Trump c. Slaughter : la fin des flux de données transatlantiques ?

Il 30 giugno, l'ONG Noyb, una spina nel fianco per i giganti del digitale e le autorità di regolamentazione, ha inviato una lettera alla Commissione europea chiedendo di programmare l'uscita dal quadro transatlantico per la protezione dei dati (il Data Privacy Framework o DPF).

Secondo l'ONG, gli Stati Uniti non garantiscono più alcun controllo indipendente in materia di privacy.

Sebbene il presidente Trump avesse già rimosso due dei tre membri del "Privacy and Civil Liberties Oversight Board", un organismo di controllo indipendente creato dal Congresso nel 2004, la Corte Suprema degli Stati Uniti ha indubbiamente inferto un colpo mortale al sistema americano di controllo indipendente.

Con un ribaltamento totale della sua precedente giurisprudenza, la Corte ha stabilito il 29 giugno che l'indipendenza della Federal Trade Commission (FTC) è incostituzionale.

La sentenza "Trump contro Slaughter" rientra nel quadro di una teoria "unitaria", secondo la quale il presidente deve esercitare il potere su tutti gli organi esecutivi americani.

Secondo questa dottrina, le leggi americane che garantiscono l'indipendenza a diverse agenzie sono pertanto incostituzionali.

“"Considerato che l'Unione Europea ha fatto molto affidamento sull'’indipendenza« della FTC in quanto suo organo di controllo sulla privacy, l'intera struttura del quadro di protezione dei dati UE-USA è appena crollata."»

Il presidente di Noyb, Max Schrems, aggiunge che, dato che gli Stati Uniti continuano a esercitare una notevole pressione sull'UE per garantire il flusso dei dati personali, la sua ONG avvierà nelle prossime settimane un'azione legale con l'obiettivo di ottenere l'annullamento dell'accordo attuale da parte della Corte di giustizia dell'Unione europea (CGUE).

Una sentenza "Schrems III" potrebbe quindi completare la lista dei successi dell'attivista.

Anche il deputato e membro della CNIL Philippe Latombe ha inviato una lettera alla Commissione europea chiedendo la cancellazione del trattato transatlantico e sollecitando le aziende francesi ad adottare soluzioni di gestione dei dati sovrane.

Occorre ricordare che la decisione della Commissione europea, che riconosce l'adeguatezza del quadro di protezione istituito dagli Stati Uniti, rimane in vigore fino a quando la Commissione o la Corte di giustizia dell'Unione europea non la dichiarino invalida.

Un procedimento dinanzi al tribunale in genere richiede dai due ai tre anni prima che venga emessa una decisione definitiva.

La Commissione potrebbe tuttavia non attendere l'esito di tale procedura: ha già annunciato, in risposta alle domande dei media, di voler analizzare la validità della propria decisione di adeguatezza alla luce della mancanza di indipendenza della FTC.

L'autorità danese per la protezione dei dati ha inoltre indicato, in una dichiarazione del 1° luglio, che la decisione della Corte Suprema degli Stati Uniti potrebbe avere ripercussioni particolarmente ampie, interessando non solo i trasferimenti basati sul DPF, ma anche i trasferimenti effettuati tramite altre basi giuridiche, ad esempio sulla base di contratti standard.

L'autorità incoraggia i titolari del trattamento dei dati a rivedere la propria valutazione del livello di protezione garantito dal paese destinatario nell'ambito della valutazione d'impatto del trasferimento.

È particolarmente importante verificare se sussistano ancora i presupposti per il controllo indipendente da parte delle autorità.

Per i titolari del trattamento dei dati e i responsabili della protezione dei dati (DPO), questa notizia offre l'opportunità di aggiornare la mappatura dei trasferimenti transatlantici di dati, inclusi quelli relativi a SaaS, cloud o strumenti di intelligenza artificiale, per rivalutare la base giuridica e individuare, ove opportuno, possibili alternative.

In Francia

A seguito di una consultazione pubblica, il 30 giugno la CNIL ha pubblicato le sue raccomandazioni sull'utilizzo da parte dei professionisti dei dati di geolocalizzazione provenienti da veicoli connessi (auto, biciclette, scooter, ecc.).

Il suo obiettivo è rafforzare la certezza del diritto e garantire maggiore trasparenza agli utenti.

In una scheda informativa aggiornata il 19 giugno, la CNIL ribadisce le sue raccomandazioni essenziali in merito all'utilizzo delle tecnologie digitali nelle imprese.

Il documento elenca 12 raccomandazioni e incoraggia i responsabili del trattamento dei dati a effettuare una diagnosi tramite il sito web del governo.

In una pubblicazione del 10 giugno, vengono inoltre specificate le regole da seguire in caso di comunicazioni elettroniche con potenziali clienti e clienti acquisiti.

Il 3 luglio, la CNIL ha pubblicato i risultati della sua indagine volta ad analizzare l'evoluzione del ruolo dei DPO (Organismi di Protezione dei Dati) di fronte allo sviluppo dell'intelligenza artificiale (IA).

Si interessa di governance dell'IA nelle organizzazioni, delle nuove sfide normative legate al coordinamento tra il GDPR e il regolamento europeo sull'IA, nonché delle esigenze dei DPO in termini di competenze, formazione e strumenti.

Sebbene il DPO rimanga una figura chiave nel garantire la protezione dei dati personali nei progetti di intelligenza artificiale, non è destinato a gestire autonomamente tale conformità e non possiede ancora una conoscenza approfondita della normativa.

La CNIL intende adattare le proprie raccomandazioni e il supporto offerto ai professionisti a queste nuove sfide e rimanda agli strumenti già disponibili sul proprio sito web.

Martedì 16 giugno, il Primo Ministro ha annunciato, tramite un video pubblicato sui social media, un ulteriore investimento pubblico di 655 milioni di euro nell'ambito del programma Francia 2030, al fine di accelerare lo sviluppo dell'intelligenza artificiale in Francia.

«"Uno degli annunci più simbolici riguarda la Direzione Generale per la Sicurezza Interna (DGSI), che sta ponendo fine alla sua collaborazione con il colosso americano dell'analisi dei dati Palantir.".

Per sostituire questa tecnologia straniera, la DGSI ha scelto l'azienda francese ChapsVision.

Questa preoccupazione è stata recentemente rafforzata dalla decisione dell'amministrazione statunitense di limitare l'accesso a determinati modelli avanzati di intelligenza artificiale per i cittadini stranieri, in nome della sicurezza nazionale.

Il governo intende inoltre accelerare l'adozione dell'intelligenza artificiale nell'amministrazione pubblica.

Un assistente conversazionale sovrano verrà gradualmente implementato per circa un milione di dipendenti pubblici statali.»

Sempre a questo proposito, la sperimentazione di un modello linguistico cinese presso la Direzione Generale del Tesoro è stata interrotta il 23 giugno a causa di risposte "tendenziose" o "di parte".

Il chatbot era stato concepito per assistere i funzionari di alto livello nelle loro attività quotidiane, tra cui l'elaborazione di dati riservati o sensibili.

Mercoledì è stato installato un nuovo modello della startup francese Mistral AI.

A partire dal 2027, l'Agenzia nazionale francese per la sicurezza informatica (ANSSI) cesserà di certificare i prodotti di sicurezza privi di meccanismi di crittografia resistenti ai computer quantistici.

Questo requisito riguarderà in particolare i prodotti destinati a settori sensibili come la difesa, gli armamenti e le pubbliche amministrazioni.

Le aziende hanno tempo fino al 2030 per acquistare esclusivamente soluzioni cosiddette "a prova di computer quantistico".

L'accelerazione della transizione alla crittografia post-quantistica è stata anche al centro dei lavori del sottogruppo sulla cybersicurezza del G7, riunitosi sotto la presidenza francese all'inizio di giugno.

Le autorità per la protezione dei dati dei paesi del G7 si sono riunite a Parigi il 25 e 26 giugno su invito della CNIL, nell'ambito della presidenza francese del G7.

Hanno adottato una dichiarazione sui meccanismi di verifica dell'età che rispettano la privacy, nonché un documento sullo sviluppo di oggetti connessi che rispettino la privacy dei minori.

In Europa

istituzioni e organismi europei

Il 29 giugno, il Consiglio dell'UE ha dato la sua approvazione definitiva alla semplificazione e alla razionalizzazione delle norme sull'intelligenza artificiale previste dal Regolamento Omnibus.

L'applicazione delle norme relative ai sistemi ad alto rischio è posticipata al 2 dicembre 2027 per i sistemi di intelligenza artificiale ad alto rischio autonomi e al 2 agosto 2028 per i sistemi di intelligenza artificiale ad alto rischio integrati nei prodotti.

Il testo aggiunge una disposizione al regolamento sull'IA, vietando le pratiche di IA legate alla generazione di contenuti sessuali e intimi non consensuali o di pornografia infantile.

Anche i sistemi di intelligenza artificiale che generano immagini di persone reali nude o che rimuovono gli indumenti da foto esistenti per rivelare parti intime saranno vietati a partire da dicembre 2026.

Il nuovo regolamento posticipa al 2 agosto 2027 il termine per l'istituzione, da parte delle autorità competenti a livello nazionale, di "sandbox" regolamentari dedicate all'IA e riduce da 6 a 3 mesi il periodo concesso ai fornitori per implementare soluzioni di trasparenza relative ai contenuti generati artificialmente, fissando il nuovo termine al 2 dicembre 2026.

Secondo un documento visionato da Politico, la presidente del Parlamento europeo Roberta Metsola starebbe tentando di far approvare una controversa legge sul filtraggio dei contenuti pedopornografici online (CSAM), una legge che la sua stessa assemblea ha respinto lo scorso marzo in seduta plenaria.

Il presidente ha chiesto agli Stati membri riuniti in Consiglio di approvare una bozza che consentirebbe alle piattaforme tecnologiche di scansionare volontariamente i propri servizi alla ricerca di contenuti pedopornografici, una questione che suscita intense controversie: la polizia, alcuni difensori dei diritti dei minori e diversi commissari europei sostengono che la mancanza di una legislazione in materia permetta a predatori e pedofili di agire impunemente su Internet.

Nel frattempo, i difensori della privacy e gli esperti di sicurezza ritengono che queste proposte potrebbero portare a una sorveglianza di massa inaccettabile e alla fine della crittografia.

Il 18 giugno 2026, la Corte di giustizia dell'Unione europea ha chiarito, nella sentenza C-484/24 – NTH Haustechnik, che i dati personali ottenuti illegalmente non devono essere automaticamente esclusi dai procedimenti legali.

I tribunali possono farne uso se ciò è strettamente necessario e proporzionato all'esercizio della loro missione, nel rispetto dei principi del GDPR, in particolare la minimizzazione dei dati.

Tuttavia, questa possibilità non rende lecita la raccolta iniziale delle informazioni e non esonera il suo autore da possibili violazioni delle norme sulla protezione dei dati.

Il Comitato europeo per la protezione dei dati (EDPB) ha adottato il 10 giugno un modello per la notifica delle violazioni dei dati.

Questo modello è destinato principalmente ad essere implementato dagli APD utilizzando uno strumento informatico.

Il modello è soggetto a consultazione pubblica, offrendo così alle parti interessate l'opportunità di condividere commenti e feedback sul suo contenuto fino al 5 agosto.

A partire dal 3 agosto, Google utilizzerà gli indirizzi IP degli utenti internet residenti nello Spazio economico europeo, nel Regno Unito e in Svizzera per misurare e personalizzare gli annunci pubblicitari.

Sebbene Google raccolga già questi dati per ragioni tecniche, il loro utilizzo si sta evolvendo: l'indirizzo IP può ora essere utilizzato per identificare i dispositivi a fini di targeting pubblicitario.

Questa pratica, regolata dal GDPR, richiederà il consenso dell'utente, che dovrà essere integrato nei meccanismi già utilizzati per la gestione delle preferenze pubblicitarie e dei cookie.

Notizie dai paesi membri dell'Unione europea.

Il 18 giugno, le autorità belghe e spagnole per la protezione dei dati hanno pubblicato congiuntamente raccomandazioni e buone prassi per il settore dei videogiochi.

Questa collaborazione nasce dall'esigenza, individuata dalle autorità, di regolamentare un settore che coinvolge oltre 3 miliardi di utenti in tutto il mondo e che si avvale di tecnologie invasive.

Il documento analizza le attività più comuni di trattamento dei dati personali nei videogiochi, individua le minacce e i rischi che comportano e propone raccomandazioni e buone prassi.

In Croazia, l'Autorità garante della protezione dei dati personali (APD) ha multato un'agenzia immobiliare per aver conservato i dati dei clienti oltre lo scopo del trattamento, per aver custodito copie di documenti d'identità e carte di credito senza una base giuridica e per non aver fornito una formazione sufficiente ai propri dipendenti in materia di trattamento dei dati personali.

L'Agenzia spagnola per la protezione dei dati (APD) ha pubblicato l'8 giugno delle linee guida sull'uso delle telecamere nelle case di riposo, al fine di conciliare assistenza e privacy.

Ha inoltre multato Vodafone España di 1.050.000 euro dopo che una terza parte è riuscita a eludere i controlli di sicurezza per ottenere una fattura del cliente contenente un indirizzo email non autorizzato e a creare fraudolentemente una seconda linea mobile registrata a nome del denunciante.

Alla fine, l'autorità di vigilanza ha multato CaixaBank per 500.000 euro per carenze sistemiche nella protezione dei dati, a seguito di ripetute violazioni della sicurezza.

L'autorità ha specificamente richiesto alla banca di migliorare le proprie capacità di rilevamento delle violazioni e di rafforzare le procedure per l'identificazione delle persone e dei dati coinvolti in caso di incidente.

L'Autorità irlandese per la protezione dei dati (DPA) ha multato l'Health Service Executive (HSE), il servizio sanitario pubblico, per 300.000 euro a seguito di un attacco informatico ransomware avvenuto nel 2018 che ha compromesso i dati personali di circa 84.000 pazienti.

L'indagine ha concluso che l'HSE non aveva implementato misure di sicurezza tecniche e organizzative sufficienti, non disponeva di documentazione conforme al GDPR e non aveva supervisionato adeguatamente i propri subappaltatori.

Oltre alla sanzione pecuniaria, il DPC ha ordinato all'HSE di rafforzare in modo duraturo le proprie politiche e procedure di sicurezza dei dati.

L'Autorità norvegese per la protezione dei dati (APD) ha inflitto a Elkjøp una sanzione amministrativa di 20 milioni di corone norvegesi, in particolare per la mancanza di un valido consenso al trattamento dei dati personali nell'ambito del suo programma fedeltà, per valutazioni insufficienti in merito alle nuove finalità del trattamento e per la mancata risposta alle richieste degli interessati entro i termini previsti dal GDPR.

A livello internazionale

Nel Regno Unito, un agente di polizia del Derbyshire è sotto inchiesta con l'accusa di aver utilizzato l'intelligenza artificiale per fabbricare prove in diversi casi giudiziari.

Le autorità stanno esaminando i fascicoli potenzialmente rilevanti, mentre l'agente è stato rimosso dalle mansioni operative.

Questo caso, che potrebbe configurarsi come un grave abuso di giustizia, si verifica in un momento in cui le forze di polizia britanniche stanno intensificando l'uso dell'intelligenza artificiale, riaccendendo il dibattito sui rischi e sulla necessità di una rigorosa regolamentazione di queste tecnologie.

Recentemente, a diversi dipartimenti di polizia è stato chiesto di sospendere alcuni utilizzi dell'intelligenza artificiale, in particolare nella redazione di documenti per i tribunali, a causa di errori fattuali.

Anche nel Regno Unito, a partire dal 19 giugno, le organizzazioni soggette alla legislazione britannica in materia di protezione dei dati sono tenute a predisporre una procedura che consenta alle persone fisiche di presentare reclami riguardanti i propri dati personali.

Prima di contattare l'Ufficio del Garante per la protezione dei dati personali, gli interessati devono presentare il reclamo all'organizzazione in questione.

In Cina, il 15 luglio entreranno in vigore le Misure provvisorie relative alla gestione dei servizi interattivi antropomorfi basati sull'intelligenza artificiale.

Questo regolamento disciplina il settore in rapida espansione degli assistenti virtuali basati sull'intelligenza artificiale e dei robot di supporto emotivo.

In particolare, i fornitori di questi servizi dovranno informare chiaramente gli utenti che stanno interagendo con un'intelligenza artificiale, mettere in atto meccanismi per prevenire la dipendenza emotiva, rilevare situazioni di disagio o rischio, proteggere i minori e limitare il loro accesso ai compagni virtuali.

Dovranno inoltre conformarsi ai requisiti di governance, come la registrazione dei propri algoritmi, l'esecuzione di valutazioni di sicurezza in determinati casi e l'implementazione di misure di protezione dei dati e di gestione del rischio.

La Rete iberoamericana per la protezione dei dati (RIPD) ha adottato un documento di riferimento volto a rafforzare le garanzie applicabili al trattamento dei "neurodati", ovvero i dati provenienti da tecnologie in grado di misurare o dedurre l'attività cerebrale.

Il testo raccomanda una maggiore protezione di questi dati, una maggiore trasparenza sul loro utilizzo e sulle loro modalità operative, nonché restrizioni, o addirittura divieti, per determinati usi ritenuti incompatibili con i diritti fondamentali, in particolare quando mirano a manipolare i comportamenti o a sfruttare le persone vulnerabili.

Anthropic ha disattivato i suoi due modelli di intelligenza artificiale più potenti.

Citando motivi di "sicurezza nazionale", Washington aveva richiesto che la start-up americana specializzata in intelligenza artificiale limitasse l'accesso a Claude Fable 5 e Mythos 5 ai soli cittadini americani.

Secondo Anthropic, questa richiesta è impossibile da soddisfare. Il 22 maggio, Anthropic ha annunciato il suo progetto Glasswing, affermando che il suo modello di intelligenza artificiale per la sicurezza informatica, Mythos, aveva identificato più di 10.000 vulnerabilità in software e progetti open source ampiamente utilizzati.