Safe Habor, big data a rischio
Abbiamo già in vari ambiti trattato delle politiche di privacy e protezione dati messe in atto dai vari governi ed organismi che dovrebbero tutelarci, ma periodicamente tutto ciò che viene pubblicizzato appare debole alla prova dei fatti. Ancora prima dello scoppiare del caso DATAGATE/PRISM a seguito delle rivelazioni di Edward Snowden, uno studente austriaco, Maximillian Schrems, scoprì che tutti i dati presenti su Facebook, anche se cancellati dall’utente, rimanevano in realtà sulla piattaforma venendo poi trasferiti negli Stati Uniti via Irlanda.
Tutto questo avveniva senza nessun avviso agli utenti e quindi in palese violazione della Direttiva del Consiglio Europeo 46/95, che norma il trattamento dei dati da parte di società extra-UE (EEA). Alla richiesta di fornire protezione dei dati e tutela della privacy, si arrivò ad un accordo che voleva creare un approdo sicuro per i dati raccolti, appunto Safe Harbor che diede il nome al disciplinato. Nei sette modi convenzionati per strutturare questo programma era previsto in primis l’informazione all’utente della raccolta e la sua possibilità di opporvisi, oltre che di essere notiziato in caso di trasferimento dei dati a terzi.
Tutto questo apparato si basava su un semplice registro tenuto presso il Department of Commerce americano, le società ivi iscritte, con una semplice autocertificazione, venivano considerate affidabili ed idonee a trattare dati sensibili. Questa metodologia fu cassata dall’Alta Corte Irlandese che inoltrò istanza alla Corte di Giustizia Europea. L’Alta Corte Irlandese, chiamata in causa da Schrems per competenza territoriale, ritenne anche non significativa l’assunzione non autorizzata di dati sulla base di meccanismi di prevenzione anti-terrorismo, in quanto la raccolta abusiva non riguardava i soli soggetti a rischio, ma tutta la platea dei cittadini.
La decisione dell’Alta Corte portò, nell’ottobre 2015, la Corte di Giustizia Europea a cassare l’accordo USA-UE, accogliendo la richiesta di Schrems di bloccare il trasferimento dei suoi dati su Facebook fuori dai confini europei nei server statunitensi. Le ragioni addotte dalla Corte di Giustizia sono state la mancata assicurazione da parte della Commissione UE che ai dati trasferiti negli USA fosse garantito lo stesso livello di protezione europeo. Valutò anche che il Safe Harbor si applica solo alle società americane senza fornire garanzie sulla raccolta dei dati da parte degli organismi pubblici (NSA). Non esisteva nell’accordo Safe Harbor nessuna differenziazione in campo di conservazione e trattamento dei dati che potevano essere trattati senza alcuna limitazione.
