La Corte Suprema degli Stati Uniti, nel caso Trump v. Slaughter, ha stabilito che il Presidente può rimuovere i membri della Federal Trade Commission, FTC, anche senza la “giusta causa” prevista dalla legge. A prima vista sembrerebbe una questione interna americana, relativa al rapporto tra Casa Bianca e agenzie federali, ma in realtà apre un problema internazionale, con riflessi cruciali per i rapporti tra Europa e Stati Uniti riguardo al trasferimento dei dati personali.
La decisione della Corte entra direttamente nel cuore del Data Privacy Framework, un accordo fondamentale che permette agli Stati Uniti di ricevere dati personali europei, grazie a una valutazione di adeguatezza del 2023 da parte della Commissione europea. La FTC è uno dei pilastri di questo sistema, in quanto principale autorità di enforcement per molte imprese americane certificate. La sua autonomia, però, è ora compromessa, visto che il Presidente ha completa libertà di rimpiazzare i suoi componenti quando lo ritiene.
Una decisione che mina l’indipendenza
La sentenza apre problemi riguardanti il grado di indipendenza delle autorità di controllo. La rimozione di un componente non richiede più una specifica motivazione: basta alla volontà personale del Presidente. Questo indebolisce il sistema di supervisione, rendendo le decisioni della FTC più vulnerabili all’influenza politica. Un fattore fondamentale per qualsiasi organismo indipendente è la possibilità di agire senza timore di essere rimossi, mantenendo un livello di stabilità e continuità negli incarichi.
Le radici costituzionali della sentenza
Il cuore della decisione della Corte Suprema si basa sull’Article II della Costituzione statunitense, che attribuisce agli Stati Uniti l’esecutivo come un’unica entità responsabile alla Casa Bianca. La teoria dell’esecutivo unitario sostenuta dalla Corte afferma che chiunque eserciti funzioni esecutive debba rispondere direttamente al Presidente. Da questa interpretazione segue che i componenti della FTC sono funzionari dell’esecutivo e quindi soggetti alla sua volontà incontrollata.
Incidenza sull’accordo Data Privacy Framework
La Commissione europea ha già espresso preoccupazione per le possibili conseguenze di questa decisione. Il Data Privacy Framework, che permette il trasferimento di dati verso gli Stati Uniti, era stato considerato essenzialmente equivalente al modello europeo. Tuttavia, esso si basa su un meccanismo complesso in cui la FTC gioca un ruolo centrale, insieme al Department of Commerce e al Department of Transportation. Queste autorità sono fondamentali per il certificato di conformità alle norme privacy americane.
La valutazione europea sul trasferimento dei dati non richiede una replica identica del modello UE. Esige però garanzie concrete di protezione, mezzi accessibili, rimedi effettivi e un sistema di autorità abbastanza autonomo da evitare pressioni esterne. La recente sentenza sembra mettere a rischio questi presupposti, sollevando il rischio di uno Schrems III, dopo gli esiti negativi del Safe Harbour e del Privacy Shield, ormai decaduti.
Il ruolo del Garante europeo
L’indipendenza non è solo una questione formale, ma un elemento essenziale del diritto UE. L’articolo 8 della Carta dei Diritti Fondamentali UE richiede l'esistenza di un'organizzazione indipendente, mentre l'articolo 16 del Trattato sull’Unione Europea esige controlli sufficienti e strumenti effettivi. Se la Corte americana rifiuta l’autonomia all’interno delle sue istituzioni, essa non rispetta i criteri fondamentali stabiliti a livello comunitario.
La richiesta di NOYB
NOYB, l’organizzazione fondata da Max Schrems, ha recentemente scritto alla Commissione europea chiedendo una sospensione ordinata del Data Privacy Framework, anticipando una possibile decisione di abrogazione. Secondo la stessa NOYB, l’architettura dell’accordo non garantisce il necessario livello di autonomia e non è sostenibile nel contesto europeo.
I dati personali, infatti, non attraversano l’Atlantico come elementi isolati. Hanno bisogno di strumenti di controllo, di autorità imparziali, di una legislazione che li tuteli non solo in astratto, ma nel concreto. Il rischio, dunque, non è solo una sospensione del quadro di dati tra Europa e Stati Uniti, ma un’intera ridefinizione di come i cittadini possono oggi trasferire informazioni personali all’estero.
Le altre componenti del sistema
Oltre alla FTC, il Data Protection Review Court, che opera presso il Dipartimento della Giustizia, e il Privacy and Civil Liberties Oversight Board, PCLOB, sono parte integrante del sistema. Queste entità non decidono per le imprese, ma tengono monitorato l’uso dei dati da parte delle autorità americane, in special modo per questioni legate alla sicurezza nazionale e all’intelligence. Tuttavia, esse non rispondono in modo autonomo alla Costituzione, e la loro posizione resterà fragile se non si riesce ad assicurare un equilibrio diverso tra Esecutivo e Giudicatura.
L’azione necessaria da parte della Commissione
La Commissione europea ha una serie di strumenti a sua disposizione per valutare gli sviluppi negli Stati Uniti. L'articolo 45 del GDPR le permette di monitorare la protezione dei dati nei Paesi terzi e di modificare o sospendere una decisione di adeguatezza se il livello di protezione risulta compromesso. Si richiede ora una verifica straordinaria del sistema: sia da una parte, la parte commerciale che coinvolge la FTC e gli altri dipartimenti statunitensi, sia da un’altra lato, quella relativa agli accessi governativi, i cui controlli devono essere sufficientemente autonomi.
Ricerca di un equilibrio
Per Bruxelles, il rischio non è solo tecnico, ma istituzionale. Il Data Privacy Framework è ormai un sistema fragile, in cui ogni modifica apre spirali di incertezza. Si potrebbe andare verso una sospensione ordinata, ma si deve evitare, come auspicato da NOYB, un improvviso crollo del sistema (“compliance cliff”), che blocchi totalmente il traffico di dati senza alternativa.
Si potrebbero aprire discussioni per rivedere le norme di protezione transatlantiche, coinvolgendo l’intelligence americana e ridefinendo la struttura di controllo. Non si parla solo di garanzie formali, ma di un reale equilibrio giuridico e istituzionale. I dati non vengono scambiati tra due entità astratte: viaggiano dentro architetture concrete, governate da organismi che devono rispettare i diritti e le libertà dei cittadini.
Una questione di architettura del potere
In ultima istanza, il