TL;DR per il DPO
L'Autorita' olandese (AP) ha sanzionato Uber per 290 milioni di euro per aver trasferito dati di autisti europei verso server USA senza garanzie adeguate ai sensi del Capitolo V GDPR. Una delle sanzioni piu' alte d'Europa. Per il 2026-2027 l'AP ha definito tre priorita': sorveglianza di massa, intelligenza artificiale, resilienza digitale. Sta anche avviando ispezioni a campione sui Comuni (registri trattamenti, DPIA, indipendenza del DPO).
Il caso Uber
A seguito di reclami di autisti francesi, l'AP olandese (Uber ha la sede europea ad Amsterdam) ha accertato che Uber trasferiva dati personali degli autisti europei verso gli Stati Uniti senza adottare le garanzie richieste dal Capitolo V del GDPR per i trasferimenti extra-UE. I dati includevano informazioni sensibili: documenti di identita', dati di geolocalizzazione, in alcuni casi dati sanitari.
La sanzione di 290 milioni di euro e' una delle piu' alte mai comminate in Europa per violazioni GDPR, seconda solo alle mega-sanzioni irlandesi contro le big tech.
Le tre priorita' dell'AP per il 2026-2027
- Sorveglianza di massa: sistemi di monitoraggio su larga scala, pubblici e privati, con impatto sociale significativo
- Intelligenza artificiale: algoritmi e sistemi AI, in particolare quelli ad alto impatto sui diritti
- Resilienza digitale: sicurezza, continuita', protezione delle infrastrutture critiche
L'AP ha inoltre avviato ispezioni a campione sui Comuni olandesi, verificando registri dei trattamenti, DPIA e l'indipendenza dei DPO. Un segnale che il settore pubblico locale e' sotto osservazione.
Lezione sui trasferimenti extra-UE
Dopo Schrems II, i trasferimenti verso gli USA richiedono: adesione del destinatario al Data Privacy Framework UE-USA, OPPURE Standard Contractual Clauses con Transfer Impact Assessment documentato e misure supplementari. Il trasferimento 'di fatto' (server USA, cloud USA) senza queste garanzie e' una violazione del Capitolo V, sanzionabile nello scaglione massimo.
Cosa deve verificare il DPO
- Mappare TUTTI i trasferimenti extra-UE dei clienti gestiti (cloud, SaaS, servizi di analytics, CRM, payroll)
- Per ogni trasferimento verso USA: verificare adesione al Data Privacy Framework o presenza di SCC + TIA
- Documentare il Transfer Impact Assessment per ogni flusso verso paesi terzi non adeguati
- Aggiornare l'informativa privacy indicando esplicitamente i trasferimenti e le garanzie (collegamento con la CEF 2026 sulla trasparenza)
- Verificare i sub-responsabili: spesso il trasferimento avviene a valle, tramite sub-processor USA non dichiarati
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
