Trasferire dati dall'Italia agli USA: il Data Privacy Framework

Perché serve una decisione

Il GDPR (regolamento (UE) 2016/679) regola i trasferimenti di dati personali verso paesi fuori dall'Unione nel capo V. Il trasferimento è ammesso, fatte salve le altre disposizioni del regolamento, solo alle condizioni di quel capo (art. 44). La prima è una decisione di adeguatezza: se la Commissione ha deciso che un paese garantisce un livello di protezione adeguato, il trasferimento non richiede autorizzazioni specifiche (art. 45). In mancanza, servono garanzie adeguate, tra cui le clausole tipo di protezione dei dati adottate dalla Commissione (art. 46); in casi particolari si può ricorrere alle deroghe dell'art. 49.

Per gli Stati Uniti ci sono già state due decisioni cadute davanti alla Corte di giustizia. Nel 2015, con la sentenza Schrems (C-362/14), la Corte ha dichiarato invalida la decisione 2000/520 sull'approdo sicuro (Safe Harbor). Nel 2020, con la sentenza Schrems II (C-311/18, 16 luglio 2020), ha annullato la decisione 2016/1250 sullo scudo per la privacy (Privacy Shield), ritenendo che i limiti posti dal diritto americano all'accesso delle autorità pubbliche ai dati per finalità di sicurezza nazionale non rispettassero requisiti di necessità e proporzionalità sostanzialmente equivalenti a quelli dell'Unione, e che mancasse un ricorso davanti a un organo con garanzie equivalenti a quelle dell'art. 47 della Carta dei diritti fondamentali. Dopo quella sentenza, il 7 ottobre 2022 gli Stati Uniti hanno adottato l'Executive Order 14086, «Enhancing Safeguards for United States Signals Intelligence Activities», integrato da un regolamento del Procuratore generale che ha istituito un tribunale del riesame, il Data Protection Review Court (DPRC). Su questa base la Commissione ha adottato la decisione del 10 luglio 2023, pubblicata nella Gazzetta ufficiale L 231 del 20 settembre 2023.

Come funziona: l'elenco degli aderenti

La decisione non copre tutti i destinatari americani. Copre le organizzazioni che si certificano presso il Dipartimento del Commercio impegnandosi a rispettare i principi del DPF, riportati nell'allegato I della decisione (art. 1).

• Chi può aderire. Solo le organizzazioni soggette ai poteri di indagine e di esecuzione della Federal Trade Commission o del Dipartimento dei Trasporti (considerando 9). Chi non rientra in queste competenze non può entrare nell'elenco.
• Da quando. Un'organizzazione può ricevere dati sulla base del DPF dalla data in cui il Dipartimento del Commercio la inserisce nell'elenco, e prima di allora non può dichiararsi aderente (considerando 49).
• Per quanto. L'adesione va ricertificata ogni anno. Il Dipartimento aggiorna l'elenco con le ricertificazioni, i ritiri e le esclusioni, e pubblica anche un elenco delle organizzazioni depennate con il motivo (considerando 49 e 52).
• Chi esce. In caso di ritiro volontario o di mancata ricertificazione, l'organizzazione deve cancellare o restituire i dati, oppure può conservarli se dichiara ogni anno che continua ad applicare i principi o se li protegge con un altro mezzo autorizzato, per esempio un contratto conforme alle clausole tipo (considerando 55).
• I dati dei dipendenti. L'organizzazione che vuole ricevere nel DPF dati sulle risorse umane raccolti nell'ambito di un rapporto di lavoro deve impegnarsi a cooperare con le autorità europee di protezione dei dati per quei dati (allegato I).

Per l'accesso delle autorità americane ai dati è previsto un meccanismo di ricorso specifico: chiunque nell'Unione può presentare un reclamo per una presunta violazione delle norme americane sull'intelligence dei segnali; il reclamo è esaminato prima dall'addetto alla tutela della vita privata e delle libertà civili dell'Ufficio del direttore dell'intelligence nazionale e poi, su richiesta, dal DPRC (considerando 176 e seguenti). L'accesso ai dati con strumenti giudiziari e il CLOUD Act sono trattati in Il CLOUD Act e i dati degli italiani in Europa.

Che cosa controlla chi trasferisce dati dall'Italia

1. L'organizzazione è nell'elenco. L'elenco degli aderenti è pubblicato dal Dipartimento del Commercio sul sito del programma, dataprivacyframework.gov. Conta che l'organizzazione sia tra gli aderenti attivi, non tra quelle depennate.
2. L'adesione copre i dati che trasferisci. Per i dati dei dipendenti serve l'impegno a cooperare con le autorità europee; un'adesione limitata ad altri dati non basta.
3. La certificazione è in corso. Va rinnovata ogni anno: una verifica fatta una sola volta, al momento del contratto, può non bastare nel tempo.
4. L'informativa dell'organizzazione. Le organizzazioni aderenti devono rendere pubbliche le loro politiche sulla privacy conformi ai principi (considerando 28).
5. Il resto del GDPR. La decisione riguarda il trasferimento. Base giuridica, informativa agli interessati, contratti con i responsabili del trattamento e misure di sicurezza restano regolati dalle altre disposizioni del regolamento (art. 44).

Il caso Latombe davanti al Tribunale

Il ricorso di annullamento è stato proposto da un cittadino francese che dichiarava di usare diverse piattaforme che trasferiscono i suoi dati negli Stati Uniti. Con la sentenza del 3 settembre 2025, Latombe/Commissione, T-553/23 (ECLI:EU:T:2025:831), il Tribunale dell'Unione europea (Decima Sezione ampliata) lo ha respinto. I motivi erano cinque: il regime linguistico (poi rinunciato in udienza), la violazione degli articoli 7 e 8 della Carta dei diritti fondamentali per la raccolta in blocco di dati da parte dell'intelligence americana, la violazione del diritto a un ricorso effettivo (art. 47 della Carta) per le caratteristiche del DPRC, e le violazioni degli articoli 22 e 32 del GDPR su decisioni automatizzate e sicurezza.

Due passaggi sono i più discussi. Sulla raccolta in blocco, il Tribunale ha ritenuto che la sentenza Schrems II non imponga un'autorizzazione preventiva di un'autorità indipendente, ma almeno un controllo giudiziario successivo, e che l'Executive Order 14086 e il regolamento del Procuratore generale sottopongano anche la raccolta in blocco al controllo successivo del DPRC, le cui decisioni sono definitive e vincolanti (punti 105 e 106). Sui cambiamenti futuri, ha ricordato che la legittimità di un atto dell'Unione si valuta sulla situazione di fatto e di diritto esistente al momento della sua adozione, e che, se il quadro americano cambia, la Commissione deve, se necessario, sospendere, modificare o abrogare la decisione o limitarne l'ambito (punti 22 e 58, con l'art. 3 della decisione).

L'impugnazione davanti alla Corte di giustizia

Il 31 ottobre 2025 il ricorrente ha impugnato la sentenza davanti alla Corte di giustizia (causa C-703/25 P, pubblicata nella Gazzetta ufficiale C/2025/6610 del 22 dicembre 2025). Chiede di annullare la sentenza e la decisione 2023/1795 o, in subordine, di rinviare la causa al Tribunale. I quattro motivi riguardano le regole di nomina e di revoca dei giudici del DPRC, la questione se il DPRC sia un giudice precostituito per legge, la valutazione della raccolta in blocco e il potere del Presidente degli Stati Uniti di aggiornare gli obiettivi specifici della raccolta in blocco.

Alla data di verifica, nella banca dati ufficiale del diritto dell'Unione non risultano per questa causa né una sentenza né conclusioni dell'avvocato generale. La decisione 2023/1795 non è stata annullata e continua ad applicarsi. Come finirà il giudizio non si può prevedere.

Casi frequenti

• «Uso un servizio cloud di un'azienda americana: basta che sia nel DPF?» Se l'azienda è nell'elenco e l'adesione copre i dati trasferiti, il trasferimento ha la sua base nella decisione. Restano gli altri obblighi del GDPR e resta la questione dell'accesso delle autorità americane: vedi I dati nel cloud: SCA e CLOUD Act.
• «L'azienda americana non è nell'elenco.» Servono le garanzie dell'art. 46, per esempio le clausole tipo della Commissione, o, nei casi particolari, una deroga dell'art. 49.
• «E se la Corte di giustizia annullasse la decisione?» Non è possibile prevederlo. La decisione stessa prevede che la Commissione possa sospenderla, modificarla o abrogarla (art. 3, par. 5); le clausole tipo dell'art. 46 sono uno strumento distinto dalla decisione.

Fonti

Decisione di esecuzione (UE) 2023/1795 della Commissione, del 10 luglio 2023 (GU L 231 del 20.9.2023, pag. 118), artt. 1-4, considerando 5, 6, 9, 28, 49, 52, 55, 176 e 184, allegato I; regolamento (UE) 2016/679, artt. 44, 45, 46 e 49; Tribunale dell'Unione europea, sentenza del 3 settembre 2025, Latombe/Commissione, T-553/23, ECLI:EU:T:2025:831; impugnazione proposta il 31 ottobre 2025, causa C-703/25 P (GU C/2025/6610 del 22.12.2025); testi ufficiali dalla banca dati dell'Ufficio delle pubblicazioni dell'Unione europea. Dipartimento del Commercio degli Stati Uniti, comunicato del 17 luglio 2023 sull'apertura del sito del programma DPF, dataprivacyframework.gov (commerce.gov). Verificato il 24 settembre 2026.