Il 24 maggio abbiamo festeggiato i dieci anni del GDPR con convegni e comunicati sulla sovranità digitale conquistata; il 30 giugno, cinque settimane dopo, l’associazione di Max Schrems scriveva alla Commissione europea chiedendo un’uscita ordinata dal Data Privacy Framework, l’accordo che dal 10 luglio 2023 regola il trasferimento dei nostri dati verso gli Stati Uniti.
Nessuno ha messo in fila le due notizie, e questo racconta meglio di qualsiasi analisi come funziona davvero la privacy in Europa: da una parte la liturgia del consenso, cookie banner, informative infinite, sanzioni sbandierate come prova di forza; dall’altra il problema strutturale che nessuno vuole toccare perché smontarlo costerebbe miliardi e anni di dipendenza infrastrutturale.
Il Vero Nodo: Il CLOUD Act contro il GDPR
Il problema si chiama CLOUD Act, la legge del marzo 2018 che obbliga ogni provider sotto giurisdizione americana, quindi Amazon, Google, Microsoft, anche nei data center di Francoforte o Milano, a consegnare dati su richiesta di un tribunale statunitense, indipendentemente da dove siano fisicamente conservati.
Confligge con l’articolo 48 del GDPR, e non lo diciamo noi: lo scrivevano nero su bianco l’EDPB e il Garante europeo della protezione dei dati già il 10 luglio 2019, in una valutazione richiesta dalla commissione LIBE del Parlamento.
Sei anni dopo, la valutazione è ancora lì, e la giurisdizione americana pure.
Nel frattempo la sanzione più alta mai comminata sotto GDPR, 1,2 miliardi di euro a Meta, maggio 2023, puniva esattamente questo: il trasferimento di dati europei negli Stati Uniti senza garanzie adeguate.
Colpiamo il sintomo da anni: le multe GDPR comminate hanno superato i 7,1 miliardi di euro a gennaio 2026, ma quasi il 40% di quella cifra, secondo un’analisi di Alliance Risk, risulta annullato o ancora sotto ricorso attivo, Meta compresa. Puniamo sulla carta più di quanto incassiamo per davvero.
La causa resta intatta.
Il Data Privacy Framework doveva essere la soluzione definitiva dopo Schrems I e Schrems II.
Si regge sull’indipendenza di un organo americano, il Privacy and Civil Liberties Oversight Board, citato 31 volte nella decisione di adeguatezza della Commissione.
Il Caso Trump e il Crollo delle Garanzie
Il 27 gennaio 2025 Trump ha licenziato tre dei quattro membri; un giudice federale ne ha ordinato il reintegro a maggio, ma la Corte Suprema, che l’8 dicembre ha discusso il caso Trump v. Slaughter, sembra pronta a cancellare novant’anni di giurisprudenza sull’indipendenza delle agenzie.
La Commissione lo sa. Non ha ritirato nulla.
E arriviamo a giugno 2025, quando Anton Carniaux, direttore legale di Microsoft Francia, interrogato sotto giuramento dal Senato francese, ammette di non poter garantire che i dati dei cittadini francesi non finiscano al governo americano senza il consenso di Parigi.
Non lo dice un attivista: lo dice Microsoft. La risposta europea?
Cloud “sovrani” come Bleu, di Orange e Capgemini su tecnologia Microsoft, e S3NS, di Thales su tecnologia Google, venduti come immuni al CLOUD Act grazie a una certificazione ANSSI che gli stessi concorrenti francesi giudicano prematura. Sotto il cofano, la tecnologia resta americana.
Nel frattempo Amazon, Microsoft e Google controllano ancora circa il 70% del mercato cloud europeo, i fornitori locali appena il 15%, secondo Synergy Research.
Chi vuole ancora chiamarla sovranità? Non è un incidente di percorso: è la fotografia di una scelta.
Conclusione: Una Privacy da Vetrina
Continuiamo a indossare la privacy come vetrina normativa mentre la sovranità reale resta in comodato d’uso a Redmond, Mountain View e Seattle.
Il GDPR ha dieci anni. Il problema che finge di non vedere ne ha altrettanti, e nessuno, a Bruxelles, ha ancora deciso di guardarlo.
