verificare se intendano restituire, cancellare o conservare³⁵ i dati personali ricevuti in precedenza nell'ambito del regime. Se conserva i dati, l'organizzazione è tenuta a continuare ad applicare loro i principi. Se ha escluso l'organizzazione dal regime per reiterate inosservanze dei principi, il Dipartimento del Commercio provvede a che essa restituisca o cancelli i dati personali ricevuti nell'ambito del regime.

L'organizzazione che, per qualsiasi motivo, abbandona lo scudo deve eliminare tutte le dichiarazioni pubbliche che lasciano intendere che continui a aderirvi o a godere dei relativi benefici, in particolare i riferimenti allo scudo contenuti nella politica della privacy pubblicata. Il Dipartimento del Commercio reperisce i casi di millantata adesione allo scudo, compresi quelli che implicano ex membri, e li risolve³⁶. Se millanta pubblicamente l'adesione ai principi con dichiarazioni o pratiche fuorvianti, l'organizzazione si espone alle azioni coercitive dell'FTC, del Dipartimento dei Trasporti o di altra competente autorità di applicazione della legge degli USA; l'adesione millantata nei confronti del Dipartimento del Commercio è perseguibile in forza della legge sulle false dichiarazioni (Codice degli Stati Uniti d'America, titolo 18, articolo 1001)³⁷.

Il Dipartimento del Commercio controlla ufficialmente i casi di millantata adesione allo scudo e di uso improprio del relativo marchio di certificazione e le autorità di protezione dei dati possono chiedere al referente per lo scudo istituito presso tale Dipartimento di esaminare la situazione di un'organizzazione. Quando l'organizzazione si è ritirata dal regime, non ha ricertificato l'adesione ai relativi principi o è stata depennata dall'elenco degli aderenti allo scudo, il Dipartimento del Commercio verifica su base continuativa che abbia eliminato, dalla politica sulla privacy pubblicata, qualsiasi riferimento allo scudo che lasci intendere che continua ad aderirvi e, se l'organizzazione continua a millantare l'adesione al regime, sottopone il caso all'FTC, al Dipartimento dei Trasporti o ad altra autorità competente per le azioni coercitive del caso. Invia altresì questionari alle organizzazioni la cui autocertificazione è in scadenza o che si sono ritirate volontariamente dallo scudo per verificare se l'organizzazione intenda restituire o cancellare i dati personali ricevuti quando aderiva al regime ovvero continuare ad applicare loro i principi dello scudo e, se i dati personali sono conservati, per verificare chi, all'interno dell'organizzazione, funge da referente permanente per le questioni relative allo scudo.

Il Dipartimento del Commercio effettua su base continuativa controlli ufficiali della conformità³⁸ delle organizzazioni che si sono autocertificate, anche tramite l'invio di questionari particolareggiati. Procede sistematicamente a controlli anche ogni volta che riceve reclami specifici (e non futili), che l'organizzazione non risponde esaurientemente alle sue richieste oppure che prove credibili indicano la possibilità che l'organizzazione disattenda i principi. Se del caso, per tali controlli della conformità il Dipartimento del Commercio consulta anche le autorità di protezione dei dati.

Con il principio su ricorso, controllo e responsabilità lo scudo impone all'organizzazione aderente di mettere mezzi di ricorso a disposizione della persona lesa dall'inosservanza, offrendo quindi all'interessato dell'UE la possibilità di sporgere reclamo per mancato rispetto dei principi da parte di un'organizzazione statunitense che si è autocertificata, e di ottenere la soluzione del caso di reclamo, se necessario con una decisione che dispone un rimedio effettivo.

Nell'ambito dell'autocertificazione l'organizzazione deve adempiere gli obblighi imposti dal principio su ricorso, controllo e responsabilità prevedendo meccanismi di ricorso indipendenti effettivi e di pronto impiego, atti a consentire d'istruire e dirimere, senza costi per la persona, qualsiasi reclamo da questa presentato o qualsiasi controversia insorta.

L'organizzazione può scegliere meccanismi di ricorso indipendenti dell'Unione o degli Stati Uniti, compresa la possibilità di impegnarsi volontariamente a collaborare con le autorità di protezione dei dati dell'UE. Quest'ultima opzione non è tuttavia disponibile per l'organizzazione che tratta dati sulle risorse umane, perché in tal caso la collaborazione con le autorità di protezione dei dati è obbligatoria. Fra le altre opzioni disponibili si annoverano gli organi alternativi indipendenti di composizione delle controversie (ADR) o i programmi per la privacy elaborati dal settore privato nei quali sono integrati i principi dello scudo. Questi ultimi devono contemplare meccanismi di attuazione efficaci rispondenti ai requisiti indicati nel principio su ricorso, controllo e responsabilità. L'organizzazione è tenuta a sanare qualsiasi problema di non conformità. Deve altresì indicare di essere sottoposta all'autorità d'indagine e di controllo dell'FTC, del Dipartimento dei Trasporti o di altro ente competente per legge autorizzato negli USA.

Lo scudo offre quindi all'interessato varie possibilità di far valere i propri diritti, di sporgere reclamo per inosservanza dei principi da parte di imprese statunitensi autocertificatesi e di ottenere la soluzione del caso di reclamo, se necessario con una decisione che dispone un rimedio effettivo. La persona può sporgere reclamo direttamente all'organizzazione, a un organo indipendente di risoluzione delle controversie da questa designato, all'autorità nazionale di protezione dei dati oppure all'FTC.

Nei casi in cui nessuno di detti meccanismi di ricorso o di attuazione abbia risolto il caso di reclamo, la persona ha altresì il diritto di chiedere un arbitrato vincolante nel quadro del collegio arbitrale dello scudo (allegato 1 dell'allegato II della presente decisione). Fatta eccezione per il collegio arbitrale, cui si può rivolgere solo dopo aver esperito determinati mezzi di contestazione, la persona è libera di scegliere il meccanismo di ricorso che preferisce o di attivarli tutti, senza alcun obbligo di rivolgersi a uno piuttosto che a un altro o di seguire una determinata sequenza. È tuttavia consigliabile procedere secondo l'ordine logico esposto qui di seguito.

In primo luogo, l'interessato nell'UE può sottoporre il caso di inosservanza dei principi direttamente all'impresa statunitense che si è autocertificata come aderente allo scudo. Per agevolare la soluzione dei casi, l'organizzazione deve predisporre un meccanismo di ricorso effettivo atto a trattare tali reclami. L'organizzazione deve quindi indicare chiaramente alle persone, nella politica della privacy, un referente, interno o esterno, incaricato del trattamento dei reclami (che può essere anche uno stabilimento presente nell'Unione in grado di rispondere alle domande o ai reclami) e informarle sui meccanismi indipendenti di trattamento dei reclami.

Ricevuto il reclamo della persona, direttamente da questa o per il tramite del Dipartimento del Commercio cui l'ha sottoposto un'autorità di protezione dei dati, l'organizzazione deve rispondere all'interessato dell'UE entro il termine di 45 giorni. La risposta deve comprendere una valutazione di merito del reclamo e informazioni sul modo in cui l'organizzazione intende porre rimedio al problema. L'organizzazione è parimenti tenuta a rispondere prontamente alle richieste d'informazioni o di altro tipo riguardo all'osservanza dei principi, emananti dal Dipartimento del Commercio o da un'autorità di protezione dei dati³⁹ (se l'organizzazione si è impegnata a collaborare con tali autorità). L'organizzazione deve tenere traccia dell'attuazione della politica della privacy e, nell'ambito delle indagini o dei reclami per inosservanza dei principi, mettere le relative registrazioni, su richiesta, a disposizione del meccanismo di ricorso indipendente o dell'FTC (o di altra autorità statunitense competente delle indagini sulle pratiche sleali e ingannevoli).

In secondo luogo, la persona può anche sporgere reclamo direttamente all'organo indipendente di composizione delle controversie (negli Stati Uniti o nell'Unione) che l'organizzazione ha designato per esaminare e risolvere i casi di reclamo individuale (a condizione che il reclamo non sia manifestamente infondato o futile) e per mettere a disposizione della persona, gratuitamente, un mezzo di ricorso adeguato. Le sanzioni e misure correttive imposte da tale organo devono essere sufficientemente severe da assicurare che l'organizzazione rispetti i principi e dovrebbero imporle di correggere o sovvertire gli effetti dell'inosservanza e, a seconda delle circostanze, di astenersi da ulteriori trattamenti dei dati personali in questione e/o di cancellarli, nonché di dare pubblicità all'inosservanza constatata. L'organo indipendente di composizione delle controversie designato da un'organizzazione è tenuto a riportare sul proprio sito web pubblico le pertinenti informazioni relative allo scudo e ai servizi che presta in tale ambito. Deve pubblicare ogni anno una relazione che presenti, in forma aggregata, i dati statistici relativi ai servizi prestati⁴⁰.

Le procedure di controllo della conformità seguite dal Dipartimento del Commercio prevedono la verifica del fatto che le imprese statunitensi autocertificatesi siano effettivamente registrate presso i meccanismi di ricorso indipendenti a cui dichiarano di essere registrate. Sia le organizzazioni sia i competenti meccanismi di ricorso indipendenti sono tenuti a rispondere prontamente alle richieste del Dipartimento del Commercio vertenti su informazioni relative allo scudo.

Se l'organizzazione non si conforma alla decisione dell'organo di risoluzione delle controversie o dell'organo di autoregolamentazione, questo deve notificarlo al Dipartimento del Commercio e all'FTC (o a altra autorità statunitense competente delle indagini sulle pratiche sleali e ingannevoli) ovvero al giudice competente⁴¹. Quando l'organizzazione rifiuta di uniformarsi alla decisione definitiva dell'ente pubblico, dell'organo di autoregolamentazione o dell'organo indipendente di composizione delle controversie competenti della privacy, ovvero quando tale ente o organo constata che l'organizzazione viola i principi frequentemente, si configura la fattispecie dell'inosservanza reiterata, con la conseguenza che il Dipartimento del Commercio, concessi all'organizzazione inadempiente un preavviso di 30 giorni e la possibilità di replica, depenna l'organizzazione dall'elenco⁴². Se l'organizzazione depennata dall'elenco continua a millantare la certificazione allo scudo, il Dipartimento la deferisce all'FTC o altra autorità di applicazione della legge⁴³.

In terzo luogo, la persona può altresì sporgere reclamo a un'autorità di protezione dei dati nazionale. L'organizzazione è tenuta a collaborare con l'autorità di protezione dei dati per l'esame e la risoluzione del caso di reclamo,se questo riguarda il trattamento di dati sulle risorse umane raccolti nel contesto di un rapporto di lavoro oppure se l'organizzazione ha accettato volontariamente di essere sottoposta alla supervisione delle autorità di protezione dei dati. In particolare, l'organizzazione è tenuta a rispondere alle richieste d'informazioni dell'autorità di protezione dei dati, a uniformarsi al parere da questa espresso, anche relativamente alle misure correttive o compensative, e a confermarle per iscritto l'adozione dei provvedimenti richiesti.

Le autorità di protezione dei dati esprimono i pareri per il tramite di un comitato informale che le raggruppa, istituito a livello europeo⁴⁴, in modo da contribuire ad assicurare una linea armonizzata e coerente nel trattamento di un dato reclamo. Il parere è espresso dopo che le due parti delle controversia hanno avuto ragionevoli possibilità di formulare commenti e addurre qualsiasi elemento di prova desiderino. Il comitato esprime il parere quanto più rapidamente possibile, compatibilmente con l'esigenza di garantire l'equità del procedimento, e di norma entro un termine di 60 giorni dalla data in cui riceve il reclamo. Se l'organizzazione non si adegua al parere entro 25 giorni dalla data in cui è espresso senza fornire soddisfacenti giustificazioni del ritardo, il comitato le notifica l'intenzione di sottoporre il caso all'FTC (o ad altra autorità statunitense di applicazione della legge) ovvero di concludere che si è verificato un grave inadempimento dell'impegno a collaborare. Nel primo caso, la conseguenza può essere un'azione coercitiva ai sensi dell'articolo 5 della legge sull'FTC (o legge analoga). Nel secondo caso il comitato informa il Dipartimento del Commercio, il quale assimila il rifiuto dell'organizzazione di adeguarsi al parere del comitato delle autorità di protezione dei dati a una reiterata inosservanza che comporta il depennamento dell'organizzazione dall'elenco degli aderenti allo scudo.

Se l'autorità di protezione dei dati cui è stato inviato il reclamo non è intervenuta, o non a sufficienza, per risolvere il caso, la persona può contestare l'intervento (o l'inazione) dinanzi al giudice nazionale del proprio Stato membro.

La persona può sporgere reclamo all'autorità di protezione dei dati anche se l'organizzazione non ha designato il relativo comitato come organo di composizione delle controversie. In tal caso l'autorità di protezione dei dati può sottoporre il reclamo al Dipartimento del Commercio o all'FTC. Per favorire e intensificare la collaborazione sulle questioni relative ai reclami individuali e all'inosservanza da parte delle organizzazioni aderenti allo scudo, il Dipartimento del Commercio nomina al suo interno un referente incaricato dei collegamenti con le autorità di protezione dei dati e dell'assistenza alle stesse per le richieste vertenti sulla conformità delle organizzazioni ai principi dello scudo⁴⁵. Anche l'FTC si è impegnata a istituire un apposito referente⁴⁶ e a prestare alle autorità di protezione dei dati assistenza nelle attività d'indagine a norma della legge sull'Internet sicura negli USA (SAFE WEB)⁴⁷.

In quarto luogo, il Dipartimento del Commercio si è impegnato a ricevere i reclami vertenti sull'inosservanza dei principi da parte di un'organizzazione, a esaminarli e a adoperarsi al massimo per risolvere i casi. A tal fine prevede procedure particolari che permettono alle autorità di protezione dei dati di sottoporre il reclamo a un apposito referente, di seguirne l'iter e di darvi seguito presso le imprese per facilitare la soluzione del caso. Per accelerare il trattamento di ciascun reclamo, il referente affronta il caso di inosservanza in contatto diretto con la pertinente autorità di protezione dei dati e provvede, in particolare, ad aggiornarla sulla situazione entro un termine massimo di 90 giorni dalla data in cui gli è stato sottoposto il reclamo. Questo modus operandi permette all'interessato di sporgere reclamo per inosservanza dei principi da parte dell'impresa statunitense autocertificatasi direttamente alla pertinente autorità nazionale di protezione dei dati, che provvede poi a inoltrarla al Dipartimento del Commercio in quanto autorità di gestione dello scudo negli Stati Uniti d'America. Il Dipartimento del Commercio si è impegnato inoltre a indicare, nel quadro dell'esame annuale del funzionamento dello scudo, un'analisi in forma aggregata dei reclami ricevuti ogni anno⁴⁸.

Se le verifiche eseguite d'ufficio annuali, i reclami o qualsiasi altra informazione portano a concludere che l'organizzazione abbia commesso reiterate inosservanze dei principi, il Dipartimento del Commercio la depenna dall'elenco degli aderenti allo scudo. Il rifiuto di uniformarsi alla decisione definitiva dell'ente pubblico, dell'organo di autoregolamentazione o dell'organo indipendente di composizione delle controversie competenti della privacy, autorità di protezione dei dati comprese, si configura come inosservanza reiterata.

In quinto luogo, l'organizzazione aderente allo scudo dev'essere sottoposta all'autorità d'indagine e di controllo delle autorità statunitensi, in particolare della Commissione federale del Commercio⁴⁹, che assicura di fatto il rispetto dei principi. La FTC tratta in via prioritaria i casi d'inosservanza dei principi ad essa sottoposti da un organo indipendente di composizione delle controversie o di autoregolamentazione, dal Dipartimento del Commercio e dalle autorità di protezione dei dati (di loro iniziativa o a seguito di reclamo) per stabilire se vi sia stata violazione dell'articolo 5 della legge sull'FTC⁵⁰. L'FTC si è impegnata a predisporre una procedura standard per i casi che le sono sottoposti, a istituire al suo interno un referente per i casi sottoposti dalle autorità di protezione dei dati e a scambiare informazioni sui casi sottopostile. Accetta inoltre i reclami presentati direttamente dalle persone e avvia di propria iniziativa indagini nell'ambito dello scudo, in particolare nel quadro delle più ampie indagini in materia di tutela della vita privata.

L'FTC può imporre il rispetto dei principi mediante un provvedimento amministrativo («ordinanza consensuale») di cui controlla sistematicamente l'esecuzione. Se l'organizzazione non si conforma al provvedimento, l'FTC ha facoltà di adire il giudice competente al fine di ottenere sanzioni civili e altre riparazioni, anche per l'eventuale danno causato dal comportamento illecito. In alternativa, può adire direttamente il giudice federale per ottenere un'ingiunzione preliminare o permanente ovvero altra misura correttiva. Ciascuna ordinanza consensuale emanata nei confronti di un'organizzazione aderente allo scudo prevede obblighi di informazione da parte dell'organizzazione⁵¹, cui è imposto di rendere pubbliche le parti inerenti allo scudo delle relazioni di conformità o di valutazione presentate all'FTC. Infine, l'FTC tiene online un elenco delle imprese nei cui confronti è stata emanata un'ordinanza dell'FTC stessa o del giudice in casi collegati allo scudo.

In sesto luogo, l'interessato dell'UE può chiedere l'arbitrato vincolante del collegio arbitrale dello scudo come extrema ratio nel caso in cui gli altri mezzi di ricorso disponibili non gli abbiano offerto una soluzione soddisfacente per il reclamo sporto. L'organizzazione deve informare la persona della possibilità di chiedere, a determinate condizioni, un arbitrato vincolante; una volta che la possibilità si concreta con l'invio dell'avviso all'organizzazione, questa è tenuta a darvi riscontro⁵².

Il collegio arbitrale è composto da un gruppo di almeno 20 arbitri scelti dal Dipartimento del Commercio e dalla Commissione sulla base dell'indipendenza, dell'integrità e delle competenze in materia di diritto della privacy statunitense e di normativa dell'UE sulla protezione dei dati. Per ogni controversia le parti attingono al gruppo per selezionare un collegio di uno o di tre arbitri⁵³. La procedura è regolata da regole arbitrali standard stabilite di comune accordo da Dipartimento del Commercio e Commissione. Tali regole integrano il regime già concordato, il quale presenta vari aspetti che rendono più accessibile questo meccanismo per gli interessati dell'UE: i) l'interessato può essere assistito dalla propria autorità nazionale di protezione dei dati per la preparazione del caso da sottoporre al collegio; ii) l'arbitrato si svolge negli Stati Uniti, ma l'interessato dell'UE può optare per la partecipazione in video o via telefono, che gli è fornita gratuitamente; iii) di norma il procedimento arbitrale si svolge in lingua inglese, ma su richiesta motivata all'interessato sono di regola⁵⁴ fornite, gratuitamente, l'interpretazione nell'udienza arbitrale e la traduzione; iv) sebbene ciascuna parte, se rappresentata dinanzi al collegio da un avvocato, debba sopportare le proprie spese di assistenza legale, il Dipartimento del Commercio costituisce un fondo cui ciascuna organizzazione aderente allo scudo versa una quota annua a copertura dei costi ammissibili della procedura arbitrale; l'entità della quota è limitata a massimali stabiliti dalle autorità statunitensi in consultazione con la Commissione europea.

Il collegio arbitrale dello scudo ha il potere di imporre il necessario «provvedimento equo, specifico alla persona e di carattere non pecuniario»⁵⁵ a titolo di riparazione per la violazione dei principi. Benché il collegio, nel trarre le conclusioni, tenga conto delle altre riparazioni già ottenute mediante altri meccanismi dello scudo, la persona può comunque ricorrere all'arbitrato se le reputa insufficienti. Questo permette all'interessato dell'UE di chiedere l'arbitrato in tutti i casi in cui l'intervento (o l'inazione) delle competenti autorità statunitensi (ad esempio l'FTC) non abbia offerto una soluzione soddisfacente per il suo reclamo. L'arbitrato non può essere chiesto se un'autorità di protezione dei dati ha autorità di legge per risolvere il caso di reclamo nei confronti di un'impresa statunitense autocertificatasi, ossia quando l'organizzazione è tenuta a collaborare con tale autorità e a conformarsi ai pareri da essa espressi relativamente al trattamento dei dati sulle risorse umane raccolti nel contesto di un rapporto di lavoro oppure quando si sia impegnata volontariamente in tal senso. A norma della legge federale sull'arbitrato, la persona può far valere la decisione arbitrale dinanzi al giudice statunitense nei casi in cui l'impresa non si conforma alla decisione arbitrale.

In settimo luogo, se l'organizzazione viene meno all'impegno di rispettare i principi e la politica della privacy pubblicata, possono risultare percorribili altre vie di ricorso in sede giudiziaria previste da disposizioni normative degli USA, nell'ambito del diritto del risarcimento per fatto illecito e in caso di millanteria fraudolenta, atti o pratiche sleali o ingannevoli o violazione del contratto.

Inoltre, anche l'autorità di protezione dei dati che, ricevuto il reclamo di un interessato dell'UE, ritiene che i dati personali che lo riguardano siano stati trasferiti ad un'organizzazione negli Stati Uniti in violazione del diritto dell'UE in materia di protezione dei dati, compreso il caso in cui l'esportatore dei dati dell'UE ha motivo di ritenere che l'organizzazione non osservi i principi, può esercitare i propri poteri nei confronti dell'esportatore dei dati e, se necessario, disporre la sospensione del trasferimento.

Alla luce delle informazioni riportate nella presente sezione, la Commissione ritiene che i principi emanati dal Dipartimento del Commercio degli Stati Uniti assicurino di per sé un livello di protezione dei dati personali sostanzialmente equivalente a quello garantito dai principi sostanziali fondamentali stabiliti nella direttiva 95/46/CE.

L'effettiva applicazione dei principi è parimenti garantita sia dagli obblighi di trasparenza sia dalla gestione e dal controllo della conformità allo scudo effettuati dal Dipartimento del Commercio.

La Commissione ritiene che, nel complesso, i meccanismi di vigilanza, di ricorso e di applicazione previsti dallo scudo permettano di individuare e punire nella pratica le violazioni dei principi commesse dalle organizzazioni aderenti al regime e offrano all'interessato mezzi di ricorso che gli permettono di accedere ai dati personali che lo riguardano e, in ultima analisi, di ottenerne la rettifica o cancellazione.

Come enunciato nell'allegato II, punto I.5, il rispetto dei principi trova il suo limite se ed in quanto necessario per soddisfare esigenze di sicurezza nazionale, interesse pubblico o amministrazione della giustizia.

La Commissione ha valutato le limitazioni e le garanzie cui la normativa statunitense subordina la facoltà delle autorità pubbliche statunitensi di accedere e usare i dati personali trasferiti nell'ambito dello scudo per soddisfare esigenze di sicurezza nazionale, amministrazione della giustizia o altro scopo d'interesse pubblico. Il governo statunitense ha altresì comunicato alla Commissione, tramite l'Ufficio del direttore dell'intelligence nazionale (ODNI)⁵⁶, le dichiarazioni e gli impegni particolareggiati riportati nell'allegato VI della presente decisione. Con lettera firmata dal segretario di Stato, acclusa alla presente decisione come allegato III, il governo degli Stati Uniti si è impegnato altresì a creare un nuovo meccanismo di vigilanza sulle ingerenze per motivi di sicurezza nazionale, indipendente dai servizi di intelligence: il Mediatore dello scudo. Infine, la dichiarazione del Dipartimento della Giustizia degli USA, riportata nell'allegato VII della presente decisione, espone le garanzie e limitazioni relative all'accesso delle autorità pubbliche ai dati per finalità di contrasto e di interesse pubblico. Ai fini della trasparenza e per rispecchiare la natura giuridica di questi impegni, ciascuno dei documenti elencati e allegati alla presente decisione è pubblicato nel Registro federale degli USA.

Le conclusioni cui è giunta la Commissione riguardo alle limitazioni imposte alle autorità pubbliche statunitensi quanto all'accesso e all'uso dei dati personali trasferiti dall'Unione europea agli Stati Uniti e circa l'esistenza di tutele giuridiche efficaci sono esposte in maggiore dettaglio qui di seguito.

L'analisi della Commissione evidenzia che la normativa statunitense prevede una serie di limitazioni all'accesso e all'uso per motivi di sicurezza nazionale dei dati personali trasferiti nell'ambito dello scudo, così come meccanismi di vigilanza e di ricorso, tali da costituire garanzie sufficienti che permettono di proteggere efficacemente detti dati dall'ingerenza illecita e dal rischio di abusi⁵⁷. Da quando la Commissione ha pubblicato le due comunicazioni nel 2013 (cfr. il considerando 7), il quadro normativo vigente è stato rafforzato in modo significativo, come descritto di seguito.

In virtù della Costituzione degli Stati Uniti, garantire la sicurezza nazionale rientra nei poteri del presidente in qualità di comandante supremo, di capo dell'esecutivo e, per quanto riguarda l'intelligence esterna, di responsabile della conduzione degli affari esteri degli Stati Uniti⁵⁸. Sebbene il Congresso abbia il potere d'imporre limitazioni a queste prerogative, e di fatto sia intervenuto in tal senso sotto vari aspetti, il presidente può indirizzare le attività della comunità dell'intelligence statunitense, in particolare mediante decreti o direttive presidenziali. Questo vale naturalmente anche per i settori in cui non esistono orientamenti del Congresso. Attualmente i due strumenti giuridici centrali sono il decreto presidenziale 12333 (EO 12333)⁵⁹ e la direttiva presidenziale 28 (PPD-28).

La PPD-28, emanata il 17 gennaio 2014, impone una serie di limitazioni alle operazioni di «intelligence dei segnali»⁶⁰. La direttiva presidenziale è vincolante per le autorità di intelligence statunitensi⁶¹ e resta in vigore anche quando cambia l'amministrazione degli Stati Uniti⁶². La PPD-28, che riveste particolare importanza per i cittadini stranieri, compresi gli interessati nell'Unione europea, prevede fra l'altro quanto segue:

1. a) la raccolta dati nell'ambito dell'intelligence dei segnali deve basarsi sulla legge o su un'autorizzazione presidenziale e deve avvenire nel rispetto della Costituzione degli Stati Uniti (in particolare del quarto emendamento) e della legge degli Stati Uniti;

2. b) ognuno deve essere trattato con dignità e rispetto, a prescindere dalla cittadinanza o dal luogo di residenza;

3. c) ognuno ha un legittimo interesse alla tutela della propria vita privata nel quadro del trattamento delle informazioni personali che lo riguardano;

4. d) la tutela della vita privata e le libertà civili sono aspetti di cui tenere obbligatoriamente conto nella pianificazione delle attività di intelligence dei segnali condotte dagli USA;

5. e) le attività di intelligence dei segnali condotte dagli Stati Uniti devono comportare quindi adeguate garanzie per le informazioni personali di ciascuno, a prescindere dalla cittadinanza o dal luogo di residenza.

A norma della PPD-28, possono essere rilevati dati dell'intelligence dei segnali solo per finalità di intelligence esterna o di controspionaggio a sostegno di missioni di sicurezza nazionale o di missioni di un dipartimento, e non per altre finalità (ad esempio, non per conferire un vantaggio concorrenziale alle imprese statunitensi). Al riguardo l'ODNI spiega che ciascun servizio della comunità dell'intelligence dovrebbe prevedere di usare, ogniqualvolta possibile, discriminanti (dispositivi specifici, selettori, identificatori ecc.) per poter concentrare la rilevazione dei dati su obiettivi o temi specifici dell'intelligence esterna⁶³. Le dichiarazioni comunicate precisano inoltre che le decisioni sulla raccolta di dati di intelligence non sono lasciate alla discrezionalità del singolo agente, ma sono prese in base alle politiche e procedure stabilite da ciascun servizio della comunità dell'intelligence statunitense in applicazione della PPD-28⁶⁴. Di conseguenza, la ricerca sui selettori appropriati e la loro selezione s'iscrivono nel contesto generale del quadro delle priorità dell'intelligence nazionale (NIPF), il quale assicura che le priorità in materia di intelligence siano fissate ad alto livello politico e riesaminate periodicamente, in modo da essere sempre atte a rispondere alle minacce per la sicurezza nazionale che si pongono al momento tenuto conto dei possibili rischi, compreso per la privacy⁶⁵. Su questa base il personale degli enti ricerca e individua i selettori specifici che si prevede permettano di rilevare dati di intelligence esterna rispondenti alle priorità⁶⁶. I selettori devono essere valutati a cadenza periodica per verificare che siano sempre in grado di reperire dati d'intelligence validi rispondenti alle priorità⁶⁷.

Inoltre, le condizioni previste dalla PPD-28, ossia che la rilevazione dei dati di intelligence deve sempre essere⁶⁸«quanto più possibile mirata» e che la comunità dell'intelligence deve privilegiare, se disponibili, altre informazioni e alternative appropriate e fattibili⁶⁹, rispecchiano la regola generale che impone di privilegiare la rilevazione mirata alla raccolta in blocco di dati. L'ODNI assicura in particolare che la raccolta di dati in blocco non si configura come raccolta in massa o indiscriminata e l'eccezione non fagocita la regola generale⁷⁰.

Pur riconoscendo che, nell'ambito dell'intelligence dei segnali, talune circostanze obbligano talvolta i servizi della comunità dell'intelligence a raccogliere dati in blocco, ad esempio per poter individuare o valutare una minaccia nuova o emergente, la PPD-28 chiede a tali servizi di privilegiare le alternative che permettono di rendere mirata la raccolta dei dati in tale ambito⁷¹. Ne consegue che la raccolta in blocco è effettuata solo quando, «in base a considerazioni tecniche o operative», non risulta possibile procedere alla rilevazione mirata con il filtro di discriminanti, ossia di un identificatore associato a un obiettivo specifico (quale l'indirizzo di posta elettronica dell'obiettivo o il suo numero di telefono)⁷². Quest'obbligo vale sia per le modalità di raccolta dati nell'ambito dell'intelligence dei segnali sia per le informazioni effettivamente raccolte^*.

Secondo le dichiarazioni dell'ODNI, anche quando non si possono usare identificatori specifici per rendere mirata la raccolta, la comunità dell'intelligence cerca di restringerla «il più possibile». A tal fine «applica filtri e altri strumenti tecnici per concentrare la raccolta sui dispositivi che presentano probabilità di contenere comunicazioni di valore nell'ambito dell'intelligence esterna» (rispondendo così ai requisiti stabiliti dai decisori politici statunitensi conformemente alla procedura illustrata al considerando 70). La raccolta di dati in blocco è quindi mirata in almeno due modi: in primo luogo, verte sempre su obiettivi specifici di intelligence esterna (ad esempio, per acquisire nell'ambito dell'intelligence dei segnali dati su un gruppo terroristico che opera in una determinata regione) e si concentra sulle comunicazioni che presentano un collegamento con tali obiettivi; al riguardo l'ODNI assicura che questo si traduce nel fatto che «le attività di intelligence dei segnali condotte dagli Stati Uniti interessano soltanto una percentuale minima delle comunicazioni che transitano su Internet»⁷³; in secondo luogo, le dichiarazioni dell'ODNI spiegano che i filtri e gli altri strumenti tecnici impiegati sono finalizzati a rendere mirata «il più precisamente possibile» la raccolta per ridurre al minimo la raccolta di «informazioni irrilevanti».

Infine, anche quando gli Stati Uniti ritengono necessario raccogliere dati in blocco nell'ambito dell'intelligence dei segnali, alle condizioni indicate nei considerando 70-73, la PPD-28 limita l'uso delle informazioni così rilevate a sei finalità di sicurezza nazionale elencate specificamente, al fine di tutelare la vita privata e le libertà civili di chiunque, a prescindere dalla cittadinanza e dal luogo in cui la persona vive⁷⁴. Rientrano fra le finalità autorizzate le misure atte a individuare e combattere le minacce derivanti da attività di spionaggio, terrorismo, armi di distruzione di massa, le minacce alla sicurezza informatica, le minacce alle forze armate o al personale militare e le minacce criminali transnazionali inerenti alle altre cinque finalità; le finalità autorizzate sono riesaminate almeno una volta l'anno. Stando alle dichiarazioni del governo degli Stati Uniti, per conformarsi a questi requisiti i servizi della comunità dell'intelligence hanno potenziato le pratiche e i criteri analitici utilizzati per le interrogazioni sui dati non scremati ottenuti tramite l'intelligence dei segnali: le interrogazioni mirate «permettono di sottoporre all'analista soltanto i dati considerati in potenza possedere un valore a fini di intelligence»⁷⁵.

Dette limitazioni sono particolarmente rilevanti per i dati personali trasferiti nell'ambito dello scudo, segnatamente se la raccolta dei dati personali avviene al di fuori degli USA, ad esempio durante il transito nei cavi transatlantici che collegano l'Unione agli Stati Uniti. Come confermato dalle autorità statunitensi nelle dichiarazioni dell'ODNI, le limitazioni e le garanzie ivi previste, comprese quelle fissate dalla PPD-28, si applicano a siffatta raccolta⁷⁶.

Sebbene non formulati nei medesimi termini giuridici, nell'essenza detti principi rispecchiano i principi di necessità e di proporzionalità. È chiaramente privilegiata la rilevazione di dati mirata, mentre la raccolta in blocco è limitata alle situazioni (eccezionali) in cui motivi tecnici o operativi rendono impossibile la raccolta mirata. Anche nei casi in cui la raccolta in blocco è inevitabile, l'uso ulteriore, tramite l'accesso, dei dati così raccolti è rigorosamente limitato a precise finalità legittime di sicurezza nazionale⁷⁷.

In quanto stabiliti in una direttiva emanata dal presidente nella sua veste di capo dell'esecutivo, detti requisiti sono vincolanti per tutta la comunità dell'intelligence e ad essi è stata data successivamente attuazione con le norme e procedure adottate dai vari enti per tradurre i principi generali in istruzioni specifiche per l'operatività quotidiana. Sebbene non sia vincolato dalla PPD-28, anche il Congresso è intervenuto per assicurare che, negli Stati Uniti, la raccolta di dati personali e l'accesso agli stessi siano mirati piuttosto che generalizzati.

Dalle informazioni disponibili, comprese le dichiarazioni presentate dal governo degli Stati Uniti, risulta che, una volta che i dati sono stati trasferiti a un'organizzazione ubicata negli Stati Uniti che si è autocertificata nell'ambito dello scudo, gli enti statunitensi di intelligence possono ottenerli soltanto⁷⁸ se la richiesta è conforme alla legge relativa alla vigilanza sull'intelligence esterna (FISA) o se è presentata dal Federal Bureau of Investigation (FBI) in base a una National Security Letter (NSL)⁷⁹. La FISA prevede varie basi giuridiche utilizzabili per raccogliere (e quindi trattare) i dati personali degli interessati dell'UE trasferiti nel quadro dello scudo: oltre all'articolo 104⁸⁰, che contempla la sorveglianza elettronica tradizionale personalizzata, e all'articolo 402⁸¹, relativo all'installazione di dispositivi di intercettazione dei dati informativi della comunicazione in entrata e in uscita, i due strumenti centrali sono l'articolo 501 (ex articolo 215 della legge U.S. PATRIOT) e l'articolo 702⁸².

Al riguardo la legge USA FREEDOM, adottata il 2 giugno 2015, vieta la raccolta in blocco di dati in base all'articolo 402 della FISA (potere di intercettazione dei dati informativi della comunicazione in entrata e in uscita) e all'articolo 501 della FISA (ex articolo 215 della legge U.S. PATRIOT)⁸³ e mediante le National Security Letter, imponendo invece l'impiego di selettori specifici⁸⁴.

Benché la FISA conferisca altri poteri di condotta di attività d'intelligence nazionale, intelligence dei segnali compresa, la Commissione valuta che, in relazione ai trasferimenti di dati nell'ambito dello scudo, tali poteri, al pari dei precedenti, limitino l'ingerenza delle autorità pubbliche alla raccolta e all'accesso mirati.

Per la sorveglianza elettronica tradizionale personalizzata a norma dell'articolo 104 della FISA⁸⁵, detta valutazione è indubbia. Quanto all'articolo 702 della FISA, su cui si basano due importanti programmi di intelligence condotti dagli enti d'intelligence degli Stati Uniti (PRISM e UPSTREAM), la ricerca è resa mirata mediante l'impiego di singoli selettori che identificano dispositivi di comunicazione specifici, come l'indirizzo di posta elettronica o il numero di telefono dell'obiettivo, ma non parole chiave e neppure il nome degli obiettivi⁸⁶. Pertanto, come rilevato dall'Autorità per la tutela della vita privata e delle libertà civili (PCLOB), la sorveglianza a norma dell'articolo 702 si esplica totalmente in una concentrazione delle rilevazioni su determinate persone [straniere] selezionate su base personalizzata⁸⁷. Poiché è prevista una clausola di caducità, l'articolo 702 della FISA dovrà essere riesaminato nel 2017, data alla quale la Commissione dovrà valutare nuovamente le garanzie disponibili per gli interessati dell'UE.

Nelle sue dichiarazioni il governo degli Stati Uniti ha inoltre assicurato esplicitamente alla Commissione che la comunità dell'intelligence statunitense «non effettua una sorveglianza indiscriminata su nessuno, e quindi neppure sul comune cittadino europeo»⁸⁸. Per quanto riguarda i dati personali raccolti negli Stati Uniti, quest'affermazione è corroborata da prove empiriche del fatto che le domande di accesso presentate mediante NSL e ai sensi della FISA, considerate singolarmente e collettivamente, riguardano soltanto un numero relativamente basso di obiettivi rispetto al flusso complessivo di dati su Internet⁸⁹.

Per quanto riguarda l'accesso ai dati rilevati e la sicurezza dei dati, la PPD-28 impone che l'accesso sia limitato al personale autorizzato che ha necessità di conoscere le informazioni per svolgere la propria missione e che le informazioni personali siano trattate e archiviate in condizioni tali da offrire una protezione adeguata e impedire l'accesso da parte di persone non autorizzate, in linea con le garanzie applicabili alle informazioni sensibili. Al personale addetto all'intelligence è impartita una formazione adeguata e sufficiente ai principi enunciati nella PPD-28⁹⁰.

Per quanto riguarda infine l'archiviazione e l'ulteriore divulgazione dei dati personali di interessati dell'UE raccolti dalle autorità di intelligence statunitensi, la PPD-28 afferma che ognuno (stranieri compresi) dev'essere trattato con dignità e rispetto, che ognuno ha un legittimo interesse alla tutela della propria vita privata nel quadro del trattamento dei dati personali che lo riguardano e che, quindi, i servizi della comunità dell'intelligence devono adottare politiche che offrano per tali dati garanzie adeguate «ragionevolmente intese a ridur[n]e al minimo la divulgazione e la conservazione»⁹¹.

Il governo degli Stati Uniti ha spiegato che, in base al requisito della ragionevolezza, i servizi della comunità dell'intelligence non sono tenuti a adottare «qualsiasi misura possibile in linea teorica», ma piuttosto a trovare nelle loro attività un «punto di equilibrio fra i legittimi interessi di tutela della vita privata e delle libertà civili e le esigenze concrete delle attività di intelligence dei segnali»⁹². In tale contesto i cittadini stranieri ricevono lo stesso trattamento riservato ai cittadini statunitensi o residenti negli USA, in linea con le procedure approvate dal Procuratore generale⁹³.

In base a dette norme, in linea di principio i dati possono essere conservati per un massimo di cinque anni, salvo se la conservazione per un periodo più lungo è ritenuta nell'interesse della sicurezza nazionale in base a una considerazione di diritto o a una decisione esplicita del Direttore dell'intelligence nazionale, maturata dopo un'attenta valutazione degli aspetti legati alla privacy e sentiti il responsabile della tutela delle libertà civili dell'ODNI e i responsabili della tutela della vita privata e delle libertà civili degli enti⁹⁴. La divulgazione è limitata ai casi in cui le informazioni sono pertinenti alla finalità stessa della raccolta, e rispondono quindi a un'esigenza autorizzata di intelligence esterna o di applicazione della legge⁹⁵.

Il governo degli Stati Uniti assicura che le informazioni personali non possono essere divulgate per il solo motivo che riguardano un cittadino straniero e che «i dati ricavati dall'intelligence dei segnali sulle attività abituali di uno straniero non possono essere considerati intelligence esterna da poter divulgare o conservare in via permanente per il solo fatto che riguardano uno straniero, a meno che rispondano altrimenti a un'esigenza autorizzata di intelligence esterna»⁹⁶.

In base alle considerazioni che precedono, la Commissione giunge alla conclusione che negli Stati Uniti vigono regole intese a limitare a quanto strettamente necessario per conseguire l'obiettivo legittimo ricercato qualsiasi ingerenza per motivi di sicurezza nazionale nei diritti fondamentali della persona i cui dati personali sono trasferiti dall'Unione europea verso gli Stati Uniti nell'ambito dello scudo.

Come emerge dall'analisi che precede, la legge degli Stati Uniti, garantisce che le misure di sorveglianza siano attuate soltanto per l'ottenimento di informazioni di intelligence esterna — il che è un obiettivo politico legittimo⁹⁷ — e siano il più possibile mirate. In particolare, la raccolta di dati in blocco è autorizzata soltanto in via eccezionale, quando la rilevazione mirata non è fattibile, ed è accompagnata da garanzie supplementari atte a ridurre al minimo la quantità di dati raccolti e il successivo accesso agli stessi (che dev'essere mirato e consentito solo per finalità specifiche).

Nella valutazione della Commissione gli Stati Uniti operano quindi in modo conforme ai criteri stabiliti dalla Corte di giustizia nella sentenza Schrems, in base ai quali la normativa che comporta un'ingerenza nei diritti fondamentali garantiti dagli articoli 7 e 8 della Carta deve imporre «requisiti minimi»⁹⁸ e in cui si afferma che «non è limitata allo stretto necessario una normativa che autorizza in maniera generale la conservazione di tutti i dati personali di tutte le persone i cui dati sono stati trasferiti dall'Unione verso gli Stati Uniti senza alcuna distinzione, limitazione o eccezione a seconda dell'obiettivo perseguito e senza che sia previsto alcun criterio oggettivo che permetta di delimitare l'accesso delle autorità pubbliche ai dati e il loro uso ulteriore a fini precisi, rigorosamente ristretti ed idonei a giustificare l'ingerenza che sia l'accesso sia l'utilizzazione di tali dati comporta»⁹⁹. Gli Stati Uniti non intendono procedere a una raccolta e archiviazione illimitate dei dati relativi a tutti senza limitazione alcuna né intendono consentire un accesso illimitato agli stessi. Inoltre, le dichiarazioni che gli USA hanno trasmesso alla Commissione, tra cui l'assicurazione che le attività di intelligence dei segnali condotte dagli Stati Uniti interessano soltanto una percentuale minima delle comunicazioni che transitano su Internet, escludono un accesso «in maniera generalizzata»¹⁰⁰ al contenuto delle comunicazioni elettroniche.

La Commissione ha valutato sia i meccanismi di vigilanza esistenti negli Stati Uniti riguardo all'ingerenza delle autorità di intelligence statunitensi nei dati personali trasferiti negli Stati Uniti, sia i mezzi di ricorso individuale di cui dispone l'interessato dell'UE.

La comunità dell'intelligence statunitense è sottoposta a vari meccanismi di controllo e di vigilanza dipendenti dai tre poteri dello Stato: organi interni e esterni dell'esecutivo, varie commissioni del Congresso e, per le attività contemplate dalla legge relativa alla vigilanza sull'intelligence esterna (FISA), vigilanza del potere giudiziario.

In primo luogo, l'esecutivo esercita una consistente vigilanza sulle attività di intelligence condotte dalle autorità statunitensi.

A norma della PPD-28, articolo 4 (a) (iv), le politiche e procedure dei servizi della comunità dell'intelligence devono prevedere misure adeguate per facilitare la vigilanza sull'attuazione delle garanzie a protezione delle informazioni personali, tra cui misure che dispongono verifiche periodiche¹⁰¹.

A tal fine sono stati predisposti vari livelli di vigilanza: addetti alla tutela della vita privata o alle libertà civili, ispettori generali, Ufficio per la tutela della vita privata e le libertà civili dell'ODNI, PCLOB e Autorità presidenziale di vigilanza sull'intelligence. In tutti gli enti del governo lavorano addetti alla conformità che assistono questi organi di vigilanza¹⁰².

Come spiegato dal governo degli Stati Uniti¹⁰³, addetti alla tutela della vita privata o alle libertà civili, con responsabilità di vigilanza, operano nei diversi dipartimenti che hanno competenze d'intelligence e negli enti d'intelligence¹⁰⁴. Benché i poteri precisi degli addetti possano variare leggermente in funzione dell'atto costitutivo, in ciascun caso è compresa tipicamente la vigilanza sulle procedure, per assicurare che il dipartimento/ente tenga adeguatamente conto degli aspetti inerenti alla privacy e alle libertà civili e abbia predisposto procedure adeguate per trattare i reclami sporti dalle persone che denunciano una violazione della loro privacy o delle loro libertà civili (in alcuni casi, come all'ODNI, gli addetti stessi sono abilitati a esaminare i reclami¹⁰⁵). Il capo del dipartimento/dell'ente deve provvedere a che l'addetto riceva tutte le informazioni e abbia accesso a tutta la documentazione necessaria per poter svolgere le proprie funzioni. Gli addetti alla tutela della vita privata e alle libertà civili riferiscono periodicamente al Congresso e alla PCLOB, indicando tra l'altro il numero e la natura dei reclami ricevuti dal dipartimento/dall'ente e fornendo una sintesi del trattamento loro riservato, delle verifiche effettuate e delle indagini condotte, nonché degli effetti delle attività svolte dall'addetto stesso¹⁰⁶. Le autorità nazionali di protezione dei dati valutano «abbastanza rigorosa» la vigilanza interna esercitata dagli addetti alla tutela della vita privata o alle libertà civili, che a loro parere non garantisce tuttavia il necessario grado di indipendenza¹⁰⁷.

Oltre agli addetti, ciascun servizio della comunità dell'intelligence ha il proprio ispettore generale, incaricato, tra l'altro, di vigilare sulle attività di intelligence esterna¹⁰⁸. L'articolazione del sistema comprende, presso l'ODNI, un Ufficio dell'ispettore generale con competenza generale su tutta la comunità dell'intelligence, autorizzato a esaminare i reclami o le informazioni inerenti a presunti comportamenti illeciti o abusi di potere compiuti in relazione con i programmi e attività dell'ODNI e/o della più ampia comunità dell'intelligence¹⁰⁹. L'ispettore generale è un'unità, indipendente per legge¹¹⁰, responsabile dei controlli e delle indagini riguardanti i programmi e le operazioni condotte dall'ente per scopi di intelligence nazionale, compreso in caso di abuso o violazione della legge¹¹¹. È autorizzato a accedere a tutti i dati, relazioni, verifiche, esami, documenti, carte, raccomandazioni o altro materiale pertinente, se necessario mediante l'emanazione di una citazione, e può assumere testimonianze¹¹². Sebbene l'ispettore generale possa formulare soltanto raccomandazioni non vincolanti di azioni correttive, i rapporti che redige, anche sugli interventi con cui vi si è dato seguito (o sull'assenza di tali interventi), sono resi pubblici e, soprattutto, trasmessi al Congresso, che su tale base può esercitare la sua funzione di vigilanza¹¹³.

Inoltre, l'Autorità per la tutela della vita privata e delle libertà civili (PCLOB), ente indipendente¹¹⁴ inquadrato nell'esecutivo e composto di cinque membri provenienti dai ranghi di entrambi i partiti¹¹⁵, nominati dal presidente per un mandato di sei anni con l'approvazione del Senato, ha responsabilità in materia di tutela della privacy e delle libertà civili nelle politiche dell'antiterrorismo e relativa attuazione. Per controllare le attività della comunità dell'intelligence ha facoltà di accedere a tutti i dati, relazioni, verifiche, documenti, carte e raccomandazioni dell'ente interessato, comprese le informazioni classificate, di procedere a interrogatori e di assumere testimonianze. Riceve le relazioni trasmesse dagli addetti alla tutela della vita privata e alle libertà civili di vari dipartimenti/enti federali¹¹⁶, può rivolgere loro raccomandazioni e riferisce periodicamente alle commissioni del Congresso e al presidente¹¹⁷. Nei limiti del suo mandato, la PCLOB è inoltre incaricata di redigere una relazione di valutazione dell'attuazione della PPD-28.

I meccanismi di vigilanza citati sono infine completati dall'Autorità di vigilanza sull'intelligence, istituita nell'ambito del Comitato presidenziale consultivo sull'intelligence che vigila sul rispetto della Costituzione e di tutte le applicabili norme da parte delle autorità di intelligence degli Stati Uniti.

Per facilitare l'esercizio della vigilanza, i servizi della comunità dell'intelligence sono incoraggiati a sviluppare sistemi informatici che permettano il monitoraggio, la registrazione e la verifica delle interrogazioni o altre ricerche di informazioni personali¹¹⁸. Gli organi di vigilanza e di controllo della conformità controllano periodicamente le pratiche seguite dai servizi della comunità dell'intelligence per proteggere le informazioni personali contenute nell'intelligence dei segnali e il rispetto delle relative procedure¹¹⁹.

Le funzioni di vigilanza sono sostenute anche da ampi obblighi di segnalazione dei casi di inosservanza. In particolare, le procedure dell'ente devono garantire che, quando si pone un serio problema di conformità che, indipendentemente dalla cittadinanza della persona, interessa informazioni personali rilevate nell'ambito dell'intelligence dei segnali, il caso debba essere segnalato prontamente al capo del servizio della comunità dell'intelligence in questione, che ne informa a sua volta il Direttore dell'intelligence nazionale cui, in virtù della PPD-28, spetta stabilire se siano necessarie azioni correttive¹²⁰. Inoltre, a norma dell'EO 12333, tutti i servizi della comunità dell'intelligence sono tenuti a segnalare i casi di inosservanza all'Autorità di vigilanza sull'intelligence¹²¹. Questi meccanismi garantiscono che la questione sia affrontata ai massimi livelli della comunità dell'intelligence. Se sono interessate informazioni personali relative a un cittadino straniero, il Direttore dell'intelligence nazionale stabilisce, in consultazione con il segretario di Stato e il capo del dipartimento o ente segnalante, se occorra intervenire per informare il relativo governo straniero, ferma restando la necessità di proteggere la fonte, il metodo e il personale degli USA¹²².

In secondo luogo, oltre ai citati meccanismi di vigilanza inquadrati nell'esecutivo, il Congresso degli Stati Uniti d'America, e più precisamente le commissioni Giustizia e Intelligence della Camera dei rappresentanti e del Senato, ha competenze di vigilanza sulle attività d'intelligence esterna condotte dagli USA, intelligence dei segnali compresa. A norma della legge sulla sicurezza nazionale, il presidente provvede a che le commissioni del Congresso che si occupano di intelligence siano tenute perfettamente informate e aggiornate sulle attività d'intelligence condotte dagli USA, comprese, come richiesto dal pertinente sottocapo della legge, le attività d'intelligence rilevanti previste per il futuro¹²³. Il presidente deve inoltre assicurare che tali commissioni del Congresso siano informate prontamente di qualsiasi attività d'intelligence illegale e delle misure correttive adottate o previste al riguardo¹²⁴. I membri di tali commissione hanno accesso alle informazioni classificate e ai metodi e programmi d'intelligence¹²⁵.

Gli obblighi di segnalazione sono stati ampliati e perfezionati con le leggi adottate successivamente, per quanto riguarda sia i servizi della comunità dell'intelligence sia i pertinenti ispettori generali e il Procuratore generale. La FISA chiede ad esempio al Procuratore generale di informare perfettamente le commissioni Intelligence e Giustizia del Senato e della Camera dei rappresentanti circa le attività svolte dal governo ai sensi di determinati suoi articoli¹²⁶. Chiede inoltre al governo di trasmettere alle commissioni del Congresso copia di ogni decisione, ordinanza o parere pronunciati dalla Corte FISA, o dalla Corte di controllo della vigilanza sull'intelligence esterna, in cui è riportata una spiegazione o interpretazione rilevante di una disposizione della FISA. Per quanto riguarda in particolare la sorveglianza a norma dell'articolo 702 della FISA, la vigilanza si esplica nell'obbligo di presentare le relazioni previste dalla legge alle commissioni Intelligence e Giustizia e nelle frequenti audizioni e riunioni informative, tra cui: la relazione semestrale in cui il Procuratore generale riferisce sull'applicazione dell'articolo 702 della FISA, corredata di documenti giustificativi, tra i quali, in particolare, le relazioni sulla conformità del Dipartimento della Giustizia e dell'ODNI e la descrizione dei casi di inosservanza¹²⁷, e la distinta valutazione semestrale in cui il Procuratore generale e il Direttore dell'intelligence nazionale riferiscono sul rispetto delle procedure atte a rendere mirata e a minimizzare la raccolta dati, comprese le procedure volte a garantire che i dati siano raccolti per una finalità valida di intelligence esterna¹²⁸. Il Congresso riceve inoltre le relazioni degli ispettori generali che sono autorizzati a valutare il rispetto delle procedure atte a rendere mirata e a minimizzare la raccolta dati da parte degli enti, e gli orientamenti del Procuratore generale.

A norma della legge USA FREEDOM del 2015, il governo statunitense deve comunicare ogni anno al Congresso (e al pubblico) il numero delle ordinanze e delle direttive ai sensi della FISA chieste e ottenute, così come, tra l'altro, la stima del numero di cittadini statunitensi o residenti negli USA e di cittadini stranieri sottoposti a sorveglianza¹²⁹. La legge impone altre comunicazioni pubbliche circa il numero di National Security Letter emanate, anche in questo caso nei confronti sia di cittadini statunitensi o residenti negli USA sia di cittadini stranieri (permettendo nel contempo al destinatario di un'ordinanza o certificazione ai sensi della FISA, o di una richiesta di NSL, di pubblicare, a determinate condizioni, rapporti sulla trasparenza)¹³⁰.

In terzo luogo, le attività d'intelligence condotte dalle autorità pubbliche statunitensi a norma della FISA sono subordinate alla verifica, e in alcuni casi all'autorizzazione preventiva, della Corte FISA¹³¹, giudice indipendente¹³² le cui decisioni possono essere impugnate dinanzi alla Corte di controllo della vigilanza sull'intelligence esterna (FISCR)¹³³ e, in ultima istanza, dinanzi alla Corte suprema degli Stati Uniti d'America¹³⁴. Per l'autorizzazione preventiva, l'autorità richiedente (FBI, NSA, CIA ecc.) deve presentare un progetto di domanda all'ufficio legale del Dipartimento della sicurezza nazionale del Dipartimento della Giustizia, che la esamina e, se necessario, chiede ulteriori informazioni¹³⁵. Una volta messa a punto, la domanda dev'essere approvata dal Procuratore generale, dal Viceprocuratore generale o dal Procuratore generale aggiunto per la sicurezza nazionale¹³⁶. Il Dipartimento della Giustizia trasmette quindi la domanda alla Corte FISA, che la valuta e stabilisce in via preliminare come procedere¹³⁷. Se è organizzata un'udienza, la Corte FISA ha il potere di assumere testimonianze, eventualmente anche in forma di pareri di esperti¹³⁸.

La Corte FISA (così come la FISCR) è coadiuvata da un comitato permanente formato da cinque persone di chiara esperienza in materia di sicurezza nazionale e di libertà civili¹³⁹. Scegliendo fra queste persone la Corte ne designa una per il ruolo di amicus curiae, col compito di prestare assistenza nell'esame di una domanda di ordinanza o riesame che, a parere della Corte, comporta un'interpretazione rilevante o inedita della legge; la Corte può prescindere dalla designazione se non la ritiene opportuna¹⁴⁰. Il sistema permette in particolare di assicurare che la valutazione della Corte tenga adeguatamente conto degli aspetti inerenti alla privacy. Se lo reputa opportuno, la Corte può anche designare una persona o un'organizzazione per il ruolo di amicus curiae, anche per assisterla con perizie tecniche, così come può dare, alla persona o all'organizzazione che lo richiede, la facoltà di presentare una memoria in qualità di amicus curiae¹⁴¹.

Quanto ai due conferimenti di potere in materia di sorveglianza previsti dalla FISA che sono maggiormente rilevanti ai fini dei trasferimenti di dati nell'ambito dello scudo, la vigilanza esercitata dalla Corte FISA sull'uno differisce da quella esercitata sull'altro.

Nell'ambito dell'articolo 501 della FISA¹⁴², che consente l'acquisizione di beni materiali (compresi libri, registri, carte, documenti e altro), la domanda presentata alla Corte FISA deve comprendere un'esposizione dei fatti che indichi i ragionevoli motivi per i quali si ritiene che i beni materiali richiesti siano pertinenti per un'indagine autorizzata (e non per la valutazione di una minaccia), condotta per l'ottenimento di informazioni di intelligence esterna che non riguardano un cittadino statunitense o residente negli USA oppure per la protezione contro il terrorismo internazionale o attività di intelligence clandestine. La domanda deve altresì elencare le procedure di minimizzazione adottate dal Procuratore generale relativamente alla conservazione e alla divulgazione dei dati d'intelligence raccolti.¹⁴³

Per converso, nell'ambito dell'articolo 702 della FISA¹⁴⁴ la Corte FISA non autorizza singole misure di sorveglianza, ma piuttosto programmi di sorveglianza (quali PRISM e UPSTREAM) basandosi sulle certificazioni annuali preparate dal Procuratore generale e dal Direttore dell'intelligence nazionale. L'articolo 702 della FISA consente di prendere a obiettivo persone che si ritiene ragionevolmente si trovino al di fuori degli Stati Uniti, al fine di acquisire informazioni di intelligence esterna¹⁴⁵. Per l'individuazione degli obiettivi l'NSA procede in due fasi. Primo, gli analisti dell'NSA individuano i cittadini stranieri all'estero che, nella loro valutazione, se sorvegliati porteranno a ottenere i pertinenti dati d'intelligence esterna indicati nella certificazione. Secondo, una volta individuate le persone e approvata, al termine di un processo ampio di verifica interno all'NSA¹⁴⁶, la sorveglianza su di esse, sono «attivati» (ossia sviluppati e applicati) i selettori che identificano i dispositivi di comunicazione (come gli indirizzi di posta elettronica) usati da tali obiettivi¹⁴⁷. Come indicato in precedenza, le certificazioni che la Corte FISA deve approvare non contengono informazioni sul singolo potenziale obiettivo, ma indicano piuttosto categorie di informazioni di intelligence esterna¹⁴⁸. La Corte FISA non valuta, in base a elementi plausibili né a altro criterio, se la persona costituisca un obiettivo adatto per acquisire informazioni di intelligence esterna¹⁴⁹; il suo controllo verte piuttosto sulla condizione che uno degli scopi rilevanti dell'acquisizione dev'essere quello di ottenere informazioni di intelligence esterna¹⁵⁰. Ai sensi dell'articolo 702 della FISA, infatti, l'NSA è autorizzata a rilevare le comunicazioni di cittadini stranieri al di fuori degli Stati Uniti solo se si può ragionevolmente ritenere che un determinato mezzo di comunicazione sia usato per comunicare informazioni di intelligence esterna (ad esempio in relazione al terrorismo internazionale, alla proliferazione nucleare o ad attività informatiche ostili). Le decisioni al riguardo sono soggette a sindacato giurisdizionale¹⁵¹. Le certificazioni devono prevedere anche procedure atte a rendere mirata e a minimizzare la raccolta¹⁵². Il Procuratore generale e il Direttore dell'intelligence nazionale verificano la conformità e gli enti sono tenuti a segnalare i casi di inosservanza alla Corte FISA¹⁵³ (così come al Congresso e all'Autorità presidenziale di vigilanza sull'intelligence), che su tale base può modificare l'autorizzazione¹⁵⁴.

Per aumentare l'efficacia della vigilanza da parte della Corte FISA, l'amministrazione statunitense ha deciso di dare attuazione a una raccomandazione della PCLOB trasmettendo a tale Corte la documentazione relativa alle decisioni atte a rendere mirata la raccolta dati a norma dell'articolo 702, compreso un campione casuale delle schede di attivazione, al fine di consentirle di valutare il modo in cui è assolto nella pratica l'obbligo di avere una finalità d'intelligence esterna¹⁵⁵. Al tempo stesso l'amministrazione statunitense ha accettato di rivedere le procedure dell'NSA atte a rendere mirata la raccolta dati e ha adottato misure al riguardo, nell'intento di documentare meglio i motivi d'intelligence esterna su cui si basano le decisioni di scelta dell'obiettivo¹⁵⁶.

La legge degli USA offre all'interessato dell'UE vari mezzi per sapere se i servizi della comunità dell'intelligence statunitense abbiano trattato dati personali che lo riguardano (o li abbiano raccolti, vi abbiano avuto accesso ecc.) e, in caso affermativo, se siano state rispettate le limitazioni applicabili a norma della legge statunitense. Gli aspetti interessati sono essenzialmente tre: ingerenze ai sensi della FISA, accesso intenzionale illecito ai dati personali da parte di agenti del governo, e accesso alle informazioni ai sensi della legge sulla libertà di informazione (FOIA)¹⁵⁷.

In primo luogo, la legge relativa alla vigilanza sull'intelligence esterna (FISA) prevede una serie di mezzi, a disposizione anche dei cittadini stranieri, per contestare la sorveglianza elettronica illecita¹⁵⁸, offrendo alla persona la possibilità di avviare una causa civile contro gli USA per ottenere un risarcimento pecuniario quando le informazioni che la riguardano sono state usate o divulgate illecitamente e con dolo¹⁵⁹, di adire le vie legali contro agenti del governo statunitense, nella loro capacità personale («abuso di potere») per ottenere un risarcimento pecuniario¹⁶⁰, e di contestare la legalità della sorveglianza (chiedendo anche di sopprimere le informazioni) quando il governo degli Stati Uniti intende usare o divulgare le informazioni raccolte o ricavate dalla sorveglianza elettronica contro la persona in un procedimento giudiziario o amministrativo negli Stati Uniti¹⁶¹.

In secondo luogo, il governo degli Stati Uniti ha rimandato la Commissione a una serie di ulteriori possibilità di cui l'interessato dell'Unione europea potrebbe valersi per adire le vie legali contro agenti del governo in caso di accesso o uso illecito dei dati personali da parte del governo, anche per asserite finalità di sicurezza nazionale, ossia la legge sulle frodi e gli abusi informatici¹⁶², la legge sulla privacy nelle comunicazioni elettroniche¹⁶³ e la legge sul diritto alla privacy finanziaria¹⁶⁴. Tutti questi motivi per adire le vie legali riguardano dati, obiettivi e/o tipi di accesso specifici (ad esempio, accesso a un computer in remoto via Internet) e sono disponibili a determinate condizioni (ad esempio, condotta intenzionale/dolosa, abuso di potere, danno)¹⁶⁵. Una possibilità di ricorso più generale è offerta dalla legge sulle procedure amministrative (Codice degli Stati Uniti d'America, titolo 5, articolo 702), in base alla quale chiunque subisca un illecito, un inconveniente o un torto a causa dell'azione di un ente pubblico ha diritto di ricorrere al sindacato giurisdizionale, anche chiedendo al giudice di dichiarare illegittime e annullare le azioni, constatazioni e conclusioni dell'ente che risultano arbitrarie o illogiche, viziate da abuso di potere o altrimenti non conformi alla legge¹⁶⁶.

Infine, il governo statunitense ha indicato nella FOIA un mezzo con cui il cittadino straniero può chiedere l'accesso ai dati esistenti degli enti federali, anche quando contengono dati personali che lo riguardano¹⁶⁷. Data la materia trattata, la FOIA non offre una possibilità di ricorso individuale contro l'ingerenza nei dati personali in sé, ma potrebbe in linea di principio permettere alla persona di accedere alle informazioni al riguardo detenute dagli enti d'intelligence nazionali. Le possibilità paiono comunque limitate anche in quest'ultima ipotesi, perché l'ente può negare l'accesso alle informazioni che rientrano in una serie elencata di eccezioni, tra cui l'accesso alle informazioni classificate in materia di sicurezza nazionale e alle informazioni relative a indagini dei servizi di contrasto¹⁶⁸. Detto questo, quando l'ente d'intelligence nazionale applica una di tali eccezioni, la persona può presentare ricorso per via amministrativa e per via giudiziaria.

Pertanto, sebbene la persona, compreso l'interessato dell'UE, sottoposta a sorveglianza (elettronica) illecita per finalità di sicurezza nazionale disponga di una serie di possibilità di ricorso, altrettanto pacifico è che queste non contemplano almeno alcune delle basi giuridiche di cui possono avvalersi le autorità di intelligence statunitensi (ad esempio l'EO 12333). Inoltre, anche quando la possibilità di ricorso per via giudiziaria è effettivamente offerta, in linea di principio, anche al cittadino straniero, come ad esempio in caso di sorveglianza ai sensi della FISA, i motivi per cui si possono adire le vie legali sono limitati¹⁶⁹ e l'istanza presentata da una persona (compresi i cittadini statunitensi o residenti negli USA) è dichiarata irricevibile se questa non è in grado di dimostrare la propria legittimazione ad agire¹⁷⁰, il che limita di fatto l'accesso al giudice ordinario¹⁷¹.

Per offrire a tutti gli interessati dell'UE un'ulteriore via di ricorso, il governo statunitense ha deciso di creare il nuovo meccanismo di mediazione illustrato nella lettera del segretario di Stato degli USA alla Commissione, riportata nell'allegato III della presente decisione. Benché si fondi sulla nomina in seno al Dipartimento di Stato, ai sensi della PPD-28, di un Primo coordinatore (a livello di Sottosegretario) a referente per i governi stranieri che si pongono interrogativi sulle attività di intelligence dei segnali condotte dagli Stati Uniti d'America, il meccanismo si spinge ben oltre quest'idea che ne è all'origine.

In particolare, stante agli impegni assunti dal governo degli Stati Uniti, il meccanismo di mediazione intende assicurare che ogni reclamo riceva un esame e un trattamento adeguati e che una fonte indipendente confermi alla persona che le leggi degli Stati Uniti sono state rispettate o, se sono state violate, che l'inosservanza è stata nel frattempo sanata¹⁷². Il meccanismo comprende il «Mediatore dello scudo», ossia il Sottosegretario e altro personale, e altri organi di vigilanza competenti a controllare i vari servizi della comunità dell'intelligence, sulla cui collaborazione il Mediatore dello scudo fa affidamento per il trattamento dei reclami. In particolare, se il reclamo della persona verte sulla compatibilità della sorveglianza con la legge statunitense, il Mediatore può contare su organi di vigilanza indipendenti dotati di poteri di indagine (quali gli ispettori generali o la PCLOB). In ogni caso il segretario di Stato provvede a che il Mediatore disponga dei mezzi per garantire che la risposta apportata alla richiesta prenda in considerazione tutte le informazioni necessarie.

Questa struttura composita permette al meccanismo di mediazione di garantire una vigilanza indipendente e la possibilità di ricorso individuale. La collaborazione con altri organi di vigilanza assicura altresì l'accesso alle necessarie conoscenze tecniche. Obbligando il Mediatore dello scudo a confermare la conformità o la riparazione dell'inosservanza, il meccanismo rispecchia infine l'impegno del governo statunitense nel suo insieme a trattare i reclami presentati da persone dell'UE e a risolverli.

In primo luogo, a differenza di un meccanismo schiettamente intergovernativo, il Mediatore dello scudo riceve singoli reclami e vi risponde. Il reclamo può essere sporto presso l'autorità di vigilanza che, nello Stato membro, è competente della vigilanza sui servizi di sicurezza nazionali e/o del trattamento dei dati personali da parte delle autorità pubbliche, la quale lo sottopone a un organo centralizzato a livello dell'UE da cui viene poi inoltrato al Mediatore dello scudo¹⁷³. Questa procedura torna a vantaggio delle persone dell'UE, che possono rivolgersi nella propria lingua a un'autorità nazionale «vicino casa», cui spetta assistere la persona per la trasmissione al Mediatore dello scudo di una richiesta che, riportando le informazioni essenziali, possa essere considerata «completa». La persona non è tenuta a dimostrare che il governo degli USA abbia effettivamente avuto accesso, nell'ambito delle attività di intelligence dei segnali, ai dati personali che la riguardano.

In secondo luogo, il governo degli Stati Uniti s'impegna a garantire che, nell'esercizio delle sue funzioni, il Mediatore dello scudo possa contare sulla collaborazione di altri meccanismi di vigilanza e di controllo della conformità previsti dalla legge statunitense. In alcuni casi, questo implica il coinvolgimento delle autorità nazionali di intelligence, in particolare se la domanda va interpretata come richiesta di accesso a documenti ai sensi della legge sulla libertà d'informazione. In altri, in particolare quando la domanda verte sulla compatibilità della sorveglianza con la legge statunitense, sono coinvolti nella collaborazione organi di vigilanza indipendenti (ad esempio, gli ispettori generali) che hanno la competenza e il potere di svolgere indagini approfondite (in particolare potendo accedere a tutti i documenti pertinenti e esercitando il potere di chiedere informazioni e dichiarazioni) e di risolvere i casi di inosservanza¹⁷⁴. Il Mediatore dello scudo ha inoltre facoltà di sottoporre la questione all'esame della PCLOB¹⁷⁵. Se uno degli organi di vigilanza riscontra un'inosservanza, il servizio della comunità dell'intelligence responsabile (ad esempio un ente di intelligence) deve porvi rimedio, perché solo così il Mediatore può dare alla persona la risposta «positiva» (ossia che l'inosservanza è stata sanata) cui il governo degli Stati Uniti si è impegnato. Nel quadro della collaborazione il Mediatore dello scudo è altresì informato dell'esito dell'indagine; a tal fine, dispone dei mezzi che gli assicurano di ricevere tutte le informazioni necessarie per elaborare la risposta.

Infine, il Mediatore dello scudo è indipendente dalla comunità dell'intelligence statunitense, quindi svincolato da qualsiasi sua istruzione¹⁷⁶. Quest'aspetto riveste grande importanza, dato che il Mediatore deve confermare. i) che il reclamo è stato esaminato adeguatamente; e ii) che è stata rispettata la legge statunitense applicabile, comprese in particolare le limitazioni e le garanzie illustrate nell'allegato VI, oppure, se non è stata rispettata, che l'inosservanza è stata nel frattempo sanata. Per poter dare tale conferma indipendente, il Mediatore deve ricevere le informazioni sull'esame del reclamo che gli sono necessarie per valutare l'accuratezza della risposta. Il segretario di Stato ha assunto l'impegno di assicurare che il Sottosegretario svolga la funzione di Mediatore dello scudo con obiettività e senza indebite ingerenze che possano influire sulla risposta apportata.

Nel complesso, il meccanismo assicura che ciascun caso di reclamo sia esaminato a fondo e risolto e che, almeno relativamente alla sorveglianza, siano coinvolti autorità di vigilanza indipendenti dotate delle competenze tecniche e dei poteri d'indagine necessari e un Mediatore in grado di svolgere le proprie funzioni senza indebite ingerenze, in particolare di ordine politico. Inoltre, la persona può sporgere reclamo senza dover dimostrare di essere stata sottoposta a sorveglianza, e anzi senza dover neppure fornire indicazioni al riguardo¹⁷⁷. Alla luce delle caratteristiche descritte la Commissione ritiene che vigano garanzie adeguate ed effettive contro gli abusi.

In base alle considerazioni esposte la Commissione giunge alla conclusione che gli Stati Uniti offrono una tutela giuridica efficace contro le ingerenze delle autorità d'intelligence nei diritti fondamentali della persona i cui dati sono trasferiti dall'Unione agli Stati Uniti nell'ambito dello scudo UE-USA per la privacy.

Al riguardo la Commissione prende atto della sentenza della Corte di giustizia nella causa Schrems, secondo cui «una normativa che non prevede alcuna possibilità per il singolo di avvalersi di rimedi giuridici al fine di accedere a dati personali che lo riguardano, oppure di ottenere la rettifica o la soppressione di tali dati, non rispetta il contenuto essenziale del diritto fondamentale ad una tutela giurisdizionale effettiva, quale sancito all'articolo 47 della Carta»¹⁷⁸. La valutazione effettuata dalla Commissione ha confermato la disponibilità di siffatti rimedi giuridici negli Stati Uniti d'America, anche grazie all'introduzione del meccanismo di mediazione, che prevede una vigilanza indipendente corredata di poteri di indagine. La Commissione verifica l'efficacia di detto meccanismo nel quadro del monitoraggio continuo dello scudo, fra l'altro anche tramite l'analisi annuale comune cui parteciperà anche il Mediatore.

Relativamente all'ingerenza nei dati personali trasferiti nell'ambito dello scudo UE-USA per la privacy compiuta a fini di applicazione della legge, il governo degli Stati Uniti ha fornito (per il tramite del Dipartimento della Giustizia) rassicurazioni circa le limitazioni e garanzie applicabili; nella valutazione della Commissione queste evidenziano un livello di protezione adeguato.

Stando a dette informazioni, il quarto emendamento della Costituzione degli Stati Uniti¹⁷⁹ dispone che le autorità di contrasto possano, in via di principio¹⁸⁰, procedere a perquisizioni e sequestri soltanto con un mandato del giudice ottenuto dimostrando una fondata supposizione. Nei pochi casi eccezionali, stabiliti precisamente, in cui il mandato non è necessario¹⁸¹, l'applicazione della legge è subordinata a una prova di «ragionevolezza»¹⁸²: per stabilire se la perquisizione o il sequestro sia «ragionevole» occorre valutarne, da un lato, il grado di intrusività nella privacy della persona e, dall'altro, il grado di necessità ai fini della promozione degli interessi legittimi del governo¹⁸³. Su un piano più generale, il quarto emendamento garantisce la privacy e la dignità e tutela dagli atti arbitrari e invasivi degli agenti del governo¹⁸⁴. Questi principi rispecchiano i principi di necessità e di proporzionalità del diritto dell'Unione. Quando l'autorità di contrasto non ne ha più bisogno come prove, le cose sequestrate devono essere restituite¹⁸⁵.

Sebbene il quarto emendamento non li contempli, i cittadini stranieri che non sono residenti negli Stati Uniti godono comunque, indirettamente, delle tutele che garantisce: poiché i dati personali sono detenuti da imprese statunitensi, in ogni caso le autorità di contrasto devono ottenere l'autorizzazione del giudice (o almeno rispettare il requisito di ragionevolezza)¹⁸⁶. Ulteriori tutele sono garantite da poteri particolari conferiti per legge e dagli orientamenti del Dipartimento della Giustizia, che limitano l'accesso delle autorità di contrasto ai dati in base a criteri equivalenti a quelli della necessità e della proporzionalità (ad esempio, imponendo all'FBI di applicare metodi di indagine meno intrusivi possibile, tenendo conto dell'effetto sulla vita privata e sulle libertà civili)¹⁸⁷. Secondo le dichiarazioni trasmesse dal governo degli Stati Uniti, tutele equivalenti o superiori vigono per le indagini delle autorità di contrasto a livello di Stati federati (per le indagini svolte a norma di leggi dello Stato federato)¹⁸⁸.

Sebbene non in tutti i casi sia necessaria l'autorizzazione giudiziaria preliminare del tribunale o del grand jury (ramo investigativo di un tribunale, formato da giurati scelti da un magistrato o giudice)¹⁸⁹, la citazione amministrativa è limitata a casi specifici ed è soggetta a sindacato giurisdizionale indipendente, perlomeno nei casi in cui il governo si rivolge al giudice per ottenerne l'esecuzione¹⁹⁰.

Le stesse considerazioni valgono per la citazione amministrativa usata per finalità d'interesse pubblico. Secondo le dichiarazioni del governo statunitense, si applicano limitazioni sostanziali analoghe anche per il fatto che l'ente può chiedere l'accesso soltanto ai dati d'interesse per la materia rientrante nella sua competenza, soddisfacendo sempre il criterio di ragionevolezza.

Quando un'autorità pubblica tratta dati personali, la legge degli Stati Uniti offre alla persona varie vie di ricorso giudiziario nei confronti dell'autorità pubblica stessa o di un suo agente. Fatto salvo il soddisfacimento delle condizioni applicabili, queste vie di ricorso, che comprendono in particolare la legge sulle procedure amministrative (APA), la legge sulla libertà d'informazione (FOIA) e legge sulla privacy nelle comunicazioni elettroniche (ECPA), sono aperte a tutti, indipendentemente dalla cittadinanza.

In generale, a norma delle disposizioni sul sindacato giurisdizionale previste dalla legge sulle procedure amministrative¹⁹¹, chiunque subisca un illecito, un inconveniente o un torto a causa dell'azione di un ente pubblico ha diritto di ricorrere al sindacato giurisdizionale¹⁹², anche chiedendo al giudice di dichiarare illegittime e annullare le azioni, constatazioni e conclusioni dell'ente che risultano arbitrarie o illogiche, viziate da abuso di potere o altrimenti non conformi alla legge¹⁹³.

Più precisamente, instaurando un sistema di diritti alla privacy sanciti per legge, il titolo II della legge sulla privacy nelle comunicazioni elettroniche¹⁹⁴ disciplina l'accesso ai contenuti delle comunicazioni orali, via cavo o elettroniche conservati da terzi fornitori di servizi¹⁹⁵. Decreta la punibilità dell'accesso illecito (ossia non autorizzato dal giudice o altrimenti permesso) a tali comunicazioni e offre alla persona lesa la possibilità di avviare, contro l'agente del governo che ha volontariamente commesso tale illecito o contro gli Stati Uniti d'America, un'azione civile dinanzi a un giudice federale statunitense per ottenere il risarcimento dei danni effettivi e punitivi e una riparazione equa o dichiarativa.

A norma della legge sulla libertà di informazione (FOIA, Codice degli Stati Uniti d'America, titolo 5, articolo 552), ognuno ha il diritto di accedere ai dati degli enti federali e, esauriti i ricorsi amministrativi, di far valere tale diritto dinanzi al giudice, a meno che tali dati rientrino in un'eccezione che ne impedisce la divulgazione pubblica o in un'esclusione particolare per motivi di applicazione della legge¹⁹⁶.

Varie altre leggi conferiscono alla persona il diritto di agire in giustizia contro un'autorità pubblica o un funzionario pubblico statunitense a motivo del trattamento dei dati personali che la riguardano: legge sulle intercettazioni¹⁹⁷, legge sulle frodi e gli abusi informatici¹⁹⁸, legge federale sulle rivendicazioni per fatti illeciti¹⁹⁹, legge sul diritto alla privacy finanziaria²⁰⁰ e legge sull'informativa corretta nel credito²⁰¹.

La Commissione giunge pertanto alla conclusione che negli Stati Uniti vigono regole intese a limitare a quanto strettamente necessario per conseguire l'obiettivo legittimo ricercato qualsiasi ingerenza per motivi di applicazione della legge²⁰² o altro scopo d'interesse pubblico nei diritti fondamentali della persona i cui dati personali sono trasferiti dall'Unione europea verso gli Stati Uniti nell'ambito dello scudo, e che contro le ingerenze di tale natura esiste una tutela giuridica efficace.

Alla luce delle considerazioni che precedono, la Commissione ritiene che gli Stati Uniti d'America assicurino un livello di protezione adeguato dei dati personali trasferiti nell'ambito dello scudo dall'Unione alle organizzazioni statunitensi che si sono autocertificate come aderenti al regime.

In particolare, la Commissione ritiene che i principi emanati dal Dipartimento del Commercio degli Stati Uniti assicurino nel complesso un livello di protezione dei dati personali sostanzialmente equivalente a quello garantito dai principi fondamentali stabiliti nella direttiva 95/46/CE.

L'effettiva applicazione dei principi è inoltre garantita sia dagli obblighi di trasparenza sia dalla gestione dello scudo da parte del Dipartimento del Commercio.

La Commissione ritiene che, nel complesso, i meccanismi di vigilanza e di ricorso previsti dallo scudo permettano di individuare e punire nella pratica le violazioni dei principi commesse dalle organizzazioni aderenti al regime e offrano all'interessato mezzi di ricorso che gli consentono di accedere ai dati personali che lo riguardano e, in ultima analisi, di ottenerne la rettifica o cancellazione.

In base alle informazioni sull'ordinamento giuridico statunitense disponibili, comprese le dichiarazioni e gli impegni del governo statunitense, la Commissione ritiene che l'ingerenza nei diritti fondamentali della persona i cui dati sono trasferiti dall'Unione verso gli Stati Uniti nell'ambito dello scudo, compiuta dall'autorità pubblica statunitense per esigenze di sicurezza nazionale, amministrazione della giustizia o altro scopo d'interesse pubblico, e le conseguenti limitazioni relative al rispetto dei principi imposte alle organizzazioni che si sono autocertificate come aderenti al regime, si limitino a quanto strettamente necessario per conseguire l'obiettivo legittimo ricercato e che contro le ingerenze di tale natura esiste una tutela giuridica efficace.

La Commissione giunge alla conclusione che sono soddisfatti i criteri dell'articolo 25 della direttiva 95/46/CE, interpretati alla luce della Carta dei diritti fondamentali dell'Unione europea sulla scorta delle delucidazioni apportate dalla Corte di giustizia, in particolare nella sentenza Schrems.

Nella sentenza Schrems la Corte di giustizia ha precisato che la Commissione non ha la competenza di limitare i poteri che le autorità di protezione dei dati traggono dall'articolo 28 della direttiva 95/46/CE (compreso il potere di sospendere il trasferimento dei dati) nel caso in cui una persona, in occasione di una domanda basata su tale disposizione, rimetta in discussione la compatibilità di una decisione della Commissione sull'adeguatezza con la tutela del diritto fondamentale alla protezione della vita privata e dei dati²⁰³.

Per permetterle di monitorare con efficacia il funzionamento dello scudo, gli Stati membri dovrebbero informare la Commissione delle azioni pertinenti intraprese dalle autorità di protezione dei dati.

La Corte di giustizia ha inoltre rilevato che, in linea con l'articolo 25, paragrafo 6, secondo comma, della direttiva 95/46/CE, gli Stati membri e i loro organi devono adottare le misure necessarie per conformarsi agli atti delle istituzioni dell'Unione, che si presumono, in linea di principio, legittimi e producono pertanto effetti giuridici, finché non siano stati revocati o annullati nel contesto di un ricorso per annullamento ovvero dichiarati invalidi a seguito di un rinvio pregiudiziale o di un'eccezione di illegittimità. Di conseguenza, la decisione di adeguatezza adottata dalla Commissione a norma dell'articolo 25, paragrafo 6, della direttiva 95/46/CE è vincolante per tutti gli organi degli Stati membri che ne sono i destinatari, comprese le autorità di controllo indipendenti²⁰⁴. Nell'ipotesi in cui siffatta autorità abbia ricevuto un reclamo che rimette in discussione la conformità di una decisione di adeguatezza della Commissione con la tutela del diritto fondamentale al rispetto della vita privata e alla protezione dei dati e reputi fondate le censure sollevate, la normativa nazionale deve prevedere mezzi di ricorso che le consentano di far valere tali censure dinanzi a un giudice nazionale, il quale, in caso di dubbio, deve sospendere il procedimento e disporre un rinvio pregiudiziale alla Corte di giustizia²⁰⁵.

Alla luce del fatto che il livello di protezione assicurato dall'ordinamento giuridico statunitense può evolversi, successivamente all'adozione della presente decisione la Commissione verifica periodicamente se le constatazioni relative al livello di protezione assicurato dagli Stati Uniti nell'ambito dello scudo continuino ad essere giustificate in fatto e in diritto. Una siffatta verifica è in ogni caso obbligatoria quando la Commissione acquisisce nuove informazioni che fanno sorgere un dubbio giustificato al riguardo²⁰⁶.

La Commissione monitora pertanto su base continuativa il regime complessivo istituito dallo scudo per il trasferimento dei dati personali e la conformità dell'operato delle autorità statunitensi con le dichiarazioni e gli impegni riportati nei documenti allegati alla presente decisione. Per agevolare questo processo, gli Stati Uniti si sono impegnati a informare la Commissione, se pertinenti ai fini dello scudo, degli sviluppi rilevanti della normativa statunitense in materia di tutela dei dati personali e di limitazioni e salvaguardie applicabili all'accesso ai dati personali da parte delle autorità pubbliche. La presente decisione è altresì oggetto di un'analisi annuale comune vertente su tutti gli aspetti del funzionamento dello scudo UE-USA per la privacy, comprese le eccezioni ai principi per motivi di sicurezza nazionale e di amministrazione della giustizia. Poiché sull'accertamento di adeguatezza può influire anche l'evoluzione del diritto dell'Unione, la Commissione valuta il livello di protezione offerto dallo scudo anche una volta entrato in vigore il regolamento generale sulla protezione dei dati.

Ai fini dell'analisi annuale comune di cui agli allegati I, II e VI, la Commissione si riunisce con il Dipartimento del Commercio e la FTC, se del caso accompagnati da altri dipartimenti e enti che intervengono nell'attuazione del regime dello scudo, così come, per le questioni relative alla sicurezza nazionale, rappresentanti dell'ODNI e di altri servizi della comunità dell'intelligence e il Mediatore. Alla riunione possono partecipare le autorità di protezione dei dati dell'UE e rappresentanti del gruppo dell'articolo 29.

In sede di analisi annuale comune la Commissione chiede al Dipartimento del Commercio di comunicare informazioni complete su tutti gli aspetti pertinenti del funzionamento dello scudo, tra cui informazioni sui casi sottopostigli dalle autorità di protezione dei dati e i risultati dei controlli ufficiali della conformità. La Commissione chiede altresì spiegazioni su qualsiasi questione o tema riguardante lo scudo e il relativo funzionamento emerso dalle informazioni disponibili, compresi i rapporti sulla trasparenza consentiti a norma della legge USA FREEDOM, le relazioni pubblicate dalle autorità nazionali di intelligence degli Stati Uniti, le autorità di protezione dei dati, i gruppi che si occupano di privacy, i mezzi di comunicazione o qualsiasi altra fonte. Per agevolarla in questo compito, gli Stati membri dovrebbero informare la Commissione dei casi in cui l'intervento degli organi incaricati di garantire l'osservanza ai principi negli Stati Uniti è risultato vano e di qualsiasi indicazione lasci supporre che l'operato delle autorità pubbliche statunitensi responsabili della sicurezza nazionale o della prevenzione, indagine, accertamento e perseguimento dei reati non assicura il livello di protezione richiesto.

La Commissione elabora, in base all'analisi annuale comune, una relazione da presentare al Parlamento europeo e al Consiglio.

Se, in base alle verifiche o alle altre informazioni disponibili, la Commissione constata che il livello di protezione offerto dallo scudo non può più essere considerato sostanzialmente equivalente a quello dell'Unione, o se vi sono chiare indicazioni del fatto che potrebbe non essere più possibile assicurare negli Stati Uniti l'effettivo rispetto dei principi o che l'operato delle autorità pubbliche statunitensi responsabili della sicurezza nazionale o della prevenzione, indagine, accertamento e perseguimento dei reati non assicura il livello di protezione richiesto, la Commissione ne informa il Dipartimento del Commercio e chiede l'adozione di misure adeguate per risolvere rapidamente, entro un termine stabilito e ragionevole, i potenziali casi di inosservanza dei principi. Se, scaduto il termine stabilito, le autorità statunitensi non hanno dimostrato in modo convincente che lo scudo continua a garantire il rispetto effettivo dei principi e un livello di protezione adeguato, la Commissione avvia la procedura per la sospensione o abrogazione totale o parziale della presente decisione²⁰⁷. In alternativa, la Commissione può proporre di modificare la presente decisione, ad esempio limitando la portata dell'accertamento di adeguatezza ai soli trasferimenti di dati sottoposti a condizioni supplementari.

In particolare, la Commissione avvia la procedura di sospensione o revoca se si verifica una delle ipotesi seguenti:

1. a) indicazioni del fatto che le autorità statunitensi non rispettano le dichiarazioni e gli impegni riportati nei documenti allegati alla presente decisione, anche relativamente alle condizioni e limitazioni applicabili all'accesso ai dati personali trasferiti nell'ambito dello scudo cui le autorità pubbliche statunitensi hanno proceduto per soddisfare esigenze di sicurezza nazionale, amministrazione della giustizia o altro scopo d'interesse pubblico;

2. b) mancata soluzione efficace dei casi di reclamo presentati da interessati dell'UE; al riguardo la Commissione prende in considerazione tutte le circostanze rilevanti ai fini della possibilità dell'interessato dell'UE di far valere i propri diritti, compreso in particolare l'impegno, assunto volontariamente dall'impresa statunitense che si è autocertificata come aderente allo scudo, di collaborare con le autorità di protezione dei dati e di conformarsi al parere da queste espresso;

3. c) mancata risposta tempestiva e adeguata del Mediatore dello scudo alle domande presentate dagli interessati dell'UE.

La Commissione vaglia l'ipotesi di avviare la procedura di modifica, sospensione o abrogazione della presente decisione anche se, in sede di analisi annuale comune del funzionamento dello scudo o in altro contesto, il Dipartimento del Commercio o altro dipartimento o ente che interviene nell'attuazione del regime dello scudo, o, per le questioni relative alla sicurezza nazionale, i rappresentanti della comunità dell'intelligence o il Mediatore non comunicano le informazioni o spiegazioni necessarie per valutare il rispetto dei principi, l'efficacia delle procedure di trattamento dei reclami o l'abbassamento del livello di protezione richiesto risultante dall'operato delle autorità nazionali di intelligence degli Stati Uniti, in particolare in conseguenza di una raccolta di dati personali e/o a un accesso agli stessi che sono andati al di là di quanto necessario e proporzionato. Al riguardo la Commissione tiene conto della misura in cui le informazioni d'interesse possono essere ottenute da altre fonti, tra cui i rapporti delle società statunitensi autocertificate consentiti dalla legge USA FREEDOM.

Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito dall'articolo 29 della direttiva 95/46/CE ha pubblicato il parere sul livello di protezione offerto dallo scudo UE-USA per privacy²⁰⁸, del quale si è tenuto conto nell'elaborazione della presente decisione.

Il Parlamento europeo ha adottato la risoluzione sui flussi di dati transatlantici²⁰⁹.

Le misure previste dalla presente decisione sono conformi al parere del comitato istituito ai sensi dell'articolo 31, paragrafo 1, della direttiva 95/46/CE,