Trasferimento Dati Extra-UE: Regole GDPR, Schrems II e Strumenti Legali 2026

Il trasferimento di dati extra-UE è tra le aree di maggiore rischio nella compliance GDPR per le aziende italiane. L'uso quotidiano di strumenti cloud, CRM, piattaforme email, analytics e servizi SaaS con sede negli USA o in altri paesi terzi configura spesso un trasferimento di dati personali che richiede una base giuridica specifica ai sensi del Capitolo V del Regolamento (UE) 2016/679.

Fonti primarie: Reg. UE 2016/679 — Capitolo V (Art. 44-49) — EUR-Lex · Decisione SCCs 2021/914/UE — EUR-Lex · EDPB — Raccomandazioni 01/2020 su misure supplementari · EU-US Data Privacy Framework — DPF.gov

Perché il Capitolo V GDPR è così importante?

L'Art. 44 GDPR stabilisce il principio fondamentale: qualsiasi trasferimento di dati personali verso paesi terzi o organizzazioni internazionali può avvenire solo se il titolare e il responsabile del trattamento rispettano le condizioni del Capitolo V. Il trasferimento avviene non solo tramite invio attivo di file o email, ma anche:

• Accedendo a dati tramite software cloud con server fuori SEE (AWS, Azure, Google Cloud in region USA)
• Consentendo al personale di una società extra-UE di accedere al sistema informatico
• Integrando API di servizi terzi (es. Twilio, Mailchimp, HubSpot) che ricevono dati degli utenti
• Usando piattaforme di videoconferenza che archiviano registrazioni fuori UE

Nella consulenza a imprese italiane, constato che la sottovalutazione del trasferimento dati avviene soprattutto nell'adozione di strumenti SaaS americani: l'azienda sottoscrive i T&C del fornitore ma non verifica se esiste una base giuridica valida per il trasferimento dati verso gli USA.

Quali paesi sono considerati "adeguati" dalla Commissione Europea?

La decisione di adeguatezza (Art. 45 GDPR) è emessa dalla Commissione Europea quando ritiene che un paese terzo garantisca un livello di protezione equivalente a quello dell'UE. Il trasferimento verso questi paesi non richiede ulteriori garanzie.

Paesi con decisione di adeguatezza vigente (aggiornato aprile 2026):

Nota importante: Le decisioni di adeguatezza sono soggette a revisione e possono essere invalidate dalla Corte di Giustizia dell'UE (come avvenuto per Safe Harbor nel 2015 — Schrems I — e Privacy Shield nel 2020 — Schrems II). La stabilità dell'EU-US Data Privacy Framework è oggetto di monitoraggio da parte dell'EDPB.

Cosa sono le Clausole Contrattuali Standard (SCCs)?

Le Clausole Contrattuali Standard (SCCs) sono contratti-tipo approvati dalla Commissione Europea con Decisione 2021/914/UE che definiscono le obbligazioni di tutela dei dati tra le parti coinvolte nel trasferimento. Sono lo strumento più utilizzato quando non esiste una decisione di adeguatezza.

La Decisione 2021/914/UE, in vigore dal 27 settembre 2021 (con obbligo di migrazione dai vecchi moduli entro il 27 dicembre 2022), prevede quattro moduli:

Come si usano le SCCs nella pratica?

1. Identificare il modulo applicabile in base ai ruoli delle parti nel trasferimento
2. Inserire le SCCs nel contratto con il fornitore extra-UE (o allegate come Addendum al DPA)
3. Compilare le Appendici delle SCCs: descrizione del trattamento, misure di sicurezza, lista sub-processor
4. Condurre un Transfer Impact Assessment (TIA): valutare se il contesto legale del paese destinatario pregiudica l'efficacia delle SCCs
5. Documentare la valutazione nel registro dei trattamenti
6. Monitorare l'evoluzione del quadro legale del paese destinatario

Errore frequente: Firmare le SCCs "in blocco" senza compilare le appendici o senza condurre il TIA. Il Garante Privacy e le altre Autorità europee hanno sanzionato questa pratica: le SCCs firmate ma prive di appendici o TIA non costituiscono una garanzia valida ai sensi dell'Art. 46 GDPR.

Cosa è il Transfer Impact Assessment (TIA) e quando è obbligatorio?

Il Transfer Impact Assessment (TIA) è la valutazione che il titolare del trattamento deve condurre per verificare se le garanzie contrattuali (SCCs o BCR) possono essere effettivamente rispettate nel paese destinatario, tenuto conto del suo quadro legale (legislazione sulla sorveglianza, accesso delle autorità ai dati, rimedi per gli interessati).

Il TIA è stato reso obbligatorio dalle Raccomandazioni EDPB 01/2020 sulle misure supplementari, adottate in risposta alla sentenza Schrems II (CGUE C-311/18, luglio 2020) che ha invalidato il Privacy Shield per i trasferimenti verso gli USA.

Passi del TIA:

1. Conoscere il trasferimento: quali dati, verso quale paese, con quale frequenza
2. Verificare lo strumento di trasferimento adottato (SCCs, BCR, adeguatezza)
3. Valutare se la normativa del paese terzo pregiudica l'efficacia dello strumento
4. Se esistono problemi: adottare misure supplementari (cifratura end-to-end, pseudonimizzazione, accesso limitato)
5. Documentare la valutazione e la sua conclusione

Per i trasferimenti verso gli USA tramite aziende certificate EU-US Data Privacy Framework, l'EDPB ha confermato che non è richiesto un TIA aggiuntivo, a condizione che il destinatario sia effettivamente iscritto al DPF (verificabile su dataprivacyframework.gov).

Cosa è l'EU-US Data Privacy Framework (DPF) e come funziona?

L'EU-US Data Privacy Framework (DPF) è il meccanismo adottato nel luglio 2023 che consente il trasferimento di dati personali dall'UE verso aziende statunitensi certificate, senza necessità di SCCs o TIA, sulla base della Decisione di adeguatezza della Commissione UE del 10 luglio 2023.

Le aziende USA che aderiscono al DPF si impegnano a rispettare standard specifici di protezione dei dati (simili al vecchio Privacy Shield ma con garanzie aggiuntive sui meccanismi di ricorso). L'elenco delle aziende certificate è pubblico sul sito ufficiale.

Come verificare se un fornitore USA è certificato DPF:

1. Accedere a dataprivacyframework.gov/list
2. Cercare il nome dell'azienda (es. "Google LLC", "Salesforce")
3. Verificare che la certificazione sia attiva e che copra la categoria di dati trasferiti

Attenzione: La certificazione DPF copre solo la specifica entità legale che l'ha ottenuta. Le sussidiarie o affiliate non sono automaticamente coperte. Verificare l'entity name esatta nel registro DPF.

Il DPF è stato sottoposto a ricorso da parte dell'associazione NOYB (Max Schrems) dinanzi alla CGUE. Alla data di pubblicazione, la Decisione di adeguatezza è vigente, ma la situazione è soggetta a monitoraggio. Si raccomanda di verificare aggiornamenti periodicamente.

Come trattare i trasferimenti dati verso servizi cloud comuni?

Nella pratica aziendale, i trasferimenti extra-UE più frequenti riguardano servizi cloud americani. Orientamenti aggiornati (aprile 2026):

Nota redazionale: Le informazioni sugli strumenti di trasferimento adottati dai singoli fornitori possono cambiare. Verificare sempre il Data Processing Agreement aggiornato del fornitore e l'iscrizione DPF attuale prima di fare affidamento su queste indicazioni.

Quali sono le sanzioni per trasferimenti extra-UE non conformi?

Le violazioni del Capitolo V GDPR sono tra quelle sanzionabili con le ammende più elevate:

Il Garante Privacy irlandese ha emesso nel 2023 una sanzione di 1,2 miliardi di euro nei confronti di Meta Platforms Ireland Limited per trasferimenti di dati verso gli USA in violazione del GDPR — la sanzione più alta mai irrogata ai sensi del GDPR fino a tale data.

Domande Frequenti (FAQ)

Un'azienda italiana che usa Salesforce o HubSpot sta trasferendo dati extra-UE? Dipende dalla configurazione del servizio e dalla location dei server. Se i dati degli utenti europei vengono elaborati o archiviati su server in USA (anche temporaneamente), si configura un trasferimento extra-UE. Molti provider SaaS offrono la possibilità di scegliere server in Europa (EU region): in tal caso il trasferimento non avviene. In assenza di questa configurazione, è necessario verificare che il fornitore abbia SCCs o DPF attivi e che il DPA sia stato firmato.

Le SCCs sono valide per sempre una volta firmate? No. Le SCCs devono essere monitorate: se cambia il quadro legale del paese destinatario, o se emergono nuove sentenze della CGUE che le impattano, potrebbero essere necessarie misure supplementari o un nuovo strumento di trasferimento. Il TIA è un processo dinamico, non un adempimento una-tantum.

Un dipendente in smart working negli USA configura un trasferimento dati extra-UE? Sì, potenzialmente. Se un dipendente accede a sistemi che contengono dati personali di persone fisiche UE da un dispositivo fisicamente negli USA (o in qualsiasi paese extra-SEE), si configura un trasferimento. È necessario valutare caso per caso, considerando le garanzie tecniche (VPN, cifratura) e verificare che le politiche aziendali prevedano una base giuridica adeguata.

Il GDPR si applica anche se l'azienda italiana usa solo fornitori italiani o europei? Se tutti i fornitori sono stabiliti nello SEE e i dati non lasciano lo SEE, il Capitolo V non si applica. Tuttavia, molti provider europei si affidano a sub-processor extra-UE (es. infrastruttura cloud AWS o Google). La verifica della catena dei sub-processor è essenziale per escludere trasferimenti indiretti.

L'UK è ancora considerato un paese adeguato dopo la Brexit? Sì, fino alla scadenza dell'attuale decisione di adeguatezza. La Commissione UE ha adottato una decisione di adeguatezza per il UK nel giugno 2021, soggetta a revisione periodica. Il UK ha adottato il proprio quadro normativo post-GDPR (UK GDPR + Data Protection Act 2018). La situazione è soggetta a monitoraggio periodico.