Usare un servizio cloud americano, un fornitore con server all’estero o una piattaforma di un gruppo internazionale significa, quasi sempre, trasferire dati personali fuori dall’Unione europea. Il GDPR non lo vieta, ma lo subordina a condizioni precise, pensate per evitare che le tutele europee si perdano una volta varcato il confine. Vediamo le strade percorribili.
La regola di fondo
L’articolo 44 del GDPR fissa il principio: un trasferimento verso un Paese terzo è ammesso solo se rispetta le condizioni del Capo V del Regolamento. L’obiettivo è chiaro: il livello di protezione garantito in Europa deve seguire i dati ovunque vadano, per non essere aggirato.
Le decisioni di adeguatezza
La via più semplice è quella dei Paesi adeguati (art. 45): la Commissione europea può riconoscere, con una decisione di adeguatezza, che un Paese terzo offre un livello di protezione sostanzialmente equivalente a quello europeo. In tal caso il trasferimento non richiede ulteriori garanzie. L’elenco evolve nel tempo: nel 2026 è arrivata l’adeguatezza per il Brasile (decisione di esecuzione (UE) 2026/179) ed è stata rinnovata quella per il Regno Unito, ora valida fino al 27 dicembre 2031.
Tra i meccanismi rilevanti vi è, per le imprese statunitensi che vi aderiscono, l’EU-US Data Privacy Framework. Il quadro è valido ma impugnato: il Tribunale dell’Unione europea ha respinto il ricorso Latombe (causa T-553/23, sentenza del 3 settembre 2025) e pende l’appello davanti alla Corte di giustizia (causa C-703/25 P). Dopo la sorte di Safe Harbor e Privacy Shield, è prudente prevedere clausole contrattuali standard di riserva nei rapporti con i fornitori statunitensi certificati.
Le garanzie adeguate
In assenza di adeguatezza, il trasferimento è possibile se il titolare fornisce garanzie adeguate (art. 46). Gli strumenti più diffusi sono le clausole contrattuali tipo (SCC) adottate dalla Commissione, che vincolano contrattualmente l’importatore dei dati, e le norme vincolanti d’impresa (BCR), per i trasferimenti all’interno di gruppi multinazionali. Vi rientrano anche codici di condotta e certificazioni approvati.
Le deroghe per situazioni specifiche
In via residuale, l’articolo 49 ammette il trasferimento in alcune situazioni specifiche, anche senza adeguatezza o garanzie: il consenso esplicito e informato dell’interessato, la necessità per l’esecuzione di un contratto, importanti motivi di interesse pubblico, e altre. Sono eccezioni di stretta interpretazione, non una scorciatoia per i trasferimenti ordinari e sistematici.
La valutazione del contesto
Dopo la nota giurisprudenza europea sui trasferimenti verso gli Stati Uniti, l’uso delle SCC va accompagnato da una valutazione del quadro giuridico del Paese di destinazione (in particolare l’accesso delle autorità ai dati) e, se necessario, dall’adozione di misure supplementari (ad esempio la cifratura). Non basta firmare le clausole: occorre verificarne l’effettività.
Attenzione ai fornitori cloud
Molti servizi di uso quotidiano comportano trasferimenti extra-UE. Conviene mappare i fornitori, individuare lo strumento di trasferimento utilizzato e formalizzarlo, in coordinamento con la nomina a responsabile del trattamento (DPA).
Cosa dice la giurisprudenza
Il riferimento obbligato è la sentenza «Schrems II» della Corte di giustizia (Grande Sezione, 16 luglio 2020, causa C-311/18). La Corte ha invalidato la decisione di adeguatezza del Privacy Shield UE-USA, ritenendo che la normativa statunitense sulla sorveglianza non offrisse garanzie sostanzialmente equivalenti a quelle della Carta dei diritti fondamentali. Ha invece confermato la validità delle clausole contrattuali tipo (SCC), ma a una condizione decisiva: l’esportatore deve verificare caso per caso il livello di tutela nel Paese di destinazione e, se insufficiente, adottare misure supplementari (come la cifratura), pena la sospensione del trasferimento. È da questa pronuncia che discende l’obbligo di accompagnare le SCC con una valutazione del contesto: firmarle non basta, occorre dimostrarne l’effettività.
Domande frequenti
Posso usare un servizio cloud con server negli USA? Sì, ma a condizioni: adeguatezza (ad esempio adesione del fornitore al Data Privacy Framework, valido ma oggi impugnato davanti ai giudici dell’UE) o garanzie adeguate come le SCC, con valutazione del contesto.
Cosa sono le SCC? Le clausole contrattuali tipo adottate dalla Commissione: vincolano l’importatore dei dati a garantire un livello di protezione adeguato.
Il consenso basta per trasferire i dati all’estero? Solo come deroga, in situazioni specifiche e con consenso esplicito e informato: non è la base dei trasferimenti ordinari e ripetuti.
Mappare i flussi internazionali e scegliere lo strumento corretto è uno dei punti più tecnici della conformità. Offriamo supporto nella consulenza in materia di privacy e GDPR.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.