La proposta di regolamento europeo sulle attività spaziali rafforza sicurezza e resilienza, ma lascia scoperta la tutela dei dati personali raccolti dai satelliti, con limiti evidenti nell’applicazione fuori dal mercato UE
La Commissione europea ha presentato il 25 giugno 2025 la proposta di regolamento COM(2025) 335, nota come EU Space Act, con l’obiettivo di armonizzare le regole su sicurezza, resilienza e sostenibilità ambientale delle attività spaziali nell’Unione. Il testo si inserisce nella scia delle recenti normative digitali europee, adottando il principio del marketplace: chiunque voglia offrire servizi spaziali nel mercato UE dovrà rispettare le regole comuni, indipendentemente dal Paese di origine.
Tuttavia, la proposta evidenzia una lacuna significativa: non affronta in modo specifico la protezione dei dati personali raccolti dai satelliti, a differenza di quanto previsto da AI Act e Data Act per altri settori tecnologici.
La questione dei dati personali nelle immagini satellitari
Le tecnologie di osservazione della Terra hanno raggiunto livelli di dettaglio tali da rendere possibile l’identificazione di veicoli e, in alcuni casi, di persone. La costellazione Maxar WorldView Legion, operativa dal febbraio 2025, offre immagini con risoluzione di 30 centimetri e fino a quindici passaggi giornalieri sulla stessa area. Il servizio Galileo High Accuracy arriva a una precisione di 20 centimetri nel rilevare la posizione di persone fisiche. In questo contesto, il confine tra rappresentazione territoriale e trattamento di dati personali diventa sempre più sottile, soprattutto quando le immagini possono essere incrociate con altre banche dati o analizzate in serie storiche per ricostruire abitudini di movimento.
GDPR e limiti dell’enforcement oltre i confini UE
La Commissione europea sostiene che il GDPR si applica orizzontalmente a ogni trattamento di dati, anche nel settore spaziale. Tuttavia, il vero problema resta l’efficacia dell’enforcement extraterritoriale. Lo Space Act, come il GDPR, estende la propria giurisdizione a tutti gli operatori che offrono servizi spaziali nell’Unione, imponendo l’iscrizione all’Union Register of Space Objects (URSO). Ma se un operatore extra-UE, come un’azienda statunitense o cinese, raccoglie dati dallo spazio senza accedere al mercato europeo, può aggirare sia lo Space Act sia il GDPR, vendendo le immagini fuori dall’Unione e sfuggendo di fatto ai controlli delle autorità europee.
In assenza di una sede o di un rappresentante nell’UE, le autorità di controllo possono solo ricorrere a strumenti indiretti, come la cooperazione internazionale o obblighi imposti agli intermediari, la cui efficacia è spesso limitata. Anche la Corte di giustizia ha chiarito che i poteri correttivi delle autorità nazionali sono vincolati da procedure di cooperazione, complicando ulteriormente l’enforcement transfrontaliero.
Il paradosso della sovranità digitale nello spazio
Questa situazione genera un paradosso: l’Unione europea può fissare regole tra le più rigorose al mondo per la protezione dei dati, ma non può impedire che soggetti esterni raccolgano liberamente, dall’orbita, dati relativi a territorio e cittadini europei, purché non operino nel mercato interno. Il limite non è contingente, ma strutturale, legato alla natura dello spazio extra-atmosferico, che sfugge alla sovranità territoriale tradizionale. Né lo Space Act né il GDPR, allo stato attuale, sembrano in grado di superare pienamente questa criticità.
La crescente capacità dei satelliti di raccogliere dati sensibili pone interrogativi concreti per la privacy dei cittadini italiani ed europei. In assenza di una risposta normativa specifica, la tutela effettiva dei dati personali nello spazio resta affidata a un equilibrio fragile tra regole UE e limiti tecnici dell’enforcement internazionale.
