La settimana in cui «conforme al GDPR» ha smesso di essere sufficiente
Di Zanket GroupPubblicato: 7 luglio 2026
In breve
Il 29 giugno 2026, la Corte Suprema degli Stati Uniti ha stabilito che la legge che limitava la possibilità del presidente di rimuovere i commissari della Federal Trade Commission violava il principio costituzionale della separazione dei poteri. La decisione conta ben oltre la FTC stessa: l’Unione europea si basa in parte sull’esistenza di una supervisione indipendente negli Stati Uniti quando valuta se i dati personali europei possano essere trasferiti a società statunitensi partecipanti nell’ambito dell’EU-US Data Privacy Framework.
Il framework non è scomparso da un giorno all’altro. Rimane formalmente in vigore finché non viene ritirato o annullato.
Ma la sentenza ha riaperto una domanda che sembrava relativamente definita:
Quanto può l’Europa fare affidamento sull’indipendenza dei regolatori statunitensi nel valutare le tutele applicate ai dati trasferiti oltre Atlantico?
Il 30 giugno, l’organizzazione per la privacy noyb ha chiesto alla Commissione europea di preparare una revoca ordinata dell’attuale decisione di adeguatezza, sostenendo che la sentenza mette in discussione una delle ipotesi importanti su cui essa si basa. noyb ha inoltre riconosciuto esplicitamente che, per il momento, la decisione resta legalmente in vigore.
Questa distinzione è importante.
Non è una storia in cui i trasferimenti di dati tra UE e Stati Uniti sono diventati improvvisamente illegali.
È una storia in cui una base giuridica è tornata a essere incerta.
Per ExtMoney, questa incertezza riguarda molto meno i dati finanziari principali, perché abbiamo progettato intenzionalmente il prodotto affinché la maggior parte di essi non debba attraversare l’Atlantico.
Ma cosa è successo realmente?
Dal 2023, l’EU-US Data Privacy Framework offre un meccanismo di adeguatezza che consente il trasferimento di dati personali dall’UE alle aziende statunitensi partecipanti senza dover predisporre un meccanismo distinto per ogni singolo trasferimento.
Una parte di questo sistema riguarda l’applicazione delle regole.
Le aziende statunitensi partecipanti assumono impegni in materia di privacy e organismi come la Federal Trade Commission hanno responsabilità di enforcement. L’indipendenza conta perché il diritto europeo sulla protezione dei dati attribuisce grande importanza a una supervisione efficace e indipendente.
Poi è arrivato Trump v. Slaughter.
Il 29 giugno 2026, la Corte Suprema ha stabilito che la protezione legale che consentiva di rimuovere i commissari della FTC solo per giusta causa era contraria al principio costituzionale della separazione dei poteri. In pratica, questo conferisce al presidente un controllo molto maggiore sulla permanenza in carica dei commissari FTC.
Il giorno successivo, noyb ha scritto alla Commissione europea sostenendo che ciò crea un problema serio per il quadro UE–USA e chiedendo un percorso ordinato verso la revoca della decisione di adeguatezza.
Questo non significa che la Corte Suprema abbia invalidato l’EU-US Data Privacy Framework.
Non lo ha fatto.
E non significa nemmeno che un’azienda europea non possa improvvisamente più utilizzare un cloud provider statunitense.
Ciò che è cambiato è il livello di certezza dietro una frase che era diventata quasi di routine:
“Ci affidiamo all’EU-US Data Privacy Framework.”
Oggi quella frase non suona più così stabile e definitiva come un mese fa.
E non è la prima volta.
Safe Harbor è stato invalidato nel 2015. Privacy Shield è seguito nel 2020. Ora, poco più di dieci anni dopo la prima di quelle decisioni, l’architettura giuridica che sostiene i flussi di dati transatlantici torna ad affrontare una questione seria.
Perché non abbiamo costruito ExtMoney attorno a quel ponte
L’infrastruttura principale di ExtMoney gira su server in Germania.
Per le parti del prodotto in cui vive realmente la tua storia finanziaria — transazioni, conti, saldi, debiti e calcoli del patrimonio netto — la nostra architettura predefinita mantiene i dati in Europa.
Questo significa che non abbiamo bisogno di un meccanismo di trasferimento transatlantico solo per memorizzare il saldo del tuo conto o calcolare il tuo patrimonio netto.
È qui che due espressioni spesso trattate come equivalenti si rivelano in realtà molto diverse:
Conforme al GDPR
e
Ospitato nell’UE
La conformità al GDPR riguarda il trattamento dei dati secondo i requisiti legali applicabili.
La residenza dei dati risponde a una domanda diversa e molto più semplice:
Dove si trovano realmente i dati?
Una cosa non sostituisce l’altra.
L’hosting nell’UE non rende automaticamente un servizio conforme al GDPR, e la conformità al GDPR non significa necessariamente che ogni byte rimanga all’interno dell’Europa.
Ma mantenere in Europa i dati finanziari principali riduce fin dall’inizio il numero di trasferimenti internazionali che richiedono una giustificazione giuridica e tecnica separata.
È questa la differenza che ci interessa.
Non abbiamo bisogno dei tuoi dati finanziari per guadagnare
L’architettura della privacy inizia molto prima della crittografia.
Inizia dal modello di business.
ExtMoney guadagna tramite abbonamenti.
Non tramite pubblicità.
Non vendendo accesso ai tuoi modelli di spesa.
Non creando profili pubblicitari a partire da ciò che acquisti.
Non costruendo silenziosamente un secondo modello di business attorno al tuo comportamento finanziario.
Questo conta perché gli incentivi di prodotto diventano prima o poi decisioni di ingegneria.
Se raccogliere un’altra categoria di dati non serve alla funzione richiesta dall’utente — e non esiste un’attività pubblicitaria pronta a sfruttarli in seguito — abbiamo molti meno motivi per raccoglierli.
Il nostro obiettivo è quindi semplice:
Raccogliere ciò che serve al prodotto. Proteggerlo correttamente. Conservarlo solo finché esiste un motivo per farlo.
Dietro questo principio ci sono misure di sicurezza volutamente poco spettacolari:
- TLS 1.3 per i dati in transito;
- crittografia AES-256 per i backup;
- backup conservati separatamente dall’infrastruttura principale;
- autenticazione a due fattori;
- nessuna telemetria pubblicitaria nascosta costruita attorno al comportamento finanziario.
Nessuna di queste è una funzione magica per la privacy.
È proprio questo il punto.
Una buona sicurezza è normalmente fatta di livelli semplici, ognuno dei quali svolge bene un compito.
Alcuni dati attraversano comunque l’Atlantico
Potremmo fermare qui l’articolo e lasciare intendere che ogni byte gestito da ExtMoney rimanga permanentemente in Europa.
Sarebbe una storia di marketing più pulita.
Ma non sarebbe vera.
Alcune funzioni di ExtMoney traggono reale beneficio dai grandi modelli linguistici, incluse alcune parti dell’analisi finanziaria assistita dall’IA. A seconda del fornitore utilizzato, parte di questa elaborazione può quindi avvenire al di fuori dell’UE.
Per questo la nostra affermazione utile sulla privacy non è:
“I tuoi dati non lasciano mai l’Europa.”
Ma:
“Sappiamo esattamente quando succede, perché succede e cosa inviamo.”
Quando è necessario un elaboratore esterno, applichiamo diverse regole.
1. Il fornitore viene dichiarato
Gli elaboratori esterni devono essere identificati come sub-responsabili, insieme al motivo per cui ricevono i dati.
“Partner fidati” non è una risposta utile alla domanda:
Chi può realmente elaborare le mie informazioni?
2. Non ci affidiamo ciecamente a un solo meccanismo di trasferimento
Le Clausole Contrattuali Standard sono uno strumento distinto previsto dal GDPR e possono essere utilizzate per determinati trasferimenti fuori dallo SEE.
Tuttavia, non rendono automaticamente sicuro ogni trasferimento e non eliminano la necessità di valutarne le circostanze concrete e, quando necessario, applicare garanzie supplementari.
È una distinzione importante.
L’obiettivo non è trovare una formula legale che ci permetta di smettere di pensare al problema.
L’obiettivo è minimizzare prima il trasferimento, quindi applicare le protezioni giuridiche e tecniche appropriate a ciò che resta.
3. I dati vengono minimizzati prima di uscire
Un modello di IA esterno in genere non ha bisogno di sapere chi sei per svolgere il compito che gli abbiamo richiesto.
Le informazioni identificative possono quindi essere sostituite con token opachi prima che la richiesta lasci la nostra infrastruttura.
Per esempio:
Eugene Kononenko → USER_7F21
Il modello esterno vede il token.
La corrispondenza tra quel token e il valore reale rimane sotto il nostro controllo.
Quando la risposta ritorna, il valore originale può essere riassociato localmente quando necessario.
Questa è tokenizzazione/pseudonimizzazione, non l’affermazione che il processore esterno non riceva affatto informazioni sensibili.
Il principio è più semplice:
Se un processore non ha bisogno di un’informazione per fare il proprio lavoro, non inviarla.
Il consenso non è una casella. È una ricevuta.
Una privacy policy che dice:
“Chiediamo il tuo consenso.”
è una promessa.
Un sistema che può rispondere:
- a cosa hai acconsentito;
- quando hai acconsentito;
- quale versione del testo hai visto;
- a quale funzione si applicava quel consenso;
fornisce una ricevuta.
Abbiamo costruito ExtMoney attorno a questo secondo modello.
Gli eventi di consenso per funzioni come:
- elaborazione vocale;
- scansione delle ricevute;
- insight assistiti dall’IA;
- marketing;
vengono registrati in una cronologia append-only dei consensi collegata al testo mostrato in quel momento.
È importante perché il linguaggio della privacy cambia.
Sei mesi dopo, la domanda utile non è:
“Cosa dice oggi la nostra schermata di consenso?”
Ma:
“A cosa ha acconsentito esattamente questo utente in quella data?”
Sono due domande molto diverse.
Dire no dovrebbe significare davvero no
Il consenso deve anche modificare il comportamento del prodotto.
Se un utente disattiva una funzione IA opzionale, ciò non dovrebbe significare:
“Spegnere il pulsante ma continuare più o meno la stessa elaborazione in background.”
Significa che l’elaborazione IA opzionale si interrompe.
Questo non significa che ogni funzione utile debba sparire.
Ad esempio, il rilevamento delle anomalie di ExtMoney può funzionare con metodi statistici senza richiedere un LLM. L’IA può aggiungere un ulteriore livello di spiegazione o interazione, ma la funzione di base non deve dipendere da essa.
È un principio di prodotto importante:
Le scelte sulla privacy non devono essere scelte finte.
Un utente dovrebbe poter rifiutare un livello di elaborazione opzionale e continuare ad avere un prodotto utile.
Quattro domande sulla privacy da fare a qualsiasi app finanziaria
1. Dove si trovano realmente i dati?
Non fermarti a:
“Siete conformi al GDPR?”
Chiedi:
“Dove vengono memorizzate le mie transazioni e i dati dei miei conti?”
Entrambe le domande sono importanti, ma rispondono a cose diverse.
2. Come guadagna l’azienda?
Una privacy policy dice cosa un’azienda promette di fare.
Il modello di business mostra ciò che ha un incentivo economico a fare.
Chiedi se il prodotto è finanziato tramite:
- abbonamenti;
- pubblicità;
- commissioni di referral;
- vendita di prodotti finanziari;
- dati comportamentali;
- o una combinazione di questi modelli.
Nessuna di queste opzioni dimostra automaticamente buone o cattive pratiche di privacy.
Ma dovresti conoscere la risposta.
3. Cosa succede quando rifiuto una funzione opzionale?
Se rifiuti l’elaborazione IA, i dati smettono di essere inviati al fornitore IA?
Se revochi il consenso marketing, il trattamento marketing si interrompe?
Il comportamento del prodotto dopo il tuo “no” dice più del design del pulsante del consenso.
4. Chi sono i sub-responsabili?
Chiedi i nomi.
Chiedi cosa fa ognuno.
Quali dati riceve.
Dove avviene il trattamento.
Una risposta concreta è più utile di un paragrafo sui “partner fidati accuratamente selezionati”.
Dove limitiamo consapevolmente le nostre stesse affermazioni
Il marketing sulla privacy diventa pericoloso quando ogni decisione architetturale viene presentata come una garanzia assoluta.
Per questo ci sono alcune cose che vogliamo dire chiaramente.
Non siamo avvocati
Nulla di quanto scritto qui costituisce consulenza legale.
Il quadro normativo dei trasferimenti internazionali può cambiare, e le nostre pratiche di compliance dovranno evolvere di conseguenza.
Abbiamo progettato l’architettura per ridurre le dipendenze non necessarie dai trasferimenti internazionali.
Non sosteniamo che questo renda ExtMoney immune da futuri cambiamenti normativi.
Parte dell’elaborazione continua a lasciare l’UE
È vero ancora oggi.
La distinzione utile è che cerchiamo di rendere questi trasferimenti:
- necessari;
- limitati;
- dichiarati;
- minimizzati;
- protetti dal meccanismo di trasferimento e dalle garanzie appropriate.
Preferiamo spiegare le eccezioni invece di nasconderle dietro uno slogan più pulito.
L’hosting nell’UE non equivale a privacy perfetta
Mantenere i dati principali in Germania elimina parte della complessità transfrontaliera non necessaria.
Ma non risolve ogni problema di privacy o sicurezza.
Un cattivo controllo degli accessi su un server in Germania resta un cattivo controllo degli accessi.
Cattive pratiche di conservazione dei dati in Europa restano cattive pratiche di conservazione.
La residenza dei dati è un livello.
Non è l’intero sistema.
Un registro append-only del consenso non impone da solo buone decisioni
Registrare correttamente il consenso fornisce una prova di ciò che è accaduto.
Ma l’ingegneria deve comunque verificare quel consenso nei punti giusti del sistema.
Un buon schema rende possibile un comportamento corretto.
Non sostituisce la disciplina.
ExtMoney è nuovo
Qui descriviamo l’architettura che abbiamo costruito e i principi alla base.
Non è ancora un’affermazione supportata da dieci anni di operatività o da anni di controllo normativo su larga scala.
Vale la pena dirlo apertamente.
“Conforme al GDPR” conta ancora. Semplicemente non è tutta la domanda.
La lezione dell’attuale dibattito sui trasferimenti di dati tra UE e Stati Uniti non è che la conformità al GDPR sia improvvisamente diventata inutile.
Non lo è.
La lezione è che:
le etichette di conformità da sole non dicono abbastanza su come un’app finanziaria tratta realmente i tuoi dati.
Dovresti poter chiedere anche:
Dove vengono conservati?
Quando lasciano quella sede?
Chi li riceve?
Perché ne hanno bisogno?
Cosa succede quando dico no?
Come guadagna l’azienda?
Queste risposte descrivono la vera architettura di privacy dietro la pagina della privacy policy.
Per ExtMoney, l’obiettivo è semplice:
Ospitare per impostazione predefinita nell’UE i dati finanziari principali. Essere finanziati dagli abbonamenti anziché dai dati degli utenti. Dichiarare chiaramente dove l’elaborazione esterna resta necessaria. E conservare una registrazione di ciò a cui l’utente ha realmente acconsentito — non solo una casella che dice che lo ha fatto.
È lo standard verso cui stiamo costruendo.
E se vuoi sapere come funziona tecnicamente qualsiasi parte di tutto questo, chiedi. Possiamo andare più a fondo.