Cosa ha invalidato Schrems II e cosa l'ha sostituito

Che cos'è Schrems II?

La Corte di giustizia dell'Unione europea ha deciso Schrems II, causa C-311/18, il 16 luglio 2020. Con un'unica sentenza ha invalidato il Privacy Shield UE-USA e ha mantenuto valide le clausole contrattuali tipo, o SCC, a condizioni più severe. La Grande Sezione si è pronunciata su un rinvio pregiudiziale dell'High Court irlandese, nel procedimento tra il Data Protection Commissioner e Facebook Ireland Ltd e Maximillian Schrems, "relativo a un reclamo presentato dal sig. Schrems riguardo al trasferimento dei suoi dati personali da parte di Facebook Ireland a Facebook Inc. negli Stati Uniti". Il suo identificativo di giurisprudenza è ECLI:EU:C:2020:559.

Il "II" indica che è il secondo caso Schrems. Nel primo, deciso il 6 ottobre 2015 come causa C-362/14, la Corte aveva dichiarato invalida la decisione 2000/520/CE della Commissione del 26 luglio 2000, la decisione Safe Harbour. Il Privacy Shield era il sostituto del Safe Harbour, e Schrems II ha bocciato anche il sostituto.

Che cosa ha stabilito la Corte in Schrems II?

Il dispositivo della sentenza contiene cinque statuizioni: una sull'ambito di applicazione, due sul funzionamento dei trasferimenti basati sulle SCC, una che conferma la decisione sulle SCC e una che annulla il Privacy Shield. La prima conferma che il GDPR si applica a un trasferimento commerciale anche quando le agenzie di sicurezza del Paese di destinazione possono accedere ai dati. I punti da 2 a 5, dal testo inglese su EUR-Lex, recitano così:

2. L'articolo 46, paragrafo 1, e l'articolo 46, paragrafo 2, lettera c), del regolamento 2016/679 devono essere interpretati nel senso che le garanzie adeguate, i diritti azionabili e i mezzi di ricorso effettivi richiesti da tali disposizioni devono assicurare che gli interessati, i cui dati personali sono trasferiti verso un Paese terzo sulla base di clausole tipo di protezione dei dati, godano di un livello di protezione sostanzialmente equivalente a quello garantito all'interno dell'Unione europea da tale regolamento, letto alla luce della Carta dei diritti fondamentali dell'Unione europea. A tal fine, la valutazione del livello di protezione offerto nel contesto di un simile trasferimento deve tenere conto, in particolare, sia delle clausole contrattuali convenute tra il titolare del trattamento o il responsabile del trattamento stabiliti nell'Unione europea e il destinatario del trasferimento stabilito nel Paese terzo interessato, sia, per quanto riguarda un eventuale accesso delle autorità pubbliche di tale Paese terzo ai dati personali trasferiti, degli aspetti rilevanti del sistema giuridico di quest'ultimo, in particolare di quelli indicati, in modo non esaustivo, all'articolo 45, paragrafo 2, di detto regolamento.

3. L'articolo 58, paragrafo 2, lettere f) e j), del regolamento 2016/679 deve essere interpretato nel senso che, a meno che non esista una decisione di adeguatezza validamente adottata dalla Commissione europea, l'autorità di controllo competente è tenuta a sospendere o vietare un trasferimento di dati verso un Paese terzo effettuato sulla base di clausole tipo di protezione dei dati adottate dalla Commissione, qualora, a giudizio di tale autorità di controllo e alla luce di tutte le circostanze di tale trasferimento, dette clausole non siano o non possano essere rispettate in tale Paese terzo e la protezione dei dati trasferiti richiesta dal diritto dell'Unione, in particolare dagli articoli 45 e 46 di detto regolamento e dalla Carta dei diritti fondamentali, non possa essere garantita con altri mezzi, qualora il titolare del trattamento o il responsabile del trattamento non abbiano essi stessi sospeso il trasferimento o posto fine ad esso.

4. L'esame della decisione 2010/87/UE della Commissione, del 5 febbraio 2010, relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in Paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, come modificata dalla decisione di esecuzione (UE) 2016/2297 della Commissione, del 16 dicembre 2016, alla luce degli articoli 7, 8 e 47 della Carta dei diritti fondamentali, non ha rivelato alcun elemento idoneo a inficiare la validità di tale decisione.

5. La decisione di esecuzione (UE) 2016/1250 della Commissione, del 12 luglio 2016, a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, sull'adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy, è invalida.

Il punto 5 è il titolo della sentenza. Il punto 4 ha mantenuto valida la decisione sulle SCC, mentre i punti 2 e 3 impongono condizioni a ogni trasferimento effettuato in base ad essa. Ognuno richiede ora una verifica specifica della legge del Paese di destinazione.

Perché la Corte ha invalidato il Privacy Shield?

La Corte ha invalidato il Privacy Shield per due motivi. La normativa statunitense sulla sorveglianza non era proporzionata, e i residenti nell'UE non avevano un ricorso effettivo davanti a un organo indipendente. Sul primo motivo, il punto 184 ha rilevato che "né l'articolo 702 del FISA, né l'E.O. 12333, letto in combinato disposto con la PPD-28, corrispondono alle garanzie minime che discendono, nel diritto dell'Unione, dal principio di proporzionalità, con la conseguenza che i programmi di sorveglianza fondati su tali disposizioni non possono essere considerati limitati allo stretto necessario."

Sul secondo motivo, la decisione sul Privacy Shield si basava su un mediatore che, come osserva il punto 195, era nominato dal Segretario di Stato e "faceva parte integrante del Dipartimento di Stato americano". Il punto 197 ha stabilito che il meccanismo "non offre alcun mezzo di ricorso dinanzi a un organo che garantisca alle persone i cui dati sono trasferiti verso gli Stati Uniti garanzie sostanzialmente equivalenti a quelle richieste dall'articolo 47 della Carta." L'articolo 47 è il diritto della Carta a un ricorso effettivo e a un giudice imparziale.

La Corte non ha concesso alcun periodo transitorio. Il punto 202 ha rifiutato di mantenere temporaneamente in vigore la decisione, perché l'articolo 49 del GDPR, che elenca deroghe come il consenso esplicito al trasferimento, faceva sì che l'annullamento della decisione "non possa creare un tale vuoto giuridico". Il Privacy Shield ha smesso di essere una base valida per i trasferimenti il giorno stesso della sentenza.

Cosa è successo alle clausole contrattuali tipo dopo Schrems II?

Le clausole contrattuali tipo sono rimaste valide, ma l'esportatore è diventato responsabile di verificare se il paese di destinazione permette all'importatore di rispettarle. Il paragrafo 134 mette l'obbligo in capo all'azienda che invia i dati:

Spetta quindi, innanzitutto, al titolare del trattamento o al responsabile del trattamento verificare, caso per caso e, se del caso, in collaborazione con il destinatario dei dati, se il diritto del paese terzo di destinazione garantisca una tutela adeguata, ai sensi del diritto dell'Unione, dei dati personali trasferiti sulla base di clausole tipo di protezione dei dati, fornendo, ove necessario, garanzie supplementari rispetto a quelle offerte da tali clausole.

Il paragrafo 135 indica cosa succede quando la verifica fallisce: l'esportatore o, in mancanza, l'autorità di controllo è "tenuto a sospendere o porre fine al trasferimento di dati personali verso il paese terzo interessato".

Sono seguiti due documenti. Il 18 giugno 2021 l'EDPB ha adottato la versione definitiva delle sue Raccomandazioni 01/2020 sulle misure che integrano gli strumenti di trasferimento. Il 4 giugno 2021 la Commissione ha adottato un nuovo set di SCC con la Decisione di esecuzione (UE) 2021/914. La Clausola 14 delle nuove clausole inserisce la verifica Schrems II nel contratto. Nella Clausola 14(a) le parti "garantiscono di non avere motivo di ritenere che la legislazione e le prassi del paese terzo di destinazione applicabili al trattamento dei dati personali da parte dell'importatore, compresi eventuali obblighi di divulgazione dei dati personali o misure che autorizzano l'accesso da parte delle autorità pubbliche, impediscano all'importatore di adempiere agli obblighi che gli incombono a norma delle presenti clausole." La Clausola 14(d) aggiunge: "Le parti convengono di documentare la valutazione di cui alla lettera b) e di metterla a disposizione dell'autorità di controllo competente su richiesta." Questa valutazione documentata è ciò che gli addetti ai lavori chiamano transfer impact assessment.

L'articolo 4 della Decisione 2021/914 ha abrogato la decisione del 2010 "con effetto dal 27 settembre 2021" e ha permesso ai contratti precedenti di valere come garanzie adeguate solo "fino al 27 dicembre 2022", a patto che il trattamento restasse invariato.

Cosa ha sostituito il Privacy Shield?

L'EU-US Data Privacy Framework ha sostituito il Privacy Shield, con la Decisione di esecuzione (UE) 2023/1795 della Commissione del 10 luglio 2023. Si basa su un cambiamento nel diritto statunitense: il considerando 6 della decisione riporta che "gli Stati Uniti il 7 ottobre 2022 hanno adottato l'Executive Order 14086 'Enhancing Safeguards for US Signals Intelligence Activities'", integrato da un regolamento dell'Attorney General che istituisce una Data Protection Review Court. Questi due strumenti rispondono ai due motivi dei paragrafi 184 e 197. L'articolo 1 della decisione recita:

Ai fini dell'articolo 45 del regolamento (UE) 2016/679, gli Stati Uniti garantiscono un livello adeguato di protezione dei dati personali trasferiti dall'Unione a organizzazioni negli Stati Uniti incluse nella 'Data Privacy Framework List', tenuta e resa pubblicamente disponibile dal Dipartimento del Commercio degli Stati Uniti, conformemente alla sezione I.3 dell'allegato I.

L'ambito è più ristretto di "gli Stati Uniti". L'adeguatezza copre solo le organizzazioni presenti in quell'elenco. Un trasferimento verso un'azienda statunitense che non ha aderito all'autocertificazione richiede ancora uno strumento ai sensi dell'articolo 46, e l'articolo 46, paragrafo 1, del GDPR consente tali trasferimenti "solo se il titolare del trattamento o il responsabile del trattamento ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi." Per questi trasferimenti la valutazione Schrems II continua ad applicarsi. L'articolo 3 della decisione obbliga la Commissione a monitorare il quadro in modo continuo e le consente di "sospendere, modificare o abrogare la presente decisione, o limitarne l'ambito di applicazione" ai sensi dell'articolo 45, paragrafo 5, del GDPR.

Il Data Privacy Framework è diritto consolidato?

No. Il Data Privacy Framework ha superato la sua prima impugnazione in tribunale, ma la sentenza è stata appellata. Philippe Latombe, un ricorrente di Nantes, in Francia, ha presentato la causa T-553/23 al Tribunale dell'Unione europea il 6 settembre 2023. Il 12 ottobre 2023 il presidente del Tribunale ha respinto la richiesta di sospensione cautelare della decisione. Il 3 settembre 2025 la Decima Sezione ampliata ha deciso: "Il ricorso è respinto". Irlanda e Stati Uniti sono intervenuti a sostegno della Commissione. Latombe ha presentato appello il 31 ottobre 2025, causa C-703/25 P, e la Corte di giustizia la indica come pendente.

Finché la Corte di giustizia non si pronuncia, un'azienda può fare affidamento sulla decisione del 2023 per i trasferimenti verso le organizzazioni presenti nell'elenco, perché una decisione di adeguatezza resta in vigore finché non viene abrogata o annullata. Il rischio è quello che gli utenti del Privacy Shield hanno vissuto il 16 luglio 2020: un annullamento produce effetti nel giorno della sentenza, e il paragrafo 202 di Schrems II mostra che la Corte non concede un periodo transitorio quando l'articolo 49 è disponibile.

Cosa significa Schrems II per le analytics dei siti web?

Schrems II significa che ogni fornitore di analytics o di tag che invia negli Stati Uniti i dati dei visitatori UE ha bisogno di una base valida per quel trasferimento, verificata fornitore per fornitore. Come si è evoluta la sentenza per Google Analytics è ricostruito nell'analisi su se GA4 è conforme al GDPR. Controlla se l'entità statunitense del fornitore compare nell'elenco del Data Privacy Framework. Se non c'è, cerca le SCC e una valutazione documentata ai sensi della Clausola 14. La base per il trasferimento è una questione distinta dalla base giuridica del trattamento: una decisione di adeguatezza non rende lecito il trattamento, e nemmeno il legittimo interesse ai sensi del GDPR rende lecito un trasferimento. Nemmeno il luogo di hosting basta da solo a risolvere la questione del trasferimento, un punto approfondito nell'articolo sulla sovranità digitale e la localizzazione dei dati. Per una selezione di strumenti valutati su questi criteri, consulta il confronto tra le alternative a Google Analytics orientate al GDPR.

Domande frequenti

Qual è il numero e la data della causa Schrems II?

Schrems II è la causa C-311/18, Data Protection Commissioner contro Facebook Ireland Ltd e Maximillian Schrems. La Grande Sezione della Corte di giustizia ha pronunciato la sentenza il 16 luglio 2020, con l'identificativo ECLI:EU:C:2020:559. La causa è stata depositata il 9 maggio 2018.

Schrems II ha vietato i trasferimenti di dati verso gli Stati Uniti?

No. Ha invalidato una sola base per il trasferimento, la decisione di adeguatezza del Privacy Shield, e ha confermato la decisione sulle SCC. I trasferimenti basati sulle SCC sono rimasti possibili, a patto che l'esportatore verificasse che la legge statunitense consentisse all'importatore di rispettarle, aggiungesse garanzie dove servivano e sospendesse il trasferimento quando non era possibile.

Che differenza c'è tra Schrems I e Schrems II?

Schrems I, causa C-362/14 decisa il 6 ottobre 2015, ha invalidato la decisione Safe Harbour del 26 luglio 2000. Schrems II, decisa il 16 luglio 2020, ha invalidato la sua erede, il Privacy Shield, e ha fissato le condizioni per le clausole contrattuali tipo. Entrambe sono nate dai reclami di Maximillian Schrems sui trasferimenti di dati da Facebook verso gli Stati Uniti.

Le vecchie clausole contrattuali tipo del 2010 sono ancora valide?

No. La decisione di esecuzione (UE) 2021/914 ha abrogato la decisione 2010/87/UE con effetto dal 27 settembre 2021. I contratti firmati con le vecchie clausole prima di quella data sono stati considerati garanzie adeguate solo fino al 27 dicembre 2022, e solo se il trattamento è rimasto invariato.

Il Data Privacy Framework copre tutte le aziende statunitensi?

No. L'articolo 1 della decisione 2023/1795 limita l'adeguatezza alle organizzazioni "incluse nell'elenco del Data Privacy Framework" tenuto dal Dipartimento del Commercio degli Stati Uniti. Un destinatario statunitense che non figura in quell'elenco ha bisogno di una garanzia ai sensi dell'articolo 46, come le SCC.

Il Data Privacy Framework potrebbe essere annullato come il Privacy Shield?

Sì, se la Corte di giustizia lo annulla in appello. Il Tribunale dell'Unione europea ha respinto il ricorso Latombe il 3 settembre 2025 e l'impugnazione, causa C-703/25 P, è pendente. La Commissione può inoltre sospendere, modificare o abrogare la decisione ai sensi dell'articolo 45, paragrafo 5, del GDPR se la protezione negli Stati Uniti si rivela insufficiente.

Che cos'è una valutazione d'impatto del trasferimento?

La valutazione d'impatto del trasferimento (transfer impact assessment) è la verifica documentata che la clausola 14 delle SCC del 2021 richiede prima che un trasferimento abbia luogo. L'esportatore registra se le leggi del paese di destinazione permettono all'importatore di rispettare le clausole, poi mette quel documento a disposizione dell'autorità di controllo su richiesta, ai sensi della clausola 14, lettera d). Il nome viene dagli operatori del settore e non dalla sentenza, anche se è il punto 134 di Schrems II ad aver creato l'obbligo di fondo.

Chi ha presentato il reclamo all'origine di Schrems II?

Maximillian Schrems ha lamentato che il trasferimento dei suoi dati personali da Facebook Ireland a Facebook Inc. negli Stati Uniti lo esponesse alla sorveglianza statunitense senza un rimedio efficace. L'Alta Corte irlandese ha rinviato il suo caso alla Corte di giustizia, che lo ha deciso come C-311/18 tra il Data Protection Commissioner, Facebook Ireland Ltd e Schrems. Nel 2015 aveva già presentato il reclamo che ha portato a Schrems I.

Che cos'è l'Executive Order 14086?

L'Executive Order 14086, "Enhancing Safeguards for US Signals Intelligence Activities", è la misura statunitense che la Commissione cita nel considerando 6 della decisione 2023/1795 come base del Data Privacy Framework. Gli Stati Uniti lo hanno adottato il 7 ottobre 2022, insieme a un regolamento del procuratore generale che ha istituito la Data Protection Review Court. Insieme, i due strumenti dovrebbero rispondere ai problemi di proporzionalità e di rimedio che la Corte ha rilevato nei punti 184 e 197 di Schrems II.

Che cos'è la Data Protection Review Court?

La Data Protection Review Court è l'organo creato da un regolamento del procuratore generale statunitense insieme all'Executive Order 14086, per dare agli interessati dell'UE un modo di contestare l'accesso dell'intelligence statunitense ai loro dati. Dovrebbe rispondere al problema del rimedio sollevato al punto 197 di Schrems II, dove il mediatore del Privacy Shield è stato ritenuto privo di garanzie equivalenti all'articolo 47 della Carta. La Commissione si basa su entrambi gli strumenti per la decisione di adeguatezza del 2023.