Monaco: l'elenco dei paesi adeguati

Un solo documento deciderà dove possono andare i vostri dati

Ogni impresa monegasca che utilizza un CRM, una piattaforma di email marketing, un hosting cloud o uno strumento di analisi trasferisce già dati personali fuori dal Principato. Secondo la legge monegasca sulla protezione dei dati, che quel trasferimento sia semplice o richieda lavoro contrattuale aggiuntivo dipende da un solo elemento: la presenza del paese di destinazione nell'elenco ufficiale dei paesi che offrono un livello di protezione adeguato.

Quell'elenco è oggi in fase di riscrittura, e il percorso non è stato lineare. Il progetto di decreto ministeriale destinato a stabilirlo è stato presentato, l'autorità monegasca per la protezione dei dati lo ha esaminato e ha sollevato obiezioni sostanziali. Finché il decreto non sarà pubblicato, le regole che vi si applicano sono più vecchie della maggior parte degli strumenti che usate.

Vale la pena capirlo adesso, perché l'esito determinerà quali fornitori saranno facili da giustificare e quali richiederanno documentazione.

Cosa prevede davvero la legge 1.565

Il quadro monegasco è la legge n. 1.565 del 3 dicembre 2024. È un regime moderno, allineato agli standard europei, ma resta diritto monegasco: Monaco non è uno Stato membro dell'Unione europea e il GDPR non si applica automaticamente alle imprese monegasche. È una distinzione che pesa ogni giorno, perché quasi tutta la consulenza sulla conformità disponibile online è scritta per società europee.

L'articolo 97 della legge 1.565 fissa il meccanismo: l'elenco dei paesi, territori e organizzazioni internazionali considerati capaci di offrire un livello di protezione adeguato è adottato con decreto ministeriale, previo parere dell'Autorité de Protection des Données Personnelles (APDP). L'elenco deve essere aggiornato regolarmente e pubblicato sia sul Journal de Monaco sia sul sito dell'APDP.

La logica è semplice. Se i dati vanno verso un paese incluso nell'elenco, il trasferimento si fonda su quel riconoscimento di adeguatezza. In caso contrario serve un'altra base: garanzie contrattuali con il fornitore, accompagnate da documentazione che dimostri la valutazione del rischio.

Perché l'APDP ha frenato

Nel maggio 2026 l'APDP ha reso il proprio parere sul progetto del Governo (deliberazione n. 2026-07 del 20 maggio 2026). Non è stata una firma di cortesia.

La critica centrale: la bozza di elenco riproduce in larga parte le decisioni di adeguatezza dell'Unione europea — con l'eccezione dell'Organizzazione europea dei brevetti — senza un'analisi autonoma che verifichi se quegli ordinamenti stranieri proteggano davvero i dati trasferiti da Monaco e le persone a cui si riferiscono. Una decisione di adeguatezza europea valuta la protezione dei dati provenienti dall'Unione. Non dice nulla, in automatico, sui dati provenienti dal Principato.

L'APDP segnala inoltre che la bozza importa le adeguatezze parziali europee — limitate a determinati settori o categorie di dati — senza chiarirne la portata nel contesto monegasco, dato che tale meccanismo parziale non esiste come tale nel diritto di Monaco. E afferma esplicitamente che, a suo giudizio, i dati trasferiti verso alcuni dei paesi inclusi nella proposta governativa non godrebbero di una protezione adeguata.

Il parere dell'APDP è consultivo e non vincolante: il decreto finale potrà seguirlo oppure no. Ma un disaccordo documentato tra Governo e autorità di controllo è un segnale — quell'elenco potrà essere rivisto, anche dopo la pubblicazione.

Cosa si applica oggi

È il punto che sfugge alla maggior parte delle imprese. In attesa della pubblicazione del nuovo decreto ministeriale, resta valido l'elenco precedente, stabilito nel 2009 dalla CCIN, l'autorità che ha preceduto l'APDP.

Un elenco redatto nel 2009 precede praticamente tutto il mercato cloud attuale. Se oggi verificate un paese di destinazione, lo confrontate quindi con un documento anteriore all'adozione di massa degli strumenti SaaS che fanno funzionare marketing, vendite e assistenza clienti — mentre il sostituto è già in cantiere.

Conseguenza pratica: non date per scontato che un fornitore adatto a una società francese o italiana lo sia automaticamente per voi. E non date per scontato che la situazione resti immutata. Verificate l'elenco in vigore sul sito dell'APDP e fatevi assistere per ogni trasferimento rilevante — qui la risposta corretta dipende davvero dal caso concreto, e tirare a indovinare non è una strategia.

Cosa significa per i vostri strumenti

Molte imprese monegasche sono più esposte di quanto credano, semplicemente perché la dotazione standard è internazionale per costruzione: una piattaforma di analisi statunitense, un servizio email americano o irlandese, un hosting cloud distribuito su più regioni, un widget di assistenza, un assistente IA che elabora i messaggi dei clienti.

Nulla di tutto ciò è problematico in sé. Il problema è non sapere dove vanno i dati. Se non sapete rispondere alla domanda «quali paesi attraversano i dati dei nostri clienti, e con quale contratto?», non potrete dimostrare la conformità qualunque versione dell'elenco entri in vigore.

È dunque il momento di mappare. Un inventario chiaro vi rende resilienti a qualsiasi cosa dirà il decreto finale e rende poco costoso il cambio di fornitore se uno di essi finisce fuori dal nuovo elenco. Vale la stessa disciplina che mantiene gestibile un sito multilingue: conoscere le proprie dipendenze prima di doverle cambiare.

Quattro cose da fare prima del decreto

Mappate i flussi di dati. Elencate ogni strumento che contiene dati di clienti o potenziali clienti, dove è ospitato e dove si trovano i suoi sub-responsabili. Lo stack di email marketing e CRM è di solito la concentrazione maggiore.

Controllate i contratti. Verificate di avere garanzie di trasferimento per iscritto con ciascun fornitore, non solo un rinvio a una pagina di policy generica. Se un paese esce dall'elenco, quei contratti diventano la vostra rete di sicurezza.

Preferite la flessibilità al lock-in. Dove esiste un'alternativa europea o ospitata a Monaco con prestazioni equivalenti, riduce l'esposizione ai cambiamenti dell'elenco senza costi strategici.

Mettetelo per iscritto. Con la legge 1.565 l'onere di dimostrare di aver valutato il trasferimento ricade su di voi. Un buon giudizio non documentato non vale nulla in sede di controllo. Un lavoro strutturato di conformità APDP costa molto meno se affrontato con calma oggi anziché d'urgenza domani.

Mettete in ordine i vostri trasferimenti

L'elenco di adeguatezza sarà pubblicato prima o poi e, viste le obiezioni dell'APDP, potrebbe risultare diverso dalla bozza. Le imprese che già sanno dove vivono i loro dati si adatteranno in un pomeriggio. Le altre passeranno settimane a ricostruire tutto sotto pressione.

Se volete aiuto per mappare i flussi di dati, rivedere il sito e gli strumenti di marketing o costruire una strategia digitale capace di reggere un cambiamento normativo, contattateci — lavoriamo ogni giorno con imprese monegasche e vi diremo con chiarezza cosa merita attenzione. Per un'interpretazione giuridica vincolante della legge 1.565, rivolgetevi a un avvocato monegasco qualificato.