Gli elementi distintivi di tali sentenze, per ciò che rileva in questa sede, sono due, tra loro interconnessi: da un lato, l’analisi della CGUE verte su condotte esterne, poste in essere dalle autorità pubbliche degli Stati Uniti al di fuori del territorio dell’Unione; dall’altro, le disposizioni su cui è imperniata la valutazione della (in)adeguatezza del regime statunitense di protezione dei dati sono contenute nella CDFUE, un atto di diritto primario interno. Inoltre, il principio di sostanziale equivalenza della protezione dei dati personali implicitamente impone a quei Paesi che intendano scambiare dati con soggetti stabiliti negli Stati membri un obbligo di adeguamento della propria normativa nazionale a quella europea, di fatto estendendo la tutela dei diritti fondamentali assicurata dall’Unione al di là dei propri confini territoriali [47] . Le sentenze Schrems potrebbero costituire il punto di partenza di un dibattito più articolato sull’applicazione extraterritoriale dei diritti fondamentali [48] .

La Corte europea dei diritti dell’uomo (Corte EDU) ha seguito un approccio più indulgente [49] nella sentenza¶{p. 207} Big Brother Watch e al. c. Regno Unito [50] , attualmente pendente dinanzi alla Grande Camera [51] , relativa alle denunce presentate da vari giornalisti, attivi nelle campagne dei diritti civili, che ritenevano che le proprie comunicazioni fossero state intercettate dai servizi segreti britannici o dai servizi segreti stranieri in collaborazione con quelli britannici [52] . In tale occasione la Corte EDU si è pronunciata per la prima volta sul sistema di scambio e condivisione di dati tra agenzie di intelligence britanniche e statunitensi (c.d. intelligence sharing), nel contesto dei programmi di sorveglianza elettronica UPSTREAM e PRISM, non riscontrando alcuna lesione del diritto dei ricorrenti al rispetto della vita personale (art. 8 CEDU). Al contrario, in relazione alla normativa nazionale sulla sorveglianza delle comunicazioni esterne, il Regno Unito è stato condannato sia per la carenza di effettivi mezzi di tutela e forme di vigilanza sul processo di selezione ed elaborazione dei dati acquisiti, in violazione dell’art. 8 CEDU, sia per la mancanza di misure idonee a tutelare la riservatezza delle comunicazioni, in violazione dell’art. 10 CEDU.

I passaggi della sentenza meritevoli di attenzione sono due. Anzitutto, per esaminare la legittimità del regime britannico di sorveglianza esterna, la Corte EDU parte dal presupposto che le attività di intercettazione delle comunicazioni ricadano nella giurisdizione del Regno Unito dal momento che il Governo britannico non aveva sollevato ¶{p. 208}alcuna eccezione in relazione all’art. 1 CEDU, né aveva suggerito che tali attività avvenissero al di fuori della giurisdizione territoriale nazionale (§271). Si osservi, tuttavia, che il fatto che le operazioni di sorveglianza elettronica vengano poste in essere nel Regno Unito non implica che i destinatari di tali operazioni si trovino anch’essi nel Regno Unito: il ragionamento della Corte EDU sembra solo implicare – senza affermarlo esplicitamente [53] – che le operazioni di sorveglianza rientrano nell’ambito applicativo della CEDU per la semplice ragione di essere condotte nel territorio di uno Stato contraente, anche se i destinatari si trovano all’estero. In secondo luogo, con riferimento alle attività di intelligence sharing, la Corte EDU prende in considerazione le sole intercettazioni condotte dalle agenzie statunitensi e poi trasmesse alle agenzie britanniche, e non (anche) viceversa [54] . Rilevando che tali attività erano state svolte sotto il pieno controllo delle agenzie straniere, la Corte EDU esclude la responsabilità del Regno Unito, che avrebbe potuto essere invocata solamente se le agenzie britanniche avessero esercitato la propria autorità o il proprio controllo su quelle statunitensi (§420).

Nella sentenza di specie la Corte EDU non si sofferma sull’efficacia extraterritoriale delle garanzie consacrate nella CEDU, limitandosi a richiamare incidentalmente il criterio del c.d. effective control [55] , elaborato sulla base dell’art. 1 CEDU, secondo cui le attività statali condotte all’estero o nei confronti di soggetti situati all’estero determinano la responsabilità degli Stati contraenti se sono svolte sotto il loro ¶{p. 209}controllo effettivo [56] . La Corte EDU perde dunque l’occasione per definire in modo sistematico e rigoroso, nell’ambito della sorveglianza elettronica esterna, quali siano le circostanze fattuali al cui verificarsi la CEDU trovi applicazione e quali siano i principi generali a cui gli Stati contraenti debbano attenersi. L’attesa decisione della Grande Camera potrebbe chiarire meglio la questione, indicando, per esempio se la nazionalità dei ricorrenti costituisca un fattore dirimente nell’estensione delle garanzie convenzionali all’estero [57] .

Nella sentenza 1 BvR 2835/17 del 19 maggio 2020 [58] , il Tribunale costituzionale federale della Germania (Tribunale) prende una posizione molto innovativa sulla questione dell’efficacia extraterritoriale dei diritti fondamentali, accogliendo il ricorso in cui sette giornalisti (di cui uno solo con cittadinanza tedesca) e una ONG con sede in Francia, attivi nelle denunce delle violazioni dei diritti umani nelle zone di guerra e nei regimi autoritari, lamentavano di essere stati intercettati dai servizi segreti tedeschi [59] in violazione degli artt. 5 (libertà di stampa e informazione) e 10 (diritto ¶{p. 210}alla riservatezza delle telecomunicazioni) della Costituzione tedesca (Grundgesetz, GG). Per la prima volta [60] il Tribunale afferma che «i diritti fondamentali della Costituzione tedesca vincolano i servizi segreti e il legislatore che ne ha disciplinato i poteri indipendentemente dal fatto che i servizi siano attivi all’interno o all’esterno del paese» [61] (§ 87), sottolineando che altrimenti, in un settore caratterizzato da un’azione intrusiva dello Stato come quello della sorveglianza strategica, soprattutto alla luce dei recenti sviluppi della tecnologia informatica e, conseguentemente, dell’assenza di limiti spaziali nell’accesso e nello scambio dei dati, i diritti fondamentali rimarrebbero privi di tutela (§§ 105-110).