(AGENPARL) – Wed 03 September 2025 COMUNICATO STAMPA n. 106/25
Lussemburgo, 3 settembre 2025
Sentenza del Tribunale nella causa T-553/23 | Latombe / Commissione
Protezione dei dati: il Tribunale respinge il ricorso diretto all’annullamento
del nuovo quadro per il trasferimento di dati personali tra l’Unione
europea e gli Stati Uniti
In tal modo, esso conferma che, alla data di adozione della decisione impugnata, gli Stati Uniti
d’America garantivano un livello adeguato di protezione dei dati personali trasferiti dall’Unione
verso organizzazioni stabilite in tale paese
La carta dei diritti fondamentali dell’Unione europea 1 e il Trattato sul funzionamento dell’Unione europea (TFUE) 2
sanciscono il diritto di ogni individuo alla protezione dei suoi dati personali. Su tali basi, e al fine d i evitare che il
livello di protezione conferito all’interno dell’Unione sia compromesso, il diritto derivato dell’Unione 3 stabilisce le
norme applicabili ai trasferimenti internazionali di dati personali. Conformemente a tali norme, se la Commissione
europea ritiene che un paese terzo garantisca un livello di protezione adeguato, i trasferimenti di dati personali
verso tale paese possono aver luogo senza un’ulteriore autorizzazione, sulla base della decisione di adeguatezza
adottata dalla Commissione. Un siffatto quadro, istituito dalla decisione di adeguatezza adottata dalla Commissione
il 10 luglio 2023 (in prosieguo: la «decisione impugnata») 4, esiste tra l’Unione europea e gli Stati Uniti d’America. In
passato, nelle sentenze Schrems I 5 e Schrems II 6, la Corte ha annullato le due precedenti decisioni di adeguatezza 7
relative agli Stati Uniti, in quanto non garantivano un livello di tutela delle libertà e dei diritti fondamentali
sostanzialmente equivalente a quello garantito dal diritto dell’Unione.
Orbene, il 7 ottobre 2022, gli Stati Uniti d’America hanno emanato un decreto presidenziale 8 che ha rafforzato le
misure di tutela della vita privata che disciplinano le attività svolte dalle agenzie di intelligence con sede negli Stati
Uniti. Tale decreto è stato completato da un regolamento del procuratore generale 9 che ha modificato le
disposizioni che disciplinano l’istituzione e il funzionamento della Data Protection Review Court (corte incaricata del
controllo della protezione dei dati, Stati Uniti d’America; in prosieguo: la «DPRC»). Dopo aver esaminato tali sviluppi
normativi negli Stati Uniti, la Commissione ha adottato la decisione impugnata, che istituisce il nuovo quadro
transatlantico di flussi di dati personali tra l’Unione e gli Stati Uniti .
In tale contesto, il sig. Philippe Latombe, cittadino francese, utente di diverse piattaforme informatiche che
raccolgono i suoi dati personali e li trasferiscono negli Stati Uniti, ha chiesto al Tribunale di annullare la decisione
impugnata. A suo avviso, la DPRC non è né imparziale né indipendente, ma dipendente dal potere esecutivo. Inoltre,
esso ritiene che la prassi delle agenzie di intelligence di tale paese, consistente nel raccogliere in blocco dati
personali in transito dall’Unione senza previa autorizzazione di un giudice o di un’autorità amministrativa
indipendente, non sia disciplinata in modo sufficientemente chiaro e preciso e sia quindi illegittima.
Il Tribunale respinge il ricorso di annullamento.
Per quanto riguarda, in primo luogo, la DPRC, il Tribunale constata, in particolare, che dal fascicolo risulta che la
Direzione della Comunicazione
Unità Stampa e informazione
curia.europa.eu
nomina dei giudici della DPRC e il funzionamento di quest’ultima sono accompagnati da varie garanzie e condizioni
dirette ad assicurare l’indipendenza dei suoi membri. Inoltre, da un lato, i giudici della DPRC possono essere
revocati solo dal procuratore generale e unicamente per un motivo valido e, dall’altro, il procuratore generale e le
agenzie di intelligence non possono ostacolare o influenzare indebitamente il loro lavoro.
Il Tribunale rileva inoltre che, ai sensi della decisione impugnata, la Commissione è tenuta a seguire in modo
permanente l’applicazione del contesto normativo sul quale essa si fonda. Pertanto, se il contesto normativo in
vigore negli Stati Uniti al momento dell’adozione della decisione impugnata cambia, la Commissione può decidere,
ove necessario, di sospendere, modificare o abrogare la decisione impugnata o di limitarne l’ambito di applicazione.
Alla luce di tali elementi, il Tribunale respinge il motivo vertente sulla mancanza di indipendenza della DPRC.
Per quanto riguarda, in secondo luogo, la raccolta in blocco di dati personali, il Tribunale sottolinea in particolare
che nessun elemento nella sentenza Schrems II suggerisce che essa debba essere obbli gatoriamente oggetto di
un’autorizzazione preventiva rilasciata da un’autorità indipendente. Da tale sentenza risulta invece che la decisione
che autorizza una siffatta raccolta deve, come minimo, essere oggetto di un controllo giurisdizionale a posteriori. Nel
caso di specie, dal fascicolo risulta che il diritto degli Stati Uniti assoggetta le attività di intelligence dei segnali svo lte
dalle agenzie di intelligence degli Stati Uniti alla sorveglianza giudiziaria a posteriori della DPRC. Di conseguenza,
secondo il Tribunale, non si può ritenere che la raccolta in blocco di dati personali effettuata dalle agenzie di
intelligence americane non soddisfi i requisiti derivanti dalla sentenza Schrems II al riguardo e che il diritto degli
Stati Uniti non garantisca una tutela giuridica sostanzialmente equivalente a quella garantita dal diritto dell’Unione.
Alla luce di tali elementi, il Tribunale respinge il motivo concernente la raccolta in blocco dei dati personali e,
pertanto, il ricorso nel suo insieme.
IMPORTANTE: Il ricorso di annullamento mira a far annullare atti delle istituzioni dell’Unione contrari al diritto
dell’Unione. A determinate condizioni, gli Stati membri, le istituzioni europee e i privati possono investire la Corte di
giustizia o il Tribunale di un ricorso di annullamento. Se il ricorso è fondato, l’atto viene annullato. L’istituzione
interessata deve rimediare all’eventuale lacuna giuridica creata dall’annullamento dell’atto.
IMPORTANTE: Avverso la decisione del Tribunale può essere presentata impugnazione alla Corte entro due mesi e
dieci giorni a decorrere dalla data della sua notifica, limitatamente alle questioni di diritto.
Documento non ufficiale ad uso degli organi d’informazione che non impegna il Tribunale.
Il testo integrale e, se del caso, la sintesi della sentenza sono pubblicati sul sito CURIA il giorno della pronuncia.
Restate in contatto!
L’articolo 8, paragrafo 1, della Carta.
L’articolo 16, paragrafo 1, del TFUE.
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al
trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei
dati).
Decisione di esecuzione (UE) 2023/1795 della Commissione del 10 luglio 2023 a norma del regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio sul livello di protezione adeguato dei dati personali nell’ambito del quadro UE-USA per la protezione dei dati personali.
Sentenza del 6 ottobre 2015, Schrems (Schrems I), C-362/14 (v. anche comunicato stampa n. 117/15).
Direzione della Comunicazione
Unità Stampa e informazione
curia.europa.eu