GDPR ed esternalizzazione offshore: guida pratica per le aziende

Esternalizzare verso il Marocco, la Tunisia o il Madagascar rimanendo conformi al GDPR: è possibile, ma richiede una preparazione rigorosa. Il regolamento europeo sulla protezione dei dati si applica pienamente ai trattamenti effettuati fuori dall'UE per conto di un titolare del trattamento stabilito in Europa. Ecco i pilastri da verificare prima di firmare un contratto di esternalizzazione.

Il principio è chiaro: delocalizzare il trattamento non dispensa mai dagli obblighi del GDPR. Il titolare del trattamento rimane responsabile dei dati dei propri clienti, ovunque siano trattati. La buona notizia è che, con un partner strutturato, garanzie adeguate e una documentazione accurata, l'esternalizzazione offshore è pienamente compatibile con il regolamento.

1. Il quadro giuridico: decisione di adeguatezza o no?

Il trasferimento di dati personali verso un paese terzo (fuori UE) è possibile solo in due casi, disciplinati dal capitolo V del GDPR (articoli 44-49). Oppure la Commissione europea ha adottato una decisione di adeguatezza che riconosce al paese un livello di protezione essenzialmente equivalente — ad esempio Giappone, Svizzera o Nuova Zelanda. Oppure, in mancanza di essa, il trasferimento deve basarsi su garanzie adeguate.

Il Marocco, la Tunisia e il Madagascar non dispongono di una decisione di adeguatezza. Qualsiasi trasferimento verso queste destinazioni deve quindi fondarsi su clausole contrattuali standard (SCC), norme vincolanti d'impresa (BCR) o, in certi casi, codici di condotta e certificazioni. Presso Altavista360 utilizziamo le clausole contrattuali standard della Commissione europea (SCC 2021), aggiornate dopo la sentenza Schrems IIdella Corte di giustizia dell'UE. Queste clausole sono integrate in ogni contratto di servizio e integrate da un'analisi d'impatto dei trasferimenti (TIA) quando la situazione locale lo richiede.

2. Il contratto di trattamento (articolo 28)

L'articolo 28 del GDPR impone all'incaricato del trattamento di trattare i dati personali solo secondo le istruzioni documentate del titolare. In pratica, ciò si traduce in un accordo di trattamento (DPA, Data Processing Agreement) che formalizza: oggetto, durata, natura e finalità del trattamento; il tipo di dati e le categorie di interessati; e gli obblighi di sicurezza, riservatezza e cooperazione con l'autorità di controllo.

Questo contratto deve anche prevedere le condizioni per ricorrere a un eventual sub-incaricato (con autorizzazione preventiva), le modalità di assistenza per rispondere ai diritti degli interessati e la cancellazione o la restituzione dei dati a fine contratto. Senza un articolo 28 correttamente contrattualizzato, il progetto di esternalizzazione è giuridicamente fragile.

3. Sicurezza, pseudonimizzazione e articolo 32

L'articolo 32 del GDPR esige misure tecniche e organizzative adeguate al rischio. In un centro offshore, questo si concreta in diversi controlli complementari. I dati dei clienti transitano su connessioni crittografate (VPN, TLS). Internamente, i dati sono pseudonimizzati il prima possibile: gli agenti vedono un identificativo cliente, non il nome completo. Gli accessi sono controllati per ruolo (RBAC) secondo il principio del minimo privilegio, e ogni consultazione è tracciata in un registro di audit immodificabile.

Sul piano organizzativo, si aggiungono locali ad accesso controllato, divieto di telefoni personali e chiavette USB, una politica di clean desk e una procedura formalizzata di notifica delle violazioni (articolo 33) al titolare del trattamento. La certificazione ISO/IEC 27001 del centro è lo standard di riferimento: garantisce che sia in opera un sistema di gestione della sicurezza delle informazioni, regolarmente auditato.

4. La responsabilità: chi risponde di cosa?

Nel contesto dell'esternalizzazione, Altavista360 agisce in qualità di responsabile del trattamento ai sensi del GDPR. Il cliente rimane il titolare del trattamentoe porta la responsabilità principale verso gli interessati e l'autorità di controllo. Questa distinzione è chiaramente formalizzata nel contratto: non prendiamo alcuna decisione sulle finalità e sui mezzi del trattamento, eseguiamo secondo le istruzioni documentate del cliente.

Questa ripartizione non scarica però il responsabile: deve poter dimostrare la propria conformità (principio di responsabilità, articolo 5 §2), conservare un registro delle attività di trattamento (articolo 30) e cooperare con il titolare. Il monitoraggio operativo di questi obblighi è ciò che separa un partner serio da un fornitore ordinario.

5. I diritti degli interessati

I clienti dei vostri clienti mantengono gli stessi diritti GDPR, indipendentemente dal paese in cui viene effettuato il trattamento: diritto di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (articoli 15-22). Abbiamo quindi predisposto procedure per inoltrare e gestire queste richieste entro i termini di legge (in linea di principio un mese), inclusi i dati ospitati in Marocco o in Tunisia. Il centro offshore è integrato nel flusso di gestione dei diritti, con un referente designato e una scadenza contrattuale di trasmissione.

Settori che richiedono particolare attenzione

Non tutti i settori sono uguali di fronte al GDPR offshore. Due meritano particolare attenzione. La banca e la fintech trattano dati finanziari sensibili e sono soggette a obblighi sovrapposti (GDPR, segreto bancario, PSD2, PCI-DSS) che richiedono salvaguardie rafforzate. La salute e le assicurazioni sanitarietrattano dati sanitari, considerati una categoria speciale di dati (articolo 9 del GDPR) che esige garanzie aggiuntive e, il più delle volte, una valutazione d'impatto (articolo 35).

In questi contesti, è generalmente richiesta una valutazione d'impatto relativa alla protezione dei dati(DPIA/VIP) prima dell'avvio. Documenta i rischi per i diritti e le libertà delle persone e le misure adottate per mitigarli. È un esercizio che conduciamo volentieri in collaborazione con il DPO del cliente.

Gli audit di conformità

Prima di qualsiasi implementazione, effettuiamo un audit del centro partner su una griglia di criteri GDPR: sicurezza fisica e logica, formazione degli agenti, gestione dei diritti di accesso, procedura di notifica delle violazioni, gestione dei diritti degli interessati, periodi di conservazione e registro delle attività di trattamento. Un rapporto di audit viene consegnato al cliente. Questi controlli sono poi ripetuti periodicamente, poiché la conformità è un processo continuo, non uno stato acquisito. Per il contesto più ampio dell'esternalizzazione in Marocco, il nostro articolo sulla destinazione Maroccodettaglia il quadro normativo e le certificazioni disponibili. E per mettere in sicurezza anche i vostri processi amministrativi, consultate la nostra guida sull'esternalizzazione del back-office.