Il trasferimento dati verso Paesi terzi. La protezione assicurata dal GDPR “viaggia” con i dati. Le norme di protezione dei dati personali continuano infatti ad applicarsi indipendentemente dal luogo in cui arrivano i dati.
Il trasferimenti di dati personali verso Paesi non appartenenti allo Spazio Economico Europeo (Unione Europea + Norvegia, Liechtenstein, Islanda) o verso un’organizzazione internazionale, sono infatti consentiti a condizione che questi siano riconosciuti “adeguati” a garantire i diritti in materia protezione dei dati secondo il GDPR europeo. In pratica, un Paese terzo deve rispettare lo stato di diritto, i diritti umani, le libertà fondamentali ed avere un’Autorità di controllo indipendente per garantire e controllare il rispetto delle norme in materia di protezione dei dati.
Per il trasferimento dati da un Paese dell’Unione ad uno fuori dei confini europei, il GDPR prevede che via sia una decisione della Commissione europea («decisione di adeguatezza») con la quale venga sancito che un determinato Paese terzo è in grado di offrire un adeguato livello di protezione, e che è quindi possibile trasferire dati, ad esempio, a un’altra società stabilita in quel Paese.
In mancanza di una decisione di adeguatezza, il trasferimento di dati può aver luogo solo se vengono utilizzati specifici strumenti, quali:
- le cosiddette “norme vincolanti d’impresa”
- le “clausole contrattuali tipo” approvate dalla Commissione europea
o vengano offerte precise garanzie, come:
- l’osservanza di un codice di condotta o di un meccanismo di certificazione, unitamente all’ottenimento da parte del destinatario di impegni vincolanti ed esecutivi ad applicare le opportune garanzie per proteggere i dati trasferiti
- la certezza che le persone interessate al trattamento dei propri dati dispongano di diritti esecutivi e mezzi di ricorso efficaci.
ESEMPIO: Sei un’azienda italiana che intende espandere i suoi servizi in Sud America, ad esempio in Argentina, Uruguay o Brasile. Il primo passo consiste nel verificare se i Paesi coinvolti sono soggetti a una decisione di adeguatezza. In questo caso, sia l’Argentina che l’Uruguay sono stati dichiarati adeguati e quindi potrai trasferire i dati personali a queste due nazioni, mentre per i trasferimenti in Brasile, che non beneficia di una decisione di adeguatezza, potrai effettuare il trasferimento di dati solo assicurando adeguate garanzie sopra ricordate
