Modulo 6 di 8 · Circa 15 minuti
Trasferimenti internazionali
Come i dati personali possono lasciare lecitamente lo Spazio economico europeo.
La regola
Il capo V del GDPR consente i trasferimenti al di fuori dello Spazio economico europeo solo se il livello di protezione non è pregiudicato. Il trasferimento comprende l’accesso da remoto da un paese terzo, non solo la copia di file all’estero. Il RPD deve sapere dove vanno i dati, anche tramite i fornitori cloud e di AI e i loro sub-responsabili.
Strumenti di trasferimento
- Decisioni di adeguatezza (articolo 45): la Commissione ha stabilito che un paese o un quadro garantisce una protezione adeguata, ad esempio il quadro UE-USA per la protezione dei dati per le organizzazioni statunitensi certificate (2023).
- Garanzie adeguate (articolo 46): perlopiù le clausole contrattuali tipo della Commissione (2021), con una valutazione d’impatto del trasferimento sulla legislazione e sulle prassi del paese di destinazione e, se necessario, misure supplementari.
- Norme vincolanti d’impresa (articolo 47) per i trasferimenti all’interno di un gruppo, approvate da un’autorità di controllo.
- Deroghe (articolo 49), come il consenso esplicito o la necessità contrattuale, per situazioni specifiche, non per trasferimenti regolari su larga scala.
In pratica
Mappate i trasferimenti nel registro, verificate l’elenco dei sub-responsabili e i luoghi di hosting di ogni fornitore, documentate lo strumento utilizzato e rivedetelo quando cambiano leggi o fornitori. Confrontate le promesse di residenza dei dati con l’accesso dell’assistenza tecnica e la telemetria, che spesso comportano anch’essi trasferimenti.
Punti chiave
- L’accesso da remoto da fuori dello SEE è un trasferimento.
- Prima l’adeguatezza; altrimenti clausole tipo con valutazione d’impatto, o norme vincolanti d’impresa nei gruppi.
- Le deroghe dell’articolo 49 sono per situazioni occasionali e specifiche.
- Sappiate dove ogni fornitore e sub-responsabile tratta i dati.
Verificate la comprensione
Un tecnico dell’assistenza negli Stati Uniti può vedere i vostri dati clienti ospitati nell’UE. È un trasferimento?
Mostra la risposta: Sì. L’accesso da remoto da un paese terzo è un trasferimento e richiede uno strumento di trasferimento.
Potete basarvi sul consenso esplicito dell’articolo 49 per trasferimenti quotidiani di dati retributivi verso un paese senza adeguatezza?
Mostra la risposta: No. Le deroghe riguardano situazioni specifiche, non trasferimenti regolari su larga scala.