Lista di adeguatezza: USA esclusi

In sintesi

A Monaco la lista ufficiale dei paesi con un livello di protezione dei dati adeguato è ormai definitiva. L'Arrêté Ministériel n. 2026-548 del 30 settembre 2026 è stato pubblicato sul Journal de Monaco venerdì 16 ottobre 2026. Gli Stati Uniti non ci sono.

È questo il punto che conta di più. Gran parte dei software che le imprese monegasche usano ogni giorno proviene da aziende americane, oppure si appoggia a team di assistenza e subresponsabili con sede negli Stati Uniti: posta elettronica, suite per l'ufficio, CRM, analytics, piattaforme pubblicitarie, assistenti di intelligenza artificiale. Se dati personali della vostra impresa finiscono negli Stati Uniti, quel trasferimento non può più basarsi su una decisione di adeguatezza. Serve un'altra base giuridica, e dovete essere in grado di dimostrare quale.

Ad agosto avevamo analizzato la bozza in La lista dei paesi adeguati di Monaco. Qui vediamo cosa è cambiato nel testo finale e cosa conviene fare.

Cosa contiene la lista definitiva

Il provvedimento attua l'articolo 97 della Legge n. 1.565, la legge monegasca sulla protezione dei dati. Elenca le destinazioni verso cui i dati personali possono essere trasferiti sulla sola base dell'adeguatezza:

• tutti i 27 Stati membri dell'UE, più il Regno Unito;
• altre giurisdizioni europee: Andorra, Islanda, Liechtenstein, Norvegia, Svizzera, Guernsey, Jersey, Isola di Man e Isole Fær Øer;
• fuori dall'Europa: Argentina, Brasile, Canada, Nuova Zelanda e Uruguay;
• un'organizzazione internazionale: l'Organizzazione europea dei brevetti.

Per il Canada c'è una precisazione: l'adeguatezza si fonda sulla legge federale sulla privacy per il settore privato (PIPEDA), che riguarda le organizzazioni private che trattano dati nell'ambito di attività commerciali.

Il confronto con la bozza è la parte più interessante. Secondo l'APDP, Giappone, Corea del Sud, Israele e Stati Uniti sono stati tolti dalla lista inizialmente prevista, mentre è stata aggiunta l'Organizzazione europea dei brevetti.

Perché non è la lista europea

Molte imprese monegasche danno per scontato che la loro situazione coincida con quella francese. Questo provvedimento dimostra che è un'ipotesi rischiosa. Monaco non è uno Stato membro dell'UE, il GDPR non vi si applica automaticamente e il Principato adotta decisioni di adeguatezza proprie.

L'UE riconosce come adeguati gli Stati Uniti (tramite l'EU-US Data Privacy Framework), il Giappone, la Corea del Sud e Israele. Monaco no. Uno strumento che un'azienda di Nizza usa senza problemi può quindi richiedere passaggi in più alla sua società sorella a Monaco.

La procedura lascia inoltre alcune questioni aperte. Nella comunicazione del 19 ottobre, l'APDP riferisce che il Governo le ha fatto sapere che i documenti di lavoro alla base delle scelte di adeguatezza non le saranno trasmessi. Aggiunge che l'Organizzazione europea dei brevetti è stata inserita senza il suo parere preventivo e che ha ricevuto elementi interpretativi sulla Legge n. 1.565 di cui deve ancora valutare la portata. Potrebbero quindi arrivare ulteriori indicazioni: conviene consultare regolarmente apdp.mc.

Cosa cambia per i vostri strumenti

La domanda giusta non è più «questo strumento è conforme al GDPR?», ma «dove finiscono davvero i dati dei nostri clienti, e su quale base?».

Se la destinazione è in lista, come un data center irlandese, un hosting francese o un fornitore svizzero, il trasferimento può basarsi sull'adeguatezza. Restano valide tutte le altre regole della Legge n. 1.565: contratto con il responsabile del trattamento, misure di sicurezza, registro dei trattamenti.

Se la destinazione non è in lista, e ora questo vale per gli Stati Uniti, serve un'altra base. La Legge n. 1.565 prevede garanzie adeguate e, in casi limitati, deroghe specifiche. In passato l'APDP ha accettato trasferimenti verso gli Stati Uniti quando le garanzie contrattuali erano adattate al diritto monegasco, invece di affidarsi semplicemente alle clausole contrattuali tipo dell'UE. Quale meccanismo si applichi al vostro caso, e se serva qualche formalità presso l'APDP, dipende dal singolo trasferimento. È proprio qui che un avvocato o un DPO monegasco qualificato fa la differenza. Non improvvisate.

Due trappole da conoscere:

• «Hosting in Europa» non dice tutto. Un fornitore americano può conservare i vostri dati a Francoforte o a Dublino e consentire comunque l'accesso a personale o subresponsabili negli Stati Uniti per assistenza, sicurezza o funzioni di IA. Un accesso remoto da un paese può valere come trasferimento verso quel paese. Leggete l'elenco dei subresponsabili, non solo la pagina commerciale.
• Anche il sito web fa parte del sistema. Tag di analytics, chat, strumenti di prenotazione integrati, font e servizi per i moduli possono inviare all'estero i dati dei visitatori. Uno sviluppo web curato permette di individuarli e controllarli uno per uno.

Un piano in cinque passi

Non serve sostituire tutto il software. Serve sapere a che punto siete.

1. Censite ogni strumento che tratta dati personali: clienti, potenziali clienti, dipendenti, visitatori del sito. Partite dalle piattaforme di email marketing e CRM, che di solito ne contengono di più.
2. Annotate dove ciascuno conserva i dati e da dove vi si accede, partendo dall'accordo sul trattamento e dall'elenco dei subresponsabili. Segnalate tutto ciò che tocca Stati Uniti, Giappone, Corea del Sud, Israele o qualsiasi altro paese non in lista.
3. Verificate la base giuridica di ogni trasferimento segnalato. Assicuratevi di avere garanzie scritte valide secondo il diritto monegasco, non solo un link a una policy pensata per l'UE.
4. A parità di qualità, scegliete destinazioni in lista. Una region europea, o un fornitore europeo con assistenza europea, risolve la questione alla radice.
5. Mettete tutto per iscritto. Con la Legge n. 1.565 l'onere della prova è vostro. Un registro dei trasferimenti di una pagina, sempre aggiornato, vale molto più delle buone intenzioni.

Se la vostra impresa sta preparando anche le valutazioni d'impatto richieste entro la fine del 2027, lo stesso inventario vi servirà direttamente. Il nostro servizio di protezione dei dati APDP può aiutarvi a strutturarlo.

Cosa tenere d'occhio

La lista è destinata a essere aggiornata, e l'APDP ha fatto sapere che sta ancora valutando la posizione del Governo. Altri paesi potrebbero essere aggiunti in futuro, e la questione americana potrebbe tornare d'attualità se Monaco definisse un proprio accordo. Nel frattempo, considerate la lista attuale come la regola e organizzatevi in modo che un cambiamento vi costi un pomeriggio, non un mese.

Se volete sapere con precisione dove finiscono i dati del vostro sito e del vostro marketing, e costruire una strategia digitale che regga quando le regole cambiano, contattateci. Vi diremo con chiarezza cosa merita attenzione. Per interpretazioni vincolanti della Legge n. 1.565, rivolgetevi sempre a un consulente legale monegasco qualificato.