Data Privacy Framework e trasferimento dati extra UE: la guida per il DPO

Quando c'è un trasferimento dati extra UE

Si ha trasferimento quando dati personali trattati, o destinati a essere trattati, vengono messi a disposizione di un destinatario in un Paese terzo o di un'organizzazione internazionale. L'art. 44 GDPR estende le stesse regole ai trasferimenti successivi, da un Paese terzo a un altro. Lo Spazio economico europeo comprende l'Unione europea più Norvegia, Liechtenstein e Islanda.

Nella pratica del DPO i trasferimenti si nascondono in luoghi prevedibili:

• servizi cloud e software in abbonamento con data center o sub-responsabili fuori dal SEE;
• assistenza tecnica fornita da team in altri continenti, con accesso ai sistemi del titolare;
• strumenti di intelligenza artificiale che inviano i contenuti a modelli ospitati fuori dall'Unione;
• società del gruppo con sede extra UE che accedono a database comuni.

Per questo la domanda sui trasferimenti va posta in ogni revisione dell'accordo con un fornitore: il metodo è nella pagina sull'accordo art. 28 GDPR.

Primo strumento: le decisioni di adeguatezza (art. 45)

Se la Commissione europea ha riconosciuto che un Paese terzo, un territorio, un settore o un'organizzazione internazionale garantiscono un livello di protezione adeguato, il trasferimento è ammesso senza autorizzazioni specifiche (art. 45, par. 1). Le decisioni prevedono un riesame periodico, almeno ogni quattro anni, e possono essere modificate, sospese o revocate.

La pagina del Garante sul trasferimento di dati personali all'estero riporta l'elenco aggiornato delle decisioni, tra cui quelle relative a Svizzera, Giappone, Repubblica di Corea, Israele e Nuova Zelanda.

L'EU-US Data Privacy Framework con gli Stati Uniti

Il 10 luglio 2023 la Commissione ha adottato la decisione di esecuzione (UE) 2023/1795 sul quadro UE-USA per la protezione dei dati (EU-US Data Privacy Framework). È una decisione di adeguatezza ai sensi dell'art. 45, quindi segue le stesse regole: riesame periodico ed eventuale modifica, sospensione o revoca.

Cosa copre la decisione del 10 luglio 2023

La decisione copre solo i trasferimenti verso organizzazioni statunitensi che si sono certificate aderendo al framework. Verso destinatari non certificati il trasferimento dati USA resta possibile, ma con gli strumenti dell'art. 46, come le clausole contrattuali tipo.

Come verificare la certificazione al Data Privacy Framework

Prima di fare affidamento sul DPF, verifica che il destinatario compaia nell'elenco pubblicato dal Dipartimento del Commercio statunitense sul sito ufficiale del Data Privacy Framework e che la certificazione copra il tipo di dati trasferiti (ad esempio dati delle risorse umane).

Secondo strumento: le garanzie adeguate (art. 46)

In assenza di adeguatezza, il trasferimento è consentito se titolare o responsabile forniscono garanzie adeguate, con diritti azionabili e mezzi di ricorso effettivi per gli interessati.

Clausole contrattuali standard e transfer impact assessment

Le clausole contrattuali tipo (in inglese standard contractual clauses) in vigore sono quelle della decisione di esecuzione (UE) 2021/914 del 4 giugno 2021, organizzate in moduli a seconda dei ruoli (titolare o responsabile, esportatore o importatore). Dopo la sentenza della Corte di giustizia nota come Schrems II, l'EDPB ha adottato le Raccomandazioni 01/2020 sulle misure supplementari: chi usa le clausole deve valutare se la legislazione e la prassi del Paese terzo consentono di rispettarle e, se necessario, aggiungere misure tecniche, contrattuali od organizzative. È la valutazione che nella prassi viene chiamata transfer impact assessment.

Ultima risorsa: le deroghe dell'art. 49

Se mancano sia l'adeguatezza sia le garanzie adeguate, l'art. 49, par. 1, ammette il trasferimento solo in casi specifici, tra cui:

• consenso esplicito dell'interessato, informato dei rischi;
• necessità per l'esecuzione di un contratto con l'interessato o di misure precontrattuali su sua richiesta;
• importanti motivi di interesse pubblico;
• accertamento, esercizio o difesa di un diritto in sede giudiziaria;
• tutela di interessi vitali quando l'interessato non può prestare il consenso.

Come ultima ipotesi, un trasferimento non ripetitivo, relativo a un numero limitato di interessati e necessario per interessi legittimi cogenti del titolare è possibile solo con garanzie adeguate, informando il Garante e gli interessati. Le deroghe non si prestano a coprire flussi sistematici, come l'uso quotidiano di un servizio cloud.

Fornitori extra UE e Data Privacy Framework: cosa controllare

1. Mappa i flussi. Dove sono i data center, chi fornisce assistenza e da dove, quali sub-responsabili sono coinvolti.
2. Individua lo strumento. Adeguatezza (e, per gli USA, certificazione DPF), clausole contrattuali tipo, BCR.
3. Valuta il contesto. Con le clausole tipo, documenta la valutazione del Paese di destinazione e le misure supplementari.
4. Aggiorna i documenti. Registro (art. 30, par. 1, lett. e), informative (artt. 13 e 14), accordo art. 28.
5. Rispondi agli interessati. Chi esercita l'accesso ha diritto di sapere quali garanzie adeguate si applicano (art. 15, par. 2).

Per i fornitori di intelligenza artificiale aggiungi una domanda: i contenuti inviati vengono usati per addestrare i modelli? Il quadro AI è nella guida su intelligenza artificiale e privacy, mentre la manutenzione dei documenti è nella pagina sul registro dei trattamenti.

Come può aiutarti Next-OS

Next-OS legge contratti e allegati anche in inglese e ti indica dove sono previsti trasferimenti, con quale strumento e quali clausole mancano. Puoi chiedere di confrontare un modulo delle clausole tipo con il ruolo effettivo delle parti e di preparare la traccia di una valutazione del trasferimento da completare con le tue verifiche sul Paese terzo.

Next-OS usa infrastruttura cloud europea con server in Irlanda. Le altre attività del DPO in cui ti supporta sono nella pagina sull'intelligenza artificiale per DPO.