Dati biometrici dei cittadini europei nelle mani degli USA? Esperti e giuristi sono preoccupati

Due mesi fa l’argomento è entrato anche nel Parlamento italiano. L’onorevole Stefania Ascari (M5S) ha infatti depositato un’interrogazione per chiedere quale sia la posizione del governo Meloni sui negoziati relativi all’Enhanced Border Security Partnership: un accordo fra Stati Uniti ed Unione Europea (la cui definizione è in corso) che potrebbe modificare anche l’utilizzo dei dati biometrici degli individui fra le due sponde dell’Atlantico, consentendo agli USA di accedere a database di polizia europei contenenti informazioni sensibili. Fanpage.it ha raccolto l'opinione di chi lavora a contatto con le istituzioni continentali.

Benifei (PD): "Non potremmo accettare accordi basati su ricatti sull'acesso ai visti"

“Mi auguro che ci sia una discussione che faccia valere i principi fondamentali per tutelare i cittadini europei dai rischi che oggi negli USA esistono. Non potremmo accettare accordi basati su ricatti sull’accesso ai visti, perché sarebbe un modo di comportarsi inaccettabile da parte di paesi alleati”. L’eurodeputato (PD) Brando Benifei, presidente della delegazione del Parlamento europeo per le relazioni con gli Stati Uniti, non nasconde a Fanpage.it la propria preoccupazione. Benifei discute infatti la modalità con cui il Consiglio ha dato mandato alla Commissione di trattare l’intesa per la partnership che dovrà essere approvata entro il 2026, secondo una legge statunitense.

“Quello che stiamo sentendo in fase di avvio della discussione è preoccupante. L’impressione che ho è che sia stato dato alla Commissione un mandato per avviare rapidamente il negoziato, perché gli Stati Uniti hanno avvisato i Paesi europei che, se non si chiude entro il 2026, toglieranno il Visa Waiver [il programma di esenzione dal visto d’ingresso, ndr]”.  Ma secondo Benifei, non è solo una questione di fretta. “C’è un mandato molto lasco perché gli stati membri europei hanno un punto di vista specifico sui diritti individuali. L’ho visto occupandomi dell’AI Act: non c’è grande preoccupazione nell’atteggiamento dei governi rispetto agli abusi delle telecamere biometriche o all’utilizzo improprio dei dati. Si vede attenzione su questi temi da parte delle autorità garanti della privacy, dei magistrati, dei parlamentari, dei cittadini. Dai governi è piuttosto raro. Non mi stupisce che ci sia un mandato ampio e poco vincolante, almeno per iniziare una discussione”.

In teoria, l’Unione Europea prevede per i propri cittadini più garanzie rispetto agli Stati Uniti, ma bisognerà vedere come l’aspetto verrà declinato nelle negoziazioni, spiega Benifei. “C’è una grande cautela, non solo da parte del Parlamento europeo, ma anche da parte dell’EDPS [il Garante europeo della protezione dei dati, ndr], che ha detto con chiarezza che serve molta prudenza in questo scenario geopolitico, perché, in quello che stiamo vedendo con la vicenda dell’ICE, l’agenzia responsabile del controllo della sicurezza dell’immigrazione [recentemente coinvolta in alcune polemiche per la sua presenza alle Olimpiadi invernali di Milano-Cortina, ndr], abbiamo legittimamente molti dubbi sulla tenuta delle garanzie”. L’accordo, una volta approvato dalla Commissione, dovrà probabilmente passare al vaglio del Parlamento europeo. “Bisognerà approfondire e, dal lato del Parlamento, non faremo sconti”, prosegue l’esponente del PD. “Anche il Parlamento è, oggettivamente, meno sensibile rispetto alla precedente legislatura, ma sarà sicuramente una fonte di tutela”.

“È necessario discuterne con gli americani in modo costruttivo”, conclude Benifei, “ma non possiamo accettare nessun accordo che non ci convince e, di certo, non sotto ricatto”.

Malgieri: “Mandato alla Commissione troppo vago”

Anche Gianclaudio Malgieri, professore di diritto all’università di Leida e codirettore del “Brussels Privacy Hub”, ha manifestato la propria inquietudine parlando con Fanpage.it.

“Credo che la direttiva del Consiglio, che ha dato mandato alla Commissione di negoziare l’accordo, sia troppo vaga. Ed è preoccupante. Doveva essere molto più specifica sui limiti del mandato che il trattato dovrà avere, soprattutto in materia di garanzie e salvaguardie del trasferimento dei dati. Quindi sarà importantissimo verificare la bozza finale”.

I contorni dell’accordo sono ancora da definire, osserva Malgieri. “La partnership dovrebbe costituire la base per l’ESTA [il programma VISA Waiver] per ottenere l’accesso tra gli Stati Uniti e l’Unione Europea senza bisogno di visto. Si dovranno accettare lo scambio di informazioni e la collaborazione fra le autorità di frontiera. Questo già avviene: nell’Unione Europea ci sono 27 Paesi e molti di loro hanno accordi diretti con gli Stati Uniti, fra cui anche l’Italia. Ma ora è richiesto un nuovo framework dalla legge americana, e questo avviene in modo centralizzato per tutta l’Unione europea. Non sostituisce le leggi precedenti, ma le complementa. Quindi aggiunge eventualmente qualcosa”.

L’approvazione dell’accordo non sarà immediata. “Sappiamo che questa partnership dovrebbe essere approvata entro dicembre 2026. Sappiamo che la Commissione europea ha l’autorizzazione a negoziare da dicembre scorso e che il Consiglio dovrà riesprimersi sul negoziato raggiunto e approvare il trattato. Se il negoziato dovesse riguardare le implementazioni nazionali, anche i Parlamenti degli Stati membri dovranno esprimersi. Probabilmente pure il Parlamento europeo si dovrà pronunciare”.

Le preoccupazioni sono motivate dal fatto che gli Stati Uniti non dispongono di una legge federale a tutela della privacy, come il GDPR europeo. “Ci sono, a livello federale, norme per alcuni tipi di dati, come quelli relativi ai bambini, ma manca una legge generale. Anche perché la privacy, di per sé, non è un diritto costituzionale, come da noi con la Carta dei Diritti Fondamentali dell’Unione Europea”.

D’altra parte, è già accaduto che la Corte europea si sia interposta per dichiarare inadeguati gli accordi con gli USA proprio per questo motivo. “In base al GDPR, anche gli scambi di dati con Paesi Esterni devono rispettare una serie di requisiti, e la cosa più sicura sarebbe che ci fosse un trattato che rispetti tutte le nostre protezioni europee e che fosse considerato adeguato dalla Commissione Europea. Questo è avvenuto tre volte con gli Stati Uniti, ma le prime due volte questi trattati di scambio di dati sono stati dichiarati illegittimi dalla Corte di Giustizia europea (Schrems 1 e Schrems 2), proprio perché mancavano adeguate garanzie contro i poteri di sorveglianza degli Stati Uniti nei confronti dei cittadini europei. Da ultimo, il Data Privacy Framework è stato approvato due anni fa ed è considerato adeguato, però riguarda solo le imprese private che si autocertificano e non si applica alle autorità pubbliche, quindi non è adatto a questo eventuale scambio di dati. Servirà una nuova base giuridica e dovrà essere considerato adeguato ai fini della protezione dei dati dalla Corte di Giustizia, che però potrà esprimersi solo una volta approvato il trattato”.

L’accordo potrebbe riguardare anche i dati biometrici (fra cui le impronte digitali, le fotografie, etc.), che sono un tema sempre più delicato. “Sul trattamento dei dati biometrici, l’Unione Europea è ancora più rigida perché, se sono a fini identificativi, li considera dati sensibili, per cui ci vogliono tutele maggiori".

“Sarebbe scandaloso se i governi nazionali mandassero in anticipo agli Stati Uniti i nostri dati biometrici, oppure autorizzassero il trattamento di tali dati”, prosegue Malgieri, che si sta occupando del tema per conto dell’European Law Institute in collaborazione con l’American Law Institute. “Abbiamo portato avanti un’alleanza tra accademici che vogliono proporre le norme più corrette per la trattazione dei dati biometrici, proprio perché il tema è delicato. Entro il 2026 rilasceremo un documento con dei principi relativi all’utilizzo dei dati biometrici. Abbiamo provato a omogeneizzare le norme dell’AI Act per i dati biometrici e quelle della Data Protection in chiave nordatlantica, affinché possano essere applicabili anche negli Stati Uniti”.

Marcialis: che cosa sono i dati biometrici e a cosa servono

Il professor Gian Luca Marcialis, docente di Sistemi di Elaborazione delle Informazioni all’Università di Cagliari e membro dell’European Association for Biometrics, ha spiegato a Fanpage.it che cosa siano i dati biometrici. “Sono caratteristiche fisiologiche o comportali misurabili che consentono l’identificazione con elevata probabilità statistica. Per fare un esempio, le impronte digitali, il volto, la voce, l’andatura, la scrittura (la firma)”.

“L’uso delle biometrie è noto fin dal 2000 a.C. a fini di accertamento dell’identità delle persone”, spiega Marcialis. “Già i babilonesi usavano l’impronta digitale, impressa come sigillo sui loro documenti. Ora, è a tutti nota la fortuna di questa biometria nel campo delle investigazioni criminali, fino ai primi studi degli anni Settanta in cui si proponevano metodi automatici per il loro riconoscimento, a partire dall’immagine digitalizzata, nonostante lo scarso livello di dettaglio di allora”.

I dati biometrici si usano già in alcuni contesti. “Oramai sono utilizzati proprio allo scopo di poter “identificare” i singoli accessi al territorio, come nel controllo passaporti e nell’accesso alla frontiera di molte nazioni. E sappiamo quanto siano fondamentali per il controllo delle autorità di frontiera nei processi migratori. Naturalmente il loro utilizzo deve sempre avvenire nel rispetto delle garanzie costituzionali e dei diritti fondamentali”.

“Per la loro ‘unicità', ovvero poiché presentano caratteristiche statisticamente correlabili a un individuo specifico, essi rappresentano un elemento che va ben oltre un’abitudine che consenta una profilazione comportamentale e di interesse per certe categorie di prodotti, come le tante che gli esercizi commerciali rilevano attraverso le loro ‘carte fedeltà'”, prosegue Marcialis. “È quindi fondamentale che questi dati siano tutelati, come avviene in Italia oramai da molti anni grazie alla figura del Garante alla Privacy. In Europa l’uso delle biometrie è stato regolamentato dal GDPR, al quale l’Italia si è allineata".

“Dalla documentazione disponibile è evidente che la responsabilità primaria della protezione ricade sui soggetti che raccolgono e trattano i dati, mediante misure tecniche, organizzative e legali adeguate”, conclude il professore. “Oltre alla responsabilità primaria dei titolari del trattamento, è utile che anche i cittadini siano consapevoli delle modalità con cui i propri dati vengono raccolti e utilizzati, e siano in grado di distinguere una situazione in cui una richiesta è lecita da un’altra in cui non lo è, e di agire di conseguenza presso le autorità. Vorrei però evidenziare che il tema del trasferimento internazionale dei dati biometrici è distinto dal loro utilizzo tecnico: qui entrano in gioco accordi bilaterali, adeguatezza delle tutele giuridiche e meccanismi come le “Standard Contractual Clauses [clausole contrattuali approvate dalla Commissione Europea per garantire la conformità GDPR nel trasferimento di dati personali, ndr]”.