CONCLUSIONI DELL’AVVOCATO GENERALE

HENRIK SAUGMANDSGAARD ØE

presentate il 19 dicembre 2019 ( 1 )

Causa C‑311/18

Data Protection Commissioner

contro

Facebook Ireland Limited,

Maximillian Schrems,

con l’intervento di:

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

[domanda di pronuncia pregiudiziale proposta dalla High Court (Alta Corte, Irlanda)]

«Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 2, paragrafo 2 – Ambito di applicazione – Trasferimento a fini commerciali di dati personali verso gli Stati Uniti – Trattamento da parte delle autorità pubbliche degli Stati Uniti, a fini di sicurezza nazionale, dei dati trasferiti – Articolo 45 – Valutazione dell’adeguatezza del livello di protezione garantito in un paese terzo – Articolo 46 – Garanzie appropriate offerte dal responsabile del trattamento – Clausole tipo di protezione – Articolo 58, paragrafo 2 – Poteri delle autorità nazionali di controllo – Decisione 2010/87/UE – Validità – Decisione di esecuzione (UE) 2016/1250 – “Scudo UE‑USA per la privacy” – Validità – Articoli 7, 8 e 47 della Carta dei diritti fondamentali dell’Unione europea»

Indice

I. Introduzione II. Contesto normativo A. Direttiva 95/46/CE B. Il RGPD C. Decisione 2010/87 D. Decisione «scudo per la privacy» III. Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte IV. Analisi A. Considerazioni preliminari B. Sulla ricevibilità del rinvio pregiudiziale 1. Sull’applicabilità ratione temporis della direttiva 95/46 2. Sulla natura provvisoria dei dubbi espressi dal DPC 3. Sulle incertezze relative alla definizione del quadro fattuale C. Sull’applicabilità del diritto dell’Unione ai trasferimenti di dati personali a fini commerciali verso un paese terzo che può trattarli a fini di sicurezza nazionale (prima questione) D. Sul livello di protezione richiesto nell’ambito di un trasferimento basato su clausole contrattuali tipo (prima parte della sesta questione) E. Sulla validità della decisione 2010/87 alla luce degli articoli 7, 8 e 47 della Carta (questioni settima, ottava e undicesima) 1. Sugli obblighi dei responsabili del trattamento 2. Sugli obblighi delle autorità di vigilanza F. Sulla mancanza della necessità di rispondere alle altre questioni pregiudiziali e di esaminare la validità della decisione «scudo per la privacy» 1. Sulla mancanza di necessità delle risposte della Corte con riferimento all’oggetto del procedimento principale. 2. Sulle ragioni che militano contro un esame, da parte della Corte, alla luce dell’oggetto del procedimento pendente dinanzi al DPC G. Osservazioni in subordine relative agli effetti e alla validità della decisione «scudo per la privacy» 1. Sull’incidenza della decisione «scudo per la privacy» nel trattamento, da parte di un’autorità di controllo, di una denuncia relativa alla legittimità di un trasferimento basato su garanzie contrattuali 2. Sulla validità della decisione «scudo per la privacy» a) Precisazioni riguardanti il contenuto dell’esame di validità di una decisione di adeguatezza 1) Sui termini di paragone che consentono di valutare l’«equivalenza sostanziale» del livello di protezione 2) Sulla necessità di garantire un adeguato livello di protezione durante la fase di transito dei dati 3) Sulla presa in considerazione delle constatazioni di fatto effettuate dalla Commissione e dal giudice del rinvio riguardo al diritto degli Stati Uniti 4) Sulla portata del criterio dell’«equivalenza sostanziale» b) Sulla validità della decisione «scudo per la privacy» alla luce dei diritti al rispetto della vita privata e alla protezione dei dati personali 1) Sull’esistenza di ingerenze 2) Sul requisito che le ingerenze siano «previste dalla legge» 3) Sulla mancanza di violazione del contenuto essenziale dei diritti fondamentali 4) Sul perseguimento di un obiettivo legittimo 5) Sulla necessarietà e proporzionalità delle ingerenze c) Sulla validità della decisione «scudo per la privacy» per quanto riguarda il diritto a un ricorso effettivo 1) Sull’effettività dei ricorsi giurisdizionali previsti dal diritto degli Stati Uniti 2) Sull’incidenza del meccanismo di mediazione sul livello di protezione del diritto a un ricorso effettivo V. Conclusione

I. Introduzione

1. In mancanza di garanzie comuni in materia di protezione dei dati personali a livello mondiale, i flussi transfrontalieri di tali dati sono accompagnati dal rischio di interruzione nella continuità del livello di protezione garantito all’interno dell’Unione europea. Nell’intento di agevolare tali flussi limitando al contempo tale rischio, il legislatore dell’Unione ha istituito tre meccanismi in base ai quali i dati personali possono essere trasferiti dall’Unione a uno Stato terzo.

2. In primo luogo, siffatto trasferimento può essere effettuato in base a una decisione con la quale la Commissione europea constata che lo Stato terzo in questione garantisce un «livello di protezione adeguato» dei dati che vi sono trasferiti ( 2 ). In secondo luogo, in mancanza di siffatta decisione, il trasferimento è autorizzato quando è accompagnato da «garanzie adeguate» ( 3 ). Tali garanzie possono assumere la forma di un contratto tra l’esportatore e l’importatore dei dati contenente clausole tipo di protezione adottate dalla Commissione. Il RGPD prevede, in terzo luogo, talune deroghe, basate in particolare sul consenso della persona interessata, che consentono il trasferimento in un paese terzo anche in mancanza di una decisione di adeguatezza o di garanzie adeguate ( 4 ).

3. La domanda di pronuncia pregiudiziale, proposta dalla High Court (Alta Corte, Irlanda), riguarda il secondo meccanismo. Più in particolare, essa riguarda la validità della decisione 2010/87/UE ( 5 ), con la quale la Commissione ha stabilito clausole contrattuali tipo per talune categorie di trasferimenti, alla luce degli articoli 7, 8 e 47 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»).

4. Tale domanda è stata presentata nell’ambito di una controversia tra il Data Protection Commissioner (garante per la protezione dei dati personali, Irlanda; in prosieguo: il «DPC») e Facebook Ireland Ltd. e il sig. Maximillian Schrems. Quest’ultimo ha presentato al DPC una denuncia relativa al trasferimento di dati personali che lo riguardavano da Facebook Ireland a Facebook Inc., la sua società controllante con sede negli Stati Uniti d’America (in prosieguo: gli «Stati Uniti»). Il DPC ritiene che il trattamento di tale denuncia dipenda dalla questione della validità della decisione 2010/87. In tale contesto, esso ha adito il giudice del rinvio chiedendogli di interpellare la Corte al riguardo.

5. Vorrei sottolineare, anzitutto, che l’esame delle questioni pregiudiziali non ha fatto emergere, a mio avviso, alcun elemento atto a inficiare la validità della decisione 2010/87.

6. Inoltre, il giudice del rinvio ha evidenziato taluni dubbi riguardanti, in sostanza, l’adeguatezza del livello di protezione garantito dagli Stati Uniti, considerate le ingerenze che le attività delle autorità di intelligence statunitensi hanno sull’esercizio dei diritti fondamentali delle persone i cui dati sono trasferiti in tale paese terzo. Tali dubbi rimettono indirettamente in discussione le valutazioni effettuate al riguardo dalla Commissione nella decisione di esecuzione (UE) 2016/1250 ( 6 ). Pur se la risoluzione della controversia nel procedimento principale non richiede che la Corte si pronunci su tale questione – e, pertanto, io le propongo di astenersi dal farlo – esporrò in subordine le ragioni che mi inducono a mettere in dubbio la validità di tale decisione.

7. Tutta la mia analisi sarà guidata dalla ricerca di un equilibrio tra, da un lato, la necessità di dimostrare «un ragionevole grado di pragmatismo per consentire l’interazione con il resto del mondo» ( 7 ), e, dall’altro, la necessità di affermare i valori fondamentali riconosciuti negli ordinamenti giuridici dell’Unione e dei suoi Stati membri, in particolare dalla Carta.

II. Contesto normativo

A. Direttiva 95/46/CE

8. L’articolo 3, paragrafo 2, della direttiva 95/46/CE relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( 8 ) disponeva quanto segue: «Le disposizioni della presente direttiva non si applicano ai trattamenti di dati personali; – effettuati per l’esercizio di attività che non rientrano nel campo di applicazione del diritto comunitario, come quelle previste dai titoli V e VI del trattato sull’Unione europea e comunque ai trattamenti aventi come oggetto la pubblica sicurezza, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato, laddove tali trattamenti siano connessi a questioni di sicurezza dello Stato) e le attività dello Stato in materia di diritto penale; – (...)».

9. L’articolo 13, paragrafo 1, di tale direttiva così recitava: Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell’articolo 6, paragrafo 1, dell’articolo 10, dell’articolo 11, paragrafo 1 e degli articoli 12 e 21, qualora tale restrizione costituisca una misura necessaria alla salvaguardia: a) della sicurezza dello Stato; b) della difesa; c) della pubblica sicurezza; d) della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate; e) di un rilevante interesse economico o finanziario di uno Stato membro o dell’Unione europea, anche in materia monetaria, di bilancio e tributaria; f) di un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l’esercizio dei pubblici poteri nei casi di cui alle lettere c), d) ed e); g) della protezione della persona interessata o dei diritti e delle libertà altrui».

10. L’articolo 25 di detta direttiva stabiliva quanto segue: «1. Gli Stati membri dispongono che il trasferimento verso un paese terzo di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento può aver luogo soltanto se il paese terzo di cui trattasi garantisce un livello di protezione adeguato, fatte salve le misure nazionali di attuazione delle altre disposizioni della presente direttiva. 2. L’adeguatezza del livello di protezione garantito da un paese terzo è valutata con riguardo a tutte le circostanze relative ad un trasferimento o ad una categoria di trasferimenti di dati; in particolare sono presi in considerazione la natura dei dati, le finalità del o dei trattamenti previsti, il paese d’origine e il paese di destinazione finale, le norme di diritto, generali o settoriali, vigenti nel paese terzo di cui trattasi, nonché le regole professionali e le misure di sicurezza ivi osservate. (...) 6. La Commissione può constatare, secondo la procedura di cui all’articolo 31, paragrafo 2, che un paese terzo garantisce un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, in considerazione della sua legislazione nazionale o dei suoi impegni internazionali, in particolare di quelli assunti in seguito ai negoziati di cui al paragrafo 5, ai fini della tutela della vita privata o delle libertà e dei diritti fondamentali della persona. Gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione».

11. L’articolo 26, paragrafi 2 e 4, della medesima direttiva prevedeva quanto segue: «2. Salvo il disposto del paragrafo 1, uno Stato membro può autorizzare un trasferimento o una categoria di trasferimenti di dati personali verso un paese terzo che non garantisca un livello di protezione adeguato ai sensi dell’articolo 25, paragrafo 2, qualora il responsabile del trattamento presenti garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonché per l’esercizio dei diritti connessi; tali garanzie possono segnatamente risultare da clausole contrattuali appropriate. (...) 4. Qualora la Commissione decida (...) che alcune clausole contrattuali tipo offrono le garanzie sufficienti di cui al paragrafo 2, gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione».

12. L’articolo 28, paragrafo 3, della direttiva 95/46 era così formulato: «Ogni autorità di controllo dispone in particolare: (...) – di poteri effettivi d’intervento, come quello di formulare pareri prima dell’avvio di trattamenti, conformemente all’articolo 20, e di dar loro adeguata pubblicità o quello di ordinare il congelamento, la cancellazione o la distruzione dei dati, oppure di vietare a titolo provvisorio o definitivo un trattamento, ovvero quello di rivolgere un avvertimento o un monito al responsabile del trattamento o quello di adire i Parlamenti o altre istituzioni politiche nazionali; – (...)».

B. Il RGPD

13. In forza dell’articolo 94, paragrafo 1, il RGPD ha abrogato la direttiva 95/46 con effetto a decorrere dal 25 maggio 2018, data in cui tale regolamento ha iniziato ad essere applicato in conformità dell’articolo 99, paragrafo 1, dello stesso.

14. L’articolo 2, paragrafo 2, di detto regolamento così dispone: «Il presente regolamento non si applica ai trattamenti di dati personali: a) effettuati per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione; b) effettuati dagli Stati membri nell’esercizio di attività che rientrano nell’ambito di applicazione del titolo V, capo 2, TUE; (...) d) effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse».

15. L’articolo 4, punto 2, del medesimo regolamento definisce il «trattamento» come «qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione».

16. L’articolo 23 del RGPD prevede quanto segue: «1. Il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare: a) la sicurezza nazionale; b) la difesa; c) la sicurezza pubblica; d) la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica; e) altri importanti obiettivi di interesse pubblico generale dell’Unione o di uno Stato membro, in particolare un rilevante interesse economico o finanziario dell’Unione o di uno Stato membro (...); (...) 2. In particolare qualsiasi misura legislativa di cui al paragrafo 1 contiene disposizioni specifiche riguardanti almeno, se del caso: a) le finalità del trattamento o le categorie di trattamento; b) le categorie di dati personali; c) la portata delle limitazioni introdotte; d) le garanzie per prevenire abusi o l’accesso o il trasferimento illeciti; e) l’indicazione precisa del titolare del trattamento o delle categorie di titolari; f) i periodi di conservazione e le garanzie applicabili tenuto conto della natura, dell’ambito di applicazione e delle finalità del trattamento o delle categorie di trattamento; g) i rischi per i diritti e le libertà degli interessati; e h) il diritto degli interessati di essere informati della limitazione, a meno che ciò possa compromettere la finalità della stessa».

17. L’articolo 44 di tale regolamento, intitolato «Principio generale per il trasferimento», stabilisce quanto segue: «Qualunque trasferimento di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento verso un paese terzo o un’organizzazione internazionale, compresi trasferimenti successivi di dati personali da un paese terzo o un’organizzazione internazionale verso un altro paese terzo o un’altra organizzazione internazionale, ha luogo soltanto se il titolare del trattamento e il responsabile del trattamento rispettano le condizioni di cui al presente capo, fatte salve le altre disposizioni del presente regolamento. Tutte le disposizioni del presente capo sono applicate al fine di assicurare che il livello di protezione delle persone fisiche garantito dal presente regolamento non sia pregiudicato».

18. Conformemente all’articolo 45 di detto regolamento, intitolato «Trasferimento sulla base di una decisione di adeguatezza»: «1. Il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale è ammesso se la Commissione ha deciso che il paese terzo, un territorio o uno o più settori specifici all’interno del paese terzo, o l’organizzazione internazionale in questione garantiscono un livello di protezione adeguato. In tal caso il trasferimento non necessita di autorizzazioni specifiche. 2. Nel valutare l’adeguatezza del livello di protezione, la Commissione prende in considerazione in particolare i seguenti elementi: a) lo stato di diritto, il rispetto dei diritti umani e delle libertà fondamentali, la pertinente legislazione generale e settoriale (anche in materia di sicurezza pubblica, difesa, sicurezza nazionale, diritto penale e accesso delle autorità pubbliche ai dati personali), così come l’attuazione di tale legislazione, le norme in materia di protezione dei dati, le norme professionali e le misure di sicurezza, comprese le norme per il trasferimento successivo dei dati personali verso un altro paese terzo o un’altra organizzazione internazionale osservate nel paese o dall’organizzazione internazionale in questione, la giurisprudenza nonché i diritti effettivi e azionabili degli interessati e un ricorso effettivo in sede amministrativa e giudiziaria per gli interessati i cui dati personali sono oggetto di trasferimento; b) l’esistenza e l’effettivo funzionamento di una o più autorità di controllo indipendenti nel paese terzo o cui è soggetta un’organizzazione internazionale, con competenza per garantire e controllare il rispetto delle norme in materia di protezione dei dati, comprensiva di adeguati poteri di esecuzione, per assistere e fornire consulenza agli interessati in merito all’esercizio dei loro diritti e cooperare con le autorità di controllo degli Stati membri; e c) gli impegni internazionali assunti dal paese terzo o dall’organizzazione internazionale in questione o altri obblighi derivanti da convenzioni o strumenti giuridicamente vincolanti come pure dalla loro partecipazione a sistemi multilaterali o regionali, in particolare in relazione alla protezione dei dati personali. 3. La Commissione, previa valutazione dell’adeguatezza del livello di protezione, può decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo, o un’organizzazione internazionale garantiscono un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo. L’atto di esecuzione prevede un meccanismo di riesame periodico, almeno ogni quattro anni, che tenga conto di tutti gli sviluppi pertinenti nel paese terzo o nell’organizzazione internazionale. (...) 4. La Commissione controlla su base continuativa gli sviluppi nei paesi terzi e nelle organizzazioni internazionali che potrebbero incidere sul funzionamento delle decisioni adottate a norma del paragrafo 3 del presente articolo e delle decisioni adottate sulla base dell’articolo 25, paragrafo 6, della [direttiva 95/46]. 5. Se risulta dalle informazioni disponibili, in particolare in seguito al riesame di cui al paragrafo 3 del presente articolo, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo, o un’organizzazione internazionale non garantiscono più un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, la Commissione revoca, modifica o sospende nella misura necessaria la decisione di cui al paragrafo 3 del presente articolo mediante atti di esecuzione senza effetto retroattivo. (...) 6. La Commissione avvia consultazioni con il paese terzo o l’organizzazione internazionale per porre rimedio alla situazione che ha motivato la decisione di cui al paragrafo 5. (...) 9. Le decisioni adottate dalla Commissione in base all’articolo 25, paragrafo 6, della [direttiva 95/46] restano in vigore fino a quando non sono modificate, sostituite o abrogate da una decisione della Commissione adottata conformemente al paragrafo 3 o 5 del presente articolo».

19. L’articolo 46 del medesimo regolamento, intitolato «Trasferimento soggetto a garanzie adeguate, è formulato come segue: «1. In mancanza di una decisione ai sensi dell’articolo 45, paragrafo 3, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un’organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi. 2. Possono costituire garanzie adeguate di cui al paragrafo 1 senza necessitare di autorizzazioni specifiche da parte di un’autorità di controllo: (...) c) le clausole tipo di protezione dei dati adottate dalla Commissione secondo la procedura d’esame di cui all’articolo 93, paragrafo 2; (...) 5. Le autorizzazioni rilasciate da uno Stato membro o dall’autorità di controllo in base all’articolo 26, paragrafo 2, della [direttiva 95/46] restano valide fino a quando non vengono modificate, sostituite o abrogate, se necessario, dalla medesima autorità di controllo. Le decisioni adottate dalla Commissione in base all’articolo 26, paragrafo 4, della [direttiva 95/46] restano in vigore fino a quando non vengono modificate, sostituite o abrogate, se necessario, da una decisione della Commissione adottata conformemente al paragrafo 2 del presente articolo».

20. Ai sensi dell’articolo 58, paragrafi 2, 4 e 5, del RGPD: «2. Ogni autorità di controllo ha tutti i poteri correttivi seguenti: a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento; b) rivolgere ammonimenti al titolare (...) del trattamento o al responsabile del trattamento ove i trattamenti abbiano violato le disposizioni del presente regolamento; c) ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell’interessato di esercitare i diritti loro derivanti dal presente regolamento; d) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine; e) ingiungere al titolare del trattamento di comunicare all’interessato una violazione dei dati personali; f) imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento; (...) i) infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle misure di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso; e j) ordinare la sospensione dei flussi di dati verso un destinatario in un paese terzo o un’organizzazione internazionale. (...) 4. L’esercizio da parte di un’autorità di controllo dei poteri attribuitile dal presente articolo è soggetto a garanzie adeguate, inclusi il ricorso giurisdizionale effettivo e il giusto processo, previste dal diritto dell’Unione e degli Stati membri conformemente alla Carta. 5. Ogni Stato membro dispone per legge che la sua autorità di controllo abbia il potere di intentare un’azione o di agire in sede giudiziale o, ove del caso, stragiudiziale in caso di violazione del presente regolamento per far rispettare le disposizioni dello stesso».

C. Decisione 2010/87

21. L’articolo 26, paragrafo 4 della direttiva 95/46 ha dato luogo all’adozione, da parte della Commissione, di tre decisioni con le quali essa ha constatato che le clausole contrattuali tipo ivi contenute costituiscono garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonché per l’esercizio dei diritti connessi (in prosieguo: le «decisioni CCT») ( 9 ).

22. Tra esse rientra la decisione 2010/87, il cui articolo 1 dispone che «[l]e clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti per la tutela della vita privata e dei diritti e della libertà fondamentali delle persone, nonché per l’esercizio dei diritti connessi ai sensi dell’articolo 26, paragrafo 2, della [direttiva 95/46]».

23. Ai sensi dell’articolo 3 di tale decisione: «Ai fini della presente decisione si intende per: (...) c) “esportatore” il responsabile del trattamento che trasferisce i dati personali; d) “importatore” l’incaricato del trattamento stabilito in un paese terzo che s’impegni a ricevere dall’esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell’esportatore stesso, nonché a norma della presente decisione, e che non sia assoggettato dal paese terzo a un sistema che garantisca una protezione adeguata ai sensi dell’articolo 25, paragrafo 1, della [direttiva 95/46]; (...) f) “normativa sulla protezione dei dati” la normativa che protegge i diritti e le libertà fondamentali del singolo, in particolare il diritto al rispetto della vita privata con riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui è stabilito l’esportatore; (...)».

24. Nella sua versione iniziale, l’articolo 4 di tale decisione prevedeva, al paragrafo 1, quanto segue: «Fatto salvo il potere di provvedere all’osservanza delle disposizioni nazionali adottate in attuazione dei capi II, III, V e VI della [direttiva 95/46], le autorità competenti degli Stati membri possono avvalersi dei poteri loro attribuiti per vietare o sospendere i flussi di dati verso paesi terzi allo scopo di proteggere le persone con riguardo al trattamento dei dati personali, qualora: a) sia accertato che, in base alla legge ad esso applicabile, l’importatore o il subincaricato è tenuto ad applicare deroghe alla normativa sulla protezione dei dati che eccedono le restrizioni ritenute necessarie in una società democratica ai sensi dell’articolo 13 della [direttiva 95/46] e pregiudicano significativamente le garanzie previste dalla normativa sulla protezione dei dati e dalle clausole contrattuali tipo; b) un’autorità competente abbia accertato che l’importatore o il subincaricato non ha rispettato le clausole contrattuali tipo riportate in allegato; oppure c) sia probabile che le clausole contrattuali tipo in allegato non vengano rispettate e che la prosecuzione del trasferimento determini un imminente rischio di gravi danni per le persone cui i dati si riferiscono».

25. Nella versione attuale, quale risulta dalla modifica della decisione 2010/87 introdotta dalla decisione di esecuzione (UE) 2016/2297 ( 10 ), l’articolo 4 della decisione 2010/87 stabilisce che «[q]uando le autorità competenti di uno Stato membro esercitano i poteri ad esse conferiti dall’articolo 28, paragrafo 3, della [direttiva 95/46] per sospendere o vietare a titolo definitivo i flussi di dati verso paesi terzi ai fini della tutela delle persone per quanto riguarda il trattamento dei dati personali, lo Stato membro interessato informa immediatamente la Commissione, che a sua volta inoltra l’informazione agli altri Stati membri».

26. L’allegato della decisione 2010/87 contiene una serie di clausole contrattuali tipo. In particolare, la clausola 3 contenuta in tale allegato, intitolata «Clausola del terzo beneficiario», prevede quanto segue: «1. L’interessato può far valere, nei confronti dell’esportatore, la presente clausola, la clausola 4, lettere da b) a i), la clausola 5, lettere da a) ad e) e da g) a j), la clausola 6, paragrafi 1 e 2, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 in qualità di terzo beneficiario. 2. L’interessato può far valere, nei confronti dell’importatore, la presente clausola, la clausola 5, lettere da a) ad e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole da 9 a 12 qualora l’esportatore sia scomparso di fatto o abbia giuridicamente cessato di esistere, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore che di conseguenza assume i diritti e gli obblighi dell’esportatore, nel qual caso l’interessato può far valere le suddette clausole nei confronti del successore. (...) (...)».

27. La clausola 4 di detto allegato, intitolata «Obblighi dell’esportatore», così dispone: «L’esportatore dichiara e garantisce quanto segue: a) che il trattamento, compreso il trasferimento, dei dati personali, è e continua ad essere effettuato in conformità di tutte le pertinenti disposizioni della normativa sulla protezione dei dati (e viene comunicato, se del caso, alle competenti autorità dello Stato membro in cui è stabilito l’esportatore) nel pieno rispetto delle leggi vigenti in quello Stato; b) che ha prescritto all’importatore, e continuerà a farlo per tutta la durata delle operazioni di trattamento, di trattare i dati personali trasferiti soltanto per suo conto e conformemente alla normativa sulla protezione dei dati e alle presenti clausole; c) che l’importatore fornirà sufficienti garanzie per quanto riguarda le misure tecniche e organizzative di sicurezza indicate nell’appendice 2; d) che, alla luce della normativa sulla protezione dei dati, le misure di sicurezza sono atte a garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali, e che tali misure garantiscono un livello di sicurezza commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare, tenuto conto della più recente tecnologia e dei costi di attuazione; e) che provvederà all’osservanza delle misure di sicurezza; f) che, qualora il trasferimento riguardi categorie particolari di dati, gli interessati sono stati o saranno informati prima del trasferimento, o immediatamente dopo, che i dati che li riguardano potrebbero essere trasmessi a un paese terzo che non garantisce una protezione adeguata ai sensi della [direttiva 95/46]; g) di trasmettere all’autorità di controllo l’eventuale comunicazione presentata dall’importatore o dal subincaricato ai sensi della clausola 5, lettera b), e della clausola 8, paragrafo 3, qualora decida di proseguire il trasferimento o revocare la sospensione; h) che fornirà, su richiesta degli interessati, copia delle presenti clausole, esclusa l’appendice 2, e una descrizione generale delle misure di sicurezza, nonché copia dei subcontratti aventi ad oggetto il trattamento da effettuarsi in conformità delle presenti clausole, omettendo le informazioni commerciali eventualmente contenute nelle clausole o nel contratto; i) che, in caso di subcontratto, il subincaricato svolge l’attività di trattamento in conformità della clausola 11 garantendo un livello di protezione dei dati personali e dei diritti dell’interessato quanto meno uguale a quello cui è tenuto l’importatore ai sensi delle presenti clausole; j) che provvederà all’osservanza della clausola 4, lettere da a) ad i)».

28. La clausola 5, prevista nel medesimo allegato, intitolata «Obblighi dell’importatore» (1), così stabilisce: «L’importatore dichiara e garantisce quanto segue: a) di trattare i dati personali esclusivamente per conto e secondo le istruzioni dell’esportatore, nonché a norma delle presenti clausole, e di impegnarsi a informare prontamente l’esportatore qualora non possa per qualsiasi ragione ottemperare a tale disposizione, nel qual caso l’esportatore ha facoltà di sospendere il trasferimento e/o risolvere il contratto; b) di non avere motivo di ritenere che la normativa ad esso applicabile impedisca di seguire le istruzioni dell’esportatore o di adempiere agli obblighi contrattuali, e di comunicare all’esportatore, non appena ne abbia conoscenza, qualsiasi modificazione di tale normativa che possa pregiudicare le garanzie e gli obblighi previsti dalle presenti clausole, nel qual caso l’esportatore ha facoltà di sospendere il trasferimento e/o di risolvere il contratto; c) di aver applicato le misure tecniche e organizzative di sicurezza indicate nell’appendice 2 prima di procedere al trattamento dei dati personali trasferiti; d) che comunicherà prontamente all’esportatore: i) qualsiasi richiesta giuridicamente vincolante presentata da autorità giudiziarie o di polizia ai fini della comunicazione di dati personali, salvo che la comunicazione sia vietata da norme specifiche, ad esempio da norme di diritto penale miranti a tutelare il segreto delle indagini; ii) qualsiasi accesso accidentale o non autorizzato; e iii) qualsiasi richiesta ricevuta direttamente dagli interessati cui non abbia risposto, salvo che sia stato autorizzato a non rispondere; e) che risponderà prontamente e adeguatamente a tutte le richieste dell’esportatore relative al trattamento dei dati personali soggetti a trasferimento e che si conformerà al parere dell’autorità di controllo per quanto riguarda il trattamento dei dati trasferiti; f) che sottoporrà i propri impianti di trattamento, su richiesta dell’esportatore, al controllo dell’esportatore o di un organismo ispettivo composto da soggetti indipendenti, in possesso delle necessarie qualificazioni professionali, vincolati da obbligo di riservatezza e selezionati dall’esportatore, eventualmente di concerto con l’autorità di controllo; (...)».

29. Secondo la nota 1, cui rinvia il titolo della clausola 5 contenuta nell’allegato alla decisione 2010/87: «Disposizioni vincolanti della legislazione nazionale applicabile all’importatore che non vanno oltre quanto è necessario in una società democratica sulla base di uno degli interessi di cui all’articolo 13, paragrafo 1, della [direttiva 95/46]; in altri termini, le restrizioni necessarie alla salvaguardia della sicurezza dello Stato, della difesa, della pubblica sicurezza, della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate, di un rilevante interesse economico o finanziario dello Stato, della protezione della persona cui si riferiscono i dati o dei diritti o delle libertà altrui, non sono in contraddizione con le clausole contrattuali tipo. Costituiscono esempi di disposizioni vincolanti che non vanno oltre quanto è necessario in una società democratica le sanzioni internazionalmente riconosciute, gli obblighi di informazione in materia fiscale o contro il riciclaggio di capitali».

30. La clausola 6 contenuta in tale allegato, intitolata «Responsabilità», è così formulata: «1. Le parti convengono che l’interessato che abbia subito un pregiudizio per violazione degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera di una parte o del subincaricato ha diritto di ottenere dall’esportatore il risarcimento del danno sofferto. 2. Qualora l’interessato non sia in grado di proporre l’azione di risarcimento di cui al paragrafo 1 nei confronti dell’esportatore per violazione di uno degli obblighi di cui alla clausola 3 o alla clausola 11 ad opera dell’importatore o del subincaricato, in quanto l’esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente, l’importatore riconosce all’interessato stesso il diritto di agire nei suoi confronti così come se egli fosse l’esportatore, a meno che tutti gli obblighi dell’esportatore siano stati trasferiti, per contratto o per legge, all’eventuale successore, nel qual caso l’interessato può far valere i suoi diritti nei confronti del successore. (...)»

31. La clausola 7 prevista in detto allegato, intitolata «Mediazione e giurisdizione», dispone quanto segue: «1. L’importatore dichiara che qualora l’interessato faccia valere il diritto del terzo beneficiario e/o chieda il risarcimento dei danni in base alle presenti clausole, egli accetterà la decisione dello stesso interessato: a) di sottoporre la controversia alla mediazione di un terzo indipendente o eventualmente dell’autorità di controllo; b) di deferire la controversia agli organi giurisdizionali dello Stato membro in cui è stabilito l’esportatore. 2. Le parti dichiarano che la scelta compiuta dall’interessato non pregiudica i diritti sostanziali o procedurali spettanti allo stesso relativamente ai rimedi giuridici previsti dalla normativa nazionale o internazionale».

32. La clausola 9 contenuta nel medesimo allegato, intitolata «Legge applicabile», prevede che le clausole contrattuali tipo siano disciplinate dalla legge dello Stato membro in cui è stabilito l’esportatore.

D. Decisione «scudo per la privacy»

33. L’articolo 25, paragrafo 6, della direttiva 95/46 ha costituito la base per l’adozione, da parte della Commissione, di due decisioni successive con le quali essa ha constatato che gli Stati Uniti assicurano un livello adeguato di protezione dei dati personali trasferiti a imprese stabilite negli Stati Uniti che hanno dichiarato di aderire, mediante una procedura di autocertificazione, ai principi enunciati in tali decisioni.

34. In un primo tempo, la Commissione ha adottato la decisione 2000/520/CE sull’adeguatezza della protezione offerta dai principi di approdo sicuro e dalle relative «Domande più frequenti» (FAQ) in materia di riservatezza pubblicate dal Dipartimento del commercio degli Stati Uniti ( 11 ). Nella sentenza del 6 ottobre 2015, Schrems ( 12 ), la Corte ha dichiarato invalida tale decisione.

35. In seguito a tale sentenza, la Commissione ha adottato, in un secondo tempo, la decisione «scudo per la privacy».

36. L’articolo 1 di tale decisione dispone quanto segue: «1. Ai fini dell’articolo 25, paragrafo 2, della [direttiva 95/46], gli [Stati Uniti] assicurano un livello di protezione adeguato dei dati personali trasferiti nell’ambito dello scudo dall’Unione alle organizzazioni statunitensi. 2. Lo scudo UE‑USA per la privacy («scudo») è costituito dai principi emanati dal Dipartimento del Commercio degli Stati Uniti il 7 luglio 2016, riportati nell’allegato II, e dalle dichiarazioni e impegni ufficiali riportati nei documenti di cui agli allegati I e da III a VII. 3. Ai fini del paragrafo 1, sono trasferiti nell’ambito dello scudo i dati personali trasferiti dall’Unione a organizzazioni presenti negli Stati Uniti che figurano nell’elenco degli aderenti allo scudo tenuto e pubblicato dal Dipartimento del Commercio degli Stati Uniti in conformità delle parti I e III dei principi enunciati nell’allegato II».

37. L’allegato III A di tale decisione, intitolato «Meccanismo di mediazione dello scudo UE‑USA per la privacy in materia di intelligence dei segnali», allegato a una lettera dell’allora Secretary of State (Segretario di Stato, Stati Uniti) John Kerry, datata 7 luglio 2016, contiene un memorandum che descrive una nuova procedura di mediazione con un «Primo coordinatore della diplomazia internazionale per le tecnologie dell’informazione» (in prosieguo: il «mediatore») nominato dal Segretario di Stato.

38. Secondo tale memorandum, detta procedura è stata istituita «secondo modalità consolidate conformi alla legge e alla politica degli [Stati Uniti], per facilitare il trattamento delle domande di accesso motivate dalla sicurezza nazionale ai dati trasmessi dall’[Unione] agli Stati Uniti nell’ambito dello scudo, delle clausole contrattuali tipo, delle norme vincolanti d’impresa, delle “deroghe” o delle “eventuali deroghe future” così come la risposta a tali domande».

III. Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte

39. Il signor Schrems, cittadino austriaco residente in Austria, è un utente della rete sociale Facebook. Tutti gli utenti di tale social network, residenti nel territorio dell’Unione, sono tenuti a concludere, al momento dell’iscrizione, un contratto con Facebook Ireland, una controllata di Facebook Inc., la quale ha, a sua volta, sede negli Stati Uniti. I dati personali di tali utenti sono trasferiti, in tutto o in parte, su server di proprietà di Facebook Inc., situati nel territorio degli Stati Uniti, ove vengono trattati.

40. Il 25 giugno 2013, il sig. Schrems ha presentato una denuncia al DPC in cui chiedeva, in sostanza, a quest’ultimo di vietare a Facebook Ireland di trasferire i suoi dati personali negli Stati Uniti. In tale denuncia egli faceva valere che il diritto e le prassi vigenti in tale paese terzo non garantivano una protezione sufficiente dei dati personali conservati nel suo territorio contro le ingerenze derivanti rispetto alle attività di sorveglianza ivi svolte dalle autorità pubbliche. Il sig. Schrems si riferiva, a tal riguardo, alle rivelazioni fatte dal sig. Edward Snowden in merito alle attività dei servizi di intelligence degli Stati Uniti, e in particolare a quelle della National Security Agency (NSA) (Agenzia per la sicurezza nazionale, Stati Uniti).

41. Tale denuncia è stata respinta con la motivazione, in particolare, che qualsiasi questione relativa all’adeguatezza della protezione garantita negli Stati Uniti doveva essere decisa conformemente alla decisione «approdo sicuro». In tale decisione la Commissione aveva constatato che il suddetto paese terzo offriva un livello adeguato di protezione dei dati personali trasferiti a imprese situate nel suo territorio, aderendo ai principi stabiliti nella decisione stessa.

42. Il sig. Schrems ha proposto ricorso contro la decisione di rigetto della denuncia dinanzi alla High Court (Alta Corte). Tale giudice ha considerato che, sebbene il sig. Schrems non avesse formalmente rimesso in discussione la validità della decisione «approdo sicuro», il suo reclamo denunciava effettivamente la legittimità del regime istituito da tale decisione. In tali circostanze, detto giudice ha sottoposto alla Corte questioni volte, in sostanza, ad accertare se le autorità degli Stati membri responsabili della protezione dei dati (in prosieguo: le «autorità di controllo») – quando ricevono una denuncia relativa alla protezione dei diritti e delle libertà di una persona in relazione al trattamento dei dati personali che la riguardano e che sono stati trasferiti in uno Stato terzo – siano vincolate dalle constatazioni sull’adeguatezza del livello di protezione offerto da tale Stato terzo, effettuate dalla Commissione ai sensi dell’articolo 25, paragrafo 6, della direttiva 95/46, anche se il denunciante contesta tali constatazioni.

43. Dopo aver stabilito, ai punti 51 e 52 della sentenza Schrems, che una decisione di adeguatezza vincola le autorità di controllo fino a che essa non sia stata dichiarata invalida, la Corte ha dichiarato quanto segue ai punti 63 e 65 di tale sentenza: «63. (...) [Q]ualora una persona i cui dati personali sono stati o potrebbero essere trasferiti verso un paese terzo che è stato oggetto di una decisione della Commissione in forza dell’articolo 25, paragrafo 6, della direttiva 95/46, investa un’autorità nazionale di controllo di una domanda relativa alla protezione dei suoi diritti e libertà con riguardo al trattamento di tali dati e contesti, in occasione di tale domanda (...) la compatibilità di tale decisione con la protezione della vita privata e delle libertà e dei diritti fondamentali della persona, incombe a tale autorità esaminare detta domanda con tutta la diligenza richiesta. (...) 65. Nell’ipotesi (...) in cui detta autorità reputi fondate le censure sollevate [da tale persona], questa stessa autorità, ai sensi dell’articolo 28, paragrafo 3, primo comma, terzo trattino, della direttiva 95/46, in combinato, segnatamente, con l’articolo 8, paragrafo 3, della Carta, deve poter promuovere azioni giudiziarie. A tal riguardo, incombe al legislatore nazionale prevedere mezzi di ricorso che consentano all’autorità nazionale di controllo di cui trattasi di far valere le censure che essa reputa fondate dinanzi ai giudici nazionali, affinché questi ultimi procedano, qualora condividano i dubbi di tale autorità in ordine alla validità della decisione della Commissione, ad un rinvio pregiudiziale inteso all’esame della validità di tale decisione».

44. La Corte ha inoltre esaminato, in tale sentenza, la validità della decisione «approdo sicuro» alla luce dei requisiti derivanti dalla direttiva 95/46, in combinato disposto con la Carta. Al termine di tale esame, essa ha dichiarato invalida tale decisione ( 13 ).

45. In seguito alla sentenza Schrems il giudice del rinvio ha annullato la decisione con la quale il DPC aveva respinto la denuncia del sig. Schrems e l’ha rinviata al DPC per riesame. Quest’ultimo ha avviato un’indagine e ha invitato il sig. Schrems a riformulare la denuncia, tenuto conto dell’annullamento della decisione «approdo sicuro».

46. A tal fine, il sig. Schrems ha chiesto a Facebook Ireland di individuare le basi giuridiche su cui riposa il trasferimento dei dati personali degli utenti della rete sociale Facebook dall’Unione agli Stati Uniti. Facebook Ireland, senza individuare tutte le basi giuridiche su cui si basa, ha fatto riferimento a un accordo di trasferimento e di trattamento dei dati (data transfer processing agreement) concluso tra la stessa e Facebook Inc., applicabile dal 20 novembre 2015, e ha invocato la decisione 2010/87.

47. Nella denuncia riformulata il sig. Schrems fa valere, da un lato, che le clausole contenute in tale accordo non sono conformi alle clausole contrattuali tipo contenute nell’allegato alla decisione 2010/87. D’altro lato, il sig. Schrems sostiene che tali clausole contrattuali tipo non potrebbero, in ogni caso, costituire la base del trasferimento negli Stati Uniti dei dati personali che lo riguardano. Ciò avverrebbe in quanto il diritto statunitense impone a Facebook Inc. di mettere i dati personali degli utenti a disposizione delle autorità statunitensi, come la NSA e il Federal Bureau of Investigation (FBI) (Ufficio investigativo federale, Stati Uniti), nell’ambito di programmi di sorveglianza che ostacolerebbero l’esercizio dei diritti garantiti dagli articoli 7, 8 e 47 della Carta. Il sig. Schrems sostiene che gli interessati non dispongono di alcun mezzo di ricorso per far valere i loro diritti al rispetto della vita privata e alla protezione dei dati personali. In tali circostanze, il sig. Schrems chiede al DPC di sospendere tale trasferimento ai sensi dell’articolo 4 della decisione 2010/87.

48. Facebook Ireland ha riconosciuto, nell’ambito dell’indagine del DPC, di continuare a trasferire negli Stati Uniti i dati personali degli utenti della rete sociale Facebook residenti nell’Unione e di basarsi, a tal fine, in gran parte sulle clausole contrattuali tipo contenute nell’allegato alla decisione 2010/87.

49. L’indagine del DPC mirava a stabilire, da un lato, se gli Stati Uniti garantiscano un’adeguata protezione dei dati personali dei cittadini dell’Unione e, dall’altro, in caso di risposta negativa, se le decisioni CCT forniscano garanzie sufficienti per quanto riguarda la protezione dei loro diritti e libertà fondamentali.

50. A tale riguardo, in un progetto di decisione (draft decision), il DPC ha ritenuto, in via provvisoria, che il diritto statunitense non offra mezzi di ricorso efficaci, ai sensi dell’articolo 47 della Carta, per i cittadini dell’Unione i cui dati sono trasferiti negli Stati Uniti, ove rischiano di essere trattati dalle agenzie statunitensi per finalità di sicurezza nazionale in modo incompatibile con gli articoli 7 e 8 della Carta. Le garanzie previste dalle clausole contenute in allegato alle decisioni CCT non porrebbero rimedio a tale lacuna, in quanto non sono vincolanti per le autorità o agenzie statunitensi e conferiscono agli interessati soltanto diritti contrattuali nei confronti dell’esportatore e/o dell’importatore dei dati.

51. In tali circostanze, il DPC ha ritenuto di non potersi pronunciare sulla denuncia del sig. Schrems senza che la Corte esamini la validità delle decisioni CCT. Conformemente al punto 65 della sentenza Schrems, il DPC ha quindi avviato un procedimento dinanzi al giudice del rinvio affinché quest’ultimo, qualora condivida i dubbi del DPC, investa la Corte di un rinvio pregiudiziale sulla validità di tali decisioni.

52. Il governo degli Stati Uniti, l’Electronic Privacy Information Centre (EPIC), la Business Software Alliance (BSA) e Digitaleurope sono stati autorizzati a intervenire dinanzi al giudice del rinvio.

53. Al fine di stabilire se condivide i dubbi espressi dal DPC sulla validità delle decisioni CCT, la High Court (Alta Corte) ha ricevuto le prove prodotte dalle parti della controversia e ha ascoltato le argomentazioni presentate da queste ultime e dagli intervenienti. In particolare, le disposizioni del diritto statunitense sono state oggetto di prova mediante periti. In diritto irlandese, il diritto estero è considerato una questione di fatto da dimostrare mediante prove allo stesso modo di qualsiasi altro fatto. In base a tali prove, il giudice del rinvio ha valutato le disposizioni di diritto statunitense che autorizzano la sorveglianza da parte delle autorità e agenzie governative, il funzionamento di due programmi di sorveglianza pubblicamente riconosciuti («PRISM» e «Upstream»), i vari mezzi di ricorso a disposizione dei singoli i cui diritti sono stati violati da misure di sorveglianza, nonché le garanzie sistemiche e i meccanismi di controllo. Tale giudice ha documentato i risultati di tale valutazione in una sentenza del 3 ottobre 2017, allegata alla sua ordinanza di rinvio [in prosieguo: la «sentenza della High Court (Alta Corte) del 3 ottobre 2017»].

54. In tale sentenza il giudice del rinvio ha fatto riferimento, tra le basi giuridiche che autorizzano l’intercettazione di comunicazioni estere da parte dei servizi di intelligence statunitensi, all’articolo 702 del Foreign Intelligence and Surveillance Act (FISA) (legge sulla sorveglianza in materia di intelligence esterna) e all’Executive Order 12333 (decreto presidenziale n. 12333, in prosieguo: l’«EO 12333»).

55. Secondo le constatazioni effettuate in tale sentenza, l’articolo 702 del FISA consente all’Attorney General (procuratore generale, Stati Uniti) e al Director of National Intelligence (DNI) (direttore dell’intelligence nazionale, Stati Uniti) di autorizzare congiuntamente, per un periodo di un anno, al fine di ottenere informazioni in materia di intelligence esterna, la sorveglianza di persone che non sono cittadini statunitensi e che non risiedono in modo permanente negli Stati Uniti (le cosiddette «persone non statunitensi»), quando è ragionevole ritenere che si trovino al di fuori del territorio degli Stati Uniti ( 14 ). Secondo il FISA, la nozione di «intelligence esterna» si riferisce alle informazioni relative alla capacità del governo di cautelarsi contro gli attacchi stranieri, il terrorismo, la proliferazione delle armi di distruzione di massa e la gestione degli affari esteri statunitensi ( 15 ).

56. Tali autorizzazioni annuali, al pari delle procedure che regolano l’individuazione mirata delle persone da sottoporre a sorveglianza e il trattamento («minimizzazione») delle informazioni raccolte ( 16 ), devono essere approvate dal Foreign Intelligence Surveillance Court (FISC; in prosieguo: la «Corte FISA») (tribunale per la sorveglianza dell’intelligence esterna, Stati Uniti). Mentre la sorveglianza «tradizionale» effettuata in base ad altre disposizioni del FISA richiede l’accertamento di una «probabile causa» per sospettare che le persone sottoposte a sorveglianza appartengano a una potenza straniera o ne siano gli agenti, le attività di sorveglianza esercitate ai sensi dell’articolo 702 del FISA non sono soggette né all’accertamento di tale «probabile causa» né all’approvazione, da parte della Corte FISA, dell’individuazione mirata di persone determinate. Inoltre, sempre secondo le constatazioni del giudice del rinvio, le procedure di minimizzazione non si applicano alle persone non statunitensi che si trovino al di fuori degli Stati Uniti.

57. In pratica, una volta che l’autorizzazione è stata concessa dalla Corte FISA, la NSA invia ai fornitori di servizi di comunicazione elettronica stabiliti negli Stati Uniti istruzioni contenenti criteri di ricerca, chiamati «selettori», associati a persone individuate specificamente (come numeri di telefono o indirizzi di posta elettronica). Tali fornitori sono allora obbligati a trasmettere alla NSA i dati corrispondenti ai selettori e devono tenere segrete le istruzioni loro rivolte. Essi possono presentare alla Corte FISA una domanda diretta alla modifica o al rigetto di un’istruzione della NSA. La decisione della Corte FISA può essere impugnata presso il Foreign Intelligence Surveillance Court of Review (FISCR) (Tribunale per la revisione in materia di sorveglianza dell’intelligence esterna, Stati Uniti).

58. La High Court (Alta Corte) ha constatato che l’articolo 702 del FISA funge da base giuridica per i programmi PRISM e Upstream.

59. Nell’ambito del programma PRISM, i fornitori di servizi di comunicazione elettronica sono tenuti a sottoporre alla NSA tutte le comunicazioni «dal» o «verso il» selettore comunicato da quest’ultima. Una parte di tali comunicazioni sarebbe trasmessa all’FBI e alla Central Intelligence Agency (CIA) (Agenzia centrale di intelligence, Stati Uniti). Nel 2015, 94386 persone sarebbero state sottoposte a sorveglianza e, nel 2011, il governo degli Stati Uniti avrebbe acquisito oltre 250 milioni di comunicazioni nell’ambito di tale programma.

60. Il programma Upstream si basa sull’assistenza obbligatoria delle imprese che gestiscono la «dorsale» – ossia la rete di cavi, commutatori e router – su cui transitano le comunicazioni telefoniche e le comunicazioni Internet. Tali imprese sono tenute a consentire alla NSA di copiare e di filtrare i flussi di traffico Internet al fine di acquisire comunicazioni «da», «verso» o «riguardanti» un selettore menzionato in una istruzione di tale agenzia. Le comunicazioni «riguardanti» un selettore sono quelle che fanno riferimento a tale selettore, senza che la persona non statunitense associata a detto selettore prenda necessariamente parte ad esse. Sebbene da un parere della Corte FISA, del 26 aprile 2017, risulti che, a partire da tale data, il governo statunitense non raccoglie né acquisisce più comunicazioni «riguardanti» un selettore, tale parere non specifica che la NSA abbia cessato di copiare e di filtrare i flussi di comunicazioni che transitano per il suo sistema di sorveglianza. Il programma Upstream implicherebbe infatti l’accesso, da parte della NSA, tanto ai metadati quanto al contenuto delle comunicazioni. Dal 2011 la NSA avrebbe raccolto circa 26,5 milioni di comunicazioni all’anno nell’ambito del programma Upstream, il che, tuttavia, rappresenterebbe solo una piccola parte delle comunicazioni assoggettate al processo di screening di tale programma.

61. Inoltre, secondo le constatazioni della High Court (Alta Corte), l’EO 12333 autorizza la sorveglianza di comunicazioni elettroniche al di fuori del territorio degli Stati Uniti consentendo l’accesso, a fini di intelligence esterna, a dati «in transito» verso tale territorio, oppure «che transitano» attraverso tale territorio senza essere destinati a subirvi un trattamento, nonché la raccolta e la conservazione di tali dati. L’EO 12333 definisce la nozione di «intelligence esterna» nel senso che essa include le informazioni relative alle capacità, intenzioni o attività di governi, organizzazioni o individui stranieri ( 17 ).

62. L’EO 12333 autorizzerebbe la NSA ad accedere ai cavi sottomarini, che si trovano sul fondale dell’oceano Atlantico, attraverso i quali i dati sono trasferiti dall’Unione agli Stati Uniti, prima che i dati stessi raggiungano gli Stati Uniti e siano quindi soggetti alle disposizioni del FISA. Tuttavia, non vi sono prove di un qualsivoglia programma attuato ai sensi di tale decreto presidenziale.

63. Sebbene l’EO 12333 preveda limiti riguardanti la raccolta, la conservazione e la diffusione di informazioni, tali limiti non si applicano alle persone non statunitensi. Queste ultime beneficiano unicamente delle garanzie stabilite dalla Presidential Policy Directive 28 (direttiva strategica presidenziale n. 28; in prosieguo: la «PPD 28»), che si applica a tutte le attività di raccolta e uso di informazioni in materia di intelligence esterna di origine elettromagnetica. La PPD 28 dispone che il rispetto della vita privata costituisce parte integrante delle considerazioni di cui tener conto nella pianificazione di tali attività, che l’unico scopo della raccolta deve essere l’acquisizione di informazioni in materia di intelligence esterna e di controspionaggio, e che dette attività devono essere «il più possibile mirate».

64. Secondo il giudice del rinvio, le attività della NSA basate sull’EO 12333, che può essere modificato o revocato in qualsiasi momento dal Presidente degli Stati Uniti, non sono disciplinate dalla legge, non sono soggette a controllo giurisdizionale e non possono essere oggetto di ricorsi giurisdizionali.

65. Sulla base di tali constatazioni, detto giudice considera che gli Stati Uniti procedono a trattamenti massicci e indiscriminati di dati personali che potrebbero esporre gli interessati al rischio di violazione dei loro diritti ai sensi degli articoli 7 e 8 della Carta.

66. Inoltre, detto giudice precisa che i cittadini dell’Unione non hanno accesso agli stessi mezzi di ricorso, contro i trattamenti illeciti dei loro dati personali da parte delle autorità statunitensi, cui hanno accesso i cittadini statunitensi. Il quarto emendamento alla Costituzione degli Stati Uniti, che costituirebbe la protezione più importante contro la sorveglianza illecita, non sarebbe applicabile ai cittadini dell’Unione europea che non presentano un legame volontario e significativo con gli Stati Uniti. Sebbene essi dispongano comunque di altri mezzi di ricorso, si troverebbero ad affrontare ostacoli significativi.

67. In particolare, l’articolo III della Costituzione degli Stati Uniti subordina qualsiasi ricorso dinanzi ai giudici federali alla dimostrazione, da parte dell’interessato, della sua legittimazione ad agire (standing). La legittimazione ad agire presuppone, in particolare, che tale persona dimostri di aver subito un danno effettivo che sia, da un lato, concreto e specifico, e, dall’altro, attuale o imminente. Riferendosi, tra l’altro, alla sentenza della Supreme Court of the United States (Corte suprema degli Stati Uniti), Clapper v. Amnesty International US ( 18 ), il giudice del rinvio ritiene che tale condizione sia, in pratica, eccessivamente difficile da soddisfare, tenuto conto, in particolare, della mancanza di qualsiasi obbligo di informare gli interessati riguardo alle misure di sorveglianza adottate nei loro confronti ( 19 ). Una parte dei mezzi di ricorso a disposizione dei cittadini dell’Unione sarebbe, inoltre, soggetta al rispetto di altre condizioni restrittive, come la necessità di dimostrare un danno pecuniario. L’immunità sovrana riconosciuta alle agenzie di intelligence e la classificazione delle informazioni in questione osterebbero anch’esse all’utilizzo di taluni mezzi di ricorso ( 20 ).

68. La High Court (Alta Corte) menziona inoltre vari meccanismi di controllo e di supervisione delle attività delle agenzie di intelligence.

69. Tra questi rientrano, da un lato, il meccanismo di certificazione annuale, da parte della Corte FISA, dei programmi basati sull’articolo 702 del FISA, nell’ambito del quale la Corte FISA non approva, tuttavia, i singoli selettori. Inoltre, nessun controllo giurisdizionale preventivo disciplina la raccolta di informazioni in materia di intelligence esterna ai sensi dell’EO 12333.

70. D’altro lato, il giudice del rinvio fa riferimento a diversi meccanismi di controllo extragiudiziale delle attività di intelligence. In particolare, esso menziona il ruolo degli Inspectors General (ispettori generali, Stati Uniti) che, all’interno di ciascuna agenzia di intelligence, sono responsabili della supervisione delle attività di sorveglianza. Inoltre, il Privacy and Civil Liberties Oversight Board (PCLOB) (consiglio di sorveglianza della vita privata e delle libertà civili, Stati Uniti), un’agenzia indipendente all’interno del potere esecutivo, riceve le relazioni di persone designate all’interno di ogni agenzia quali responsabili per le libertà civili o per la privacy (civil liberties or privacy officers). Il PCLOB redige regolarmente relazioni destinate alle commissioni parlamentari e al Presidente. Le agenzie interessate devono portare all’attenzione, in particolare del DNI, i casi di inosservanza delle norme e delle procedure relative alla raccolta di informazioni di intelligence esterna. Anche questi casi sono segnalati alla Corte FISA. Il Congresso degli Stati Uniti, attraverso le commissioni di intelligence della Camera e del Senato, è anch’esso responsabile del controllo delle attività di intelligence esterna.

71. Tuttavia, la High Court (Alta Corte) sottolinea la differenza fondamentale tra, da un lato, le norme volte a garantire che i dati siano ottenuti legittimamente e che, una volta ottenuti, non ne sia fatto abuso e, dall’altro, i mezzi di ricorso disponibili in caso di violazione di tali norme. La tutela dei diritti fondamentali degli interessati sarebbe garantita solo mezzi di ricorso effettivi consentano loro di far valere i propri diritti in caso di inosservanza di tali norme.

72. In tali circostanze, il giudice del rinvio considera fondati gli argomenti, fatti valere dal DPC, secondo i quali le limitazioni imposte dal diritto statunitense al diritto di ricorso dei soggetti, i cui dati sono trasferiti dall’Unione, non rispettano il contenuto essenziale del diritto garantito dall’articolo 47 della Carta e, in ogni caso, costituiscono un’ingerenza sproporzionata nell’esercizio di tale diritto.

73. Secondo la High Court (Alta Corte), l’introduzione, da parte del governo degli Stati Uniti, del meccanismo di mediazione descritto nella decisione «scudo per la privacy» non rimette in discussione tale valutazione. Dopo aver sottolineato che tale meccanismo è accessibile ai cittadini dell’Unione che ritengono, su base ragionevole, che i loro dati siano stati trasferiti conformemente alle decisioni CCT ( 21 ), tale giudice ha osservato che il Mediatore non è un organo giurisdizionale che soddisfa i requisiti di cui all’articolo 47 della Carta e, in particolare, non è indipendente dal potere esecutivo ( 22 ). Detto giudice dubita inoltre che l’intervento del mediatore, le cui decisioni non possono essere oggetto di un ricorso giurisdizionale, rappresenti un mezzo di ricorso effettivo. Infatti, tale intervento non consente alle persone i cui dati personali sono stati raccolti, trattati o condivisi illegalmente di ottenere un risarcimento o un’ingiunzione a porre fine agli atti illeciti, in quanto il Mediatore non conferma né nega che un richiedente sia stato oggetto di una misura di sorveglianza elettronica.

74. Dopo aver così esposto le proprie preoccupazioni riguardo all’equivalenza sostanziale tra le garanzie previste dal diritto statunitense e i requisiti derivanti dagli articoli 7, 8 e 47 della Carta, il giudice del rinvio ha espresso dubbi quanto al fatto che le clausole contrattuali tipo previste dalle decisioni CCT – che, per loro natura, non sono vincolanti per le autorità statunitensi – possano comunque garantire la tutela dei diritti fondamentali degli interessati. Detto giudice ne ha concluso che condivide i dubbi del DPC circa la validità di tali decisioni.

75. A tale riguardo, il giudice del rinvio considera, in particolare, che l’articolo 28, paragrafo 3, della direttiva 95/46, cui fa riferimento l’articolo 4 della decisione 2010/87, poiché riconosce alle autorità di controllo il potere di sospendere o di vietare i trasferimenti basati sulle clausole contrattuali tipo previste da tale decisione, non è sufficiente a dissipare tali dubbi. Oltre al fatto che, a suo avviso, tale potere ha carattere esclusivamente discrezionale, il giudice del rinvio si chiede, alla luce del considerando 11 della decisione 2010/87, se esso possa essere esercitato quando le carenze riscontrate non riguardano un caso particolare ed eccezionale, ma hanno carattere generale e sistemico ( 23 ). Tale giudice considera altresì che il rischio che siano pronunciate decisioni divergenti nei diversi Stati membri potrebbe ostare a che la constatazione di tali carenze sia affidata alle autorità di controllo.

76. In tali circostanze, la High Court (Alta Corte) ha deciso, con provvedimento del 4 maggio 2018 ( 24 ), pervenuto alla cancelleria della Corte il 9 maggio 2018, di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1) Se, in circostanze in cui dati personali sono trasferiti da una società privata di uno Stato membro dell’[Unione] a una società privata in un paese terzo per scopi commerciali ai sensi della [decisione 2010/87] e possono essere ulteriormente trattati nel paese terzo dalle sue autorità ai fini della sicurezza nazionale ma anche ai fini dell’applicazione della legge e della gestione della politica estera del paese terzo, il diritto dell’Unione, compresa la Carta, sia applicabile al trasferimento dei dati, nonostante le disposizioni di cui all’articolo 4, paragrafo 2, TUE in relazione alla sicurezza nazionale e le disposizioni di cui al primo trattino dell’articolo 3, paragrafo 2, della [direttiva 95/46] in relazione alla pubblica sicurezza, alla difesa e alla sicurezza dello Stato. 2. a) Se, per determinare se vi sia una violazione dei diritti di un individuo a causa del trasferimento di dati, ai sensi della decisione [2010/87], dall’Unione verso un paese terzo nel quale possono essere ulteriormente trattati per finalità di sicurezza nazionale, l’elemento di paragone rilevante ai fini dell’applicazione della direttiva [95/46] sia: i) la Carta, il TUE, il TFUE, la direttiva [95/46], la [Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950 (in prosieguo: la “CEDU” (o qualsiasi altra disposizione del diritto dell’Unione); oppure ii) le leggi nazionali di uno o più Stati Membri. b) Qualora l’elemento di paragone rilevante sia quello sub ii), se siano da includere nel raffronto anche le prassi nell’ambito della sicurezza nazionale in uno o più Stati membri. 3) Se, nel valutare se un paese terzo garantisca il livello di protezione richiesto dal diritto dell’Unione ai dati personali trasferiti in tale paese ai fini dell’articolo 26 della direttiva [95/46], il livello di protezione nel paese terzo debba essere valutato con riferimento a: a) le norme vigenti nel paese terzo derivanti dalla sua legislazione nazionale o dagli impegni internazionali e la prassi intesa ad assicurare il rispetto di tali norme, comprese le norme professionali e le misure di sicurezza osservate nel paese terzo; oppure b) le norme di cui alla lettera a) congiuntamente alle prassi amministrative, regolamentari e di conformità e alle misure di salvaguardia, alle procedure, ai protocolli, ai meccanismi di controllo e ai mezzi di ricorso extragiudiziali che sono in vigore nel paese terzo. 4) Se, considerando i fatti accertati dalla High Court (Alta Corte) in relazione al diritto degli Stati Uniti, il trasferimento dei dati personali dall’Unione verso gli Stati Uniti ai sensi della decisione [2010/87] violi i diritti degli individui ai sensi degli articoli 7 e/o 8 della Carta. 5) Se, considerando i fatti accertati dalla High Court (Alta Corte) in relazione al diritto degli Stati Uniti, in caso di trasferimento dei dati personali dall’[Unione] verso gli Stati Uniti ai sensi della decisione [2010/87]: a) il livello di protezione garantito dagli Stati Uniti rispetti il contenuto essenziale del diritto di un individuo a un ricorso giurisdizionale in caso di violazione dei suoi diritti in materia di tutela dei dati personali garantiti dall’articolo 47 della Carta. In caso di risposta affermativa alla lettera a), b) se le restrizioni imposte dalla legge statunitense al diritto di un individuo a un ricorso giurisdizionale nell’ambito della sicurezza nazionale degli Stati Uniti siano proporzionate ai sensi dell’articolo 52 della Carta e non vadano al di là di quanto necessario in una società democratica ai fini di sicurezza nazionale. 6) a) Quale sia il livello di protezione richiesto che deve essere garantito ai dati personali trasferiti verso un paese terzo a norma delle clausole contrattuali tipo adottate conformemente a una decisione della Commissione a norma dell’articolo 26, paragrafo 4, della direttiva [95/46] alla luce delle disposizioni [di tale direttiva], e in particolare [dei suoi] articoli 25 e 26, letti alla luce della Carta. b) Quali siano i fattori da prendere in considerazione per valutare se il livello di protezione garantito ai dati trasferiti verso un paese terzo ai sensi della decisione [2010/87] soddisfi i requisiti della direttiva [95/46] e della Carta. 7) Se il fatto che le clausole contrattuali tipo si applicano tra l’esportatore e l’importatore dei dati e non vincolano le autorità nazionali di un paese terzo, le quali possono esigere che l’importatore dei dati metta a disposizione dei loro servizi di sicurezza per l’ulteriore trattamento i dati personali trasferiti ai sensi delle clausole di cui alla decisione [2010/87], escluda che le clausole offrano garanzie sufficienti, come previsto dall’articolo 26, paragrafo 2, della direttiva [95/46]. 8) Se, qualora un importatore di dati di un paese terzo sia soggetto a norme di sorveglianza che, secondo un’[autorità di controllo], sono in contrasto con le clausole tipo o con gli articoli 25 e 26 della direttiva [95/46] e/o con la Carta, un’[autorità di controllo] sia tenuta a utilizzare i propri poteri esecutivi ai sensi dell’articolo 28, paragrafo 3, della direttiva [95/46] al fine di sospendere i flussi di dati oppure se l’esercizio di tali poteri sia limitato solo ai casi eccezionali, alla luce del considerando 11 della decisione [2010/87], oppure se un’[autorità di controllo] possa utilizzare il suo potere discrezionale per non sospendere i flussi di dati. 9) a) Se, ai fini dell’articolo 25, paragrafo 6, della direttiva [95/46], la decisione [“scudo per la privacy”] costituisca una constatazione di applicazione generale che vincola le [autorità di controllo] e i giudici degli Stati membri, nel senso che gli Stati Uniti assicurano un livello di protezione adeguato ai sensi dell’articolo 25, paragrafo 2, della direttiva [95/46], a motivo della loro legislazione nazionale o degli impegni internazionali che hanno assunto. b) In caso contrario, quale eventuale rilevanza abbia la decisione [“scudo per la privacy”] nella valutazione svolta sull’adeguatezza delle garanzie fornite ai dati trasferiti verso gli Stati Uniti ai sensi della decisione [2010/87]. 10) Se, considerate le conclusioni della High Court (Alta Corte) in relazione al diritto degli Stati Uniti, l’aver istituito il Mediatore dello “scudo per la privacy”, ai sensi dell’[allegato III A] della decisione [“scudo per la privacy”], congiuntamente al regime in vigore negli Stati Uniti, garantisca che gli Stati Uniti prevedano un mezzo di ricorso in favore degli interessati i cui dati personali sono trasferiti negli Stati Uniti ai sensi della decisione [2010/87] che sia compatibile con l’articolo 47 della Carta. 11) Se la decisione [2010/87] violi gli articoli 7, 8 e/o 47 della Carta».

77. Il DPC, Facebook Ireland, il sig. Schrems, il governo degli Stati Uniti, l’EPIC, la BSA, Digitaleurope, l’Irlanda, i governi belga, ceco, tedesco, dei Paesi Bassi, austriaco, polacco, portoghese e del Regno Unito, il Parlamento europeo e la Commissione hanno presentato osservazioni scritte alla Corte. Il DPC, Facebook Ireland, il sig. Schrems, il governo degli Stati Uniti, l’EPIC, la BSA, Digitaleurope, l’Irlanda, i governi tedesco, francese, dei Paesi Bassi, austriaco e del Regno Unito, il Parlamento, la Commissione e il comitato europeo per la protezione dei dati (EDPB) sono stati rappresentati all’udienza del 9 luglio 2019.

IV. Analisi

A. Considerazioni preliminari

78. A seguito dell’annullamento della decisione «approdo sicuro», da parte della Corte nella sentenza Schrems, i trasferimenti di dati personali verso gli Stati Uniti sono proseguiti in base ad altri fondamenti giuridici. In particolare, le società esportatrici hanno potuto ricorrere a contratti con importatori contenenti clausole tipo elaborate dalla Commissione. Tali clausole fungono altresì da base giuridica per i trasferimenti verso molti altri paesi terzi riguardo ai quali la Commissione non ha adottato una decisione di adeguatezza ( 25 ). La decisione «scudo per la privacy» consente ormai alle imprese che abbiano autocertificato la loro adesione ai principi ivi enunciati di trasferire dati personali verso gli Stati Uniti senza ulteriori formalità.

79. Come espressamente dichiarato nella decisione di rinvio e come sottolineato dalla BSA, da Digitaleurope, dall’Irlanda, dai governi austriaco e francese, dal Parlamento e dalla Commissione, il procedimento principale, pendente dinanzi alla High Court (Alta Corte), ha come unico scopo quello di determinare se sia valida la decisione con cui la Commissione ha introdotto le clausole contrattuali tipo fatte valere a sostegno dei trasferimenti menzionati nella denuncia del sig. Schrems, vale a dire la decisione 2010/87 ( 26 ).

80. La presente controversia ha origine da una domanda con la quale il DPC ha chiesto al giudice del rinvio di sottoporre alla Corte una questione pregiudiziale relativa alla validità della decisione 2010/87. A detta di tale giudice, il procedimento principale riguarda, pertanto, l’esercizio del mezzo di ricorso che la Corte ha imposto agli Stati membri di prevedere al punto 65 della sentenza Schrems.

81. Si ricorda che la Corte ha statuito, al punto 63 di tale sentenza, che l’autorità di controllo è tenuta a trattare con la dovuta diligenza una denuncia con la quale una persona, i cui dati personali sono stati o potrebbero essere trasferiti verso un paese terzo che è stato oggetto di una decisione di adeguatezza, contesta la compatibilità di tale decisione con i diritti fondamentali sanciti dalla Carta. Secondo il punto 65 di tale sentenza, nell’ipotesi in cui detta autorità reputi fondate le censure sollevate in tale denuncia, essa deve, ai sensi dell’articolo 28, paragrafo 3, primo comma, terzo trattino, della direttiva 95/46 (al quale corrisponde l’articolo 58, paragrafo 5, del RGPD, in combinato con l’articolo 8, paragrafo 3, della Carta, poter promuovere azioni giudiziarie. A tal riguardo, il legislatore nazionale deve prevedere mezzi di ricorso che gli consentano di far valere tali censure dinanzi ai giudici nazionali, affinché questi ultimi procedano, qualora condividano i dubbi di tale autorità, ad un rinvio pregiudiziale riguardante la validità della decisione di cui trattasi.

82. Al pari del giudice del rinvio, ritengo che tali conclusioni si applichino per analogia nel caso in cui, in sede di trattamento di una denuncia di cui è investita, un’autorità di controllo nutra dubbi sulla validità non di una decisione di adeguatezza, ma di una decisione, come la decisione 2010/87, che stabilisce clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi. Contrariamente a quanto sostiene il governo tedesco, non ha rilevanza il fatto che tali dubbi corrispondano a censure portate alla sua attenzione dall’autore della denuncia o che tale autorità, di sua iniziativa, rimetta in discussione la validità della decisione di cui trattasi. Infatti, i requisiti derivanti dall’articolo 58, paragrafo 5, del RGPD e dall’articolo 8, paragrafo 3, della Carta, su cui si basa la motivazione della Corte, si applicano indipendentemente dal fondamento giuridico del trasferimento oggetto della denuncia presentata all’autorità di controllo e dalle ragioni che hanno portato tale autorità a dubitare della validità della decisione in questione nel trattare tale denuncia.

83. Ciò premesso, se il DPC ha chiesto al giudice del rinvio di interpellare la Corte sulla validità della decisione 2010/87, ciò è avvenuto perché ritiene che un chiarimento della Corte al riguardo sia necessario per trattare la denuncia con cui il sig. Schrems gli chiede di esercitare il potere, di cui era investito in forza dell’articolo 28, paragrafo 3, secondo trattino, della direttiva 95/46 – ora conferitogli dall’articolo 58, paragrafo 2, lettera f), del RGPD – di sospendere il trasferimento di dati personali che lo riguardano da parte di Facebook Ireland a Facebook Inc.

84. Pertanto, mentre il procedimento principale riguarda unicamente la validità in astratto della decisione 2010/87, la procedura sottostante, pendente dinanzi al DPC, attiene all’esercizio, da parte di quest’ultimo, del potere di adottare misure correttive in un caso specifico. Proporrò alla Corte di limitarsi a esaminare le questioni sollevate nella misura necessaria per statuire sulla validità della decisione 2010/87, poiché tale esame sarà sufficiente a consentire al giudice del rinvio di risolvere la controversia pendente dinanzi ad esso ( 27 ).

85. Prima di valutare la validità di tale decisione, occorre respingere talune obiezioni sollevate contro la ricevibilità della domanda di pronuncia pregiudiziale.

B. Sulla ricevibilità del rinvio pregiudiziale

86. La ricevibilità della domanda di pronuncia pregiudiziale è stata contestata per vari motivi attinenti, essenzialmente, all’inapplicabilità ratione temporis della direttiva 95/46 cui fanno riferimento le questioni pregiudiziali (sezione 1), al fatto che il procedimento dinanzi al DPC non avrebbe raggiunto uno stadio sufficientemente avanzato da giustificarne l’utilità (sezione 2) e al fatto che perdura l’incertezza circa il quadro fattuale descritto dal giudice del rinvio (sezione 3).

87. Risponderò a tali eccezioni di irricevibilità tenendo presente la presunzione di pertinenza di cui beneficiano le questioni sottoposte alla Corte ai sensi dell’articolo 267 TFUE. Secondo una giurisprudenza costante, la Corte può rifiutarsi di statuire su una domanda di pronuncia pregiudiziale soltanto qualora risulti in modo manifesto che l’interpretazione richiesta del diritto dell’Unione non ha alcun rapporto con la realtà effettiva o con l’oggetto della controversia nel procedimento principale, oppure qualora il problema sia di natura ipotetica, o anche quando la Corte non disponga degli elementi di fatto o di diritto necessari per rispondere utilmente alle questioni che le vengono sottoposte ( 28 ).

1. Sull’applicabilità ratione temporis della direttiva 95/46

88. Facebook Ireland eccepisce l’irricevibilità delle questioni pregiudiziali sulla base del rilievo che esse fanno riferimento alla direttiva 95/46, sebbene tale direttiva sia stata abrogata e sostituita dal RGPD con effetto a decorrere dal 25 maggio 2018 ( 29 ).

89. Condivido la tesi secondo cui la validità della decisione 2010/87 deve essere esaminata alla luce delle disposizioni del GPD.

90. Conformemente all’articolo 94, paragrafo 2, di tale regolamento, «[i] riferimenti alla direttiva abrogata si intendono fatti [a detto regolamento]». Ne deriva, a mio avviso, che la decisione 2010/87, nella parte in cui menziona quale base giuridica l’articolo 26, paragrafo 4, della direttiva 95/46, deve essere intesa nel senso che fa riferimento all’articolo 46, paragrafo 2, lettera c), del RGPD, che ne riproduce essenzialmente il contenuto ( 30 ). Pertanto, le decisioni di esecuzione adottate dalla Commissione in forza dell’articolo 26, paragrafo 4, della direttiva 95/46, prima dell’entrata in vigore del RGPD, devono essere interpretate alla luce di tale regolamento. Ed è sempre alla luce di tale regolamento che occorre valutare, se del caso, la loro validità.

91. Tale conclusione non è rimessa in discussione dalla giurisprudenza secondo la quale la legittimità di un atto dell’Unione deve essere valutata in base alla situazione di fatto e di diritto esistente al momento in cui l’atto è stato adottato. Tale giurisprudenza riguarda, infatti, l’esame della validità di un atto dell’Unione alla luce delle circostanze di fatto pertinenti al momento dell’adozione ( 31 ) o delle norme procedurali che ne disciplinano l’adozione ( 32 ). Per contro, la Corte ha esaminato ripetutamente la validità di atti di diritto derivato alla luce di norme sostanziali di rango superiore entrate in vigore dopo l’adozione di tali atti ( 33 ).

92. Tuttavia, l’indicazione nel testo delle questioni pregiudiziali di un atto non più applicabile ratione temporis, anche se giustifica la riformulazione di tali questioni, non può comportarne l’irricevibilità ( 34 ). Come sostenuto dal DPC e dal sig. Schrems, i riferimenti alla direttiva 95/46 nel testo delle questioni pregiudiziali possono essere spiegati, peraltro, alla luce del calendario procedurale della presente causa, in quanto tali questioni sono state sottoposte alla Corte prima dell’entrata in vigore del RGPD.

93. In ogni caso, le disposizioni del RGPD che saranno esaminate al termine dell’analisi delle questioni pregiudiziali – ossia, in particolare, gli articoli 45, 46 e 58 di esso – riprendono essenzialmente, pur sviluppandolo e con qualche leggera differenza, il contenuto degli articoli 25, 26 e 28 della direttiva 95/46. Per quanto riguarda gli aspetti rilevanti ai fini della pronuncia sulla validità della decisione 2010/87, non ravviso alcuna ragione per attribuire a tali disposizioni del RGPD una portata diversa da quella delle corrispondenti disposizioni della direttiva 95/46 ( 35 ).

2. Sulla natura provvisoria dei dubbi espressi dal DPC

94. Secondo il governo tedesco, la domanda di pronuncia pregiudiziale è irricevibile per il fatto che il procedimento di ricorso menzionato al punto 65 della sentenza Schrems presuppone che l’autorità di controllo si sia formata un’opinione definitiva sulla fondatezza delle censure dedotte dal ricorrente riguardo alla validità della decisione di cui trattasi. Ciò non sarebbe avvenuto nel caso di specie, in quanto il DPC ha espresso i suoi dubbi sulla validità della decisione 2010/87, che il sig. Schrems peraltro non contesta, in un progetto di decisione emesso in via provvisoria, fatta salva l’eventuale presentazione di osservazioni complementari da parte di Facebook Ireland e del sig. Schrems.

95. A mio avviso, la natura provvisoria dei dubbi espressi dal DPC non incide sulla ricevibilità del rinvio pregiudiziale. Infatti, i criteri di ricevibilità di una questione pregiudiziale devono essere valutati rispetto all’oggetto della controversia come definito dal giudice del rinvio ( 36 ), Orbene, è pacifico che quest’ultimo riguarda la validità della decisione 2010/87. Secondo la decisione di rinvio e la sentenza ad essa allegata, tale giudice ha considerato che i dubbi espressi dal DPC – indipendentemente dal fatto che siano stati espressi in via provvisoria o definitiva – sono fondati e ha pertanto interpellato la Corte sulla validità di tale decisione. In tali circostanze, il chiarimento della Corte al riguardo è indubbiamente pertinente per consentirgli di risolvere la controversia di cui è investito.

3. Sulle incertezze relative alla definizione del quadro fattuale

96. Il governo del Regno Unito afferma che il quadro fattuale descritto dal giudice del rinvio contiene diverse lacune che compromettono la ricevibilità delle questioni pregiudiziali. Tale giudice non avrebbe chiarito se i dati personali relativi al sig. Schrems siano stati effettivamente trasferiti negli Stati Uniti né, in caso affermativo, se siano stati raccolti dalle autorità statunitensi. Neppure la base giuridica di tali eventuali trasferimenti sarebbe stata individuata con certezza, in quanto la decisione di rinvio si limita ad affermare che i dati degli utenti europei della rete sociale Facebook sono trasferiti «in gran parte» in base a clausole contrattuali tipo previste dalla decisione 2010/87. In ogni caso, non sarebbe stato dimostrato che il contratto tra Facebook Ireland e Facebook Inc., invocato a sostegno del trasferimento controverso, incorpori fedelmente tali clausole. Il governo tedesco contesta del pari la ricevibilità del rinvio pregiudiziale per il fatto che il giudice del rinvio non ha esaminato se il sig. Schrems abbia indubitabilmente prestato il suo consenso ai trasferimenti in questione, nel qual caso essi sarebbero stati validamente fondati sull’articolo 26, paragrafo 1, della direttiva 95/46 [di cui l’articolo 49, paragrafo 1, lettera a), del RGPD riprende sostanzialmente il contenuto].

97. Tali argomenti non rimettono affatto in discussione la pertinenza del rinvio pregiudiziale rispetto all’oggetto del procedimento principale. Poiché tale controversia ha origine nell’esercizio, da parte del DPC, del mezzo di ricorso previsto al punto 65 della sentenza Schrems, il suo stesso oggetto consiste nell’ottenere dal giudice nazionale un rinvio pregiudiziale sulla validità della decisione 2010/87. I governi tedesco e del Regno Unito contestano, in realtà, la necessità delle questioni pregiudiziali al fine non già di stabilire se tale decisione sia valida, bensì di consentire al DPC di pronunciarsi in concreto sulla denuncia del sig. Schrems.

98. In ogni caso, anche sotto il profilo di tale procedura sottostante al procedimento principale, le questioni pregiudiziali riguardanti la validità della decisione 2010/87 non mi sembrano irrilevanti. Infatti, il giudice del rinvio ha accertato che Facebook Ireland ha continuato a trasferire i dati dei suoi utenti negli Stati Uniti dopo l’annullamento della decisione «approdo sicuro» e che tali trasferimenti sono basati, almeno in parte, sulla decisione 2010/87. Inoltre, pur se può essere vantaggioso che tutti i fatti pertinenti siano accertati prima di esercitare la propria competenza ai sensi dell’articolo 267 TFUE, spetta unicamente al giudice del rinvio valutare in quale fase del procedimento necessita di una pronuncia pregiudiziale della Corte ( 37 ).

99. Tenuto conto di tutte le suesposte considerazioni, ritengo che la domanda di pronuncia pregiudiziale sia ricevibile.

C. Sull’applicabilità del diritto dell’Unione ai trasferimenti di dati personali a fini commerciali verso un paese terzo che può trattarli a fini di sicurezza nazionale (prima questione)

100. Con la prima questione, il giudice del rinvio chiede se il diritto dell’Unione si applichi a un trasferimento di dati personali da parte di una società con sede in uno Stato membro verso una società stabilita in un paese terzo effettuato per motivi commerciali quando, dopo l’inizio del trasferimento, i dati possono essere trattati dalle autorità pubbliche di tale paese terzo per finalità che comprendono la protezione della sicurezza nazionale.

101. L’importanza della presente questione per la risoluzione della controversia nel procedimento principale consiste nel fatto che, qualora tale trasferimento non rientrasse nell’ambito di applicazione del diritto dell’Unione, tutte le obiezioni sollevate contro la validità della decisione 2010/87 nel caso di specie sarebbero prive di fondamento.

102. Come osservato dal giudice del rinvio, i trattamenti di dati personali aventi ad oggetto la sicurezza nazionale erano esclusi dall’ambito di applicazione della direttiva 95/46 in forza dell’articolo 3, paragrafo 2, di tale direttiva. L’articolo 2, paragrafo 2, del RGPD precisa ora che tale regolamento non si applica, in particolare, al trattamento di dati nell’ambito di un’attività che non rientra nell’ambito di applicazione del diritto dell’Unione o da parte delle autorità competenti a fini di protezione della pubblica sicurezza. Tali disposizioni riflettono la riserva di competenza che l’articolo 4, paragrafo 2, TUE riconosce agli Stati membri in materia di protezione della sicurezza nazionale.

103. Il DPC, il sig. Schrems, l’Irlanda, i governi tedesco, austriaco, belga, ceco, dei Paesi Bassi, polacco, portoghese, nonché il Parlamento e la Commissione sostengono che a trasferimenti come quelli menzionati nella denuncia del sig. Schrems non si applicano tali disposizioni e rientrano quindi nell’ambito di applicazione del diritto dell’Unione. Facebook Irlanda difende la tesi contraria. Concordo con il punto di vista dei primi.

104. A tale riguardo, occorre sottolineare che il trasferimento di dati personali da uno Stato membro a un paese terzo costituisce, in quanto tale, un «trattamento», ai sensi dell’articolo 4, punto 2, del RGPD, effettuato nel territorio di uno Stato membro ( 38 ). La prima questione pregiudiziale ha come scopo proprio quello di stabilire se il diritto dell’Unione si applichi al trattamento costituito dal trasferimento in quanto tale. Tale questione non riguarda l’applicabilità del diritto dell’Unione a eventuali trattamenti successivi, da parte delle autorità statunitensi per finalità di sicurezza nazionale, dei dati trasferiti verso gli Stati Uniti, i quali non rientrano nell’ambito di applicazione territoriale del RGPD ( 39 ).

105. In tale prospettiva, nel determinare se al trasferimento dei dati in questione si applichi il diritto dell’Unione, deve essere presa in considerazione solo l’attività nell’ambito della quale avviene il trasferimento stesso, a prescindere dalla finalità degli eventuali trattamenti successivi che i dati trasferiti subiranno da parte delle autorità pubbliche del paese terzo di destinazione ( 40 ).

106. Orbene, dalla decisione di rinvio risulta che il trasferimento oggetto della denuncia del sig. Schrems fa parte di un’attività commerciale. Tale trasferimento non avviene, peraltro, allo scopo di consentire il trattamento successivo dei dati in questione da parte delle autorità statunitensi a fini di sicurezza nazionale.

107. Per di più, l’approccio proposto da Facebook Ireland priverebbe di effetto utile le disposizioni del RGPD relative ai trasferimenti verso paesi terzi, in quanto non si può mai escludere che dati trasferiti nell’ambito di un’attività commerciale siano trattati per finalità di sicurezza nazionale dopo il trasferimento.

108. L’interpretazione che raccomando è confermata dalla formulazione dell’articolo 45, paragrafo 2, lettera a), del RGPD. Tale disposizione precisa che, nell’adottare una decisione di adeguatezza, la Commissione tiene conto, in particolare, della legislazione del paese terzo considerato in materia di sicurezza nazionale. Se ne può dedurre che la possibilità che i dati subiscano, da parte delle autorità del paese terzo di destinazione, un trattamento a fini della protezione della sicurezza nazionale non rende inapplicabile il diritto dell’Unione al trattamento costituito dal trasferimento di dati verso tale paese terzo.

109. Anche il ragionamento e le conclusioni adottati dalla Corte nella sentenza Schrems si basano su tale premessa. In particolare, la Corte ha esaminato, in tale sentenza, la validità della decisione «approdo sicuro» per la parte riguardante il trasferimento di dati personali verso gli Stati Uniti, ove potevano essere raccolti e trattati a fini di protezione della sicurezza nazionale, alla luce dell’articolo 25, paragrafo 6, della direttiva 95/46, in combinato disposto con la Carta ( 41 ).

110. Tenuto conto di tali considerazioni, ritengo che il diritto dell’Unione si applichi al trasferimento di dati personali da uno Stato membro verso un paese terzo, quando tale trasferimento si inserisce in un’attività commerciale, senza che rilevi il fatto che i dati trasferiti rischino di subire, da parte delle autorità pubbliche di tale paese terzo, trattamenti miranti a tutelare la sicurezza nazionale.

D. Sul livello di protezione richiesto nell’ambito di un trasferimento basato su clausole contrattuali tipo (prima parte della sesta questione)

111. Con la prima parte della sesta questione, il giudice nazionale chiede di accertare quale sia il livello di tutela dei diritti fondamentali degli interessati, che deve essere garantito affinché i dati personali possano essere trasferiti in un paese terzo in forza delle clausole contrattuali tipo previste dalla decisione 2010/87.

112. Tale giudice sottolinea che, nella sentenza Schrems, la Corte ha interpretato l’articolo 25, paragrafo 6, della direttiva 95/46 (il cui contenuto è ripreso essenzialmente nell’articolo 45, paragrafo 3, del RGPD), nella parte in cui prevedeva che la Commissione può adottare una decisione di adeguatezza solo dopo aver accertato che il paese terzo interessato garantisce un livello di protezione adeguato, nel senso che presuppone che essa constati che tale paese garantisce un livello di tutela dei diritti e delle libertà fondamentali sostanzialmente equivalente a quello garantito all’interno dell’Unione ai sensi di tale direttiva, letta alla luce della Carta ( 42 ).

113. In tale contesto, la prima parte della sesta questione pregiudiziale invita la Corte a stabilire se l’applicazione delle «clausole contrattuali tipo» adottate dalla Commissione ai sensi dell’articolo 26, paragrafo 4, della direttiva 95/46 – corrispondenti alle «clausole tipo di protezione» ora menzionate all’articolo 46, paragrafo 2, lettera c), del RGPD – debba consentire di raggiungere un livello di protezione corrispondente allo stesso standard di «equivalenza sostanziale».

114. A tal proposito, l’articolo 46, paragrafo 1, del RGPD prevede che il titolare del trattamento può, in mancanza di una decisione di adeguatezza, trasferire dati personali verso un paese terzo «solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi» (il corsivo è mio) ( 43 ). Ai sensi dell’articolo 46, paragrafo 2, lettera c), del RGPD, tali garanzie possono risultare, in particolare, da clausole tipo di protezione elaborate dalla Commissione.

115. Al pari del DPC, del sig. Schrems e dell’Irlanda, ritengo che le «garanzie adeguate» fornite dal titolare del trattamento cui fa riferimento l’articolo 46, paragrafo 1, del RGPD debbano garantire che i diritti delle persone i cui dati sono trasferiti godano, come nell’ambito di un trasferimento basato su una decisione di adeguatezza, di un livello di protezione sostanzialmente equivalente a quello risultante dal RGPD, letto alla luce della Carta.

116. Tale conclusione deriva dall’obiettivo della suddetta disposizione e dello strumento di cui fa parte.

117. L’obiettivo degli articoli 45 e 46 del RGPD è quello di garantire la continuità dell’elevato livello di protezione dei dati personali garantito da tale regolamento quando tali dati sono trasferiti al di fuori dell’Unione. Infatti, l’articolo 44 del RGPD, intitolato «Principio generale per il trasferimento», apre il capo V relativo ai trasferimenti verso paesi terzi prevedendo che tutte le disposizioni di tale capo siano applicate al fine di assicurare che il livello di protezione garantito dal RGPD non sia pregiudicato in caso di trasferimento verso uno Stato terzo ( 44 ). Tale norma mira a evitare che gli standard di protezione derivanti dal diritto dell’Unione siano elusi trasferendo dati personali verso un paese terzo al fine di sottoporli a trattamento in tale paese ( 45 ). Con riferimento a tale obiettivo, è irrilevante che il trasferimento sia fondato su una decisione di adeguatezza o su garanzie offerte dal titolare del trattamento, in particolare mediante clausole contrattuali. I requisiti per la tutela dei diritti fondamentali garantiti dalla Carta non fanno alcuna distinzione a seconda della base giuridica su cui si fonda un determinato trasferimento ( 46 ).

118. Per contro, il modo in cui viene preservata la continuità dell’elevato livello di protezione varia a seconda della base giuridica del trasferimento.

119. Da un lato, l’obiettivo di una decisione di adeguatezza è constatare che il paese terzo interessato garantisca esso stesso un livello di protezione sostanzialmente equivalente a quello che deve essere raggiunto all’interno dell’Unione. L’adozione di una decisione di adeguatezza presuppone che la Commissione valuti preventivamente, per un determinato paese terzo, il livello di protezione garantito dal diritto e dalle prassi di tale paese terzo alla luce dei fattori di cui all’articolo 45, paragrafo 3, del RGPD. I dati personali possono essere in tal caso trasferiti verso tale paese terzo senza che il titolare del trattamento debba ottenere un’autorizzazione specifica.

120. D’altro lato, come spiegato in modo più dettagliato nella sezione seguente, le garanzie adeguate offerte dal titolare del trattamento sono intese a garantire un elevato livello di protezione in caso di insufficienza delle garanzie disponibili nel paese terzo di destinazione. Pertanto, sebbene l’articolo 46, paragrafo 1, del RGPD consenta il trasferimento di dati personali verso Stati terzi che non garantiscono un livello di protezione adeguato, tale disposizione autorizza siffatti trasferimenti solo quando sono fornite garanzie adeguate con altri mezzi. Le clausole contrattuali tipo adottate dalla Commissione rappresentano, a tale riguardo, un meccanismo generale applicabile ai trasferimenti indipendentemente dal paese terzo di destinazione e dal livello di protezione ivi garantito.

E. Sulla validità della decisione 2010/87 alla luce degli articoli 7, 8 e 47 della Carta (questioni settima, ottava e undicesima)

121. Con la settima questione, il giudice nazionale chiede, in sostanza, se la decisione 2010/87 sia invalida in quanto non vincola le autorità di Stati terzi verso i quali sono trasferiti i dati in forza delle clausole contrattuali tipo previste nell’allegato a tale decisione e, in particolare, non impedisce loro di esigere che l’importatore metta tali dati a loro disposizione. Pertanto, tale questione rimette in discussione la possibilità stessa di garantire un livello adeguato di protezione di tali dati mediante meccanismi di natura esclusivamente contrattuale. L’undicesima questione verte più in generale sulla validità della decisione 2010/87 alla luce degli articoli 7, 8 e 47 della Carta.

122. L’ottava questione invita la Corte a stabilire se un’autorità di controllo sia tenuta a esercitare i poteri ad essa conferiti dall’articolo 58, paragrafo 2, lettere f) e j), del RGPD per sospendere un trasferimento verso un paese terzo basato sulle clausole contrattuali tipo previste dalla decisione 2010/87, qualora ritenga che l’importatore di dati sia ivi soggetto ad obblighi che gli impediscono di rispettare tali clausole e hanno come cons