GDPR ed esternalizzazione offshore: guida pratica per le aziende

Esternalizzare verso il Marocco, la Tunisia o il Madagascar rimanendo conformi al GDPR: è possibile, ma richiede una preparazione rigorosa. Il regolamento europeo sulla protezione dei dati si applica pienamente ai trattamenti effettuati fuori dall'UE per conto di un titolare del trattamento stabilito in Europa. Ecco i pilastri da verificare prima di firmare un contratto di esternalizzazione.

Il principio è chiaro: delocalizzare il trattamento non dispensa mai dagli obblighi del GDPR. Il titolare del trattamento rimane responsabile dei dati dei propri clienti, ovunque siano trattati. La buona notizia è che, con un partner strutturato, garanzie adeguate e una documentazione accurata, l'esternalizzazione offshore è pienamente compatibile con il regolamento.

1. Il quadro giuridico: decisione di adeguatezza o no?

Il trasferimento di dati personali verso un paese terzo (fuori UE) è possibile solo in due casi, disciplinati dal capitolo V del GDPR (articoli 44-49). Oppure la Commissione europea ha adottato una decisione di adeguatezza che riconosce al paese un livello di protezione essenzialmente equivalente — ad esempio Giappone, Svizzera o Nuova Zelanda. Oppure, in mancanza di essa, il trasferimento deve basarsi su garanzie adeguate.

Il Marocco, la Tunisia e il Madagascar non dispongono di una decisione di adeguatezza. Qualsiasi trasferimento verso queste destinazioni deve quindi fondarsi su clausole contrattuali standard (SCC), norme vincolanti d'impresa (BCR) o, in certi casi, codici di condotta e certificazioni. Per ogni progetto che organizziamo esigiamo le clausole contrattuali standard della Commissione europea (decisione 2021/914), adottate dopo la sentenza Schrems II della Corte di giustizia dell'UE: sono integrate nel contratto con il centro selezionato e completate da un'analisi d'impatto dei trasferimenti (TIA) quando la situazione locale lo richiede.

2. Il contratto di trattamento (articolo 28)

L'articolo 28 del GDPR impone al responsabile del trattamento di trattare i dati personali solo secondo le istruzioni documentate del titolare. In pratica, ciò si traduce in un accordo di trattamento (DPA, Data Processing Agreement) che formalizza: oggetto, durata, natura e finalità del trattamento; il tipo di dati e le categorie di interessati; e gli obblighi di sicurezza, riservatezza e cooperazione con l'autorità di controllo.

Questo contratto deve anche prevedere le condizioni per ricorrere a un eventuale sub-responsabile del trattamento (con autorizzazione preventiva), le modalità di assistenza per rispondere ai diritti degli interessati e la cancellazione o la restituzione dei dati a fine contratto. Senza un articolo 28 correttamente contrattualizzato, il progetto di esternalizzazione è giuridicamente fragile.

3. Sicurezza, pseudonimizzazione e articolo 32

L'articolo 32 del GDPR esige misure tecniche e organizzative adeguate al rischio. In un centro offshore, questo si concreta in diversi controlli complementari. I dati dei clienti transitano su connessioni crittografate (VPN, TLS). Internamente, i dati sono pseudonimizzati il prima possibile: gli agenti vedono un identificativo cliente, non il nome completo. Gli accessi sono controllati per ruolo (RBAC) secondo il principio del minimo privilegio, e ogni consultazione è tracciata in un registro di audit immodificabile.

Sul piano organizzativo, si aggiungono locali ad accesso controllato, divieto di telefoni personali e chiavette USB, una politica di clean desk e una procedura formalizzata di notifica delle violazioni (articolo 33) al titolare del trattamento. La certificazione ISO/IEC 27001 del centro è lo standard di riferimento: garantisce che sia in opera un sistema di gestione della sicurezza delle informazioni, regolarmente auditato.

4. La responsabilità: chi risponde di cosa?

In un progetto di esternalizzazione che organizziamo, Altavista360 agisce in qualità di responsabile del trattamento ai sensi del GDPR, e il centro selezionato come sub-responsabile autorizzato dal cliente. Il cliente rimane il titolare del trattamento e porta la responsabilità principale verso gli interessati e l'autorità di controllo. Questa distinzione deve essere formalizzata nel contratto: il responsabile non decide né le finalità né i mezzi essenziali del trattamento e agisce secondo le istruzioni documentate del cliente.

Questa ripartizione non scarica però il responsabile: deve poter dimostrare la propria conformità (principio di responsabilità, articolo 5 §2), conservare un registro delle attività di trattamento (articolo 30) e cooperare con il titolare. Il monitoraggio operativo di questi obblighi è ciò che separa un partner serio da un fornitore ordinario.

5. I diritti degli interessati

I clienti dei vostri clienti mantengono gli stessi diritti GDPR, indipendentemente dal paese in cui viene effettuato il trattamento: diritto di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (articoli 15-22). Il contratto deve quindi prevedere una procedura per inoltrare e gestire queste richieste entro i termini di legge (in linea di principio un mese), inclusi i dati trattati in Marocco o in Tunisia: il centro offshore è integrato nel flusso di gestione dei diritti, con un referente designato e una scadenza contrattuale di trasmissione. È una delle condizioni che fissiamo prima di qualsiasi avvio.

Settori che richiedono particolare attenzione

Non tutti i settori sono uguali di fronte al GDPR offshore. Due meritano particolare attenzione. La banca e la fintech trattano dati finanziari sensibili e sono soggette a obblighi sovrapposti (GDPR, segreto bancario, PSD2, PCI-DSS) che richiedono salvaguardie rafforzate. La salute e le assicurazioni sanitarie trattano dati sanitari, considerati una categoria speciale di dati (articolo 9 del GDPR) che esige garanzie aggiuntive e, il più delle volte, una valutazione d'impatto (articolo 35).

In questi contesti, è generalmente richiesta una valutazione d'impatto relativa alla protezione dei dati (DPIA/VIP) prima dell'avvio. Documenta i rischi per i diritti e le libertà delle persone e le misure adottate per mitigarli. È un esercizio che possiamo preparare con il DPO del cliente.

Gli audit di conformità

Il nostro metodo prevede, prima di qualsiasi implementazione, l'audit del centro selezionato su una griglia di criteri GDPR: sicurezza fisica e logica, formazione degli agenti, gestione dei diritti di accesso, procedura di notifica delle violazioni, gestione dei diritti degli interessati, periodi di conservazione e registro delle attività di trattamento. Il rapporto di audit viene consegnato al cliente prima dell'avvio, poi questi controlli sono ripetuti periodicamente, poiché la conformità è un processo continuo, non uno stato acquisito. Per il contesto più ampio dell'esternalizzazione in Marocco, il nostro articolo sulla destinazione Marocco dettaglia il quadro normativo e le certificazioni disponibili. E per mettere in sicurezza anche i vostri processi amministrativi, consultate la nostra guida sull'esternalizzazione del back-office.