Dati personali: rapporti UE-USA sempre più difficili

Il 25 aprile 2025, l’Autorità belga per la protezione dei dati personali (“APD”) ha emesso una decisione riguardante il Foreign Account Tax Compliance Act (“FATCA”) e il trasferimento dei dati personali ai cosiddetti “Americani Accidentali” all’autorità fiscale statunitense. Questa decisione conferma una precedente decisione espressa dall’APD e potrebbe rappresentare un punto di svolta importante per i cittadini belgi (e potenzialmente per quelli di altri paesi europei) nati negli Stati Uniti ma cresciuti e residenti altrove, comunque soggetti alla legislazione fiscale americana.

A fronte di tale decisione, quali potranno essere le conseguenze sul trasferimento di dati tra UE e USA?

I dati personali degli “Americani Accidentali”: il contesto, il FATCA e i precedenti

Nel 2017 è stata costituita l’Association des Américains Accidentels (“AAA”), su iniziativa di Fabien Lehagre, presidente dell’associazione, con l’obiettivo di difendere gli interessi di cittadini con la doppia cittadinanza (statunitense e di uno dei paesi dell’Unione Europea), ma residenti al di fuori degli Stati Uniti e, comunque, soggetti agli effetti extra-territoriali della legislazione fiscale statunitense. In pratica, l’AAA si propone di difendere gli interessi di persone, nate negli USA, ma che, per gli ormai inesistenti o risalenti rapporti con gli USA (ad esempio, per il fatto di avere vissuto tutta o gran parte della loro vita in altri paesi), non si considerano statunitensi e purtuttavia sono soggetti alla legislazione fiscale americana, inclusa la dichiarazione dei redditi e la potenziale tassazione sui loro beni, con conseguente comunicazione dei loro dati personali all’autorità fiscale statunitense.

Nel 2018, alcuni aderenti all’AAA hanno avviato un’azione di sensibilizzazione nei confronti del Parlamento Europeo, richiedendo l’adozione di una risoluzione sugli effetti pregiudizievoli del FATCA sui cittadini dell’Unione Europea e, in particolare, sugli “Americani Accidentali”. Grazie a tale intervento, il Parlamento Europeo in data 5 Luglio 2018 ha adottato una Risoluzione “sugli effetti negativi della normativa statunitense Foreign Account Tax Compliance Act (FATCA) sui cittadini dell’UE e in particolare sugli “americani casuali”, che contiene constatazioni, che – alla luce dei diritti fondamentali dell’UE – paiono, francamente, abbastanza inquietanti.

Nel documento del Parlamento Europeo, si legge, infatti, tra i vari aspetti presi in considerazione, che:

• gli istituti finanziari dell’UE sono tenuti, in applicazione del FATCA, sotto la minaccia di sanzioni deleterie per la concessione negli Stati Uniti, tra cui una ritenuta d’imposta del 30%, a rivelare informazioni dettagliate sui conti detenuti da presunti “cittadini statunitensi” al dipartimento delle imposte degli Stati Uniti (Internal Revenue Service – “IRS”);
• la normativa FATCA, il cui obiettivo è quello di impedire l’evasione fiscale da parte di “cittadini statunitensi”, impone agli istituti finanziari esteri di individuare i “cittadini statunitensi”, esaminando una serie di indicatori, tra cui il luogo di nascita negli Stati Uniti, un numero di telefono statunitense e le indicazioni relative alla delega sul conto conferita a una persona con un indirizzo statunitense, avverso i quali il cittadino è tenuto a dimostrare di non essere “cittadino statunitense”;
• in virtù degli indicatori sopra indicati, un ampio gruppo di persone fisiche, tra cui i cittadini con doppia cittadinanza dell’UE e statunitense e i loro familiari non statunitensi e, in particolare, i cosiddetti “americani casuali” (o, come identificati nel presente articolo “accidentali”), che hanno acquisito la cittadinanza statunitense per nascita, ma che non hanno legami con gli Stati Uniti, non hanno mai vissuto, lavorato o studiato negli Statu Uniti e che non sono titolari di numeri di sicurezza sociale negli Stati Uniti, potrebbero essere esposti all’irrogazione di sanzioni;
• alcune piattaforme internet americane quali AirBnB, Tripadvisor e Amazon sono tenute a raccogliere informazioni sui contribuenti da tutti i cittadini dell’UE, che si avvalgono di tali servizi on-line e a trasmetterle al dipartimento delle imposte degli USA, al fine di poter stabilire se gli utenti siano cittadini statunitensi e determinare se le entrate, conseguite attraverso le rispettive piattaforme, siano soggette, in forza del FATCA, alla dichiarazione fiscale statunitense;
• non vi è reciprocità tra gli USA e l’UE nel quadro dell’accordo FATCA;
• oltre agli USA, l’unico paese che ha adottato il criterio della tassazione basata sulla cittadinanza è l’Eritrea (peraltro, condannata dalle Nazioni Unite per i propri sforzi ad applicare la “diaspora fiscale!).

In conseguenza di tali constatazioni, il Parlamento Europeo, nella propria risoluzione, ha provveduto ad indicare  una serie di misure e di prescrizioni da implementare, tra cui, in primo luogo (i)  un’ esortazione agli Stati membri e alla Commissione a garantire che i diritti fondamentali di tutti i cittadini, in particolare, degli “Americani Accidentali” siano garantiti, tra cui il diritto alla vita privata e familiare, il diritto alla privacy e il principio di non discriminazione, in base a quanto stabilito dalla Carta dei Diritti Fondamentali dell’UE. e dalla Convenzione europea dei diritti dell’uomo; (ii) l’invito al Consiglio di incaricare la Commissione di avviare i negoziati con gli USA su un accordo FATCA UE-USA, al fine di garantire lo scambio reciproco completo di informazioni e di difendere i principi fondamentali del diritto dell’UE. 

Nel 2020, sulla scorta di tali precedenti, l’AAA belga e uno dei suoi membri hanno proposto reclamo all’APD, richiedendo che quest’ultima ordinasse alle istituzioni finanziarie coinvolte di cancellare i dati personali già inviati all’IRS, in applicazione del FATCA e di cessare ogni e qualsiasi trasferimento dei dati personali relativi al reclamante e ad altri “Americani Accidentali” belgi.  L’APD, con la propria decisione n. 61/2023, ha accolto il reclamo, riconoscendo l’illiceità del trasferimento dei dati personali da parte delle istituzioni finanziarie all’IRS, riscontrando, in particolare, la violazione dei principi di limitazione della finalità, necessità e proporzionalità e delle disposizioni del Capo V del GDPR, in tema di trasferimento dei dati personali verso paesi terzi. Tale decisione è stata, tuttavia, impugnata dalle istituzioni finanziarie coinvolte e successivamente annullata il 20 Dicembre 2023, essendo stato rilevato come la APD non avesse fornito sufficienti motivazioni a supporto della propria decisione n. 61/2023.

La recente decisione dell’APD: il trasferimento dei dati personali all’IRS in base all’accordo FATCA è illecito

A seguito del ricorso da ultimo presentato dall’AAA del Belgio, nella propria decisione del 25 aprile 2025, l’APD ha ribadito che il trasferimento dei dati personali degli “Americani Accidentali” dal Servizio Pubblico Federale Finanze belga all’IRS, in base all’accordo FATCA, viola il GDPR.

L’APD ha argomentato che tale trasferimento non rispetta diversi principi fondamentali del GDPR, tra cui:

• limitazione della finalità: il FATCA non definisce il modo sufficientemente chiaro e specifico le finalità del trasferimento dei dati personali;
• minimizzazione dei dati: in base al FATCA vengono scambiati più dati personali di quanto sia necessario per raggiungere l’obiettivo di contrastare l’evasione fiscale;
• garanzie adeguate: il FATCA non prevede garanzie adeguate per assicurare che i dati personali oggetto di trasferimento negli Stati Uniti siano protetti in modo equivalente a quanto avviene nell’UE.

L’APD ha, inoltre, precisato che la clausola di “salvaguardia”, prevista dall’articolo 96 del GDPR, che in determinate circostanze consente il mantenimento di accordi internazionali preesistenti, non può giustificare la conformità al GDPR, fermo restando che gli accordi stipulati prima dell’entrata in vigore del GDPR devono essere rinegoziati per garantirne la conformità.

Dati personali: le implicazioni della recente decisione dell’APD

La decisione dell’APD non è di scarsa rilevanza, dal momento che può avere un impatto significativo in diversi ambiti:

• costituisce un precedente per altri paesi UE, nel senso che altre autorità di protezione dei dati personali potrebbero seguire la strada tracciata dall’APD e conformarsi alle relative statuizioni, in tal modo mettendo in discussione la legittimità del trasferimento dei dati personali degli “Americani Accidentali” anche in altri stati membri;
• influisce sulla rinegoziazione degli accordi FATCA, nel senso che esorta gli stati UE a rinegoziare gli accordi FATCA con gli Stati Uniti, in modo tale da conseguire maggiori garanzie sotto il profilo della protezione dei dati personali;
• esprime un segnale concreto di supporto per gli “Americani Accidentali”, nel riconoscimento dei diritti fondamentali dell’UE, tra cui il diritto alla protezione dei loro dati personali e, conseguentemente, rappresenta un “apriprista” per eventuali future azioni, finalizzate ad ottenere un trattamento più equo e rispettoso degli “Americani Accidentali”;
• introduce ulteriori elementi di tensione nel rapporto UE-USA, che si aggiungono a quelli da ultimo emersi, tra cui, con riguardo alla tutela dei dati personali, gli attacchi operati dal presidente Trump all’impalcatura originariamente congegnata con il “Data Privacy Framework” per legittimare i trasferimenti e i flussi di dati UE-USA, e, con riguardo alla tutela del mercato, le recenti iniziative protezionistiche, concretizzatesi con l’introduzione dei dazi, che hanno prodotto effetti importanti non solo nei rapporti internazionali ma anche nei rapporti tra gli stati americani.

Protezione dei dati personali: le sfide future.

Le statuizioni dell’APD concentrano l’attenzione su un punto nevralgico nel rapporto UE-USA che concerne l’approccio al tema della protezione dei dati personali, che concretamente costituisce un elemento di divergenza nell’attuazione delle politiche e delle scelte anche legislative, destinate ad avere un impatto sulle persone fisiche e sul trattamento dei relativi dati personali.

Già con riferimento agli interventi posti in essere relativamente al “Privacy and Civil Liberties Oversight Board” (“Autorità per la tutela della vita privata e delle libertà civili”), erano stati evidenziati in un precedente articolo – “Trasferimento di dati UE-USA a rischio? Vediamo i motivi” a cui si rinvia – i possibili effetti sull’operatività delle imprese europee conseguenti alle azioni intraprese dal governo Trump ed ai rischi conseguenti all’adozione di una decisione di NON adeguatezza del Trans-Atlantic Data Privacy Framework.

A quanto sopra, ora si aggiungono gli ulteriori passi da compiere in merito agli accordi FATCA e all’adeguamento di attività, quali il trasferimento di dati personali relativi agli “Americani Accidentali”, che l’APD ha riconosciuto come esorbitanti rispetto ai criteri ed all’intelaiatura del GDPR e non in linea con i principi applicabili al trattamento dei dati personali, che costituiscono il fondamento dell’impalcatura prevista con il GDPR per la protezione dei dati personali nell’UE.

In prospettiva, saranno necessari ulteriori confronti e scambi nei rapporti UE-USA, che potranno sviluppare una maggiore attenzione, conoscenza e consapevolezza in merito ai temi in questione, ma anche – si auspica – dare luogo ad approcci maggiormente costruttivi, che possano promuovere e facilitare l’operatività delle imprese, in un’ottica di reciprocità e non unicamente protezionistica.