Usare un fornitore di moduli statunitense ai sensi del GDPR

Gli articoli da 44 a 49 del GDPR disciplinano i trasferimenti di dati personali verso paesi al di fuori dell'UE e dello SEE. Un trasferimento richiede una di tre condizioni: una decisione di adeguatezza per il paese di destinazione (articolo 45), garanzie adeguate come le clausole contrattuali standard (articolo 46) oppure, per casi occasionali, una delle deroghe previste dall'articolo 49.

Per un modulo, il fornitore che riceve e conserva gli invii è il primo punto da considerare. Non è l'unico. La email di notifica può finire in una casella ospitata all'estero, e un webhook o uno strumento di automazione può inoltrare gli stessi dati. Ciascuno di questi è una questione a sé.

Il 16 luglio 2020 la Corte di giustizia ha deciso la causa Data Protection Commissioner contro Facebook Ireland e Schrems (C-311/18). Ha annullato il Privacy Shield UE-USA, stabilendo che la normativa statunitense in materia di sorveglianza e i rimedi disponibili ai cittadini europei non rispettavano lo standard UE.

La Corte ha mantenuto valide le clausole contrattuali standard, con una condizione: l'esportatore deve verificare caso per caso se la legge del paese di destinazione consente all'importatore di mantenere i propri impegni, e adottare misure supplementari quando non lo consente. Il Comitato europeo per la protezione dei dati ha descritto come farlo nelle sue Raccomandazioni 01/2020 sulle misure supplementari, adottate in forma definitiva il 18 giugno 2021.

Il 10 luglio 2023 la Commissione ha adottato la Decisione di esecuzione (UE) 2023/1795, che riconosce che gli Stati Uniti garantiscono un livello adeguato di protezione dei dati inviati alle aziende certificate ai sensi dell'EU-US Data Privacy Framework. Si basa sull'ordine esecutivo statunitense 14086, che ha introdotto limiti alle attività di signals intelligence e una via di ricorso tramite una Data Protection Review Court.

Per chi gestisce un modulo, questo significa: se il fornitore statunitense è certificato, e la certificazione copre il tipo di dati che invii, il trasferimento non richiede altri strumenti. Puoi verificare un'azienda nell’elenco ufficiale del Data Privacy Framework. Un fornitore che non vi compare ha bisogno di un'altra base giuridica, di solito le clausole contrattuali standard.

Il framework è stato contestato. Il Tribunale dell'Unione europea ha respinto il ricorso nella causa Latombe contro Commissione (T-553/23) il 3 settembre 2025, e il ricorrente ha impugnato la decisione dinanzi alla Corte di giustizia come causa C-703/25 P. Due precedenti accordi, Safe Harbor e Privacy Shield, sono stati annullati da quella Corte, quindi molte organizzazioni mantengono nei propri contratti una soluzione di riserva nel caso in cui anche il framework dovesse cadere.

Le clausole attuali sono state adottate con la Decisione di esecuzione (UE) 2021/914 della Commissione del 4 giugno 2021. Sono suddivise in moduli per i diversi rapporti; per un servizio di moduli che agisce per tuo conto, quello abituale è da titolare a responsabile del trattamento. Usarle significa effettuare una valutazione d'impatto del trasferimento e registrarne l'esito, un lavoro concreto per un sito di piccole dimensioni. È uno dei motivi per cui il Data Privacy Framework è popolare tra i fornitori statunitensi che vi hanno aderito.

Queste domande valgono allo stesso modo per i fornitori statunitensi ed europei, e un buon fornitore le risponde nei documenti pubblici:

1. Dove vengono conservati gli invii, i file caricati e i backup?
2. Quali sub-responsabili trattano i dati degli invii, e in quali paesi si trovano?
3. Per ogni trasferimento al di fuori dell'UE, quale strumento si applica: decisione di adeguatezza, certificazione DPF o SCC?
4. Il DPA è pubblicato o disponibile prima dell'iscrizione, e include l'elenco dei sub-responsabili?
5. Il personale al di fuori dell'UE può accedere ai dati per l'assistenza, e con quali controlli?
6. L'email di notifica contiene l'invio completo, e puoi disattivarlo?
7. Come gestisce il fornitore una richiesta di dati da parte di un'autorità straniera?

Le nostre pagine di confronto raccolgono ciò che diversi fornitori dichiarano pubblicamente sulla localizzazione dei dati. Controlla anche i loro documenti aggiornati, perché le politiche cambiano.

Formward è gestito da un'azienda svedese. L'app, il database e i file caricati sono ospitati in Svezia. L'email di notifica viene inviata da un fornitore UE, e le funzioni AI opzionali dei piani Professional e Business girano su Mistral nell'UE. La fatturazione passa per Stripe Payments Europe, Limited, in Irlanda, e riguarda solo i dati di fatturazione del cliente che paga.

L'unico punto di contatto con gli Stati Uniti è Cloudflare Turnstile, un controllo anti-bot disattivato finché non lo attivi per un modulo. Quando è attivo, Cloudflare riceve i dati della verifica dal browser del visitatore, non le risposte del modulo. Le destinazioni che aggiungi tu, come un webhook, un canale Slack o una casella di posta ospitata altrove, ricevono i dati dove le indichi.