Trasferimento dati fuori dall'UE

Il principio

Artt. 44-50 GDPR: i dati personali possono essere trasferiti fuori dello Spazio Economico Europeo solo se il trasferimento garantisce un livello di protezione essenzialmente equivalente a quello UE.

Strumenti di trasferimento

1) Decisione di adeguatezza (art. 45)

La Commissione UE certifica che un Paese offre protezione adeguata. Esempi attuali: Regno Unito, Svizzera, Giappone, Corea del Sud, Israele, Canada (per dati commerciali), USA (limitato al Data Privacy Framework).

2) Garanzie appropriate (art. 46)

In assenza di decisione di adeguatezza:

• Clausole Contrattuali Tipo (SCC) adottate dalla Commissione;
• Binding Corporate Rules (BCR) per gruppi multinazionali;
• Accordi tra PA di diversi Paesi.

3) Deroghe (art. 49)

In casi specifici:

• Consenso esplicito e informato dell'interessato;
• Esecuzione del contratto;
• Interessi vitali;
• Pubblico interesse.

Il caso Schrems II

Sentenza C-311/18 della Corte di Giustizia UE (16 luglio 2020): ha invalidato il Privacy Shield USA, richiedendo una valutazione caso per caso dei trasferimenti. Dal 2023 è stato sostituito dal Data Privacy Framework.

Implicazioni per cloud

Usare server USA (AWS, Google Cloud, Microsoft Azure) richiede:

• verifica dell'iscrizione al Data Privacy Framework del fornitore;
• SCC integrative;
• Transfer Impact Assessment (TIA) per valutare i rischi.

Per la PL

Se l'ente usa cloud per:

• videosorveglianza (dati personali);
• verbali digitali;
• banche dati di sicurezza;

dovrebbe preferire fornitori europei o verificare scrupolosamente il regime di trasferimento dei fornitori USA.