Perché l'Irlanda guida l'enforcement europeo
La Data Protection Commission (DPC) irlandese è l'autorità capofila per la maggior parte delle grandi aziende tech europee. Non è un caso.
Il basso regime fiscale irlandese ha attirato Apple, Google, Meta, LinkedIn e TikTok, che vi hanno stabilito le loro sedi europee principali.
L'Articolo 60 del GDPR designa la DPC come autorità capofila per queste aziende. Da ciò derivano tre conseguenze immediate.
Prima: un reclamo presentato in Germania contro Facebook viene gestito dalla DPC irlandese, non dal BfDI tedesco. Seconda: la DPC collabora con le altre autorità europee sui casi transfrontalieri. Terza: una decisione della DPC contro Meta si applica all'intera UE.
Il risultato è chiaro: la DPC ha emesso più sanzioni in valore di tutte le altre autorità europee messe insieme. Consulta la nostra panoramica sulla conformità GDPR per capire come questo incide sulle scelte di fornitura.
Tre sanzioni che definiscono il 2024–2025
€530 milioni contro TikTok (maggio 2025): Ingegneri cinesi avevano accesso ai dati degli utenti europei. Questo ha violato gli Articoli 44–46 del GDPR, che disciplinano i trasferimenti verso paesi privi di una decisione di adeguatezza europea — come la Cina. TikTok sosteneva di disporre di controlli adeguati. La DPC ha concluso che non era così.
€310 milioni contro LinkedIn (ottobre 2024): LinkedIn si affidava all'"interesse legittimo" per la profilazione comportamentale. La DPC ha ritenuto questa base invalida: il trattamento non era necessario per la finalità dichiarata e la verifica di bilanciamento non era a favore di LinkedIn.
€251 milioni contro Meta (novembre 2024): La violazione di Facebook del 2018 non era stata notificata alla DPC nei tempi previsti. L'autorità ha inoltre rilevato che la scarsa qualità dei log di audit rendeva impossibile misurare la portata dell'esposizione.
Queste tre sanzioni si aggiungono alla precedente multa da €1,2 miliardi a Meta del maggio 2023, anch'essa emessa dalla DPC per trasferimenti illeciti UE-USA — la più grande sanzione GDPR mai comminata.
Nel 2024 la DPC ha gestito oltre 8.500 casi transfrontalieri. Consulta la nostra pagina sulla sicurezza e conformità per vedere come l'architettura zero-knowledge risponda a ciascuna delle violazioni riscontrate.
Cosa rivela ciascuna sanzione
Violazioni relative ai trasferimenti internazionali
Tutte e tre le sanzioni condividono un problema centrale: i dati personali erano accessibili a personale in paesi privi di protezioni equivalenti a quelle europee.
La multa a TikTok è diretta: i file degli utenti UE erano accessibili a ingegneri cinesi nonostante i controlli dichiarati.
Implicazione per la selezione dei fornitori: Verificare se i tecnici al di fuori dell'UE possono accedere ai dati degli utenti europei. Un fornitore può avere server a Dublino e tuttavia esporre dati europei tramite personale di supporto con sede negli USA. La residenza nell'UE dei server da sola non è sufficiente. La nostra guida alle entità trattate mostra come i controlli di accesso si mappano sull'Articolo 46 del GDPR.
Violazioni della base giuridica
La multa a LinkedIn non riguardava una violazione dei dati, bensì la giustificazione del trattamento.
L'"interesse legittimo" non è un diritto automatico. I titolari devono documentare un test di bilanciamento genuino, che dimostri la prevalenza del loro interesse rispetto ai diritti degli utenti. La nostra pagina sulla conformità illustra come verificare le basi giuridiche dichiarate dai fornitori.
Violazioni di logging e notifica
La multa da €251 milioni a Meta include un rilievo fondamentale: la scarsa qualità dei log di audit rendeva impossibile misurare la portata della violazione.
L'Articolo 33 del GDPR richiede la notifica della violazione entro 72 ore, includendo la portata dei dati coinvolti. Non puoi notificare ciò che non puoi misurare.
Ai potenziali fornitori occorre chiedere della struttura dei loro log di audit. Se un fornitore non è in grado di rispondere alla domanda "quali dati erano esposti?" dopo un incidente, non soddisfa i requisiti dell'Articolo 33(3)(b).
Il pattern nei casi DPC
Analizzando le quattro principali sanzioni DPC emerge un pattern comune: i regolatori intervengono contro progettazioni in cui i tecnici del fornitore possono accedere ai contenuti degli utenti. Ogni grande sanzione ha riguardato accessi scarsamente controllati a dati personali.
L'architettura zero-knowledge risponde direttamente al problema centrale in ciascun caso. I contenuti degli utenti sono crittografati. Il fornitore non detiene le chiavi di decrittazione.
Nei casi TikTok e Meta sui trasferimenti, i tecnici al di fuori dell'UE raggiungono il server ma vedono solo testo cifrato: nessun dato leggibile è esposto. Nel caso Meta sulla violazione, un'eventuale compromissione completa del server non produce nulla di utilizzabile — la portata della violazione si riduce. Nel caso LinkedIn, un fornitore che non vede mai il testo in chiaro non può utilizzarlo per l'analisi comportamentale.
Questa è la risposta diretta a ciascun provvedimento della DPC. Consulta la nostra panoramica sulla sicurezza per i dettagli, o la dichiarazione del fondatore sul perché anonym.legal è stata progettata così fin dal primo giorno.
Cosa significa "sede principale"
Alcune aziende strutturano la propria presenza europea per controllare quale autorità abbia giurisdizione. La posizione della DPC è rilevante in questo contesto.
La "sede principale" non è solo un indirizzo societario: è il luogo in cui risiede la gestione europea centrale. Per i titolari del trattamento, è il luogo in cui vengono prese le decisioni sulle finalità del trattamento.
Un'azienda con un team privacy a Londra potrebbe non avere una sede principale nell'UE. In tal caso, le autorità di ciascuno Stato membro potrebbero rivendicare competenza per i reclami locali.
Domande per la valutazione dei fornitori
Utilizza queste domande per valutare i fornitori SaaS che trattano dati personali.
Giurisdizione e accesso:
- Dove si trova la sede principale europea del fornitore?
- Il personale al di fuori dell'UE può accedere ai dati degli utenti europei nel normale svolgimento delle attività?
- La società madre del fornitore è soggetta al CLOUD Act statunitense o alle leggi sulla sicurezza cinesi?
Progettazione tecnica:
- I contenuti degli utenti UE rimangono su server con sede nell'UE?
- Il fornitore detiene le chiavi di crittografia o le detiene il cliente?
- I log di audit sono sufficientemente dettagliati da misurare la portata di una violazione?
Documentazione sui trasferimenti:
- Quale meccanismo ai sensi dell'Articolo 46 del GDPR copre i flussi UE-USA?
- Il fornitore ha effettuato un Transfer Impact Assessment?
- Quali misure tecniche aggiuntive sono state adottate?
L'enforcement della DPC è costante su un punto: anche le aziende con team privacy e DPO ricevono sanzioni elevate quando la loro progettazione tecnica non corrisponde alle dichiarazioni. Consulta i nostri casi di studio e le FAQ per ulteriori informazioni.
anonym.legal utilizza i server europei di Hetzner con architettura zero-knowledge. I server conservano solo testo cifrato AES-256-GCM. Una violazione completa non espone dati leggibili. La Desktop App elabora tutti i contenuti sul dispositivo dell'utente senza connessioni esterne.
Fonti
- DPC irlandese — Decisioni di enforcement ufficiali — VERIFIED-EXTERNAL
- EDPB — Meccanismo dello sportello unico — VERIFIED-EXTERNAL
- Testo GDPR — Articoli 33, 44–46, 60 — VERIFIED