Dati UE negli USA: il Data Privacy Framework a rischio dopo la sentenza Trump v. Slaughter

Il trasferimento di dati personali dall'Unione Europea agli Stati Uniti torna al centro di un acceso dibattito sulla privacy. Come riporta Agenda Digitale, il nuovo nodo è la sentenza Trump v. Slaughter, con cui il 29 giugno 2026 la Corte Suprema degli Stati Uniti ha stabilito — con una maggioranza di 6 voti contro 3 — che i commissari della Federal Trade Commission (FTC) possono essere rimossi dal Presidente senza necessità di addurre una causa specifica, abbattendo così le protezioni di indipendenza dell'agenzia che erano in vigore dal 1935.

La questione ha ripercussioni dirette sul Data Privacy Framework UE-USA (DPF), l'accordo adottato dalla Commissione europea nel luglio 2023 che consente il trasferimento di dati personali dall'Europa verso le organizzazioni statunitensi certificate, senza la necessità di adottare ulteriori garanzie. Il DPF si regge sull'assunto che gli USA garantiscano un livello di protezione sostanzialmente equivalente a quello europeo — e la FTC è l'autorità su cui la Commissione ha fatto affidamento per far rispettare gli obblighi commerciali del framework, citandola ben 259 volte nel testo della decisione di adeguatezza.

Con la perdita dell'indipendenza della FTC, quel pilastro vacilla. L'organizzazione noyb di Max Schrems ha scritto alla Commissione europea chiedendo formalmente di ritirare la decisione di adeguatezza sugli USA, sostenendo che nessun'altra autorità americana possa colmare questa lacuna strutturale. La Commissione ha confermato che valuterà l'impatto della sentenza sulla validità del DPF.

Il caso si inserisce in un contenzioso già in corso: la decisione del Tribunale dell'UE del settembre 2025, che aveva respinto il ricorso del parlamentare europeo Philippe Latombe contro il DPF, è ora in appello davanti alla Corte di Giustizia dell'UE (CGUE). La sentenza Trump v. Slaughter fornisce nuovi argomenti a quell'impugnazione, anche se i procedimenti di questo tipo richiedono in genere diversi anni.

Per le aziende europee che si affidano a fornitori cloud, software o piattaforme di intelligenza artificiale statunitensi — ovvero la quasi totalità delle imprese di medie e grandi dimensioni — la situazione impone una verifica urgente. Gli esperti raccomandano di mappare i flussi di dati e le basi giuridiche su cui si fondano i trasferimenti: se il fornitore si appoggia esclusivamente alla certificazione DPF, è necessario valutare strumenti alternativi come le Clausole Contrattuali Standard (SCC, decisione UE 2021/914) o le Binding Corporate Rules (BCR). Restano inoltre sullo sfondo i rischi legati al CLOUD Act e alla Section 702 del Foreign Intelligence Surveillance Act (FISA), che possono imporre la consegna dei dati alle autorità americane indipendentemente da dove questi siano fisicamente conservati.

Anche qualora il DPF venisse eventualmente invalidato dalla CGUE, i trasferimenti transatlantici di dati non cesserebbero: le SCC subentreranno come strumento di garanzia, così come già avvenne dopo l'annullamento del Safe Harbor nel 2015 e del Privacy Shield nel 2020. La vera posta in gioco è la certezza giuridica per le imprese e il livello effettivo di tutela riconosciuto ai cittadini europei.