Caro Guido,
questa è una di quelle situazioni in cui mi assale il dubbio orribile di aver detto per lungo tempo, o stare per dire una sciocchezza terribile, quindi a scanso di equivoci premetto subito che quanto segue NON è una posizione ufficiale della Commissione Europea (a meno che ciò che dico non sia corretto, nel quale ovviamente lo è; funziona così a Bruxelles).
L'articolo 1(3) della GDPR (Oggetto e finalità) recita "La libera circolazione dei dati personali nell'Unione non può essere limitata né vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali"; ovviamente, nella misura in cui gli Stati Membri applichino correttamente tutte le misure previste dalla GDPR medesima!
La logica di base, per essere concreti e così come l'ho sempre capita io, è che sia la Direttiva del 1995 che la GDPR era/è volta a garantire un livello minimo di protezione in tutti gli Stati Membri dell'UE, proprio per facilitare la libera circolazione di dati (personali). Un obbligo di localizzazione dovrebbe quanto meno essere giustificato, perché si assume appunto che tutti gli Stati Membri abbiano correttamente trasposto nei propri ordinamenti nazionali, o applicato nel caso della GDPR (Regolamento, direttamente applicabile) questo "livello minimo di protezione".
Dunque la domanda secondo me dovrebbe essere capovolta: quali articoli della GDPR permettono la localizzazione dei dati personali all'interno di uno Stato Membro?
Due chiarimenti per contestualizzare quanto sopra: il primo è che ovviamente tale "divieto di localizzazione" (se effettivamente esiste! Sono curioso di leggere le opinioni degli esperti) si applicherebbe solo all'interno dell'Unione Europea. Il trasferimento di dati personali al di fuori del territorio dell'Unione segue regole differenti che sono esplicitamente indicate nel Capo V della GDPR.
Il secondo è che quanto sopra è valido ovviamente solo nella misura in cui la GDPR è applicable - lapalissiano ma a volte sfugge. Per esempio, l'articolo 2(2) chiarisce che la GDPR "
non si applica ai trattamenti di dati personali: a) effettuati per attività che non rientrano nell'ambito di applicazione del diritto dell'Unione; b) effettuati dagli Stati membri nell'esercizio di attività che rientrano nell'ambito di applicazione del titolo V, capo 2, TUE (Disposizioni specifiche sulla politica estera e di sicurezza comune)."
Di nuovo e per chiarezza, quanto sopra è la mia interpretazione personale.
Ciao,
Andrea