Onward Transfers e nuove clausole: la svolta EDPB per le imprese

Bruxelles, novembre 2026. All'interno dei corridoi della Commissione Europea, tra i documenti tecnici che regolano il flusso globale dei dati, è avvenuto un mutamento silenzioso ma operativo. Non si tratta di un nuovo regolamento, ma di un aggiornamento delle FAQ sulle Standard Contractual Clauses (SCC). Per un imprenditore, questo significa che la rigidità burocratica che ha caratterizzato i trasferimenti di dati verso paesi terzi sta lasciando spazio a una pragmatica interoperabilità.

Il nodo centrale riguarda gli 'onward transfers', ovvero quei passaggi di dati che avvengono quando un destinatario in un paese extra-UE, che ha già ricevuto dati legalmente tramite SCC, decide di trasferirli a un ulteriore fornitore o partner in un altro paese terzo. Fino a poco tempo fa, l'ecosistema normativo spingeva quasi esclusivamente verso l'uso delle clausole pre-approvate dalla Commissione.

Cosa cambia concretamente per gli onward transfers

La novità, formalizzata dall'EDPB il 13 novembre 2026, risiede nel riconoscimento di modelli contrattuali diversi da quelli europei per gestire questi passaggi successivi. L'EDPB ha infatti adottato uno statement in cui accoglie gli aggiornamenti della Commissione Europea, stabilendo che le Model Contractual Clauses (MCC) sviluppate dal Consiglio d'Europa (CoE MCC) e quelle della Rete Ibero-Americana di Protezione dei Dati (RIPD MCC) possono essere utilizzate per gli onward transfers di dati ricevuti originariamente sotto le EU SCCs.

In termini strategici, questo significa che l'UE non pretende più che l'intero percorso del dato, in ogni sua ramificazione globale, sia blindato esclusivamente da contratti redatti a Bruxelles. Se il primo trasferimento è avvenuto tramite SCC, i passaggi successivi possono appoggiarsi a questi altri standard internazionali, a patto che venga garantito un livello di protezione appropriato per gli interessati, come previsto dalla legge europea sulla protezione dei dati.

Analisi di business: Questa apertura riduce drasticamente l'attrito contrattuale nelle supply chain digitali globali. Un'azienda europea che si appoggia a un partner in un paese terzo, il quale a sua volta utilizza sub-responsabili in America Latina o in paesi membri del Consiglio d'Europa, non dovrà più imporre l'adozione di SCC europee a ogni singolo anello della catena, potendo accettare clausole MCC già consolidate in quelle giurisdizioni.

Il riconoscimento delle clausole CoE e RIPD

Il riconoscimento non è un atto di fede, ma l'esito di una convergenza tecnica. Le clausole del Consiglio d'Europa e quelle della RIPD sono state identificate come strumenti capaci di offrire garanzie equivalenti. L'EDPB specifica che l'uso di queste MCC è possibile 'under the conditions explained in the Commission's FAQs'.

Le SCC, per definizione, sono clausole pre-approvate che permettono a organizzazioni di ogni dimensione di trasferire dati legalmente fuori dall'UE. Tuttavia, l'esistenza di modelli paralleli 'around the world' basati su principi convergenti ha spinto le autorità a una revisione. Il riconoscimento delle MCC della RIPD, in particolare, facilita enormemente l'espansione commerciale verso i mercati ibero-americani, dove tali standard sono già radicati.

L'EDPB ha inoltre fornito una guida pratica per le organizzazioni che intendono fare affidamento su queste clausole, sottolineando che l'obiettivo è mantenere l'allineamento agli standard GDPR pur accettando la diversità degli strumenti contrattuali.

Perché l'EDPB ha scelto di allentare il rigore?

La domanda che sorge spontanea è: perché ora? La risposta risiede nella necessità di rendere sostenibile la conformità. Il rigore assoluto delle SCC ha spesso creato colli di bottiglia operativi, dove le imprese si trovavano nell'impossibilità di far firmare contratti europei a partner locali in paesi terzi che avevano già i propri standard di protezione.

L'EDPB e la Commissione hanno cooperato strettamente per trovare un punto di equilibrio. La lettura critica suggerisce che l'UE abbia compreso che l'interoperabilità dei dati è un asset geopolitico. Imporre un unico modello contrattuale globale è meno efficace che riconoscere modelli equivalenti che condividono gli stessi principi di protezione.

Questa mossa segnala un passaggio da un approccio di 'comando e controllo' a uno di 'equivalenza funzionale'. Non conta più solo quale documento venga firmato, ma quale livello di protezione venga effettivamente garantito. È un'evoluzione che sposta l'onere della verifica sulla sostanza della protezione piuttosto che sulla forma del modulo.

La genesi delle nuove FAQ della Commissione

Il processo che ha portato a questa decisione non è stato lineare. La Commissione Europea aveva pubblicato le SCC modernizzate il 4 giugno 2021, sostituendo i tre set di clausole della precedente Direttiva 95/46. Subito dopo, è stato creato un sistema di Q&A (Questions and Answers) progettato per essere una fonte 'dinamica' di informazioni.

Queste FAQ non sono state scritte in un ufficio isolato, ma sono nate dal feedback di vari stakeholder che hanno condiviso la loro esperienza d'uso delle nuove SCC nei primi mesi dopo l'adozione. È stato proprio questo dialogo tra regolatore e mercato a evidenziare le criticità degli onward transfers.

Il percorso è stato quindi: adozione SCC (2021) → feedback degli stakeholder → aggiornamento dinamico delle FAQ → coordinamento con l'EDPB → statement finale di supporto (novembre 2026). Questo ciclo dimostra che la Commissione è disposta a correggere la rotta se l'evidenza operativa mostra che una norma, pur corretta nei principi, è impraticabile nei fatti.

Come scegliere tra SCC e MCC

Per un imprenditore o un DPO, la scelta dello strumento contrattuale non è più binaria. È necessario valutare la posizione del partner e la destinazione finale del dato. Di seguito, una checklist operativa per orientare la scelta:

• Il trasferimento è diretto UE → Paese Terzo? Utilizzare obbligatoriamente le Standard Contractual Clauses (SCC) della Commissione Europea.
• Il trasferimento è un 'onward transfer' (Paese Terzo A → Paese Terzo B)? Verificare se il destinatario finale opera in una giurisdizione che riconosce le MCC del Consiglio d'Europa o della RIPD.
• Il partner extra-UE rifiuta le SCC europee per i suoi sub-fornitori? Valutare l'adozione delle CoE MCC o RIPD MCC, verificando che le condizioni indicate nelle FAQ della Commissione siano soddisfatte.
• Esiste un'adeguatezza decisionale per il paese di destinazione? In tal caso, le clausole contrattuali potrebbero non essere necessarie, ma l'onward transfer richiede comunque garanzie se il dato esce dall'area di adeguatezza.
• Il trasferimento è ad hoc e non rientra nei modelli pre-approvati? È necessaria l'autorizzazione dell'autorità Garante competente, previa opinione di coerenza dell'EDPB.

Chi garantisce davvero la protezione dei dati?

Immaginiamo un dialogo ipotetico tra un imprenditore e un rappresentante dell'EDPB per chiarire la sostanza di questa flessibilità.

Imprenditore: 'Se posso usare clausole diverse da quelle europee, non rischio che la protezione dei dati si allenti nel passaggio tra un paese e l'altro?'

EDPB: 'Il principio non cambia. La protezione deve rimanere equivalente a quella garantita dal GDPR. Il fatto che usiamo un modello CoE o RIPD non significa che abbassiamo l'asticella, ma che riconosciamo che quell'asticella è stata posizionata alla stessa altezza dalle altre organizzazioni. La responsabilità finale della verifica rimane comunque in capo a chi effettua il trasferimento.'

Imprenditore: 'Quindi, se un mio fornitore usa le clausole RIPD per un sub-responsabile in Brasile, io sono coperto?'

EDPB: 'Sì, a condizione che l'onward transfer avvenga secondo le condizioni stabilite nelle FAQ della Commissione. Non è un assegno in bianco, ma un riconoscimento di strumenti validi. La compliance non è più solo un modulo da firmare, ma un processo di verifica della protezione effettiva.'

Impatto della flessibilità contrattuale sulle imprese UE

L'allentamento del rigore sugli onward transfers ha implicazioni profonde per l'ecosistema digitale europeo. In un momento in cui l'UE sta implementando l'AI Act e la direttiva NIS2, la capacità di muovere dati in modo sicuro ma agile è fondamentale. L'intelligenza artificiale, in particolare, si nutre di flussi di dati transfrontalieri per l'addestramento e l'inferenza; ogni ostacolo contrattuale eccessivo rischia di isolare le imprese europee dai partner tecnologici globali.

Per le imprese italiane, che spesso operano come fornitori di componenti o servizi in catene del valore globali, questa flessibilità riduce i costi legali di compliance. Non è più necessario rinegoziare ogni singolo contratto di sub-fornitura extra-UE per allinearlo pedissequamente alle SCC, purché esistano MCC riconosciute.

Tuttavia, resta un rischio: la frammentazione. Se ogni impresa iniziasse a utilizzare modelli diversi senza una rigorosa verifica, l'allineamento al GDPR diventerebbe un esercizio di equilibrismo. La sfida per i DPO sarà monitorare non più un unico set di clausole, ma un portafoglio di strumenti contrattuali equivalenti.

Scenari futuri e indicatori: 1. Espansione del riconoscimento: l'UE potrebbe estendere l'equivalenza ad altri modelli, come quelli ASEAN. Indicatore: Pubblicazione di nuovi aggiornamenti nelle FAQ della Commissione riguardanti l'area Asia-Pacifico. 2. Standardizzazione globale: le MCC potrebbero convergere verso un unico standard mondiale. Indicatore: Firma di un accordo quadro tra Commissione Europea, Consiglio d'Europa e reti di protezione dati globali entro il 2028. 3. Aumento dei controlli: le autorità Garanti potrebbero intensificare i controlli sulla sostanza degli onward transfers effettuati via MCC. Indicatore: Pubblicazione di report di enforcement dell'EDPB specificamente focalizzati sull'uso delle clausole alternative.

In sintesi, per l'imprenditore europeo, l'era del 'solo SCC' è finita. Si entra nell'era dell'interoperabilità normativa, dove la conformità si misura sulla capacità di orchestrare diversi strumenti legali per garantire un unico, costante livello di protezione del dato.

Domande frequenti

Fonti: Edpb (2), Commission ·