Le aziende usano ogni giorno servizi forniti da imprese con sede o server in altri Paesi: strumenti di analisi, piattaforme di newsletter, CRM in cloud, servizi di videoconferenza, intelligenza artificiale. Quando questi servizi trattano dati personali di persone in Italia o in Svizzera, si pone il tema del trasferimento dei dati all’estero.
Le regole di base nell’UE
Il GDPR consente il trasferimento di dati personali verso Paesi fuori dallo Spazio economico europeo solo con garanzie adeguate. Le più comuni sono:
- Decisioni di adeguatezza della Commissione europea, che riconoscono un livello di protezione sufficiente in un Paese o, come per gli Stati Uniti, per le aziende che aderiscono a un quadro specifico.
- Clausole contrattuali standard approvate dalla Commissione, inserite negli accordi con i fornitori.
- Altre garanzie previste dal regolamento, in casi particolari.
Le regole in Svizzera
La legge federale sulla protezione dei dati prevede un meccanismo analogo: il Consiglio federale indica i Paesi con protezione adeguata; per gli altri servono garanzie, come clausole contrattuali riconosciute. Anche per i trasferimenti dalla Svizzera agli Stati Uniti esiste un quadro dedicato per le aziende certificate. Inoltre l’informativa deve indicare gli Stati verso cui i dati vengono comunicati.
I quadri per i trasferimenti internazionali sono stati più volte rivisti negli anni. Conviene verificare periodicamente lo stato aggiornato e le certificazioni dei fornitori principali.
Cosa verificare per ogni fornitore
- Dove vengono conservati e trattati i dati.
- Se il fornitore aderisce a un quadro riconosciuto o offre clausole contrattuali standard.
- Se esiste un accordo sul trattamento dei dati.
- Quali subfornitori usa e dove si trovano.
- Se è possibile scegliere server in Europa o in Svizzera.
Ridurre il problema alla radice
Spesso la soluzione più semplice è ridurre i dati trasferiti: raccogliere solo ciò che serve, anonimizzare dove possibile, scegliere configurazioni con conservazione dei dati in Europa, evitare strumenti superflui. Per i trattamenti più delicati si può preferire un fornitore con infrastruttura europea o svizzera.
L’informativa
Le persone devono essere informate dei trasferimenti all’estero e delle garanzie adottate. Un elenco dei principali fornitori con i Paesi coinvolti, nell’informativa privacy, risponde a questo obbligo ed è un segnale di trasparenza.
Domande frequenti
Usare Google Analytics comporta un trasferimento all’estero?
Può comportarlo. Google offre garanzie contrattuali e aderisce ai quadri previsti per i trasferimenti; va comunque indicato nell’informativa e gestito con il consenso.
Gli strumenti di AI trasferiscono dati?
Molti sì. Prima di inserire dati personali conviene verificare condizioni, server e garanzie.
Un fornitore svizzero è sempre adeguato per l’UE?
La Svizzera è riconosciuta come Paese con protezione adeguata dalla Commissione europea, ma restano da verificare gli eventuali subfornitori.
Nelle integrazioni realizzate con CMXD SmartFlow valutiamo anche dove transitano i dati. Gli aspetti legali vanno confermati con il tuo consulente. Per un elenco degli strumenti attivi sul tuo sito, richiedi un’analisi gratuita.
