GDPR e outsourcing extra-UE per le imprese italiane

1. Il contesto normativo italiano nel 2026

Nel 2026 il responsabile compliance di un'impresa italiana che vuole esternalizzare funzioni operative a un fornitore extra-europeo si trova a navigare uno dei quadri normativi più stratificati al mondo. Al Regolamento (UE) 2016/679 (GDPR), che rimane il pilastro principale, si sovrappongono il Codice in materia di protezione dei dati personali (D.lgs. 196/2003) nella versione aggiornata dal D.lgs. 101/2018, il Regolamento DORA (Digital Operational Resilience Act, Regolamento UE 2022/2554) obbligatorio dal 17 gennaio 2025, e la Direttiva NIS2 recepita in Italia con D.lgs. 138/2024 ed entrata in vigore il 16 ottobre 2024.

Queste quattro fonti non operano in compartimenti stagni: un contratto BPO con un fornitore albanese, nordmacedone o indiano deve oggi rispondere contemporaneamente alle prescrizioni del GDPR sui trasferimenti internazionali (Capo V), agli obblighi del Codice Privacy italiano, ai requisiti DORA se il committente è un'entità finanziaria vigilata, e alle misure minime NIS2 se il committente rientra tra i soggetti essenziali o importanti.

L'Autorità Garante per la protezione dei dati personali (AGPD) ha intensificato l'attività ispettiva: nel 2025 le sanzioni erogate per violazioni dei Capi IV e V del GDPR sono aumentate del 38% rispetto all'anno precedente, con un focus specifico sui Data Processing Agreement (DPA) incompleti e sui trasferimenti extra-UE privi di idoneo meccanismo di garanzia. Questa guida fornisce gli strumenti pratici per strutturare correttamente un contratto di outsourcing con fornitori extra-UE, con particolare attenzione alle esigenze dei DPO e dei responsabili legali delle medie imprese italiane.

2. Quando si configura un trasferimento extra-UE nell'outsourcing BPO

Il GDPR definisce "trasferimento" non solo l'invio attivo di dati personali verso un paese terzo, ma qualsiasi messa a disposizione — anche in lettura — di dati personali a soggetti stabiliti al di fuori dello Spazio Economico Europeo (SEE). In un contratto BPO questa situazione si verifica ogni volta che il fornitore ha accesso ai sistemi del committente dall'estero, anche senza esportare fisicamente i file: un operatore di customer care seduto a Tirana che consulta il CRM italiano della vostra azienda effettua un trasferimento soggetto al Capo V del GDPR.

La distinzione fondamentale è tra paesi "adeguati" e paesi non adeguati. I paesi che al luglio 2026 beneficiano di una decisione di adeguatezza della Commissione europea includono: Andorra, Argentina, Canada (solo per soggetti privati), Faroe Islands, Guernsey, Israele, Isle of Man, Giappone, Jersey, Nuova Zelanda, Repubblica di Corea, Svizzera, Uruguay, e gli Stati Uniti per i soli partecipanti al Data Privacy Framework (DPF). Verso questi paesi il trasferimento è libero, senza necessità di garanzie aggiuntive. Albania, Macedonia del Nord, India, Vietnam e la grande maggioranza dei paesi BPO di interesse per le imprese italiane non hanno una decisione di adeguatezza: verso di essi occorre uno strumento di garanzia ai sensi dell'art. 46 GDPR.

3. Gli strumenti legali disponibili per i trasferimenti extra-UE

Esclusi i paesi adeguati, l'art. 46 del GDPR elenca i meccanismi attraverso i quali il trasferimento può legalmente avvenire:

  • Clausole Contrattuali Standard (SCC) versione 2021: lo strumento di gran lunga più utilizzato nella pratica BPO. La Commissione europea ha adottato le SCC aggiornate con Decisione di esecuzione (UE) 2021/914. Esistono quattro moduli: Modulo 1 (titolare a titolare), Modulo 2 (titolare a responsabile), Modulo 3 (responsabile a responsabile) e Modulo 4 (responsabile a titolare). Per un contratto BPO tradizionale — impresa italiana titolare, fornitore extra-UE responsabile del trattamento — si applica il Modulo 2.
  • Norme vincolanti d'impresa (BCR): utilizzabili solo per i trasferimenti all'interno di gruppi multinazionali. Richiedono l'approvazione dell'Autorità Garante e tempi di adozione di 18-24 mesi. Non applicabili ai fornitori BPO terzi.
  • Codici di condotta e meccanismi di certificazione: strumenti in fase di sviluppo a livello europeo, non ancora maturi per un'applicazione sistematica nell'outsourcing BPO.
  • Deroghe specifiche (art. 49 GDPR): applicabili solo in via eccezionale — consenso esplicito, contratto con l'interessato, motivi di interesse pubblico rilevante. Non adatte a contratti BPO continuativi.

Le SCC Modulo 2 includono già obblighi minimi per il responsabile del trattamento. Tuttavia devono essere integrate con un addendum tecnico che recepisce le specifiche del trattamento e, nella maggior parte dei casi, con un Transfer Impact Assessment (TIA) preventivo.

Le SCC versione 2021 sono obbligatorie per tutti i nuovi contratti dal 27 settembre 2021. I contratti sottoscritti prima di quella data con le SCC 2010 avrebbero dovuto essere aggiornati entro il 27 dicembre 2022. Contratti non aggiornati sono da ritenersi privi di meccanismo di garanzia valido.

4. Il Data Processing Agreement ex art. 28 GDPR: la checklist in 12 punti

Ogni contratto con un responsabile del trattamento deve contenere le clausole obbligatorie elencate all'art. 28 par. 3 GDPR. Il DPA non è un documento separato dal contratto principale: può essere un'appendice, ma deve essere formalmente parte dello stesso accordo contrattuale. Di seguito la checklist minima che ogni DPO italiano dovrebbe verificare prima della firma.

Checklist DPA ex art. 28 GDPR — 12 punti obbligatori

  1. Oggetto, natura e finalità del trattamento: descrizione specifica delle attività di trattamento svolte dal responsabile per conto del titolare, con indicazione delle finalità perseguite.
  2. Tipologia di dati personali trattati: elenco delle categorie di dati (dati comuni, dati particolari ex art. 9, dati relativi a condanne penali ex art. 10) con volumi indicativi.
  3. Categorie di interessati: dipendenti del committente, clienti, lead, candidati, ecc.
  4. Durata del trattamento: coincide con la durata contrattuale e include le modalità di restituzione o distruzione dei dati alla scadenza.
  5. Istruzione vincolante del titolare: il responsabile tratta i dati solo su istruzione documentata del titolare. Eventuali trattamenti autonomi devono essere espressamente vietati o disciplinati.
  6. Obbligo di riservatezza: le persone autorizzate al trattamento devono essere vincolate dalla riservatezza, anche dopo la cessazione del rapporto contrattuale.
  7. Misure di sicurezza ex art. 32 GDPR: descrizione delle misure tecniche e organizzative adottate dal responsabile — cifratura, pseudonimizzazione, accessi limitati, backup, test di penetrazione.
  8. Sub-responsabili: elenco dei sub-processori autorizzati o meccanismo di autorizzazione generale. Il responsabile risponde del sub-responsabile nei confronti del titolare.
  9. Assistenza al titolare: obbligo di assistere il titolare nell'evadere le richieste degli interessati (accesso, rettifica, cancellazione, portabilità) nei tempi del GDPR.
  10. Assistenza per la sicurezza e le violazioni: notifica di data breach al titolare entro 24-48 ore dalla scoperta (termine più stretto di quello legale dei 72 ore verso il Garante).
  11. Cancellazione o restituzione dei dati: dopo la cessazione del contratto, il responsabile cancella o restituisce tutti i dati personali, eliminando le copie esistenti salvo obbligo legale.
  12. Diritto di verifica e audit: il titolare ha il diritto di condurre audit — o incaricare un revisore esterno — sulle attività di trattamento del responsabile, anche con preavviso ragionevole.

5. Il Transfer Impact Assessment: quando è obbligatorio e come si conduce

Il TIA non è esplicitamente nominato nel testo del GDPR, ma la sua necessità discende dalla sentenza Schrems II della Corte di Giustizia dell'Unione europea (C-311/18, luglio 2020) e dalle linee guida EDPB 05/2021. In sostanza, quando il paese di destinazione dei dati non offre un livello di protezione "essenzialmente equivalente" a quello europeo — in particolare per quanto riguarda l'accesso delle autorità pubbliche ai dati — le SCC da sole non bastano: il titolare deve valutare in concreto i rischi e adottare misure supplementari.

Il TIA si conduce seguendo i sei passi dell'EDPB:

  1. Identificazione dei trasferimenti effettuati (mappatura completa dei flussi dati).
  2. Identificazione dello strumento di trasferimento utilizzato (SCC Modulo 2, in questo caso).
  3. Valutazione del livello di protezione del paese terzo, con particolare attenzione alla normativa sull'accesso governativo ai dati (surveillance laws), ai rimedi legali disponibili per gli interessati e al regime di responsabilità dei fornitori di servizi.
  4. Adozione di misure supplementari tecniche (cifratura end-to-end, pseudonimizzazione, split-processing), contrattuali (clausole di notifica obbligatoria in caso di richiesta governativa) e organizzative (formazione, access logging, MFA obbligatorio).
  5. Verifica dell'efficacia delle misure supplementari nel contesto specifico del paese di destinazione.
  6. Rivalutazione periodica (almeno annuale) del TIA in caso di variazioni del quadro normativo del paese terzo.

Il TIA deve essere documentato, firmato dal DPO e dal responsabile del trattamento, e conservato nel Registro delle attività di trattamento del titolare. In caso di ispezione del Garante, la sua mancanza costituisce una violazione autonomamente sanzionabile.

6. La gestione dei sub-responsabili: autorizzazione e flowdown

In qualsiasi contratto BPO che preveda lo svolgimento di attività su sistemi cloud, l'uso di piattaforme di contact center, o l'impiego di soluzioni SaaS di terze parti, il fornitore BPO è a sua volta responsabile del trattamento nei confronti dei propri fornitori tecnologici, che diventano sub-responsabili (o sub-processori) ai sensi del GDPR.

L'art. 28 par. 2 GDPR prevede due regimi: l'autorizzazione specifica (il titolare approva ogni singolo sub-responsabile) e l'autorizzazione generale (il titolare autorizza preventivamente una lista di sub-responsabili, con obbligo per il responsabile di notificare qualsiasi modifica con anticipo ragionevole, tipicamente 30-60 giorni). I contratti BPO moderni adottano quasi sempre l'autorizzazione generale con notifica preventiva.

Il requisito di flowdown è imperativo: il responsabile del trattamento deve imporre ai propri sub-responsabili obblighi di protezione dei dati "identici" a quelli che egli stesso ha con il titolare. Le SCC Modulo 2 contemplano questa catena di responsabilità nella Clausola 9. In pratica, il DPA che firmate con il vostro fornitore BPO deve includere un elenco dei sub-responsabili e la garanzia che ciascuno di essi sia vincolato da obblighi equivalenti.

7. DORA e le sue implicazioni sull'outsourcing ICT per banche e assicurazioni

Il Regolamento DORA (Reg. UE 2022/2554) introduce un quadro specifico per la resilienza operativa digitale delle entità finanziarie vigilate: banche, assicurazioni, istituti di pagamento, gestori di fondi, piattaforme di crowdfunding, IMEL. Dal 17 gennaio 2025 queste entità devono rispettare obblighi aggiuntivi che si sovrappongono al GDPR quando esternalizzano funzioni ICT a fornitori terzi, inclusi i provider BPO che gestiscono applicazioni, infrastrutture o processi digitali.

Obbligo DORA Cosa implica per il contratto BPO Chi lo firma
Registro dei contratti ICT (art. 28) Ogni accordo con un fornitore ICT deve essere inserito nel registro con dettagli su funzioni critiche, livelli di servizio, dipendenze CRO / COO
Clausole obbligatorie contratto (art. 30) Descrizione completa dei servizi, livelli di servizio misurabili, diritto di accesso/audit, obblighi di continuità, exit strategy documentata Ufficio legale
Strategia di uscita (art. 28 par. 7) Il contratto deve includere un piano di migrazione verificabile, con dati trasferibili senza lock-in e senza penali sproporzionate CTO / DPO
TLPT — Threat-Led Penetration Testing (art. 26) I fornitori ICT critici devono partecipare ai test TLPT coordinati dall'Autorità competente (Banca d'Italia / IVASS) CISO del fornitore
Concentrazione del rischio (art. 29) L'entità finanziaria deve valutare e documentare il rischio di concentrazione verso singoli fornitori ICT o paesi terzi Risk Management

Per i contratti BPO con entità finanziarie italiane, Corpshore fornisce una versione del contratto quadro conforme a DORA, con tutte le clausole obbligatorie dell'art. 30 già integrate.

8. NIS2 (D.lgs. 138/2024): obblighi sulla catena di fornitura

La Direttiva NIS2 (Direttiva UE 2022/2555), recepita in Italia con D.lgs. 138/2024, estende significativamente il perimetro dei soggetti tenuti ad adottare misure di cyber security rispetto alla NIS1. I "soggetti essenziali" e i "soggetti importanti" — classificati in base al settore (energia, trasporti, banche, infrastrutture digitali, acque, sanità, PA, ecc.) e alla dimensione aziendale — devono implementare misure di sicurezza della catena di fornitura ai sensi dell'art. 21 par. 2 lett. d) della direttiva.

In pratica, se la vostra impresa rientra nel perimetro NIS2, siete tenuti a valutare la postura di sicurezza dei vostri fornitori BPO e ICT, a includere obblighi contrattuali di cyber security, e a notificare all'ACN (Agenzia per la Cybersicurezza Nazionale) gli incidenti che riguardano anche i servizi esternalizzati. La sanzione per i soggetti essenziali che non adottano misure adeguate può raggiungere il 2% del fatturato mondiale annuo.

Per le imprese italiane che esternalizzano a fornitori extra-UE, NIS2 aggiunge un ulteriore livello di due diligence: il fornitore BPO deve dimostrare di aver implementato controlli di sicurezza equivalenti a quelli richiesti dal soggetto committente, documentabili attraverso certificazioni (ISO 27001, SOC 2 Type II) o audit specifici.

9. Checklist pratica in 10 passi per il DPO prima di firmare

Prima di firmare un contratto di outsourcing extra-UE

  1. Mappatura dei flussi dati: identificate quali categorie di dati personali raggiungeranno il fornitore e i suoi sub-responsabili, inclusi i flussi indiretti attraverso sistemi cloud.
  2. Verifica del paese di destinazione: accertate se esiste una decisione di adeguatezza aggiornata verso il paese del fornitore. In caso negativo, procedete con il TIA.
  3. Scelta del meccanismo di trasferimento: per quasi tutti i fornitori BPO extra-UE, selezionate le SCC 2021 Modulo 2 e allegatele al contratto.
  4. Redazione o revisione del DPA: verificate la presenza di tutti i 12 punti obbligatori ex art. 28. Se il fornitore propone il proprio DPA, confrontatelo con la checklist.
  5. Conduzione del TIA: per i paesi a rischio elevato (es. India, Vietnam, paesi con normative di sorveglianza invasive), conducete e documentate il TIA seguendo i sei passi EDPB.
  6. Verifica del registro sub-responsabili: richiedete al fornitore l'elenco completo dei sub-processori con indicazione del paese in cui operano.
  7. Clausole DORA (se applicabile): se la vostra entità è vigilata da Banca d'Italia o IVASS, verificate la conformità del contratto all'art. 30 DORA.
  8. Valutazione NIS2 (se applicabile): se rientrate nel perimetro NIS2, richiedete evidenza delle certificazioni di sicurezza del fornitore e includete obblighi contrattuali di notifica degli incidenti.
  9. Aggiornamento del Registro delle attività di trattamento: inserite il nuovo trattamento nel registro ex art. 30 GDPR con tutti i campi obbligatori, incluso il meccanismo di trasferimento utilizzato.
  10. Piano di revisione annuale: pianificate la revisione annuale del TIA e la verifica dell'adeguatezza del DPA, con particolare attenzione a eventuali variazioni normative nel paese del fornitore.

10. Come Corpshore garantisce la conformità nei contratti con fornitori extra-UE

Corpshore ha strutturato il proprio modello di delivery in modo da ridurre al minimo la complessità compliance per i clienti italiani. Il nostro approccio si basa su tre elementi:

  • DPA standard conforme GDPR e DORA: forniamo un DPA precompilato che include tutte le clausole obbligatorie ex art. 28, le SCC 2021 Modulo 2 già allegate per i fornitori extra-UE, e le clausole obbligatorie DORA per le entità finanziarie. Il documento è aggiornato a ogni variazione normativa rilevante.
  • Sub-processori certificati e localizzati in Europa: per i trattamenti che richiedono il massimo livello di protezione, Corpshore utilizza esclusivamente infrastrutture cloud certificate ISO 27001 e SOC 2 con datacenter in territorio UE (principalmente Germania e Irlanda). I sub-processori extra-UE — dove necessari per specifiche funzioni — sono soggetti a TIA pre-validato dal nostro DPO.
  • Supporto TIA on-demand: per i clienti che operano in settori regolamentati (banche, assicurazioni, sanità, PA), Corpshore fornisce documentazione TIA specifica per il paese di delivery, aggiornata semestralmente, che il DPO del cliente può allegare al proprio Registro delle attività di trattamento.

Nota pratica: le SCC 2021 includono già una clausola (Clausola 14) che obbliga le parti a effettuare una valutazione preliminare del diritto del paese terzo e della sua pratica. Questa clausola costituisce la base documentale del TIA. Non omettetela e non limitatevi a firmarla senza averla effettivamente compilata: in caso di ispezione, il Garante verifica la sostanza dell'analisi, non solo la firma.

11. Conclusione

Esternalizzare funzioni operative a fornitori extra-UE nel 2026 è un'operazione perfettamente lecita e alla portata di qualsiasi impresa italiana, a condizione di seguire un percorso compliance strutturato. La complessità normativa — GDPR, Codice Privacy, DORA, NIS2 — non è un ostacolo insuperabile ma un insieme di requisiti documentali e contrattuali che, una volta implementati correttamente, proteggono sia l'impresa committente sia i soggetti i cui dati sono trattati.

Il DPO che ha eseguito correttamente la checklist in 10 passi, ha redatto un DPA completo, ha concluso un TIA aggiornato e ha verificato il registro dei sub-responsabili può firmare un contratto BPO extra-UE con la certezza che la sua impresa ha fatto quanto ragionevolmente richiesto dal GDPR. Per qualsiasi approfondimento specifico sul vostro caso, il team legale e compliance di Corpshore Italia è a disposizione per una consulenza senza impegno.