La relazione tra dato personale e diritti fondamentali è relativamente recente. Pur essendo la nozione di dato personale ontologicamente collegata a quella di persona fisica, la prima assume un rilievo giuridico nevralgico dal momento in cui il dato inizia ad essere oggetto di trattamento, cioè di «qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insieme di dati personali» [1] .

È vanto della tradizione giuridica europea aver tematizzato l’incidenza del trattamento dei dati sui diritti e sulle libertà delle persone fin dalla Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale n. 108, adottata a Strasburgo il 28 gennaio 1981, nell’ambito del Consiglio d’Europa. L’art. 1 stabilisce esser scopo della Convenzione «quello di garantire, sul territorio di ogni Parte, ad ogni persona fisica, qualunque siano la sua cittadinanza o residenza, il rispetto dei diritti e delle libertà fondamentali, ed in particolare del diritto alla vita privata, nei confronti dell’elaborazione automatizzata dei dati di carattere personale che la riguardano».

Come è noto, il rapporto fra trattamento dei dati e diritti fondamentali è stato poi ribadito a livello di Comunità europea con la direttiva 95/46/CE e poi, da ultimo, con il Regolamento (UE) 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali. Può essere interessante notare che, mentre l’art. 1 della direttiva metteva in relazione la «tutela dei diritti e delle ¶{p. 192}libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali», l’art. 1 del regolamento si rivela più anodino, annunciando che «il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonché norme relative alla libera circolazione di tali dati». Solo apparentemente sono stati eliminati da tale ultimo enunciato i riferimenti a diritti e libertà fondamentali giacché è oramai l’art. 8, par. 1, della Carta dei diritti fondamentali dell’Unione europea a conferire rango di fondamentalità al diritto di ogni individuo «alla protezione dei dati di carattere personale che lo riguardano».

Abbiamo indugiato in questa semplice rassegna di disposizioni normative perché non capita spesso di assistere, come si fosse in un laboratorio di analisi, alla progressiva formazione di un diritto e alla sua attrazione all’apice dell’ordinamento europeo. Si deve alla progressiva consapevolezza dei rischi per la persona derivanti dal trattamento dei dati la progressiva «ascensione» alla fondamentalità, almeno nell’ambito dell’ordinamento sovranazionale. In tale consapevolezza entra oramai anche l’estrema esposizione che la persona corre in ragione della esistenza della rete: in questa infrastruttura, che ha cambiato nel profondo le nostre abitudini, le persone lasciano quotidianamente una tale molteplicità di dati da permettere di ottenere molte informazioni sui loro gusti, abitudini, tendenze e relazioni personali. Ce lo ricordano i Considerando 5 e 6 del GDPR che sottolineano il «considerevole aumento dei flussi transfrontalieri dei dati personali» e «la rapidità dell’evoluzione tecnologica e la globalizzazione», che permettono «tanto alle imprese private quanto alle autorità pubbliche di utilizzare dati personali, come mai in precedenza, nello svolgimento delle loro attività».

La spinta del fatto (in questo caso, il fatto tecnologico) non si ferma qui. L’uso incontrollato dei dati personali da parte di autorità pubbliche annulla uno dei tratti centrali dei dati fondamentali, vale a dire il loro radicarsi nel rapporto verticale tra Stato e cittadino, che è anche, come è ben noto, la dimensione originaria e primigenia dei diritti fondamentali. Se il dato di un cittadino italiano o tedesco ¶{p. 193}entra nel flusso transfrontaliero, esso può essere intercettato, in maniera non consentita, anche da autorità straniere. In questa vicenda un doppio fattore di novità va evidenziato: la violazione del diritto fondamentale avviene ad opera di un soggetto pubblico straniero e, soprattutto, grazie alle tecnologie più recenti legate ad Internet, può avvenire al di fuori del territorio dello Stato che perpetra la violazione.

La natura tentacolare della cd. sorveglianza elettronica, messa in atto dai servizi segreti degli Stati occidentali e capace di intercettare, attraverso la rete, le forme private e spontanee della comunicazione quotidiana e di penetrare così nel tessuto comunicativo della società civile (secondo la ricostruzione che ne fa il Tribunale costituzionale federale tedesco nella sentenza esaminata nel par. 5), lascia emergere così un nuovo e inusitato grumo problematico della dogmatica dei diritti fondamentali, che possiamo sintetizzare nella locuzione «efficacia extraterritoriale dei diritti fondamentali». Si tratta di un problema solo in parte nuovo, legato – in specie ma non solo, come si vedrà – alla dimensione aterritoriale della rete, destinato ad accentuarsi con l’avanzamento delle tecnologie informatiche.

È un problema solo in parte nuovo perché soprattutto nell’ordinamento statunitense il tema oggetto di esame in queste pagine è stato affrontato da tempo sia dalla giurisprudenza che dalla dottrina. In questo sistema giuridico, come in quello canadese, la questione dell’efficacia extraterritoriale si è posta soprattutto nell’ambito di efficacia dell’habeas corpus nei confronti di cittadini stranieri, sottoposti a restrizioni della libertà personale.

Nelle pagine che seguono saranno esaminati casi giurisdizionali in cui i problemi cui si è accennato emergono con evidenza. L’esperienza statunitense, messa a fuoco nel par. 2, si rivela di estremo interesse sia perché è sostanzialmente il primo ordinamento a confrontarsi con il problema dell’efficacia extraterritoriale sia perché permette di osservare un’evoluzione dell’approccio adoperato dal giudice costituzionale nell’affrontare il tema. Di notevole rilievo anche il caso canadese esaminato nel par. 3, il quale, nel peculiare rapporto che instaura tra diritto internazionale e costituzione ¶{p. 194}nel caso Hape, permette di mettere in risalto le differenze di approccio al problema presenti nelle plurime legalità europee. Nella specie quella dell’UE e quella della CEDU sono sinteticamente esaminate nel par. 4 attraverso, anche in questo caso, un focus su recenti sentenze legate al trasferimento dei dati e alla sorveglianza elettronica. Nel par. 5 l’attenzione si concentra su una recente sentenza del Tribunale costituzionale federale tedesco che rappresenterà una pietra di paragone per le future pieghe che la questione dell’efficacia extraterritoriale assumerà nel continente europeo.

La Corte Suprema degli Stati Uniti (CS) è stata investita di questioni attinenti alla sfera territoriale di applicazione dei diritti fondamentali sin dalla fine del XIX secolo, sviluppando un’ampia e articolata giurisprudenza, che per ragioni di spazio non può essere ripercorsa in questa sede [2] . Basti segnalare che mentre esiste ormai un consolidato orientamento che ammette l’applicazione extraterritoriale della Costituzione nei confronti dei cittadini statunitensi [3] , lo stesso non può dirsi per gli stranieri. Nella nota sentenza United States v. Verdugo-Urquidez [4] la CS ha escluso l’estensione del privilegio dell’habeas corpus (habeas) a un cittadino messicano – arre¶{p. 195}stato negli Stati Uniti – a cui gli agenti statunitensi avevano perquisito la casa – in Messico – senza apposito mandato, riconoscendo, tuttavia, che anche i cittadini stranieri hanno diritto all’habeas quando possono considerarsi membri della comunità nazionale, ovverosia «when they have come within the territory of, and have developed substantial connections with, this country» (p. 2).

Il dibattito sull’estensione delle garanzie costituzionali ai cittadini stranieri acquista nuova linfa con la dura lotta al terrorismo internazionale intrapresa dagli Stati Uniti in seguito agli attacchi dell’11 settembre 2001 [5] : il Dipartimento della difesa nel 2004 istituisce appositi Tribunali militari (Combatant Status Review Tribunals, CSRTs), per accertare se i detenuti presso il carcere di Guantanamo siano affiliati a gruppi terroristici e, se del caso, qualificarli come enemy combatants; il Congresso approva nel 2005 il Detainee Treatment Act (DTA) [6] , che attribuisce alla Corte di appello del DC Circuit la giurisdizione esclusiva sulla revisione delle decisioni dei CSRTs, e nel 2006 il Military Commissions Act (MCA) [7] , che nega l’habeas ai detenuti stranieri qualificati enemy combatants [8] .