Punti chiave
La decisione di adeguatezza dell'EU-US Data Privacy Framework (DPF), adottata a luglio 2023, è esposta nel 2026 a rischi politici, giuridici e operativi convergenti. L'Executive Order 14086 sostiene il quadro, ma è vulnerabile ai cambiamenti della politica statunitense. Le contestazioni giuridiche Schrems III potrebbero innescare una terza invalidazione dopo Safe Harbor e Privacy Shield. I team privacy che gestiscono trasferimenti transfrontalieri multi-entità hanno bisogno di meccanismi alternativi, registri dei trattamenti centralizzati e ricertificazione automatizzata per mantenere la prontezza alla conformità indipendentemente dal destino del DPF.
Definizioni
Che cos'è l'EU-US Data Privacy Framework (DPF)?
L'EU-US Data Privacy Framework è un quadro di adeguatezza adottato dalla Commissione europea il 10 luglio 2023 ai sensi dell'articolo 45 del GDPR. Consente il trasferimento di dati personali dall'UE verso organizzazioni statunitensi certificate senza richiedere ulteriori garanzie di trasferimento come le clausole contrattuali tipo. Il quadro ha sostituito l'invalidato EU-US Privacy Shield. Fonte: Commissione europea, Trasferimenti di dati UE-USA
Che cos'è una decisione di adeguatezza ai sensi del GDPR?
Una decisione di adeguatezza è una determinazione della Commissione europea, ai sensi dell'articolo 45 del GDPR, secondo cui un Paese terzo garantisce un livello adeguato di protezione dei dati sostanzialmente equivalente a quello garantito all'interno dell'UE. Le decisioni di adeguatezza consentono ai dati personali di circolare liberamente verso il Paese terzo senza ulteriori garanzie.
Che cos'è l'Executive Order 14086?
L'Executive Order 14086, firmato il 7 ottobre 2022, ha introdotto garanzie rafforzate per le attività di intelligence dei segnali statunitensi e ha istituito il Data Protection Review Court (DPRC) come meccanismo di ricorso per i cittadini dell'UE. La Commissione europea ha citato queste tutele come base della decisione di adeguatezza del DPF. Fonte: EDPB, Nota informativa sui trasferimenti di dati UE-USA
Che cosa sono le clausole contrattuali tipo (SCC)?
Le clausole contrattuali tipo sono condizioni contrattuali pre-approvate adottate dalla Commissione europea ai sensi dell'articolo 46, paragrafo 2, lettera c) del GDPR che forniscono garanzie adeguate per i trasferimenti internazionali di dati. Le SCC fungono da principale meccanismo di trasferimento alternativo quando non è in vigore alcuna decisione di adeguatezza.
Che cos'è una valutazione d'impatto sul trasferimento (TIA)?
Una valutazione d'impatto sul trasferimento è una valutazione richiesta dalla sentenza Schrems II della CGUE (causa C-311/18) per determinare se il quadro giuridico del Paese destinatario fornisce una protezione sostanzialmente equivalente a quella dell'UE. Le TIA devono essere condotte per ogni trasferimento basato su SCC o su altri meccanismi di cui all'articolo 46. Fonte: Raccomandazioni EDPB 01/2020
Domande frequenti
Qual è lo stato attuale dell'EU-US Data Privacy Framework nel 2026?
La decisione di adeguatezza del DPF adottata a luglio 2023 resta in vigore, ma affronta il suo periodo di riesame più decisivo. Tre vettori di rischio stanno convergendo: rischio politico da possibili modifiche all'Executive Order 14086, rischio giuridico dalle attese contestazioni Schrems III da parte di organizzazioni come noyb, e rischio operativo dal meccanismo di riesame annuale integrato nel quadro. Il riesame periodico della Commissione europea valuta se gli USA continuano a garantire una protezione adeguata ai sensi dell'articolo 45 del GDPR.
Che cos'è Schrems III e potrebbe invalidare il DPF?
Schrems III si riferisce alle attese contestazioni giuridiche secondo cui l'Executive Order 14086 non soddisfa lo standard di "equivalenza sostanziale" della CGUE stabilito in Schrems II (causa C-311/18). La CGUE ha già invalidato il Safe Harbor nel 2015 (Schrems I, causa C-362/14) e il Privacy Shield nel 2020 (Schrems II). Secondo l'IAPP, organizzazioni di tutela della privacy come noyb hanno pubblicamente manifestato l'intenzione di contestare il DPF dinanzi alla CGUE.
Cosa dovrebbero fare i team privacy per prepararsi a una possibile invalidazione del DPF?
I team privacy dovrebbero: (1) mantenere registri delle attività di trattamento (ROPA) aggiornati che coprano tutti i flussi di dati transfrontalieri; (2) implementare clausole contrattuali tipo con valutazioni d'impatto sul trasferimento come meccanismi alternativi; (3) automatizzare i flussi di ricertificazione per consentire aggiornamenti rapidi su tutte le entità; e (4) centralizzare la documentazione in modo che i meccanismi di trasferimento possano essere aggiornati da un'unica fonte di verità. Le Raccomandazioni EDPB 01/2020 forniscono indicazioni dettagliate sulle misure supplementari per i trasferimenti internazionali.
Quante valutazioni di trasferimento potrebbe affrontare un'organizzazione mid-market in caso di invalidazione del DPF?
Un'organizzazione mid-market con 15 entità e oltre 200 trattamenti potrebbe affrontare più di 500 valutazioni di trasferimento individuali, secondo stime basate sul lavoro di Priverion con team privacy multi-entità. Ogni trattamento che coinvolge un responsabile o sub-responsabile con sede negli USA richiederebbe una valutazione d'impatto sul trasferimento separata secondo le indicazioni dell'EDPB.
Che cos'è il meccanismo di riesame annuale del DPF?
Ai sensi dell'articolo 45, paragrafo 3 del GDPR, la Commissione europea deve riesaminare periodicamente le decisioni di adeguatezza. Il DPF include un meccanismo di riesame annuale con cui la Commissione valuta se gli USA continuano a garantire una protezione adeguata. Ogni ciclo di riesame crea incertezza operativa per le organizzazioni che si affidano alla decisione di adeguatezza, poiché la Commissione potrebbe sospendere, modificare o revocare la decisione in qualsiasi momento.
Cosa è successo a Safe Harbor e Privacy Shield?
Il Safe Harbor è stato invalidato dalla CGUE nell'ottobre 2015 in Schrems I (causa C-362/14), che ha rilevato come i programmi di sorveglianza di massa statunitensi non fornissero una protezione adeguata. Il Privacy Shield è stato invalidato a luglio 2020 in Schrems II (causa C-311/18), che ha rilevato come le leggi statunitensi sulla sorveglianza, in particolare la Sezione 702 del FISA, fossero incompatibili con i diritti fondamentali dell'UE. Entrambe le sentenze sono disponibili su EUR-Lex.
Statistiche e fonti
Secondo l'IAPP, la professione globale della privacy è cresciuta fino a superare i 500'000 professionisti, a riflesso della crescente complessità della conformità ai trasferimenti transfrontalieri di dati. Le Raccomandazioni EDPB 01/2020 delineano un processo in sei fasi per valutare e integrare i meccanismi di trasferimento, un processo che deve essere ripetuto per ciascun flusso di dati quando una decisione di adeguatezza viene invalidata. Due precedenti quadri di adeguatezza UE-USA sono stati invalidati dalla CGUE: Safe Harbor nel 2015 e Privacy Shield nel 2020. Secondo la Commissione europea, oltre 5'300 organizzazioni statunitensi erano certificate ai sensi del DPF nel 2024. Il meccanismo di riesame annuale del DPF ai sensi dell'articolo 45, paragrafo 3 del GDPR significa che lo stato di adeguatezza non è mai permanente: richiede monitoraggio continuo e prontezza operativa.
Confronto: meccanismi di trasferimento UE-USA
| Meccanismo | Base giuridica | Stato (2026) | Rischio principale | Meccanismo alternativo richiesto? |
|---|
| EU-US Data Privacy Framework (DPF) | Decisione di adeguatezza ex articolo 45 GDPR | Attivo, in fase di riesame | Contestazione Schrems III; dietrofront dell'EO 14086 | Sì, consigliate SCC + TIA |
| Clausole contrattuali tipo (SCC) | Articolo 46, paragrafo 2, lettera c) GDPR | Attive | Richiedono una valutazione d'impatto sul trasferimento per ciascun flusso | Possono essere necessarie misure supplementari |
| Norme vincolanti d'impresa (BCR) | Articolo 47 GDPR | Attive | Processo di approvazione di 18-24 mesi | Possono essere necessarie misure supplementari |
| Deroghe (art. 49) | Articolo 49 GDPR | Attive (ambito limitato) | Non adatte a trasferimenti sistematici/ripetuti | N/D, solo caso per caso |
