Valutazione d’impatto del trasferimento dati: ecco le regole operative della CNIL

una guida pratica volta ad assistere tutte le organizzazioni che trasferiscono dati personali al di fuori dello Spazio Economico Europeo (SEE): è lo scopo delle linee guida sulla valutazione dell’impatto del trasferimento (TIA) che l’Autorità Garante per la protezione dei dati francese, meglio nota come CNIL, ha elaborato anche grazie ai contributi pervenuti a seguito della consultazione pubblica aperta lo scorso gennaio 2025.

Analizziamone insieme i punti cardine.

Valutazione d’impatto del trasferimento dati: le nuove regole

La questione dei trasferimenti di dati extra UE è un tema caldo che interessa molto titolari e responsabili del trattamento a prescindere dallo status e dalle dimensioni delle loro organizzazioni.

Di qui, la CNIL a gennaio 2025 aveva indetto una consultazione pubblica al fine di capire come poter aiutare le realtà che trasferiscono i dati all’estero per farlo in modo corretto e coerente con la normativa di settore (GDPR).

Pari livello di protezione del GDPR per il trasferimento dei dati

Il primo aspetto fondamentale è la necessità di garantire un livello di protezione dei dati in caso di trasferimento dei dati pari a quello che il GDPR impone.

Lo stesso Regolamento stabilisce infatti che, in caso di trasferimento, i dati devono continuare a godere di una protezione sostanzialmente equivalente a quella offerta dal GDPR.

D’altronde, la nota sentenza Schrems 2 della Corte di Giustizia dell’Unione Europea (CGUE) ha evidenziato la responsabilità degli esportatori di dati al di fuori dello SEE e degli importatori nel Paese di destinazione, dovendo entrambi garantire che il trattamento sia effettuato e continui a essere effettuato nel rispetto del livello di protezione stabilito dalla normativa di settore.

Non solo, secondo la CGUE gli esportatori hanno anche la responsabilità/dovere di sospendere il trasferimento e/o risolvere il contratto qualora l’importatore non sia in grado, o non lo sia più, di rispettare i propri impegni in materia di protezione dei dati personali.

Contributi ricevuti e modifiche apportate

Nell’aprire alla consultazione pubblica la CNIL ha sottoposto la sua guida sulla TIA a quanti volessero apportare un contributo.

Così ha ricevuto oltre una trentina di contributi, provenienti per lo più dai professionisti del settore (DPO, avvocati, consulenti, responsabili di reti professionali ecc.), rappresentando realtà di un po’ tutte le dimensioni (gruppi francesi e internazionali, piccole e medie imprese, reti professionali/federazioni di imprese ecc.) provenienti da diversi settori (dal bancario/finanziario, all’assicurativo, ai trasporti, industria, digitale/informatico, cosmetico/sanitario, enti locali e regionali ecc.).

Grazie ai contributi di tutti, la CNIL ha potuto elaborare la versione definitiva della guida, apportando una serie di precisazioni nel contenuto, consolidando o adattando alcune analisi/riflessioni sul tema in perfetta linea con le raccomandazione del Board (EDPB) sul punto.

Per una sintesi dei contributi vedi qui.

Valutazione d’impatto del trasferimento dati: perché serve una guida

Vista la delicatezza e complessità del tema in parola, è chiaro ed evidente che avere una guida – né obbligatoria né vincolante, ma suggerita – la quale illustri passo dopo passo i passaggi per l’esecuzione di una valutazione di impatto sul trasferimento dei dati extra UE – VIA/TIA è essenziale.

Si tratta, infatti, di una metodologia che fornisce indicazioni su come condurre l’analisi seguendo l’iter indicato nelle raccomandazioni dell’EDPB al riguardo, senza tuttavia costituire una valutazione né del diritto e delle prassi nei Paesi terzi.

Perché compiere una TIA: le principali domande

Detto questo, le principali domande che un titolare/responsabile del trattamento prima di compiere una TIA dovrebbero essere le seguenti

La valutazione di impatto sul trasferimento: 6 passaggi per realizzarla

Gli esportatori/titolari-responsabili che trattano dati da trasferire all’estero hanno l’obbligo di valutare il livello di protezione nei Paesi terzi di destinazione e la necessità di ulteriori garanzie (art. 46 GDPR). In tale onere si sostanzia la valutazione d’impatto comunemente definita “Valutazione dell’impatto del trasferimento” (TIA).

Una TIA deve essere effettuata ogniqualvolta debbano essere trasferiti i dati in un Paese extra UE e a garanzia di ciò occorrono ad esempio, clausole contrattuali standard, norme vincolanti d’impresa, se non ci sono decisioni di adeguatezza.

L’obiettivo di una TIA è “valutare se l’importatore sarà in grado di rispettare i propri obblighi ai sensi dello strumento scelto, tenendo conto della legislazione e delle prassi del Paese terzo di destinazione, in particolare per quanto riguarda il potenziale accesso ai dati personali da parte delle Autorità del Paese terzo, e documentare tale valutazione” come si legge nel comunicato.

Per quanto riguarda infine la implementazione di una TIA, la guida in parola prevede sei passaggi e in particolare:

• conoscere il trasferimento;
• identificare lo strumento di trasferimento utilizzato;
• valutare la legislazione e le pratiche del Paese di destinazione dei dati e l’efficacia dello strumento di trasferimento;
• identificare e adottare eventuali misure aggiuntive ove necessario;
• attuare le misure supplementari e gli adempimenti procedurali necessari;
• rivalutare il livello di protezione a intervalli appropriati e monitorare i potenziali sviluppi che potrebbero influenzarlo.

Per ulteriori si rimanda direttamente alla Guida.

TIA: cosa devono sapere le aziende

In caso di valutazione d’impatto del trasferimento dati, l’approccio corretto secondo le linee guida della CNIL, quindi è dato da una serie di accorgimenti che le aziende devono tenere in debita considerazione, e in particolare:

• devono fare un’attenta analisi delle norme del paese ricevente;
• intessere una maggiore cooperazione tra esportatore e importatore dei dati;
• considerare l’impatto del caso Schrems 2 sul trasferimento di dati personali;
• mantenere un livello di protezione dati equivalente a quello UE;
• seguire un approccio olistico e dinamico al trasferimento dei dati.

Solo così le Organizzazioni coinvolte in questa pratica non saranno (più) esposte a sanzioni GDPR e conseguentemente non (più) minate nella loro accountability.