# Scudo UE-USA per la privacy

Lo scudo UE-USA per la privacy (in inglese EU-US Privacy Shield) era un accordo, dichiarato non valido dalla Corte di giustizia dell'UE il 16 luglio 2020, per gli scambi transatlantici di dati personali a scopo commerciale tra Unione europea e Stati Uniti d'America. La "decisione di adeguatezza" da parte della commissione UE, se applicata, faciliterebbe alle aziende USA il trattamento dati personali di cittadini dell'Unione europea, in deroga alle leggi sulla privacy. La proposta è stata presentata dopo che gli International Safe Harbor Privacy Principles sono stati dichiarati non validi dalla Corte di giustizia dell'Unione europea nell'ottobre 2015 ed è sotto esame dalla medesima corte (caso T-670/16):
Nell'ottobre 2015 la Corte di giustizia dell'Unione europea dichiarò non valida la prima struttura chiamata International Safe Harbor Privacy Principles. Poco dopo questa decisione, la Commissione europea e il governo USA iniziarono a parlare di una nuova struttura, e nel 2 febbraio 2016 hanno raggiunto un accordo politico. La Commissione europea pubblicò una bozza "decisioni sull'adeguatezza", dichiarando principi di protezione equivalenti a quelli offerti dalla legge Europea.
L'articolo 29 Data Protection Working Party pubblicò un'opinione il giorno 13 aprile 2016, affermando che Privacy Shield offrirebbe considerevoli miglioramenti rispetto alle decisioni di Safe Harbour, ma non risolverebbe tre problemi: la cancellazione di dati, la quantità significativa di dati raccolti, l'assenza di garanti. Il Garante europeo della protezione dei dati emanò il 30 maggio 2016 una considerazione, nella quale affermò che "Privacy Shield, come proposto, non è abbastanza robusto da resistere a un futuro esame minuzioso della Corte [UE]".
L'8 luglio 2016 i rappresentanti degli Stati membri dell'Unione Europea (comitato dell'articolo 31) hanno approvato la versione finale dello Scudo UE-USA per la Privacy, aprendo la strada all'adozione della decisione da parte della Commissione. La Commissione Europea ha adottato il modello il 12 luglio 2016 ed è entrato in vigore lo stesso giorno.
L'allora presidente degli Stati Uniti Donald Trump ha firmato un ordine esecutivo intitolato "Executive Order 13768", in cui si afferma che le protezioni sulla privacy degli Stati Uniti non saranno estese oltre cittadini o residenti statunitensi:
   Le agenzie, nella misura in cui siano coerenti con la legge applicabile, garantiscono che le loro politiche sulla privacy escludano le persone che non sono cittadini degli Stati Uniti o residenti permanenti legittimi dalle protezioni della legge sulla privacy in merito a informazioni di identificazione personale.
La Commissione Europea ha dichiarato che:
   La legge sulla privacy degli Stati Uniti non ha mai offerto ai cittadini europei diritti di protezione dei dati. La Commissione ha negoziato due strumenti aggiuntivi per garantire che i dati dei cittadini dell'Unione Europea siano debitamente tutelati quando trasferiti negli Stati Uniti:
   * Lo Scudo UE-USA per la Privacy, che non si basa sulle protezioni previste dalla legge sulla privacy degli Stati Uniti.
   * L'UE-USA Umbrella Agreement, che entrerà in vigore il 1 ° febbraio 2017. Per finalizzare questo accordo, il Congresso degli Stati Uniti ha adottato una nuova legge nel 2017, la Legge sul Reddito Giudiziario degli Stati Uniti, che estende i benefici della Legge sulla privacy degli Stati Uniti ai cittadini europei e dà loro accesso ai tribunali statunitensi".
La Commissione ha affermato che "continuerà a monitorare l'attuazione di entrambi gli strumenti".
Con la sentenza nel caso C-311/18 (Schrems II), la Corte di giustizia dell'Unione europea ha dichiarato non valida la decisione di esecuzione (UE) 2016/1250 della Commissione sull'adeguatezza della protezione offerta dal regime dello scudo UE - USA per la privacy, ponendo termine alla possibilità di trasferimenti di dati basati su tale accordo. La medesima sentenza ha riconosciuto invece la legalità delle ‘clausole contrattuali tipo’ (Standard Contractual Clauses, cd. SCC), che quindi continuano a mantenere validità per i trasferimenti di dati basati su di esse.
In seguito, il 10 Luglio 2023 con decisione di adeguatezza della Commissione Europea è entrato in vigore il nuovo Data Privacy Framework (DPF), l'accordo che di fatto sostituisce il precedente Scudo EU-USA per la privacy non più valido, che regola i trasferimenti di dati tra UE ed USA per quanto riguarda le società statunitensi che aderiscono a tale accordo (l'elenco è consultabile nel sito web ufficiale).

## Società coinvolte

Avevano il diritto di aderire allo Scudo UE-USA per la privacy (Privacy Shield) le società stabilite negli Stati Uniti soggette ai poteri di controllo e accertamento della Federal Trade Commission (FTC, Commissione federale per il commercio) o del Department of Transportation (DoT, Ministero dei trasporti). Non era escluso che in futuro questa possibilità fosse estesa a imprese soggette al controllo di altri organismi federali. Per esempio lo Stato, organismi no-profit, banche, assicurazioni, fornitori di servizi di telecomunicazione non rientrano attualmente in questa selezione.
Lo Scudo UE-USA per la privacy (Privacy Shield) era applicabile a tutte le categorie di dati personali trasferiti dall’Unione Europea agli Stati Uniti (anche informazioni commerciali e dati sanitari), purché la società statunitense destinataria di tali dati avesse autocertificato la propria adesione al Privacy Shield.

## Reazione

L'europarlamentare tedesco Jan Philipp Albrecht e l'attivista Max Schrems hanno criticato la nuova sentenza. Molti europei hanno chiesto un meccanismo per i singoli cittadini europei per presentare denunce sull'uso dei loro dati, nonché un sistema di trasparenza per assicurare che i dati dei cittadini europei non cadano nelle mani delle agenzie di intelligence degli Stati Uniti.

## Controversie

A partire da febbraio 2017 è stato contestato il futuro dello Scudo UE-USA per la Privacy. Un consulente, Matt Allison, prevedeva che "il modello regolamentato e guidato dai cittadini dell'Unione Europea entrerà rapidamente in conflitto con le forze di mercato degli Stati Uniti e del Regno Unito."
Lo Scudo UE-USA per la Privacy è stato contestato legalmente dai gruppi sulla privacy. A partire da novembre 2016, non era chiaro se i casi sarebbero stati considerati ammissibili. Il 16 Luglio 2020 la Sentenza Schrems II della Corte di Giustizia dell'Unione Europea ha invalidato lo Scudo UE-USA per la Privacy.