Lotta ai trafficanti di droga e tutela della privacy: chi vincerà?

Il dipartimento di giustizia degli Stati Uniti ha imposto, con un'azione legale, alla Microsoft di consegnare copia dei dati personali che essa detiene in un cloud, fisicamente situato in Irlanda, vale a dire all'interno dell'unione europea.

Allo stato attuale delle negoziazioni fra l'unione europea e gli Stati Uniti, la comunicazione di dati personali fra un server situato in Europa e un soggetto terzo, situato negli Stati Uniti, non è consentita. Vediamo in particolare il motivo per cui il dipartimento di giustizia ha richiesto queste informazioni.

Da anni il dipartimento di giustizia sta indagando su  uno dei maggiori trafficanti di droga del mondo, che utilizza frequentemente la rete Microsoft per lo scambio di informazioni, che i magistrati inquirenti americani ritengono possano essere assai utili per lo svolgimento delle indagini.

Poiché questi dati sono detenuti da Microsoft è in un server, che si trova a Dublino, essi hanno inviato una richiesta alla Microsoft per avere questi dati. L’ufficio legale di Microsoft ha risposto negativamente ed allora il dipartimento di giustizia si è attivato con una azione legale nei confronti di Microsoft.

Questa situazione mette chiaramente in evidenza quali possano essere i conflitti tra la tutela della sicurezza della società civile e la tutela dei dati personali.

È ben vero che il supervisore europeo e l’autorità garante nazionale predicano in continuazione che occorre trovare un giusto compromesso, ma vi è una bella differenza fra le dichiarazioni di principio e la risoluzione di problemi specifici.

Nella fattispecie, l'ufficio legale Microsoft ha dichiarato che non poteva consegnare i dati personali, perché l’Europa non consente il trasferimento di dati in paesi terzi, se non nell’ambito di determinate garanzie afferenti al trattamento. Il dipartimento di giustizia evidentemente non ha alcuna intenzione di attivare specifica protezione per questi dati e ritiene che, volta che questi dati siano stati acquisiti, esso sia libero di trattarli nel modo più appropriato, al fine di agevolare le indagini.

Il problema diventa ancora più complesso ove si pensi che, a questo punto, il dipartimento di giustizia può, se trova un giudice favorevole, imporre con una sentenza a Microsoft di consegnare questi dati.

Microsoft, da parte sua, si trova nella impossibilità di consegnarli, proprio per la vigente regolamentazione in Europa.

Ci troviamo quindi in una sorta di comma 22, che non può avere soluzione logica:

-da un lato Microsoft non può consegnare i dati, perché se lo facesse violerebbe disposizioni europee e potrebbe essere condannata;

-dall’altro lato, se Microsoft non consegna i dati viene condannato dal giudice americano.

 

Ho ritenuto opportuno illustrare questa specifica situazione ai lettori, per dimostrare come sia importante la messa punto di protocolli concordati che permettano di gestire in modo appropriato lo scambio di informazioni tra vari paesi, senza affidare alla magistratura queste scelte, proprio perché due magistrature, ai due lati dell’oceano Atlantico, possono vedere la situazioni con due occhi affatto diversi.

A questo proposito, ricordo ai lettori che il nuovo regolamento generale europeo sulla protezione dei dati prevede esplicitamente che una sentenza emessa in un paese terzo, afferente ad un obbligo di consegna di dati personali che si trovano in Europa, deve  essere disattesa.

Si legga in proposito l’articolo 43 a, che fa riferimento a trasferimenti e rivelazioni di dati che non siano autorizzati da una legge europea. Al comma 1, si fa esplicito divieto al data controller o data processor di rivelare dati personali a un soggetto, residente in un paese terzo, a meno che non sia stato stipulato un accordo internazionale fra il paese terzo e l’unione europea.

 

Questo articolo è pubblicato sotto una Licenza Creative Commons.