Un documento incollato in un assistente attraversa quasi sempre l’Atlantico, perché quasi tutti i modelli grandi stanno lì. Il capo V del GDPRsi apre in una scheda nuova è la parte che si occupa di questo, e la sua struttura è più semplice di quanto sembri: prima si stabilisce se c’è un trasferimento, poi si trova lo strumento che lo regge.
Quando c’è un trasferimento
C’è quando i dati vengono messi a disposizione di un soggetto che sta in un Paese terzo, e non dipende da dove il dato «finisce» in senso fisico. Un fornitore europeo che si appoggia a un modello americano produce un trasferimento anche se la sua fattura arriva da Dublino.
È il motivo per cui la domanda utile al fornitore non è «dove sono i vostri server», ma «chi sono i vostri sub-responsabili, con il nome, e dove stanno». La prima ha sempre una risposta rassicurante; la seconda ha una risposta vera.
I tre strumenti, in ordine di solidità
Il primo è la decisione di adeguatezza dell’articolo 45: la Commissione stabilisce che un Paese o un quadro offre un livello di protezione adeguato, e il trasferimento non richiede altro. Per gli Stati Uniti esiste dal 2023 il Data Privacy Frameworksi apre in una scheda nuova, esteso allo Spazio economico europeo nel 2024, e copre le società americane che vi hanno aderito e che compaiono nell’elenco pubblico. Chi non è in quell’elenco non è coperto, e l’elenco si controlla.
Il secondo sono le clausole contrattuali tipo dell’articolo 46: un contratto approvato dalla Commissione che vincola l’importatore a garanzie equivalenti. Non bastano da sole: vanno accompagnate da una valutazione dell’impatto del trasferimento, che guarda il diritto del Paese di destinazione e, se serve, aggiunge misure supplementari.
Il terzo sono le deroghe dell’articolo 49: consenso esplicito, necessità contrattuale, accertamento o esercizio di un diritto in sede giudiziaria. Sono pensate per casi occasionali e non reggono un uso quotidiano, che è esattamente l’uso che uno studio fa di un assistente.
La valutazione dell’impatto del trasferimento, in una pagina
La sigla che si legge nei contratti è TIA, e spaventa più di quanto costi: nella forma raccomandata dal Comitato europeo sono sei passaggi, e per uno studio professionale stanno in una pagina. Vale la pena averla scritta una volta, perché serve identica per ogni fornitore che arriva dopo.
Uno. Mappare il trasferimento: che dati escono, di chi, verso quale società e verso quale Paese, e attraverso quali sub-responsabili. Due. Indicare lo strumento su cui si regge: adeguatezza, clausole tipo, deroga. Tre. Valutare se il diritto del Paese di destinazione permette a quello strumento di funzionare davvero, guardando in particolare i poteri di accesso delle autorità pubbliche. Quattro. Se qualcosa non torna, aggiungere misure supplementari: cifratura con chiavi che restano in Europa, minimizzazione, pseudonimizzazione a monte. Cinque. Verificare che quelle misure siano compatibili con come il servizio funziona: una cifratura che il fornitore deve poter sciogliere per elaborare il testo non è una misura supplementare. Sei. Rivedere a intervalli, perché il diritto del Paese di destinazione cambia senza avvisare.
Il quarto passaggio è quello dove una scelta tecnica fatta prima si trasforma in una riga di conformità: se il testo che parte contiene già segnaposto al posto dei valori identificativi, il rischio che i passaggi tre e cinque devono pesare è di un ordine di grandezza più piccolo. Non è una scorciatoia (la valutazione va fatta comunque), ma è la differenza fra una valutazione che si chiude e una che resta aperta.
«I server sono in Europa» non è la risposta
È la frase che chiude più conversazioni di qualunque altra, ed è quella che va aperta. «Regione europea» descrive dove i dati riposano; il capo V si occupa di chi vi accede. Un servizio ospitato a Francoforte la cui assistenza di secondo livello sta in California, o il cui monitoraggio è gestito dalla casa madre, produce un trasferimento tutte le volte che quell’accesso è possibile, non solo quando avviene.
Esistono però fornitori per cui la risposta è davvero europea, ed è un mercato che negli ultimi anni si è fatto reale: modelli addestrati e ospitati nell’Unione, e modelli aperti che si possono far girare su una macchina propria. Il secondo caso è quello che chiude la domanda invece di rispondere: un modello che gira sul computer di chi lavora non trasferisce niente a nessuno, perché non c’è nessun destinatario. Il costo si sposta altrove (capacità della macchina, aggiornamenti, qualità del modello rispetto ai più grandi), ed è un conto diverso, non un conto assente. Le due strade a confronto stanno nel loro articolo.
Perché conviene non appoggiarsi solo al primo
Le decisioni di adeguatezza verso gli Stati Uniti hanno una storia: due quadri precedenti sono stati annullati dalla Corte di giustizia. Il Data Privacy Framework è in vigore, e allo stesso tempo è contestato: una decisione della Corte suprema americana sull’indipendenza della Federal Trade Commission ha sollevato dubbi su uno dei presupposti su cui la valutazione di adeguatezza si regge.
Non è una previsione, è una ragione pratica per non costruire un intero impianto su un solo strumento. Chi ha anche le clausole contrattuali tipo e una valutazione scritta non deve rifare niente il giorno in cui qualcosa cambia.
La strada che toglie la domanda
Tutto questo capitolo si applica ai dati personali. Un testo in cui i dati identificativi sono stati sostituiti prima di partire riduce enormemente la superficie del problema, e questo è il punto in cui la distinzione fra pseudonimizzazione e anonimizzazione va tenuta ferma: il dato pseudonimizzato resta un dato personale, quindi la disciplina del trasferimento non sparisce.
C’è però un passaggio che la Corte di giustizia ha reso più chiaro, e riguarda proprio questo. Nella sentenza del 4 settembre 2025 sulla causa C-413/23 Psi apre in una scheda nuova la Corte ha detto che la qualità di dato personale va valutata anche dal punto di vista del destinatario: se chi riceve non ha mezzi ragionevolmente utilizzabili per risalire alle persone, per lui quel materiale può non essere un dato personale. Applicata a un trasferimento, è la differenza fra spedire un fascicolo e spedire un testo di cui solo voi avete la chiave.
Quello che cambia, e cambia molto, è quindi che cosa si trasferisce: non più un atto con dentro nomi, codici fiscali e IBAN, ma un testo in cui quei valori sono segnaposto e la corrispondenza è rimasta cifrata sul computer di chi lavora, dove nessun fornitore la può leggere. La differenza fra le parole sta nell’articolo sul parere dell’EDPB; la scelta fra locale e cloud, che è quella che decide, sta nell’altro.