Nel capo V del GDPR (Regolamento (UE) 2016/679) c'è una riga che salta quasi sempre: le condizioni valgono anche per i trasferimenti successivi, da un paese terzo verso un altro. Si verifica il fornitore, non i suoi subfornitori, e i dati continuano a muoversi anche dove il contratto firmato non arriva.
In breve
- Ogni trasferimento verso un paese terzo ha bisogno di una base del capo V, e le stesse condizioni valgono per i trasferimenti successivi (art. 44 GDPR).
- Le strade sono tre: la decisione di adeguatezza (art. 45), le garanzie adeguate come le clausole contrattuali tipo (art. 46) e le deroghe (art. 49), che sono eccezioni.
- Verso gli Stati Uniti la decisione di adeguatezza del 10 luglio 2023 è in vigore. Il Tribunale dell'Unione ha respinto il ricorso contro di essa il 3 settembre 2025 (causa T-553/23) e l'impugnazione è pendente davanti alla Corte di giustizia (causa C-703/25 P).
- Due quadri precedenti sono stati annullati dalla Corte di giustizia, nel 2015 e nel 2020: i contratti costruiti solo su quelli sono rimasti senza base.
- La violazione degli artt. 44-49 è punita con sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo (art. 83, par. 5, lett. c).
Quando un servizio cloud comporta un trasferimento extra UE?
Quando dati personali sono resi disponibili a un destinatario che si trova in un paese terzo, cioè fuori dallo Spazio economico europeo. Il luogo dei server non esaurisce la domanda: contano anche il paese da cui il fornitore o i suoi subfornitori possono accedere ai dati e la sede della società che li gestisce. Le linee guida 05/2021 dell'EDPB (European Data Protection Board, il Comitato europeo per la protezione dei dati) ragionano proprio su questi criteri.
Per questo la verifica non si ferma all'indirizzo del data center. Si parte dal contratto e dall'elenco dei soggetti che toccano i dati.
Quali sono le tre strade del capo V?
Il principio generale sta nell'art. 44: qualunque trasferimento, compresi i trasferimenti successivi da un paese terzo verso un altro, ha luogo soltanto se il titolare e il responsabile del trattamento rispettano le condizioni del capo V. Le strade sono queste.
| Base | Norma | Che cosa richiede | Il limite |
|---|---|---|---|
| Decisione di adeguatezza | Art. 45 | La Commissione ha deciso che il paese terzo, un territorio o un settore garantiscono un livello di protezione adeguato. Non servono autorizzazioni specifiche. | Non dipende da ciò che le parti scrivono nel contratto, e può essere revocata, modificata o sospesa. |
| Garanzie adeguate | Art. 46 | Garanzie adeguate, diritti azionabili e mezzi di ricorso effettivi per gli interessati. Tra gli strumenti: clausole tipo adottate dalla Commissione, norme vincolanti d'impresa, codici di condotta, certificazioni con impegni vincolanti del destinatario. | Vanno scelte, firmate e valutate rispetto al paese di destinazione. |
| Deroghe per situazioni specifiche | Art. 49 | Consenso esplicito dopo informazione sui rischi, esecuzione di un contratto, interesse pubblico rilevante, difesa di un diritto in giudizio e le altre ipotesi elencate. | Sono eccezioni. Non reggono un flusso ordinario e continuativo. |
L'ordine non è casuale: l'art. 46 opera «in mancanza» di una decisione di adeguatezza, e l'art. 49 opera in mancanza di entrambe.
A che punto è la decisione di adeguatezza sugli Stati Uniti?
La decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023 ha riconosciuto un livello di protezione adeguato per i trasferimenti verso le organizzazioni statunitensi che aderiscono al Data Privacy Framework. La base vale quindi per i destinatari che hanno aderito al quadro, non per qualunque società americana: l'adesione del fornitore è la prima cosa da controllare.
Il 3 settembre 2025 il Tribunale dell'Unione europea ha respinto il ricorso che ne chiedeva l'annullamento (causa T-553/23, Latombe c. Commissione). La sentenza è stata impugnata davanti alla Corte di giustizia, causa C-703/25 P, presentata alla fine di ottobre 2025: secondo le fonti consultate l'impugnazione è ancora pendente. Lo stato del procedimento va riverificato sul sito della Corte prima di ogni decisione contrattuale.
In pratica il quadro regge, e resta appeso a un giudizio.
Le decisioni di adeguatezza si sono già ribaltate?
Sì, due volte. La Corte di giustizia ha annullato il quadro del Safe Harbor con la sentenza del 6 ottobre 2015 (causa C-362/14, Schrems) e quello del Privacy Shield con la sentenza del 16 luglio 2020 (causa C-311/18, Schrems II). Ogni volta i contratti costruiti solo su quella base sono rimasti senza fondamento.
La seconda sentenza ha lasciato in piedi le clausole contrattuali tipo, ma ha chiesto a chi esporta i dati di verificare caso per caso se la legge del paese di destinazione consente di rispettarle, e di adottare misure supplementari se serve. È da qui che viene il transfer impact assessment, la valutazione d'impatto del trasferimento: lo ricavano dalla sentenza e dalle raccomandazioni 01/2020 dell'EDPB, non dal testo del regolamento.
Il punto pratico
Una decisione di adeguatezza può essere revocata, modificata o sospesa senza effetto retroattivo, e quando ciò accade i trasferimenti restano possibili sulle altre basi degli artt. 46-49 (art. 45, parr. 5 e 7). Tenere pronta una seconda base, come le clausole tipo, costa poco e permette di passare da una strada all'altra senza fermare il servizio.
Perché le clausole contrattuali tipo reggono il cambio di scenario?
Perché non dipendono dalla valutazione politica di un singolo quadro. Sono clausole adottate dalla Commissione, dalla decisione di esecuzione (UE) 2021/914 del 4 giugno 2021, che il titolare e l'importatore sottoscrivono così come sono. L'art. 46, par. 2, lett. c, le riconosce come garanzie adeguate senza bisogno di autorizzazioni specifiche dell'autorità di controllo.
Non sono però una formula magica. Come ricordato sopra, resta la verifica sul paese di destinazione, e vanno eseguite davvero: chi le firma e poi non le applica ha un contratto, non una garanzia.
Perché i subfornitori sono il punto più scoperto?
Perché il contratto che si firma è quello con il fornitore, e i dati passano anche dai suoi. L'art. 44 estende le condizioni ai trasferimenti successivi, e l'art. 28 disciplina la catena: il responsabile del trattamento non può ricorrere a un altro responsabile senza l'autorizzazione scritta del titolare, specifica o generale. Se l'autorizzazione è generale, deve informare il titolare di ogni aggiunta o sostituzione, così da lasciargli la possibilità di opporsi (art. 28, par. 2).
Al subfornitore devono essere imposti gli stessi obblighi in materia di protezione dei dati, e il responsabile iniziale conserva l'intera responsabilità nei confronti del titolare (art. 28, par. 4). Come si imposta il rapporto con chi tratta i dati per conto dell'impresa lo spieghiamo nella guida sulla nomina dei responsabili del trattamento.
Perché le deroghe non reggono un flusso quotidiano?
Perché l'art. 49 le costruisce come eccezioni per situazioni specifiche: il consenso esplicito dell'interessato, dato dopo averlo informato dei rischi dovuti alla mancanza di adeguatezza e di garanzie; l'esecuzione di un contratto con l'interessato o a suo favore; importanti motivi di interesse pubblico; l'accertamento o la difesa di un diritto in giudizio. Anche l'ipotesi residuale del secondo comma richiede che il trasferimento non sia ripetitivo e riguardi un numero limitato di interessati.
Le linee guida 2/2018 dell'EDPB sulle deroghe le leggono in senso restrittivo. Fondare su una deroga l'uso quotidiano di un servizio cloud significa costruire un flusso ordinario su uno strumento pensato per l'eccezione.
Che cosa chiedere al fornitore prima della firma?
La domanda di fondo è dove stanno i dati e a chi li passa. Si articola così:
- in quali paesi sono conservati i dati e da quali paesi il fornitore e i suoi subfornitori possono accedervi, anche solo per assistenza;
- su quale base viene fatto il trasferimento: adeguatezza, con adesione verificabile del destinatario, clausole tipo, norme vincolanti d'impresa;
- se esiste una base alternativa pronta, nel caso in cui la principale venga meno;
- l'elenco dei subfornitori con i rispettivi paesi, e come vengono comunicate le modifiche (art. 28, par. 2);
- come il fornitore tratta le richieste di accesso delle autorità del paese terzo: le clausole tipo prevedono obblighi di notifica e di contestazione;
- che cosa accade ai dati alla fine del rapporto: cancellazione o restituzione (art. 28, par. 3, lett. g).
Un fornitore serio ha queste risposte già scritte. La domanda va fatta prima della firma, non alla prima richiesta di accesso ai dati.
Quali adempimenti accompagnano un trasferimento?
La base scelta deve lasciare tracce nei documenti dell'impresa.
| Adempimento | Norma | Che cosa deve risultare |
|---|---|---|
| Informativa agli interessati | Art. 13, par. 1, lett. f | L'intenzione di trasferire i dati, l'esistenza o l'assenza di una decisione di adeguatezza e, per gli artt. 46, 47 e 49, secondo comma, il riferimento alle garanzie e ai mezzi per ottenerne copia. |
| Registro dei trattamenti | Art. 30, par. 1, lett. e | I trasferimenti verso paesi terzi, con l'identificazione del paese e, per le deroghe residuali, la documentazione delle garanzie adeguate. |
| Rapporto con il fornitore | Art. 28 | Un atto che vincola il responsabile e regola autorizzazioni, subfornitori e restituzione dei dati. |
Chi vuole impostare questi passaggi con il proprio fornitore può partire dalla nostra pagina sulla consulenza GDPR e compliance dei dati. Per vedere come il Garante guarda agli obblighi di sicurezza e di notifica, leggi il caso delle password in chiaro e della notifica tardiva di un data breach.
Contratti con il fornitore, flussi di dati e informative vanno impostati prima di una verifica, non dopo. Se vuoi valutare il tuo caso con noi, prenota un colloquio.
Domande frequenti
Un fornitore con server in Europa comporta sempre l'assenza di trasferimenti extra UE?
No. Conta anche da dove il fornitore e i suoi subfornitori possono accedere ai dati e in quale paese ha sede la società che li gestisce. La verifica parte dal contratto e dall'elenco dei soggetti coinvolti, non solo dalla posizione dei server.
Se il fornitore americano aderisce al Data Privacy Framework, il capitolo trasferimenti è chiuso?
Non del tutto. L'adeguatezza copre le organizzazioni che hanno aderito al quadro, ed è una base in vigore ma impugnata davanti alla Corte di giustizia. Due quadri precedenti sono già stati annullati: avere anche le clausole contrattuali tipo permette di cambiare strada senza fermare il servizio.
Il consenso dell'interessato basta per usare un cloud fuori dall'Unione?
Di regola no. L'art. 49 è una deroga per situazioni specifiche, e il consenso richiesto è esplicito e informato sui rischi dovuti alla mancanza di adeguatezza e di garanzie. Non è lo strumento per un flusso ordinario e continuativo.
Che cosa si rischia se manca una base di trasferimento?
La violazione degli artt. 44-49 rientra tra quelle punite con sanzioni amministrative fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore (art. 83, par. 5, lett. c). L'importo in concreto dipende dai criteri dell'art. 83, par. 2.
Fonti
- Regolamento (UE) 2016/679 (GDPR), artt. 4, 13, 28, 30, 44, 45, 46, 49, 83. EUR-Lex.
- Decisione di esecuzione (UE) 2023/1795 della Commissione, del 10 luglio 2023, sul livello di protezione adeguato dei dati personali nel quadro UE-USA per la protezione dei dati. EUR-Lex.
- Decisione di esecuzione (UE) 2021/914 della Commissione, del 4 giugno 2021, sulle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi. EUR-Lex.
- Tribunale dell'Unione europea, sentenza del 3 settembre 2025, causa T-553/23, Latombe c. Commissione. EUR-Lex. Corte di giustizia, sentenze del 6 ottobre 2015, causa C-362/14, e del 16 luglio 2020, causa C-311/18.
- EDPB, linee guida 2/2018 sulle deroghe all'art. 49, linee guida 05/2021 sull'interazione tra l'art. 3 e il capo V, raccomandazioni 01/2020 sulle misure supplementari. Sito dell'EDPB.