Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Il Tribunale dell’Unione europea (TUE) ha emesso il 3 settembre 2025, nella causa T-553/23 (Latombe/Commissione), un’importante sentenza in materia di protezione dei dati transatlantica. Con la sentenza, il Tribunale respinge il ricorso contro il Decisione di appropriatezza a partire dal 10 luglio 2023, confermando così la validità del quadro normativo UE-USA in materia di protezione dei dati. Per le imprese dell'UE ciò significa, per il momento, certezza giuridica in materia di Trasmissione dei dati personali verso gli Stati Uniti. Tuttavia, le aziende continuano ad avere l’obbligo di gestire attivamente il trasferimento dei dati verso gli Stati Uniti.
Il quadro normativo UE-USA sulla protezione dei dati sotto esame
La sentenza della Corte di giustizia europea si basa su una lunga storia legale. In seguito alle sentenze della Corte di giustizia europea "Schrems I" (2015) e "Schrems II" (2020), i precedenti quadri normativi sulla protezione dei dati "Porto sicuro" e "Scudo per la privacy“ è stata dichiarata non valida.
Perché il Trasmissione Il trasferimento di dati personali dall'UE a Paesi terzi è soggetto a norme rigorose, sancite dall'articolo 8 (1) della Carta dei diritti fondamentali dell'UE e dall'articolo 16 (1) del TFUE. Su questa base, il GDPR (art. 45 e segg.) stabilisce che i trasferimenti di dati sono consentiti senza ulteriore autorizzazione se la Commissione stabilisce che il paese terzo in questione ha un livello adeguato di protezione dei dati.
Con la decisione di esecuzione (UE) 2023/1795, la Commissione ha riconosciuto tale livello di protezione per gli Stati Uniti. A tal fine sono state determinanti, in particolare, le riforme introdotte dal decreto presidenziale 14086 e le misure di accompagnamento adottate dal Procuratore Generale degli Stati Uniti. Tali misure rafforzano la protezione dei dati nel settore dei servizi di intelligence e istituiscono un nuovo organo di controllo giudiziario: il Data Protection Review Court (DPRC). Questo organo di controllo indipendente ha lo scopo di garantire un'efficace tutela giuridica alle persone interessate provenienti dall'UE.
Il ricorrente impugna la decisione di adeguatezza
Il ricorrente, cittadino francese Philippe Latombe, ha presentato istanza di annullamento della delibera. Ha fondato il proprio ricorso essenzialmente su due argomenti:
- Mancanza di indipendenza del DPRC: Egli ha sostenuto che il nuovo tribunale per la protezione dei dati non fosse indipendente, ma dipendesse dal potere esecutivo.
- Raccolta illegale di dati da parte dei servizi di intelligence statunitensi: Ha criticato il fatto che la prassi delle autorità statunitensi, Dati personali senza previa autorizzazione, non fosse disciplinata in modo sufficientemente preciso e fosse pertanto illegittima.
Il Tribunale dell’Unione europea respinge le obiezioni sollevate contro il quadro normativo UE-USA in materia di protezione dei dati
Sull’indipendenza del DPRC
Il Tribunale dell’Unione europea ha respinto tale eccezione. La nomina dei giudici è subordinata a garanzie e la loro revoca è possibile solo per motivi fondati. Inoltre, l’influenza del potere esecutivo è limitata da garanzie procedurali. Pertanto, l’indipendenza istituzionale è sufficientemente garantita.
Sulla raccolta dei dati personali
Il tribunale ha respinto anche il secondo motivo. Ha chiarito che la sentenza Schrems II non significa che ogni forma di raccolta collettiva richieda necessariamente l'autorizzazione preventiva di un'autorità indipendente. Il fattore decisivo è piuttosto la possibilità di un successivo controllo giudiziario. Questo è ora garantito negli Stati Uniti dal DPRC, per cui esiste un livello di protezione sostanzialmente equivalente a quello europeo.
Prima prova del fuoco dopo le sentenze Schrems I e II
Con la sua decisione, il Tribunale dell’Unione europea ha, per la prima volta, in seguito ai due Schrems-sentenze, un transatlantico Decisione di appropriatezza confermato. Allo stesso tempo, il tribunale riconosce agli Stati Uniti un sistema di controllo efficace, destinato a dissipare le riserve sollevate finora.
Resta tuttavia da valutare con occhio critico il fatto che la valutazione dipenda in larga misura dall’efficacia pratica del DPRC. Qualora dovesse emergere che, nella pratica, i meccanismi di controllo non soddisfano i requisiti, la Corte di giustizia dell’Unione europea potrebbe intervenire nuovamente con misure correttive nell’ambito di un ricorso.
La sentenza della Corte di giustizia europea ha un grande significato pratico: conferma che gli Stati Uniti hanno attualmente un rapporto giuridico con l'UE. GDPR livello di protezione dei dati sostanzialmente equivalente. La Commissione europea rimane comunque obbligata a monitorare regolarmente l'effettiva attuazione del quadro normativo e a controllare il livello di protezione dei dati. Decisione di appropriatezza sospenderla o modificarla, se necessario, per gli Stati Uniti.
La sentenza può ancora essere impugnata presso la Corte di giustizia europea.
Suggerimento: Controllare tutti i progetti di IA in modo centralizzato, a prova di audit e conforme alla legge con Ailance AI Governance
Il trasferimento dei dati verso gli Stati Uniti deve comunque essere gestito: a cosa devono prestare attenzione le aziende
Anche se il Decisione di appropriatezza Gli Stati Uniti creano certezza giuridica, le aziende sono ancora obbligate a gestire attivamente il trasferimento dei dati verso gli USA. La decisione rilascia Persone responsabili dagli obblighi di rendicontazione e di documentazione in conformità con la normativa vigente. GDPR.
Le aziende devono prestare particolare attenzione ai seguenti punti:
- Adempiere agli obblighi di trasparenza: Parti interessate devono essere informati in modo chiaro e comprensibile quando i loro dati vengono trasferiti negli Stati Uniti.
- Minimizzazione dei dati verificare: Dovrebbero essere trasmessi solo i dati necessari per la rispettiva finalità.
- Garantire i contrattiAnche con un Decisione di appropriatezza è consigliabile, Clausole contrattuali standard e prevedere misure di protezione supplementari, in particolare qualora i dati vengano trasmessi a subappaltatori.
- Controllo dei destinatari: Le aziende dovrebbero verificare regolarmente se i propri fornitori di servizi statunitensi siano effettivamente certificati nell'ambito del quadro normativo UE-USA sulla protezione dei dati.
- Implementare la gestione del rischio: I processi interni e le misure tecniche devono garantire il rispetto dei requisiti in materia di protezione dei dati anche nel caso di flussi transatlantici di dati.
In questo modo, il trasferimento dei dati verso gli Stati Uniti risulta sì più semplice dal punto di vista giuridico, ma richiede comunque un Conformità- e gestione dei rischi.
Fonte: Sentenza del Tribunale dell’Unione europea nella causa T-553/23 (Latombe contro Commissione)
Rendere il trasferimento dei dati conforme alla legge con Ailance
L'adempimento degli obblighi di protezione dei dati quando si trasferiscono i dati negli Stati Uniti può essere complesso. Soprattutto quando le aziende lavorano con molti fornitori di servizi diversi. Con Ailance Avrete sempre tutto sotto controllo:
- Monitoraggio automatico dei trasferimenti di dati
- Documentazione tutte le misure di protezione dei dati
- Valutazione dei rischi e raccomandazioni di intervento in tempo reale
- Integrazione perfetta nei processi esistenti
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French