C'è un negoziato in corso tra Bruxelles e Washington di cui si parla pochissimo, e che riguarda praticamente chiunque legga questo articolo: entro il 31 dicembre 2026 l'Unione Europea dovrebbe firmare un accordo quadro che consente alle autorità statunitensi di interrogare i database biometrici nazionali dei paesi membri. Il prezzo del rifiuto è esplicito: la fine del Visa Waiver Program, cioè del viaggio negli Stati Uniti senza visto per la maggior parte dei cittadini europei.
L'organizzazione European Digital Rights (EDRi) ha sintetizzato la posta in gioco con un titolo che non lascia margini di interpretazione: "L'UE sta per vendere i nostri dati più sensibili agli USA in cambio del viaggio senza visto". Vale la pena capire come ci siamo arrivati, perché è un caso di scuola di come si costruisce un'infrastruttura di sorveglianza senza mai chiamarla così.
Da dove nasce la richiesta
Il punto di partenza è del 2022: il governo statunitense annuncia che, per continuare a beneficiare dell'esenzione dal visto, i paesi partner dovranno concedere accesso ai propri database biometrici. Non è una richiesta rivolta solo all'Europa — il Regno Unito è stato tra i primi ad essere avvicinato — ma è nell'UE che entra in collisione frontale con GDPR, Carta dei diritti fondamentali e giurisprudenza della Corte di Giustizia.
Il percorso formale è quello classico degli accordi internazionali europei:
- 23 luglio 2025 — la Commissione presenta una Raccomandazione per l'apertura dei negoziati (COM(2025) 447).
- 17 settembre 2025 — il Garante europeo della protezione dei dati (EDPS) pubblica il suo parere sul mandato negoziale.
- 16 dicembre 2025 — il Consiglio adotta la Decisione (UE) 2025/2640 che autorizza formalmente i negoziati.
- Da gennaio 2026 — trattative con l'amministrazione Trump su quella che viene chiamata Enhanced Border Security Partnership (EBSP).
L'accordo finale richiederà l'approvazione del Consiglio e il consenso del Parlamento europeo: è lì che si giocherà la partita politica vera, ammesso che il testo arrivi in aula per tempo.
Cosa c'è nella bozza trapelata
A maggio 2026 Statewatch — organizzazione membro di EDRi — ha pubblicato una versione riservata della bozza di accordo quadro insieme a un'analisi giuridica. Il giudizio è netto: il testo "viola manifestamente il diritto dell'UE".
I punti che emergono dalle analisi di Statewatch, EDRi e del ricercatore Matthias Monroy sono tre, e sono tutti strutturali.
1. Lo scopo è indefinito. L'articolo 6 della bozza descrive la finalità dell'accordo come identificare, sottoporre a screening e "vagliare" chiunque sia sospettato di rappresentare un rischio per la sicurezza pubblica o l'ordine pubblico. Non c'è alcun ancoraggio ai reati gravi — che è invece la soglia che la Corte di Giustizia richiede da anni per giustificare interferenze di questa portata. È la ragione principale per cui EDRi contesta la proporzionalità dell'intero impianto: un'ingerenza massiccia nel diritto alla vita privata e alla protezione dei dati, senza il limite che dovrebbe renderla accettabile.
2. Non si scambiano solo impronte. Nella lettura di Monroy, la bozza consentirebbe alle autorità statunitensi di ottenere in risposta a un'interrogazione non soltanto immagini del volto, ma anche nomi, dati sanitari e informazioni sull'orientamento sessuale contenute nelle banche dati di polizia degli Stati membri. Il testo contempla il trasferimento di dati che rivelano origine etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, sulla salute o sulla vita sessuale, purché "strettamente necessari e proporzionati". Nel linguaggio del GDPR sono le categorie particolari dell'articolo 9: quelle che, in teoria, non si toccano.
3. Passa anche il sospetto, non solo la condanna. Le agenzie americane accederebbero a banche dati di polizia europee che contengono precedenti penali ma anche reati sospettati e mai provati, insieme alle cosiddette "indicazioni di rischio" — valutazioni soggettive prodotte da un'autorità nazionale e poi trasferite oltreoceano, dove nessuno le potrà più contestare.
Statewatch avverte che i dati condivisi potrebbero essere usati per impedire o arrestare persone dirette negli Stati Uniti che hanno espresso opposizione alle politiche americane in Europa, o per una profilazione automatizzata e discriminatoria dei viaggiatori, compresi i cittadini UE.
Su quest'ultimo punto EDRi è particolarmente dura: la bozza non prevede alcuna tutela contro la discriminazione basata sulle opinioni politiche, in un momento in cui gli Stati Uniti stanno stringendo il cerchio sul dissenso politico, anche attraverso lo screening dei profili social dei viaggiatori. EUobserver ha riassunto la conseguenza pratica con l'espressione più chiara possibile: europei a rischio di divieto d'ingresso perché critici di Trump.
L'infrastruttura che rende tutto questo possibile
Qui c'è la parte tecnica che spiega perché la richiesta americana arriva adesso e non dieci anni fa. L'Europa ha passato l'ultimo decennio a costruire l'interoperabilità tra le proprie banche dati:
- Prüm collega le banche dati di impronte digitali e profili DNA delle polizie degli Stati Schengen, ed è in corso di estensione alle immagini facciali.
- Eurodac raccoglie le impronte legate alle procedure di asilo e migrazione — milioni di record, interrogabili anche dalle forze di polizia.
- SIS, il Sistema d'informazione Schengen, e gli altri sistemi di frontiera completano il quadro, con EES ed ETIAS che aggiungono il livello biometrico all'ingresso nell'area Schengen.
- "Prüm International" è il meccanismo che permette di collegare paesi terzi al sistema di interrogazione europeo.
In altre parole: l'UE ha costruito il tubo, e ora si discute su chi possa attaccarci un rubinetto. Il negoziato non ruota più intorno alla domanda "un'impronta può essere confrontata con un record europeo?" — quella battaglia è persa. Ruota intorno a cosa può seguire un match: quali informazioni escono dopo un riscontro positivo, quanto a lungo gli USA possono conservarle, quanto peso possono avere i sistemi automatici nella decisione, e soprattutto se le tutele europee restino azionabili una volta che il dato ha attraversato l'Atlantico. Storicamente, la risposta a quest'ultima domanda è no: lo insegnano Safe Harbor e Privacy Shield, entrambi annullati dalla Corte di Giustizia.
Non c'è (ancora) un accordo
Va detto con precisione: nessun accordo è stato concluso. A luglio 2026 i governi europei restano divisi. Diversi Stati membri hanno "preoccupazioni sostanziali" sull'ambito di applicazione, sul modello di condivisione delle informazioni e sulle garanzie relative a trattamento ulteriore, ritrasferimenti a paesi terzi, tempi di conservazione e dati sensibili. Gli ambasciatori UE stanno valutando se l'ultimo compromesso sia una base sufficiente per andare avanti.
Anche l'EDPS aveva già messo dei paletti nel settembre 2025. Wojciech Wiewiórowski ha osservato che la sicurezza delle frontiere è un obiettivo legittimo, ma che l'ingerenza nei diritti fondamentali prodotta da questa condivisione va considerata equiparabile a quella degli scambi di dati a fini di contrasto, e che servono garanzie complete ed effettive per tutti gli interessati indipendentemente da nazionalità e residenza. Non è un dettaglio: sarebbe il primo accordo UE che prevede una condivisione su larga scala di dati personali, biometrici inclusi, con un paese terzo per finalità di controllo delle frontiere e dell'immigrazione. Un precedente, nel senso più letterale del termine.
Perché riguarda anche chi non ha in programma un viaggio
Tre ragioni, in ordine crescente di importanza.
La prima è il metodo. Una scadenza esterna — il 31 dicembre 2026 — impone il ritmo a un negoziato costituzionalmente delicato. Quando il tempo diventa la variabile vincolante, le garanzie sono la prima cosa che si taglia. La dinamica è identica a quella dei rinnovi contrattuali sotto pressione: chi ha la deadline non ha il potere.
La seconda è il precedente. Un accordo di questo tipo definisce lo standard per chiunque altro bussi alla porta. Se il modello "accesso ai database in cambio di facilitazioni" viene normalizzato con Washington, diventa difficile spiegare perché non debba valere per altri partner con curriculum peggiori sui diritti umani.
La terza è la struttura del dato. Una password si cambia, un numero di carta si blocca. Un'impronta digitale, un profilo DNA, la geometria del volto, no: sono identificatori permanenti. Trasferirli significa cederli per sempre, a un'amministrazione i cui criteri di valutazione possono cambiare radicalmente a ogni ciclo elettorale — cosa che, come abbiamo visto negli ultimi anni, non è un'ipotesi teorica.
La finestra utile per intervenire è quella del passaggio in Parlamento europeo, che sul piano formale ha l'arma del consenso: può dire di no. Che decida di usarla per un dossier presentato come "il prezzo del viaggio senza visto" è, per ora, tutt'altro che scontato.
Fonti: European Digital Rights (EDRi), Statewatch — analisi della bozza, Statewatch — mandato negoziale, Matthias Monroy, EDPS, EUobserver, Biometric Update, Center for Democracy and Technology, EPRS — Parlamento europeo, EUR-Lex — COM(2025) 447.