I trasferimenti internazionali di dati verso paesi terzi sono leciti solo se il titolare dispone, oltre alla base giuridica dell’art. 6, di uno degli strumenti del Capo V del GDPR (artt. 44-50): una decisione di adeguatezza (art. 45), garanzie adeguate come le clausole contrattuali tipo o le norme vincolanti d’impresa (artt. 46-47), oppure una deroga dell’art. 49. Dopo Schrems II non basta però avere lo strumento firmato: occorre dimostrare che funzioni davvero nel paese di destinazione. Questa guida spiega come sceglierlo, come compilarlo e quali errori hanno prodotto le due sanzioni più pesanti mai irrogate in materia.
Key Takeaways
- Lo strumento del Capo V non sostituisce la base giuridica dell’art. 6: servono entrambi.
- Le clausole contrattuali tipo vigenti sono quelle della decisione di esecuzione (UE) 2021/914, articolate in quattro moduli; le vecchie clausole non sono più valide dal 27 dicembre 2022.
- Ogni trasferimento fondato sull’art. 46 richiede un transfer impact assessment dopo Schrems II (C-311/18, 16 luglio 2020).
- L’adeguatezza EU-US Data Privacy Framework vale dal 10 luglio 2023 e copre solo le aziende con certificazione attiva.
- Le deroghe dell’art. 49 devono essere occasionali e non ripetitive: non legittimano un hosting stabile.
Che cosa è un trasferimento verso un paese terzo
È trasferimento qualunque messa a disposizione di dati personali a un soggetto stabilito fuori dallo Spazio economico europeo — anche quando i dati restano su server italiani e ciò che varca il confine è soltanto l’accesso remoto di un amministratore di sistema o di un team di assistenza. Il criterio non è la geografia del disco, ma chi può leggere i dati. Non lo è invece l’invio spontaneo dei propri dati da parte dell’interessato, né il trattamento di un fornitore extra-SEE già soggetto al GDPR ex art. 3, par. 2 — pur restando da verificare che i dati non proseguano oltre.
La qualificazione va riportata nel registro dei trattamenti: l’art. 30, par. 1, lett. e impone di indicare paese terzo e garanzie, ed è la prima casella che il Garante controlla in sede ispettiva. La base giuridica resta un’analisi separata, descritta nella guida alle basi giuridiche del trattamento.
Le decisioni di adeguatezza (art. 45)
La decisione di adeguatezza è l’atto con cui la Commissione europea accerta che un paese terzo, un territorio o un settore garantisce un livello di protezione sostanzialmente equivalente a quello europeo. L’effetto è il più comodo di tutti: il trasferimento avviene come se fosse interno all’Unione, senza clausole e senza valutazione d’impatto. Fra i destinatari figurano Svizzera, Canada (settore commerciale), Argentina, Israele, Uruguay, Nuova Zelanda, Giappone, Regno Unito, Corea del Sud e — limitatamente al Data Privacy Framework — gli Stati Uniti.
La decisione sul DPF, adottata il 10 luglio 2023, copre soltanto le imprese statunitensi con certificazione attiva nell’elenco gestito dal Dipartimento del Commercio. Tre errori ricorrenti: dare per scontato che copra l’intero gruppo e non la sola entità certificata; non verificare la data di rinnovo; non predisporre alcun piano B. L’adeguatezza è soggetta a riesame e può essere sospesa o revocata: lo strumento alternativo va preparato prima, non dopo un’eventuale pronuncia della Corte.
Clausole contrattuali tipo: scegliere il modulo giusto
Le clausole contrattuali tipo (SCC) approvate con la decisione di esecuzione (UE) 2021/914 del 4 giugno 2021 sono la garanzia adeguata più usata ai sensi dell’art. 46, par. 2, lett. c. Le clausole adottate sotto la direttiva 95/46 hanno cessato di costituire base valida il 27 dicembre 2022: un contratto che rinvia ancora alla decisione 2010/87/UE oggi non copre nulla. La struttura è modulare e il modulo si sceglie in base ai ruoli delle parti.
| Modulo | Esportatore → importatore | Scenario tipico |
|---|---|---|
| Modulo 1 | titolare → titolare | invio di dati clienti alla capogruppo extra-UE |
| Modulo 2 | titolare → responsabile | azienda italiana che usa un SaaS extra-SEE |
| Modulo 3 | responsabile → sub-responsabile | agenzia italiana con sviluppatori in India |
| Modulo 4 | responsabile → titolare | fornitore SEE che restituisce dati a un titolare extra-UE |
Quattro punti decidono la tenuta dell’impianto. Il modulo: sceglierlo male è un vizio sostanziale, perché cambia gli obblighi delle parti, e presuppone di aver qualificato le posizioni di titolare e responsabile. Gli allegati: I descrive parti e trasferimento, II le misure tecniche e organizzative, III i sub-responsabili; un allegato II generico (“misure conformi allo stato dell’arte”) è la carenza più frequente negli audit. La clausola di sospensione: l’importatore notifica le richieste di accesso delle autorità locali e l’esportatore sospende il trasferimento se le garanzie non reggono. Infine, nei moduli 2 e 3 le clausole valgono anche come contratto ex art. 28, par. 3, evitando di duplicare l’atto di nomina del responsabile.
Norme vincolanti d’impresa (BCR)
Le norme vincolanti d’impresa dell’art. 47 sono un corpo di regole interne, giuridicamente vincolanti, che disciplina i trasferimenti all’interno di un gruppo imprenditoriale. Vengono approvate dall’autorità di controllo capofila secondo il meccanismo di coerenza dell’art. 63, previo parere dell’EDPB: per i gruppi con stabilimento principale in Italia l’autorità capofila è il Garante per la protezione dei dati personali.
L’art. 47, par. 2 elenca il contenuto minimo: struttura del gruppo, categorie di dati e paesi coinvolti, carattere vincolante interno ed esterno, diritti azionabili dagli interessati, meccanismo di reclamo, responsabilità dell’esportatore SEE per le violazioni dei membri extra-UE, formazione e audit. L’iter è lungo e costoso: hanno senso per gruppi che trasferiscono dati di continuo fra molte giurisdizioni. Attenzione: le BCR non esonerano dalla valutazione della legislazione di destinazione, perché l’obbligo da Schrems II riguarda tutte le garanzie dell’art. 46.
Le deroghe dell’art. 49: quando si possono davvero usare
L’art. 49 consente il trasferimento in assenza di adeguatezza e di garanzie in sette casi: consenso esplicito dopo informazione sui rischi, esecuzione di un contratto con l’interessato, contratto concluso nel suo interesse, motivi importanti di interesse pubblico, difesa di un diritto in sede giudiziaria, tutela di interessi vitali, trasferimento da un registro pubblico. L’ultimo comma aggiunge una deroga residuale fondata su un interesse legittimo cogente, subordinata a condizioni severissime: trasferimento non ripetitivo, numero limitato di interessati, informazione all’autorità di controllo.
Le Linee guida EDPB 2/2018 leggono queste deroghe in senso stretto: devono essere occasionali e non ripetitive. Prenotare un albergo in Thailandia rientra nell’art. 49, par. 1, lett. b. Ospitare stabilmente il CRM aziendale presso un fornitore extra-SEE no, per quanto elegante sia la clausola nelle condizioni generali. Il consenso della lett. a richiede di informare dei rischi specifici derivanti dall’assenza di garanzie: un paragrafo dedicato nell’informativa privacy, non un accenno a “partner internazionali”.
Il transfer impact assessment dopo Schrems II
Con la sentenza C-311/18 (Schrems II) del 16 luglio 2020 la Corte di giustizia ha invalidato il Privacy Shield e insieme confermato la validità delle clausole contrattuali tipo a una condizione: l’esportatore deve verificare se il diritto e la prassi del paese di destinazione impediscano all’importatore di rispettare gli impegni contrattuali e, in tal caso, adottare misure supplementari o sospendere il trasferimento. Da qui il transfer impact assessment, la cui metodologia è nelle Raccomandazioni EDPB 01/2020.
Il TIA si articola in sei passaggi: mappare i trasferimenti, individuare lo strumento, valutare la legislazione del paese terzo sotto il profilo dell’accesso delle autorità, valutarne l’efficacia in quel contesto, individuare misure supplementari, riesaminare periodicamente. Le misure realmente efficaci sono tecniche: cifratura con chiavi trattenute in Europa dall’esportatore, pseudonimizzazione eseguita prima del trasferimento, trattamento su dati cifrati. Quelle solo contrattuali o organizzative non bastano dove la legge locale consente accessi generalizzati. Su larga scala o con categorie particolari l’analisi confluisce nella valutazione d’impatto.
In Italia il tema si è posto per primo con i servizi di misurazione statistica dei siti: nel giugno 2022 il Garante ha dichiarato illecito l’uso di Google Analytics nella configurazione che trasferiva agli Stati Uniti gli identificativi online degli utenti senza garanzie idonee. Il provvedimento precede la decisione sul DPF, ma la lezione resta: uno strumento diffuso non è per ciò stesso conforme, e la verifica va fatta prima dell’attivazione — assieme alla valutazione sul consenso richiesta dalle linee guida cookie del Garante.
Due decisioni che fissano la posta in gioco
Meta Platforms Ireland — 1,2 miliardi di euro. Il 22 maggio 2023 la Data Protection Commission irlandese ha sanzionato il trasferimento negli Stati Uniti dei dati degli utenti di Facebook sulla base delle clausole contrattuali tipo, nonostante Schrems II. La contestazione non riguardava l’assenza delle clausole — c’erano — ma la loro inidoneità a neutralizzare il rischio di accesso delle autorità statunitensi. Alla sanzione si sono aggiunti l’ordine di sospendere i trasferimenti e di conformare i trattamenti.
Uber — 290 milioni di euro. Il 26 agosto 2024 l’autorità olandese (Autoriteit Persoonsgegevens) ha sanzionato il trasferimento negli Stati Uniti dei dati degli autisti europei — localizzazione, documenti d’identità e, in alcuni casi, dati sanitari e giudiziari — avvenuto dopo la cessazione dell’uso delle clausole contrattuali tipo e senza altro strumento valido del Capo V.
Le autorità non sanzionano la mancanza di una firma, ma la mancanza di efficacia; e anche un’interruzione temporanea della catena di garanzie è violazione autonoma. L’art. 83, par. 5, lett. c colloca il Capo V nella fascia più alta — fino a 20 milioni di euro o al 4% del fatturato mondiale annuo — coerentemente con la rassegna delle sanzioni del Garante privacy.
Come chiudere il tema nella documentazione
L’ordine di lavoro è sempre lo stesso: censire i trasferimenti (fornitori, sub-fornitori, accessi remoti), associare uno strumento a ciascuno, redigere il TIA per tutto ciò che poggia sull’art. 46, aggiornare registro e informative, fissare la cadenza di riesame. Per le realtà tecnologiche, dove i sub-responsabili crescono più in fretta della documentazione, i colli di bottiglia tipici sono nella guida GDPR per startup e SaaS. Un foglio di calcolo regge fino a una decina di fornitori; oltre, un software di conformità GDPR tiene insieme fornitore, modulo SCC, TIA e data di riesame in un unico record.
Domande frequenti
L’hosting in una region europea di un fornitore statunitense è un trasferimento?
Se la capogruppo o il personale di supporto extra-SEE possono accedere ai dati, sì, e serve uno strumento del Capo V. La collocazione del data center in Europa non risolve da sola la questione: conta chi è in condizione di leggere i dati.
Con un fornitore certificato DPF serve comunque il TIA?
No, se il trasferimento rientra nell’ambito della certificazione: l’adeguatezza esonera dalla valutazione. Va però verificato che la certificazione sia attiva nell’elenco ufficiale e copra tutte le categorie di dati trasferiti, tenendo pronta una soluzione di ripiego basata sulle SCC.
Si possono modificare le clausole contrattuali tipo?
Non nel testo delle clausole: qualsiasi modifica ne fa perdere la natura di clausole tipo. È ammesso aggiungere pattuizioni non contraddittorie (per esempio un diritto di audit più ampio) e inserirle in un contratto più ampio. La compilazione degli allegati resta obbligatoria.
Chi risponde dei trasferimenti effettuati dal sub-fornitore del mio fornitore?
Il titolare resta responsabile e deve sapere dove finiscono i dati lungo tutta la catena. Il contratto con il responsabile deve prevedere l’autorizzazione al sub-responsabile, l’elenco aggiornato con le relative localizzazioni e, per la tratta extra-SEE, le clausole del modulo 3.
Fonti ufficiali: il Capo V del Regolamento (UE) 2016/679 su EUR-Lex, la decisione di esecuzione (UE) 2021/914 sulle clausole contrattuali tipo, l’elenco delle decisioni di adeguatezza della Commissione europea, gli orientamenti dello European Data Protection Board e i provvedimenti del Garante per la protezione dei dati personali.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial