Il mondo europeo della protezione dei dati ha già vissuto questa situazione. Due volte, in realtà. In entrambi i casi, il meccanismo che permetteva alle aziende di trasferire dati personali dalla UE agli Stati Uniti è crollato sotto una sentenza della Corte di giustizia dell'Unione europea (CGUE) — Safe Harbor nel caso Schrems I (2015), Privacy Shield nel caso Schrems II (2020). L'attuale meccanismo, il quadro UE-USA per la protezione dei dati (Data Privacy Framework, DPF), adottato nel 2023, è stato costruito apposta per sopravvivere a questa storia. Una sentenza della Corte Suprema degli Stati Uniti, quest'estate, ha riaperto la questione se possa farcela.

Cosa è successo realmente

Il 29 giugno 2026, la Corte Suprema ha stabilito, con 6 voti contro 3, nel caso Trump contro Slaughter, che la tutela contro la rimozione «per giusta causa» dei commissari della FTC viola la separazione dei poteri, ribaltando così Humphrey's Executor — un precedente di quasi 90 anni che aveva protetto l'indipendenza dell'agenzia dal 1935. In pratica, il presidente può ora rimuovere i commissari della FTC a proprio piacimento, e non solo per una causa documentata.

Il caso è nato quando l'amministrazione ha rimosso la commissaria della FTC Rebecca Kelly Slaughter nel marzo 2025 senza indicare alcuna base giuridica. Un tribunale di grado inferiore aveva inizialmente giudicato illegittima la rimozione; la Corte Suprema, in una sentenza del presidente Roberts, si è schierata con l'amministrazione.

Sembra una vicenda di diritto amministrativo statunitense senza un'evidente ricaduta sulla UE. Non lo è. L'indipendenza della FTC è una delle garanzie specifiche su cui la Commissione europea si è basata per approvare la decisione di adeguatezza del DPF nel 2023 — lo strumento giuridico che permette a migliaia di aziende di trasferire dati personali dalla UE agli Stati Uniti senza ulteriori garanzie contrattuali. Un'analisi giuridica di quella decisione conta 259 riferimenti distinti all'indipendenza della FTC come motivo per cui gli Stati Uniti offrirebbero una protezione «sostanzialmente equivalente» a quella del GDPR.

Perché questo colpisce proprio il DPF

L'architettura giuridica del DPF si fonda sull'idea che gli organi di controllo statunitensi — la FTC in primis — operino con un'indipendenza sufficiente dalla pressione politica da vigilare su come le aziende americane trattano i dati personali dei cittadini UE, con rimedi effettivi per questi ultimi in caso di uso improprio di tali dati. Una FTC i cui commissari possono essere rimossi a piacimento dal presidente è, sulla carta, un'istituzione sostanzialmente diversa da quella valutata dalla Commissione nel 2023.

La sentenza non invalida di per sé il DPF — le decisioni di adeguatezza non si dissolvono automaticamente. Ma offre ai difensori della privacy un cambiamento fattuale concreto e documentato a cui appellarsi: un pilastro centrale della decisione di adeguatezza del 2023 non regge più così come formulato.

La Commissione non ha citato l'indipendenza della FTC di sfuggita, una o due volte — ha inserito 259 riferimenti distinti nella propria motivazione. Non è una nota a piè di pagina che i regolatori possano reinterpretare silenziosamente; è il fondamento.

noyb si è già mosso

Questa non è un'ipotesi che i difensori della privacy affronteranno un giorno, con calma. Già il 30 giugno 2026 — il giorno dopo la sentenza — l'organizzazione di Max Schrems, noyb, ha inviato una lettera formale alla Commissione europea chiedendo un ritiro ordinato dalla decisione di adeguatezza del DPF, definendo il quadro un «castello di carte giuridico». noyb ha esplicitamente definito la contestazione in arrivo «Schrems III», la stessa organizzazione dietro entrambe le precedenti invalidazioni.

Si tratta di un avvio nettamente più rapido rispetto ai due round precedenti. Se lo schema si ripete, ci si può attendere che un reclamo passi prima per un'autorità nazionale di protezione dei dati, probabilmente rinviato alla CGUE come questione pregiudiziale — la stessa via che ha prodotto Schrems I e II.

Il calendario realistico

Qui nulla si muove in fretta, nemmeno con noyb già alla porta della Commissione. I commentatori legali che seguono il caso considerano la fine del 2026 come la data più precoce plausibile per una sentenza della CGUE, con il 2027 come ipotesi di lavoro più probabile. Il DPF non sparirà questo trimestre, né probabilmente quest'anno.

259
Volte in cui l'indipendenza della FTC è citata nella decisione di adeguatezza del DPF
6–3
Voto della Corte Suprema per rimuovere le tutele dei commissari FTC
2023
Anno di adozione del quadro UE-USA per la protezione dei dati
2027
Anno più realistico per una sentenza della CGUE, se la storia si ripete

Detto questo, «non questo trimestre» è un cattivo motivo per aspettare. Entrambe le invalidazioni precedenti sono arrivate bruscamente non appena la CGUE ha effettivamente deciso, e le organizzazioni che avevano costruito tutta la propria conformità sui trasferimenti attorno al meccanismo del momento si sono trovate impreparate. La lezione che la memoria istituzionale dovrebbe ormai fornire: costruite il piano di riserva prima di averne bisogno, non dopo.

Cosa fare ora

Se trasferisci dati personali dalla UE agli Stati Uniti nell'ambito del DPF, questo è il momento di «rafforzare il piano di riserva», non di «strappare le tubature».

  1. Non abbandonare le clausole contrattuali standard (SCC). Se già affianchi le SCC alla certificazione DPF — l'approccio «cintura e bretelle» raccomandato da diverse autorità di protezione dei dati — continua così. Le organizzazioni che già dispongono di SCC affronteranno un impatto molto minore se il DPF viene annullato; quelle che si affidano solo alla certificazione DPF affrontano una transizione molto più difficile.
  2. Tieni aggiornate le tue valutazioni d'impatto del trasferimento (TIA). Se conduci TIA insieme alle SCC, considera questa sentenza come il segnale per rivederle subito, invece di aspettare che una decisione della CGUE ti costringa a farlo. Se non hai ancora alcun processo di TIA, questo è il vuoto da colmare per primo — la stessa logica che vale per costruire un processo di DPIA prima di averne bisogno vale anche qui.
  3. Tieni d'occhio il primo reclamo a livello di autorità. Il vero segnale per accelerare sarà un reclamo concreto presentato a un'autorità di protezione dei dati della UE che citi esplicitamente Trump contro Slaughter. È il momento in cui la questione passa da «rischio da monitorare» a «procedimento legale attivo». Vista la lettera di noyb, questo passaggio potrebbe plausibilmente arrivare entro i prossimi mesi.
  4. Non migrare l'infrastruttura per panico. Non c'è alcun indizio che il DPF sia giuridicamente morto, e spostare i flussi di dati in modo reattivo sulla base di una singola sentenza di un tribunale statunitense sarebbe prematuro e costoso. Sistema il piano di riserva; non strappare ancora il percorso principale.

Messo accanto a tutto ciò che si muove quest'anno nella protezione dei dati europea — gli obblighi ad alto rischio del regolamento IA ora sovrapposti al GDPR, lo scontro sull'Omnibus digitale per restringere la definizione di dati personali, la campagna di enforcement coordinato dell'EDPB sulla trasparenza per il 2026 — questo si inserisce in uno schema più ampio: le fondamenta giuridiche che sembravano consolidate vengono rinegoziate simultaneamente su più fronti, da Bruxelles e da Washington. Se non sei sicuro che il meccanismo di trasferimento della tua organizzazione abbia un vero piano di riserva alle spalle, vale la pena rispondere prima che sia un reclamo a costringerti a farlo. Prenota una consulenza gratuita con GDPRGard →

Fonti

Da leggere anche:

⚠️ Questo articolo ha scopo puramente informativo e non costituisce consulenza legale. Per situazioni di conformità complesse, consulta un professionista qualificato per la protezione dei dati. I requisiti del GDPR e dell'AI Act UE sono soggetti a orientamenti regolatori in evoluzione — verifica gli obblighi attuali con il tuo consulente legale.