Trasferimento dei dati tra paesi

1) Obiettivo e area

Formare un modello di trasmissione dei dati personali transfrontalieri (PII) e set operativi (KYC/AML, pagamenti, RG/SE, CRM/marketing, telemetria per videogiochi, logi/ARM, analisi/DWH) in base ai requisiti delle licenze e delle leggi sulla protezione dei dati di diverse giurisdizioni. Il documento completa le sezioni «Localizzazione dati», «Eliminazione e anonimizzazione», «GDPR: consenso», «DSAR».

2) Concetti e principi di base

Trasferimento transfrontaliero: qualsiasi accesso/replica/elaborazione al di fuori della giurisdizione «domestica» del soggetto/dati.
Adeguatezza/equivalenza è la decisione del regolatore di proteggere adeguatamente il paese destinatario.
I meccanismi contrattuali sono clausole contrattuali standard, analogie locali, accordi supplementari.
TIA - Valutazione dei rischi legali/tecnici di un trasferimento specifico.
Sovranità/residenza - posizione di conservazione e diritto di controllo locale.

1. Locale-first: gestibile localmente, se possibile; fuori, minimo e secondo le regole.

2. Minimizzazione: «Esattamente quanto necessario»; preferibilmente aggregazioni/alias.

3. Crittografia e isolamento: crittografia, chiavi nella regione, separazione controllo/data plane.

4. Prova: registro di ogni trasmissione, artefatti TIA e basi.

5. Fail-closed - Nessun motivo o TIA - Nessun trasferimento.

3) Ruoli e RACI

DPO/Head of Compliance (Owner) - Criteri, tolleranze, TIA, eccezioni. (A)

Legale è la scelta del meccanismo di trasferimento, dei contratti, dei requisiti locali. (R)

Sicurezza/Infra - crittografia, KMS/HSM, perimetri di rete, controllo. (R)

Data Platform/Analytics - de-PII/Anonimizzazione, rapporti federati/corruttori. (R)

Engineering/SRE - Routing, tornizzazione, controllo delle esportazioni. (R)

Vendor Manager - Registro dei sottoprocessori, conferma, offboarding. (R)

Controllo internazionale - campionamento di manufatti, CAPA. (C)

4) Mappa dei flussi (Data Transfer Map)

Sorgente di destinazione (paese/nube/venditore), categoria di dati, scopo, base legale, meccanismo di trasferimento, protezione (org), tempo di conservazione, responsabilità.
È graficamente fissata per supporto/CS, analisi/report, frod/rischi-screen, provider di giochi e PSP, affiliati.

5) Meccanismi legali (ossatura)

1. La soluzione di adeguatezza (se applicabile) è un percorso semplificato, ma servono ancora manufatti TIA e contratti con il venditore.
2. Disposizioni contrattuali standard/tipiche e analogie locali includono allegati obbligatori (categorie, obiettivi, misure).
3. Binding/accordi supplementari: precisano le responsabilità dei sottoprocessori, le notifiche delle richieste degli enti governativi.
4. Le eccezioni di legge sono quelle puntuali e rare (interessi vitali, requisiti contrattuali) non per l'esportazione sistemica.
5. Regole intracomunitarie, per le aziende, strumenti aziendali controllati.

6) Transfer Impact Assessment (TIA)

Motivo: nuovo venditore/paese, nuovo obiettivo, nuove categorie (biometria, RG/SE), modifica della modalità chiavi o percorsi.

• Descrizione del trasferimento (dati/volume/frequenza/partecipanti).
• L'ambiente legale del paese destinatario (i rischi di accesso degli enti pubblici, i rimedi legali dei soggetti).
• Misure tecniche: crittografia, chiavi (BYOK/HYOK), alias, split-processing.
• Misure organizzative: NDA, formazione, need-to-know, registrazioni, risposte alle richieste.
• Rischio/soluzione residuo: autorizzare/modificare/disabilitare; Tempo di revisione.

Modello di modulo TIA breve: consultare l'articolo 15C.

7) Misure tecniche e organizzative

7. 1 Crittografia e chiavi

At rest: AES-256-GCM; in transit: TLS 1. 2+/mTLS; PFS.
KMS: BYOK, preferibilmente HYOK (le chiavi rimangono nella regione); segmentazione dei mercati/tenanti Controllo delle operazioni delle chiavi invariato.
Crypto-shredding: per backup e archivi a tempo debito.

7. 2 Minimizzazione e de-identità

Alias prima dell'esportazione (token gateway), memorizzazione del mupping separata nella regione.
Aggregazioni, k-anonimato/binning date e geo, soppressione di categorie rare.
Logi PI-free/ARM e server-side tagging senza consenso.

7. 3 Isolamento dei piani

Global control-plane senza PII; data-plane con PII locale.
Accesso al PII tramite un livello proxy con la giustificazione della query e il registro.

7. 4 Richieste di enti pubblici

Contorno di reazione: verifica della legittimità, contestazione, riduzione del volume, notifica (se consentito), scrittura nel registro delle query.

8) Categorie di dati e regole di trasferimento

9) Venditori e sottoprocessori

Il registro è giuridico. persona, paesi DC, sottoprocessori, certificati, meccanismi di trasferimento, modalità chiavi.
Contratti: DPA + SCC/analoghi, notifiche di cambi di posizione/sottoprocessori di giorni ≥30, diritto di verifica/questionario, obblighi di localizzazione di bacap, SLA incidenti e DSAR.
TIA, pentest/certificazione, test «sample transfer».
Offboarding: esporta/rimuove/crypto-shred + conferma (evidence).

10) Bacapi, loghi e analisi

Bacap: nella stessa regione; esportazione all'estero - solo in formato crittografato + HYOK; Al termine, crypto-shred.
Logi/ARM: PII-free predefinito; Se non lo è, è un deposito locale, una breve retrazione.
Analisi/DWH: rapporti globali solo aggregati/cocorti; Vietare gli identificatori crudi all'esterno della regione.

11) Processi ed eventi

Processo end-to-end: richiesta di trasferimento, verifica del profilo di mercato, scelta del meccanismo di TIA per l'allineamento dei dispositivi tecnici, avvio e monitoraggio dei manufatti/verifiche.

• `xborder_transfer_requested/approved/denied`
• 'transfer _ executed' (volume/tempo/venditore)
• `key_accessed_for_transfer` (KMS audit)
• `gov_request_received/responded`
• `vendor_location_changed`
• `transfer_review_due`

12) Dati e manufatti (modello)

transfer_record {
id, market_from, market_to, vendor, purpose, lawful_basis,
mechanism{adequacy    scc    local_clause    exception}, tia_id,
data_classes[], pii{yes/no}, deidentification{pseudo    anon    none},
encryption{at_rest, in_transit, keys{scope: BYOK    HYOK, kms_region}},
executed_at_utc, volume{rows, mb}, retention_days, backups{region, crypto_shred:true},
approvals{legal, dpo, security}, status, evidence_uri(WORM)
}

tia {
id, date, countries_involved[], legal_risk_summary, gov_access_risk,
technical_measures[], organizational_measures[], residual_risk{low    med    high},
decision{allow    modify    deny}, review_at
}

13) KPI/KRI e dashboard

X-Border Transfer Rate (per obiettivi/venditori/paesi).
TIA Coverage (% delle trasmissioni con TIA rilevante).
BIOK/HYOK Coverage (quota di trasmissione con chiavi regionali).
Anonymized Export Share (% di esportazioni in aggregazioni/alias).
Vendor Location Drift (incidenti di cambio di posizione).
Il Retest Count e il tempo medio di risposta.
Auditability Score (% record con pacchetto completo di artefatti).

14) Assegno fogli

A) Prima di iniziare il trasferimento

• Assegnazione e scopo legittimo confermato.
• Il meccanismo selezionato (adeguatezza/contratto/equivalente), TIA completato.
• Alias/anonimato configurato; il volume è stato minimizzato.
• KMS/chiavi: BYOK/HYOK, registro abilitato.
• Contratto con venditore: DPA + SCC/equivalente, notifiche di cambio DC/sottoprocessori.
• Residenza di backup e crypto-shred nel piano.

B) In operazioni

• Monitorare «vendor _ location _ changed» e gli alert.
• Revisione periodica del TIA e dei meccanismi.
• I DSAR/Rimozione vengono applicati correttamente nel perimetro del destinatario (o tramite anonimato).
• I logi di trasmissione e il controllo di KMS sono disponibili per il controllo.

C) Controllo/miglioramento

• Campionamenti trimestrali dì transfer _ record'completi.
• CAPE per incidenti/denunce/scoperte regolatorie.
• Test revoke access del venditore + conferma eliminazione.

15) Modelli (inserimento rapido)

A) Klaus «trasferimento transfrontaliero»

B) Notifica richiesta a un ente pubblico

C) TIA breve (one-pager)

16) Piano di implementazione di 30 giorni

Settimana 1

1. Approva criteri di trasmissione transfrontaliera, RACI e modelli TIA/DPA.
2. Costruisci una mappa dei flussi correnti e il registro dei venditori/luoghi/chiavi.
3. Configura KMS per i mercati (BYOK/HYOK), attiva il controllo delle chiavi invariato.

Settimana 2

4) Abilita alias prima dell'esportazione e loghi PII-free/ARM.
5) Avvia il registrò transfer _ record'/' tia '(manufatti WORM).
6) Aggiorna i contratti con venditori critici: località, notifiche, procedure offboarding.

Settimana 3

7) Pilota 2-3 flussi (CS, report DWH): misura Anonymized Export Share, BYOK Coverage.
8) Formare Product/CS/BI/Legale sulle procedure di richiesta degli enti pubblici e sulle escalation.
9) Connetti alert «vendor _ location _ changed».

Settimana 4

10) Rilascio completo; dashboard KPI/KRI e TIA-Review trimestrali.
11) CAPE secondo le scoperte; piano v1. 1 è un analista/diff federale. la privacy nei rapporti.
12) Test offboarding di un venditore: rimozione/crypto-shred, conferma.

17) Sezioni interconnesse

Localizzazione dei dati per giurisdizione

Eliminazione e anonimato dei dati/Grafici di conservazione e eliminazione

GDPR Gestione del consenso/Cookies e CMP

Privacy by Design / DSAR

Crittografia At Rest/In Transit, KMS/BYOK/HYOK

Dashboard compilazione e monitoraggio/Verifiche interne ed esterne