Google Analytics, il pixel di Meta, Mailchimp, Microsoft 365, il CRM in cloud. Molte PMI mandano dati dei clienti a fornitori con sede negli Stati Uniti. È lecito, ma solo con una base per il trasferimento fuori dall’Unione. Per i quattro fornitori grandi che abbiamo controllato, quella base oggi c’è. Il punto è sapere quale, e scriverlo.
Questo articolo spiega su cosa poggiano oggi i trasferimenti verso gli USA. E poi come si controlla un fornitore in dieci minuti e cosa fare se non è certificato. È il terzo del gruppo sul GDPR del sito web e approfondisce la verifica «Trasferimenti» del nostro test di autovalutazione.
In sintesi
- Un trasferimento di dati personali verso gli USA è lecito solo con una base prevista dagli articoli 44-49 del GDPR.
- Per i fornitori certificati la base può essere il Data Privacy Framework, la decisione di adeguatezza del 10 luglio 2023.
- Il Tribunale UE ha respinto il ricorso contro il Data Privacy Framework il 3 settembre 2025. L’impugnazione è pendente davanti alla Corte di giustizia (C-703/25 P).
- La certificazione si controlla sulla lista ufficiale: deve risultare attiva e coprire il tipo di dati che trasferisci.
- Se il fornitore non è certificato servono le clausole contrattuali standard e una valutazione del trasferimento.
- La base per il trasferimento non sostituisce il consenso ai cookie, il contratto con il fornitore e il registro dei trattamenti.
Perché mandare dati a un fornitore americano richiede una base?
Perché il GDPR protegge i dati anche quando escono dall’Unione. L’articolo 44 consente il trasferimento verso un paese terzo solo alle condizioni del Capo V. Servono una decisione di adeguatezza o garanzie adeguate, come le clausole contrattuali standard. In casi eccezionali, una deroga. Vale per ogni dato personale, compresi l’indirizzo IP e l’email di un iscritto.
Con gli Stati Uniti la base è caduta due volte. Il Safe Harbor è stato annullato nel 2015, il Privacy Shield nel 2020 con la sentenza Schrems II. La Corte di giustizia lo ha dichiarato invalido, ma ha confermato la validità delle clausole contrattuali standard. Nel 2022 il Garante ha ammonito il gestore di un sito italiano che usava Google Analytics (provvedimento del 9 giugno 2022). Il trasferimento verso Google LLC avveniva senza garanzie adeguate.
Elaborazione Aeon Lab su comunicati della Corte di giustizia e della Commissione europea.
Il Data Privacy Framework è ancora valido?
Sì. La pagina della Commissione sulle decisioni di adeguatezza elenca ancora gli Stati Uniti, limitatamente alle organizzazioni commerciali che partecipano al Data Privacy Framework. Con la decisione del 10 luglio 2023 i dati possono andare verso quelle aziende senza altre garanzie, come previsto dall’articolo 45 del GDPR.
Il ricorso di annullamento è stato respinto. Il 3 settembre 2025 il Tribunale dell’Unione ha stabilito che, quando la decisione è stata adottata, gli Stati Uniti garantivano un livello adeguato di protezione. Il ricorrente ha impugnato la sentenza: la causa C-703/25 P è pendente davanti alla Corte di giustizia.
C’è poi il riesame periodico. Nel primo riesame dell’ottobre 2024 la Commissione ha concluso che le autorità americane hanno messo in piedi le strutture necessarie al funzionamento del sistema. Il prossimo riesame è previsto dopo tre anni. Il Tribunale ricorda però che la Commissione può sospendere, modificare o abrogare la decisione se il quadro americano cambia. Per questo conviene sapere già oggi quale sarebbe il piano B per ogni fornitore.
Come si controlla se un fornitore è certificato?
Sulla Data Privacy Framework List, il registro ufficiale gestito dal Dipartimento del Commercio americano. Bastano dieci minuti per fornitore. Le FAQ del Comitato europeo per la protezione dei dati indicano cosa controllare (passi 2 e 3); gli altri due sono il nostro metodo:
- Cerca il nome legale della società, non il marchio. Mailchimp, per esempio, compare nella scheda della capogruppo Intuit.
- Controlla lo stato: deve essere attivo per l’«EU-U.S. Data Privacy Framework». La certificazione si rinnova ogni anno; con un partecipante inattivo il Data Privacy Framework non vale.
- Controlla il tipo di dati: «Non-HR Data» copre clienti e contatti, «HR Data» i dati dei dipendenti.
- Salva una copia della scheda con la data: è la prova che hai verificato.
Ecco cosa risultava il 27 ottobre 2026 per quattro fornitori molto usati dalle PMI. Lo stato cambia: prima di scriverlo nei tuoi documenti, ricontrollalo.
| Strumento | Nome sulla lista | Stato al 27/10/2026 | Base per il trasferimento |
|---|---|---|---|
| Google Analytics | Google LLC | Attivo, rinnovo entro settembre 2027 | Certificato; verifica la base nei termini del fornitore |
| Pixel di Meta | Meta Platforms, Inc. | Attivo, rinnovo della certificazione in revisione | Certificato; verifica la base nei termini del fornitore |
| Mailchimp | Intuit (Mailchimp tra le società coperte) | Attivo, rinnovo entro dicembre 2026 | Data Privacy Framework, con clausole standard di riserva (dichiarato da Mailchimp) |
| Microsoft 365 | Microsoft Corporation | Attivo | Clausole contrattuali standard (dichiarato da Microsoft) |
Fonte: Data Privacy Framework List, schede consultate il 27 ottobre 2026; pagine ufficiali di Google, Mailchimp e Microsoft.
L’ultima colonna è la più istruttiva. Microsoft è certificata, ma dichiara di non usare il Data Privacy Framework come base e di affidarsi alle clausole contrattuali standard. Mailchimp usa il Data Privacy Framework e prevede che le clausole standard si applichino da sole se il primo venisse invalidato. Sono due modi diversi di avere un piano B già scritto nel contratto.
E se il fornitore non è certificato?
Servono le clausole contrattuali standard della Commissione, adottate con la decisione del 4 giugno 2021. Il Garante ricorda che non si possono modificare e vanno sottoscritte dalle parti. Di solito sono già allegate all’accordo sul trattamento dei dati del fornitore: va trovato e conservato.
Con le clausole serve anche una valutazione del trasferimento. Le Raccomandazioni 01/2020 dell’EDPB la descrivono in sei passi. Si mappano i trasferimenti, si sceglie lo strumento e si valuta la legge del paese di destinazione. Poi si adottano, se servono, misure supplementari come la cifratura, si completano le formalità e si rivaluta nel tempo. Le deroghe dell’articolo 49, come il consenso esplicito, valgono solo in casi eccezionali: non possono diventare la regola.
Il Data Privacy Framework basta per usare Analytics e pixel?
No. Riguarda il trasferimento, non le altre regole del trattamento. Il Garante lo ha chiarito in un provvedimento del 14 maggio 2026. L’adesione del fornitore al Data Privacy Framework e le certificazioni «afferiscono ad aspetti diversi dai fondamenti di liceità». Avere un fornitore certificato non ti dispensa dal resto.
Per Analytics e pixel del sito resta il consenso preventivo dei cookie, spiegato nell’articolo sul cookie banner a norma. Per le newsletter resta, salvo le eccezioni previste dal Garante, il consenso al tracciamento delle aperture, trattato in quello sui tracking pixel nelle email. E con ogni fornitore che tratta dati per tuo conto serve il contratto dell’articolo 28, anche se è certificato: lo dicono esplicitamente le FAQ dell’EDPB.
Cosa va scritto nell’informativa e nel registro?
Chi riceve i dati, in quale paese e su quale base. L’informativa deve dire se trasferisci dati fuori dall’Unione e con quale strumento: adeguatezza o clausole standard. Un’informativa che cita ancora il Privacy Shield indica una base che non esiste più dal 16 luglio 2020.
Il registro dei trattamenti (articolo 30) deve riportare le categorie di destinatari, compresi quelli nei paesi terzi, e i trasferimenti con il paese di destinazione. La deroga per chi ha meno di 250 dipendenti non vale quando il trattamento non è occasionale. Newsletter, statistiche e CRM usati ogni giorno, nella pratica, non lo sono.
Test di autovalutazione
I tuoi fornitori trattano i dati dei clienti: su quale base?
Quindici domande, tre minuti: cosa raccoglie il sito, con quali strumenti e fornitori, e dieci verifiche su informativa, cookie, contratti e trasferimenti. Nessun dato da lasciare.
Cosa conviene fare già oggi
- Fai l’elenco dei fornitori che ricevono dati: statistiche, pixel, newsletter, posta, CRM, gestionale, chat.
- Segna la sede di ciascuno e quella della società con cui hai il contratto.
- Per quelli negli USA, controlla la lista del Data Privacy Framework e salva la scheda con la data.
- Trova l’accordo sul trattamento dei dati di ogni fornitore e verifica quale base dichiara.
- Correggi l’informativa: via il Privacy Shield, dentro i fornitori veri con la loro base.
- Aggiorna il registro con destinatari, paesi e strumenti, e rivedilo almeno una volta l’anno.
Come ti aiuta Aeon Lab
La parte legale dell’informativa la scrive il consulente privacy. Noi lavoriamo sulla parte tecnica, dove i fornitori si nascondono:
- Mappa dei fornitori che ricevono dati dal sito, dalla posta e dai gestionali, con sede e base del trasferimento.
- Verifica delle certificazioni e degli accordi sul trattamento, con le prove salvate.
- Configurazioni che riducono i dati trasferiti: statistiche senza dati superflui e pixel che partono solo dopo il consenso.
- Gestione di Microsoft 365 con accessi e condivisioni sotto controllo. Aeon Lab è partner Microsoft: lo dichiariamo perché l’articolo parla anche di Microsoft.
- Allineamento con la gestione del sito web e con la consulenza di compliance e NIS2.
Mappiamo insieme i tuoi fornitori →
Domande frequenti
Google Analytics è vietato in Italia?
No. Il provvedimento del Garante del 9 giugno 2022 riguardava la situazione precedente al Data Privacy Framework. Allora il trasferimento verso Google LLC avveniva senza garanzie adeguate. Al 27 ottobre 2026 Google LLC risulta certificata. Restano obbligatori il consenso dei cookie e un’informativa corretta.
Cosa succede se il Data Privacy Framework viene annullato?
I trasferimenti basati solo su di esso perderebbero la base. Alcuni fornitori, come Microsoft e Mailchimp, hanno già le clausole contrattuali standard nel contratto. Per gli altri andrebbero firmate e accompagnate da una valutazione del trasferimento.
Basta chiedere il consenso per trasferire i dati negli USA?
No, non come regola. Il consenso esplicito dell’articolo 49 è una deroga per casi eccezionali e richiede che la persona sia informata dei rischi. Per i trasferimenti continui verso un fornitore serve una base stabile: adeguatezza o clausole standard.
Microsoft 365 è un problema per il GDPR?
No, per il trasferimento una base c’è. Microsoft usa le clausole contrattuali standard previste nei suoi termini ed è anche certificata al Data Privacy Framework. Come per ogni fornitore che usa le clausole, va fatta e conservata la valutazione del trasferimento. Restano a te la configurazione, il controllo degli accessi e il backup dei dati.
Devo togliere il Privacy Shield dall’informativa?
Sì. È stato invalidato il 16 luglio 2020 e non è una base valida da allora. Va sostituito con la base reale di ciascun fornitore: Data Privacy Framework o clausole contrattuali standard.
In breve
Mandare dati dei clienti a fornitori americani è lecito con una base. Per i fornitori certificati la base può essere il Data Privacy Framework, ancora valido ma con un’impugnazione pendente; l’alternativa sono le clausole contrattuali standard. Dieci minuti sulla lista ufficiale dicono se un fornitore è certificato. Ma la base per il trasferimento non sostituisce consenso, contratto e registro: sono tre cose da avere comunque. Se un fornitore subisce una violazione, la procedura è nella guida al data breach sul sito.
Pubblicato il 2 novembre 2026. Ultimo aggiornamento: 2 novembre 2026. A cura del team di Aeon Lab, MSP e MSSP di Roma: chi siamo.
Fonti
- Regolamento (UE) 2016/679, artt. 28, 30, 44-49: EUR-Lex.
- Commissione europea, decisioni di adeguatezza e primo riesame del Data Privacy Framework, COM(2024) 451.
- Commissione europea, clausole contrattuali standard, decisione (UE) 2021/914.
- Corte di giustizia, sentenza C-311/18 (Schrems II), comunicato n. 91/20.
- Tribunale dell’Unione, sentenza T-553/23 Latombe/Commissione, comunicato n. 106/25; impugnazione C-703/25 P, pendente.
- EDPB, FAQ sul Data Privacy Framework per le imprese europee e Raccomandazioni 01/2020.
- Garante privacy, provvedimento del 9 giugno 2022 (Google Analytics), provvedimento del 14 maggio 2026 e pagina sul trasferimento di dati all’estero.
- Data Privacy Framework List, schede di Google LLC, Meta Platforms, Intuit e Microsoft Corporation consultate il 27 ottobre 2026.
- Pagine ufficiali dei fornitori: Google, Mailchimp, Microsoft.