Schrems II (Corte di Giustizia UE, 2020) ha invalidato il Privacy Shield: trasferire dati personali negli USA non era più coperto, perché la sorveglianza americana (FISA 702, CLOUD Act) confligge con i diritti UE. Da lì anni di limbo: le SCC (clausole contrattuali standard) restavano valide ma con obbligo di valutazione caso per caso (TIA) e misure supplementari – cifratura con chiavi in mano europea in testa.
Oggi c'è il Data Privacy Framework (2023): l'adeguatezza è tornata per i fornitori USA certificati. Ma la storia insegna: è il terzo accordo della serie, i primi due sono caduti in tribunale, e il primo ricorso (Latombe) è già stato respinto dal Tribunale UE nel 2025 – chi costruisce oggi architetture dipendenti dall'adeguatezza USA accetta un rischio regolatorio ricorrente.
La risposta strutturale è ridurre i trasferimenti alla radice: fornitori UE, self-hosting, dati che restano dove nasce la legge che li protegge – flareover e RainLogs esistono esattamente per questo.