Dopo gli attentati dell’11 settembre, il presidente George W. Bush firmò lo USA-PATRIOT Act (2001), una legge che ampliava enormemente i poteri di sorveglianza delle autorità statunitensi.
Tra le misure più controverse, la possibilità di richiedere alle aziende private – incluse le big tech – l’accesso ai dati personali degli utenti, anche quando questi erano raccolti fuori dal territorio americano, tramite strumenti come le National Security Letters (NSL).
Questa cornice giuridica fu ulteriormente rafforzata dal FISA Amendments Act del 2008, in particolare dalla Sezione 702, che legittimò la sorveglianza elettronica di cittadini non statunitensi.
Fu proprio in virtù di queste norme che nacquero programmi come PRISM, resi pubblici da Edward Snowden nel 2013, i quali mostrarono come i dati dei cittadini europei trasferiti verso gli USA potessero essere intercettati senza tutele equivalenti a quelle garantite nell’UE.
La questione esplose in sede giuridica con le cause intentate da Max Schrems. La Corte di Giustizia europea dapprima annullò il Safe Harbor (2015, “Schrems 1”), poi il Privacy Shield (2020, “Schrems 2”), dichiarando che la sorveglianza statunitense era incompatibile con il GDPR e che i cittadini europei non avevano strumenti effettivi di ricorso.
In sintesi, lo USA-PATRIOT Act e le successive leggi di sorveglianza hanno reso strutturalmente problematico il trasferimento di dati personali verso gli Stati Uniti.
È proprio questa sproporzione tra la protezione promessa agli utenti europei e i poteri reali delle agenzie americane che ha portato la Corte di Giustizia a bloccare gli accordi transatlantici, fino all’attuale Data Privacy Framework del 2023, la cui solidità è però già messa in discussione.