Trasferimento dei dati fuori dall’UE: le regole

In sintesi

• Regola: trasferire dati fuori dall’UE è ammesso solo con adeguate garanzie (artt. 44 ss. GDPR).
• Adeguatezza: verso Paesi che la Commissione UE ritiene garantiscano un livello adeguato.
• SCC: in mancanza, si usano le clausole contrattuali standard approvate dalla Commissione.
• Attenzione: anche usare fornitori cloud extra-UE è un trasferimento da disciplinare.

Quando c’è un trasferimento extra-UE

Si ha un trasferimento verso un Paese terzo ogni volta che dati personali vengono inviati, resi accessibili o conservati fuori dallo Spazio economico europeo. Accade più spesso di quanto si pensi: usare un fornitore di cloud, di email o di servizi con server o società madre extra-UE comporta, di regola, un trasferimento da disciplinare.

La decisione di adeguatezza

Il trasferimento è libero verso i Paesi per i quali la Commissione europea ha adottato una decisione di adeguatezza, cioè ha riconosciuto un livello di protezione dei dati adeguato (art. 45 GDPR). In questi casi non servono garanzie ulteriori. L’elenco dei Paesi adeguati è aggiornato dalla Commissione.

Le garanzie adeguate (SCC)

In assenza di adeguatezza, il trasferimento è possibile solo se il titolare fornisce garanzie adeguate (art. 46 GDPR): le più usate sono le clausole contrattuali standard (Standard Contractual Clauses, SCC) approvate dalla Commissione, ma rientrano qui anche le norme vincolanti d’impresa (BCR) per i gruppi. Spesso è necessario affiancare alle SCC una valutazione del contesto del Paese di destinazione e misure supplementari.

Le deroghe (art. 49)

In casi specifici e residuali, il trasferimento è ammesso in deroga (art. 49 GDPR): ad esempio con il consenso esplicito e informato dell’interessato, o quando è necessario per l’esecuzione di un contratto con l’interessato. Sono eccezioni da usare con prudenza, non come regola per i flussi ordinari di dati.

Cosa deve fare l’impresa

In pratica: mappare quali fornitori comportano un trasferimento extra-UE; verificare se il Paese è “adeguato”; in caso contrario, assicurarsi che siano in essere le SCC o altre garanzie e, dove richiesto, le misure supplementari; documentare tutto (anche nel registro dei trattamenti e nelle informative). È un punto su cui il Garante e le autorità europee sono particolarmente attenti.

Esempio pratico

Una SRL usa un servizio di email marketing con sede negli Stati Uniti. Verifica se il fornitore aderisce a un meccanismo che lo rende “adeguato”; in mancanza, sottoscrive le clausole contrattuali standard e valuta misure aggiuntive. Indica il trasferimento nell’informativa e lo annota nel registro dei trattamenti.