Tribunale, Sentenza T-553/23

Decisione di esecuzione (UE) 2023/1795 e quadro UE-USA per i trasferimenti di dati personali

La pronuncia riguarda un ricorso ex articolo 263 TFUE proposto contro la decisione di esecuzione (UE) 2023/1795 della Commissione, adottata ai sensi dell’articolo 45 RGPD e relativa all’adeguatezza del livello di protezione garantito dagli Stati Uniti per i dati personali trasferiti dall’Unione. Il Tribunale, Decima Sezione ampliata, ha esaminato la validità del nuovo quadro transatlantico di flussi di dati personali alla luce della giurisprudenza Schrems I e Schrems II.

Fatti e contesto normativo

Il ricorrente, cittadino francese, ha dedotto di utilizzare piattaforme informatiche che trasferiscono i suoi dati personali negli Stati Uniti. La Commissione, dopo le sentenze Schrems I e Schrems II, ha negoziato con gli Stati Uniti un nuovo assetto normativo, fondato in particolare sull’Executive Order 14086 del 7 ottobre 2022 e sull’Attorney General Order n. 5517-2022, che ha disciplinato la Data Protection Review Court (DPRC).

La decisione impugnata del 10 luglio 2023 ha istituito il nuovo quadro transatlantico e ha affermato che gli Stati Uniti garantiscono un livello adeguato di protezione per i dati trasferiti verso le organizzazioni aderenti al Data Privacy Framework (DPF). Il Tribunale richiama, quale criterio generale, l’articolo 45, paragrafo 1, RGPD e la giurisprudenza secondo cui l’adeguatezza richiede un livello di tutela sostanzialmente equivalente a quello garantito nell’Unione, non identico ma effettivo in pratica.

Ricevibilità e metodo di esame

La Commissione aveva sollevato eccezione di irricevibilità per difetto di legittimazione e di interesse ad agire. Il Tribunale, richiamando il principio di buona amministrazione della giustizia, ha scelto di esaminare direttamente il merito, ritenendo il ricorso comunque infondato. Ha inoltre precisato che la legittimità dell’atto va valutata in base alla situazione di fatto e di diritto esistente al momento dell’adozione della decisione.

Terzo motivo: diritto a un ricorso effettivo e DPRC

Il Tribunale ha esaminato anzitutto il motivo relativo all’articolo 47, secondo comma, della Carta e all’articolo 45, paragrafo 2, lettera a), RGPD. Il ricorrente contestava che la DPRC fosse un giudice indipendente, imparziale e precostituito per legge.

Indipendenza e imparzialità della DPRC

Il Tribunale ha rilevato che la DPRC è composta da almeno sei giudici nominati dal procuratore generale, previa consultazione della PCLOB, del Segretario al Commercio e del direttore dell’intelligence nazionale, con criteri stringenti: esperienza giuridica adeguata, eventuale esperienza giudiziaria precedente per almeno metà dei membri, nulla osta di sicurezza, assenza di legami recenti con il potere esecutivo e divieto di svolgere funzioni governative durante il mandato.

Le decisioni del CLPO sono sottoposte a riesame integrale da un collegio di tre giudici della DPRC assistiti da un avvocato speciale; la DPRC può riformare la decisione del CLPO, non è vincolata ad essa e adotta decisioni definitive e vincolanti per gli enti di intelligence e per il governo statunitense. Il Tribunale ha quindi escluso che la dipendenza del CLPO comprometta l’indipendenza della DPRC.

Il Tribunale ha inoltre ritenuto irrilevante che la PCLOB sia istituita nell’ambito del potere esecutivo, osservando che si tratta di un organo indipendente con funzioni di supervisione imparziale. Ha altresì valorizzato le garanzie contro la revoca arbitraria dei giudici della DPRC e il divieto di interferenze indebite del potere esecutivo.

Giudice precostituito per legge

Quanto al requisito del giudice precostituito per legge, il Tribunale ha chiarito che non conta la sola forma dell’atto istitutivo, ma il complesso delle garanzie sostanziali contro l’ingerenza dell’esecutivo. Pur essendo stata istituita da un atto del procuratore generale e non da una legge del Congresso, la DPRC è stata ritenuta conforme all’articolo 47 della Carta perché dotata di garanzie sufficienti di indipendenza e imparzialità, in linea con la giurisprudenza della Corte e della Corte EDU richiamata nella sentenza.

Secondo motivo: articoli 7 e 8 della Carta e raccolta in blocco di dati personali

Il ricorrente contestava la disciplina statunitense sulla raccolta in blocco di dati personali da parte degli enti di intelligence. Il Tribunale ha delimitato l’oggetto del motivo: la raccolta “massiccia” non è autorizzata negli Stati Uniti, mentre la raccolta “in blocco” è ammessa solo al di fuori del territorio statunitense, in particolare per i dati in transito dall’Unione verso le organizzazioni DPF.

Irrilevanza dell’articolo 702 FISA

Il Tribunale ha escluso la pertinenza dell’articolo 702 FISA, perché esso autorizza solo raccolte mirate e non la raccolta in blocco controversa nel caso di specie.

Mancanza di autorizzazione preventiva

Il punto centrale riguardava l’assenza di un’autorizzazione preventiva da parte di un’autorità giudiziaria o amministrativa. Il Tribunale ha affermato che né la sentenza Schrems II né la sentenza La Quadrature du Net impongono, in termini assoluti, una previa autorizzazione per ogni raccolta in blocco. Ciò che rileva è l’esistenza di un controllo giurisdizionale effettivo, almeno a posteriori, e di garanzie complessive sufficienti.

Nel caso di specie, la raccolta in blocco è sottoposta al controllo successivo della DPRC, accompagnata da un regime di priorità validate in materia di intelligence, da limiti sostanziali, da requisiti di necessità e proporzionalità e da finalità tassativamente determinate. Il Tribunale ha quindi ritenuto che l’assenza di previa autorizzazione non infici la validità della decisione di adeguatezza.

Rilievo della giurisprudenza Big Brother Watch e del parere CEPD 5/2023

Il Tribunale ha ritenuto pertinente la sentenza Big Brother Watch della Corte EDU, ma solo come parametro per valutare il complesso delle garanzie applicabili a un sistema di intercettazione di massa. Ha osservato che, anche secondo tale giurisprudenza, l’autorizzazione preventiva non è l’unica garanzia rilevante; contano anche le norme sulla necessità, proporzionalità, supervisione e controllo a posteriori.

Ha inoltre considerato il parere 5/2023 del CEPD come non vincolante per la Commissione e non idoneo a dimostrare l’illegittimità della decisione impugnata. Il parere stesso, secondo il Tribunale, non escludeva che la valutazione di adeguatezza potesse risultare positiva alla luce di tutte le circostanze, incluso il controllo giudiziario successivo.

Aggiornamento degli obiettivi specifici della raccolta in blocco

Il ricorrente contestava anche il potere del presidente statunitense di aggiornare gli obiettivi specifici della raccolta in blocco. Il Tribunale ha ritenuto che tale potere sia circoscritto a nuove esigenze di sicurezza nazionale, che gli aggiornamenti sono in linea di principio pubblici e che, in ogni caso, le attività restano soggette alle garanzie dell’E.O. 14086 e al controllo del CLPO e della DPRC.

Quarto motivo: decisioni interamente automatizzate e articolo 22 RGPD

Il ricorrente sosteneva che la decisione di adeguatezza avrebbe dovuto riconoscere espressamente un diritto a non essere oggetto di decisioni basate esclusivamente su trattamento automatizzato, compresa la profilazione.

Il Tribunale ha ricostruito tre scenari: decisioni automatizzate adottate da titolari stabiliti nell’Unione; decisioni adottate da responsabili esteri che agiscono per conto di titolari dell’Unione; decisioni adottate da soggetti esteri che si rivolgono a interessati nell’Unione ai sensi dell’articolo 3, paragrafo 2, RGPD. In tutti questi casi, l’articolo 22 RGPD resta applicabile per effetto del regolamento stesso.

Nei soli casi residuali in cui il trattamento non ricade nel RGPD, il diritto statunitense offre tutele settoriali in ambiti sensibili come credito, occupazione, alloggio, assicurazioni e sanità. Il Tribunale ha ritenuto irrilevante che tali tutele non abbiano la stessa ampiezza generale dell’articolo 22 RGPD, poiché l’adeguatezza non richiede identità normativa ma equivalenza sostanziale. Ha inoltre considerato non decisivo lo studio del 2018 e non dimostrata l’irrilevanza di tale quadro alla luce dell’evoluzione dell’intelligenza artificiale.

Quinto motivo: sicurezza del trattamento e articolo 32 RGPD

Il ricorrente sosteneva che la decisione non garantisse misure tecniche e organizzative adeguate ai sensi dell’articolo 32 RGPD, perché le clausole del DPF sarebbero formulate in modo troppo ristretto rispetto alla nozione ampia di trattamento, in particolare con riferimento alla consultazione dei dati.

Il Tribunale ha interpretato le clausole della decisione impugnata in modo sistematico e funzionale, osservando che i termini “creare, detenere, usare, diffondere”, nonché “conservare, usare, divulgare”, coprono un ampio ventaglio di operazioni riconducibili al trattamento. Ha quindi affermato che anche la consultazione dei dati rientra nell’“uso” degli stessi e che la decisione impugnata, letta insieme al considerando 23, riflette un livello di sicurezza sostanzialmente equivalente a quello dell’articolo 32 RGPD.

Dispositivo e spese

Il Tribunale ha respinto integralmente il ricorso. Il sig. Latombe è stato condannato alle spese, comprese quelle del procedimento sommario, mentre Irlanda e Stati Uniti d’America sono stati posti a carico delle proprie spese. La sentenza conferma così la validità del nuovo quadro UE-USA per i trasferimenti di dati personali.