Privacy dei dati marittimi: GDPR, Schrems II e l'onere di conformità per gli armatori

Nel settore dello shipping la conformità privacy è spesso trattata come una formalità di back office, una pagina del sistema di gestione della sicurezza firmata una volta l'anno. È un assunto sempre più difficile da difendere. Una nave commerciale moderna è un emettitore continuo di dati: i fascicoli dell'equipaggio passano alle agenzie di reclutamento, le cartelle mediche alle autorità sanitarie portuali, gli identificativi biometrici ai sistemi di immigrazione, la telemetria ai costruttori dei motori, le rotte ECDIS ai noleggiatori, e le registrazioni della videosorveglianza restano su un DVR che nessuno ha mai documentato. Ognuno di questi flussi è un trattamento di dati personali ai sensi del Regolamento UE 2016/679 (GDPR), e la maggior parte di essi attraversa almeno un confine prima di pranzo.

Questo articolo è scritto per chi il problema lo possiede davvero dentro un armatore: il responsabile della protezione dei dati (RPD/DPO), il CISO, il fleet manager che firma i contratti, l'ufficio legale interno che li rivede. L'obiettivo non è ripetere il testo del GDPR ma mapparlo sulla realtà operativa dello shipping commerciale nel 2026, dove la sentenza Schrems II, le nuove Clausole Contrattuali Tipo, l'EU Data Act e un crescente numero di deroghe nazionali hanno reso il terreno giuridico decisamente più impegnativo rispetto a cinque anni fa.

Quali dati si muovono davvero in un'operazione marittima commerciale

Prima di qualunque analisi giuridica, conviene inventariare ciò che effettivamente viene trattato su una linea, un traghetto o un tramper tipico. La lista è più lunga di quanto la maggior parte degli armatori si aspetti.

• Dati amministrativi dell'equipaggio: nome completo, data di nascita, nazionalità, numero del passaporto e del libretto di navigazione, prossimo congiunto, IBAN, residenza fiscale, condizioni contrattuali.
• Dati appartenenti a categorie particolari ex articolo 9 GDPR: visite mediche di idoneità, vaccinazioni, esiti dei test antidroga e antialcol, restrizioni dietetiche che rivelano la religione, iscrizione a un'organizzazione sindacale dove si applica la contrattazione collettiva ai sensi della MLC 2006.
• Dati biometrici: immagini del volto e impronte digitali per le tessere di identificazione del marittimo, per il controllo accessi ISPS e, sempre più spesso, per i chioschi di immigrazione portuale.
• Dati di noleggiatori e caricatori: contatti, titolarità effettiva raccolta per lo screening sanzioni, manifesti di carico che possono identificare destinatari nominati.
• Dati dei passeggeri per gli operatori traghetti: API e PNR ai sensi della Direttiva UE 2004/82 e della Direttiva UE 2016/681, oltre allo storico degli acquisti a bordo.
• Telemetria operativa che diventa dato personale: registrazioni VDR vocali, CCTV, audio di plancia, dispositivi di monitoraggio della fatica, log di gestione macchina riconducibili a un ufficiale di guardia.

La domanda decisiva per ciascun flusso è se l'armatore agisca come titolare o come responsabile del trattamento. Un armatore che gestisce in proprio una piattaforma di crewing è titolare per i dati dell'equipaggio. Un operatore di traghetti che trasmette API a un'autorità di frontiera estera è un titolare che trasferisce a un altro titolare. Un armatore mercantile che usa una piattaforma di manutenzione di terzi capace di leggere telemetria associata a ufficiali nominati è titolare con un responsabile, e ha bisogno dell'accordo ex articolo 28. Non sono distinzioni accademiche: determinano chi risponde all'interessato, chi notifica al Garante e chi paga la sanzione.

Il nodo delle categorie particolari

Le cartelle dell'equipaggio sono insolitamente ricche di dati ex articolo 9. Le visite mediche preassuntive sono obbligatorie per la STCW e per lo Standard A1.2 della MLC 2006. Le vaccinazioni sono richieste per molte rotte. Il drug and alcohol testing è contrattuale per la maggior parte delle bandiere. Le preferenze alimentari religiose e la composizione del nucleo familiare compaiono di routine nei manifesti di catering e nei moduli del prossimo congiunto. Gli identificativi biometrici, una volta una curiosità, sono oggi standard in qualunque porto che abbia digitalizzato l'immigrazione.

Sotto il GDPR la regola generale è che il trattamento di queste categorie è vietato salvo che ricorra una base specifica ex articolo 9, paragrafo 2. Le basi più rilevanti per lo shipping sono il consenso esplicito (lett. a, raramente sostenibile in ambito di lavoro per lo squilibrio di potere), gli obblighi in materia di lavoro e sicurezza sociale (lett. b), la tutela di interessi vitali (lett. c), l'interesse pubblico rilevante fondato sul diritto interno (lett. g) e la medicina preventiva del lavoro (lett. h). Quasi tutti gli operatori si appoggeranno alla lett. b per le visite e per i biometrici legati all'ISPS, ma quella base regge solo se l'obbligo sottostante è ancorato al diritto dell'Unione o nazionale e il trattamento è proporzionato. La documentazione conta: la valutazione d'impatto sulla protezione dei dati ex articolo 35 non è facoltativa per il monitoraggio sistematico dei marittimi o per l'identificazione biometrica, e diversi Garanti, fra cui il Garante per la protezione dei dati personali italiano, lo hanno reso esplicito.

Trasferimenti transfrontalieri: bandiera, scalo, noleggiatore

Un singolo viaggio può portare la stessa cartella di un marittimo attraverso cinque giurisdizioni in una settimana. Il marittimo viene assunto tramite agenzia nelle Filippine, contrattualizzato da una single-ship maltese, imbarcato su una nave battente bandiera liberiana, in scalo a Marsiglia e noleggiata a una controparte con sede a Singapore. Ognuno dei passaggi può essere un trasferimento ai sensi del Capo V.

La struttura da applicare è quella degli articoli da 44 a 49 del GDPR. Un trasferimento verso un Paese coperto da decisione di adeguatezza (Regno Unito, Svizzera, Giappone, Corea del Sud, EU-US Data Privacy Framework finché in vigore) non richiede ulteriori strumenti. Un trasferimento verso qualunque altro Paese richiede una garanzia ex articolo 46, in pratica le Clausole Contrattuali Tipo del 2021 (Decisione di esecuzione UE 2021/914), integrate ove necessario da misure tecniche e organizzative supplementari. Le deroghe ex articolo 49 esistono ma sono di stretta interpretazione e non possono essere usate in modo sistematico.

Il problema operativo nello shipping è che la catena contrattuale raramente coincide con la catena dei dati. Il charter party può essere governato dal diritto inglese, il contratto di arruolamento dal diritto filippino, l'amministrazione di bandiera può tenere un proprio registro dei marittimi, e il porto di scalo può imporre la disclosure in base alla propria legge sull'immigrazione. L'armatore deve conoscere, documentare e giustificare ogni trasferimento separatamente.

Schrems II nel contesto dello shipping

La sentenza della Corte di giustizia Data Protection Commissioner contro Facebook Ireland e Maximillian Schrems (causa C-311/18, 16 luglio 2020) non ha perso rilevanza per via dell'EU-US Data Privacy Framework. Il ragionamento si applica ogni volta che i dati lasciano lo Spazio Economico Europeo, e le Raccomandazioni 01/2020 dell'EDPB sulle misure supplementari restano la mappa operativa. Per un armatore le implicazioni pratiche sono concrete.

• Le valutazioni d'impatto sul trasferimento sono obbligatorie verso destinazioni non adeguate. L'analisi deve guardare al diritto del Paese di destinazione, comprese le norme sull'accesso governativo, e non solo alle SCC contrattuali.
• Le misure supplementari tipiche sono cifratura con chiavi conservate nel SEE, pseudonimizzazione, architetture a elaborazione frammentata e impegni contrattuali a contestare le richieste di accesso.
• I sub-responsabili contano quanto i responsabili diretti. Una piattaforma di crewing ospitata a Francoforte ma con supporto da una società statunitense con accesso remoto, in sostanza, esporta i dati.

Niente di tutto questo è esclusivo dello shipping, ma la natura multinazionale degli equipaggi e il coinvolgimento ricorrente di noleggiatori extra-SEE rendono l'analisi più frequente e meno evitabile che in molti altri settori.

Perché la residenza dei dati in UE conta davvero

Residenza dei dati e protezione dei dati non coincidono, e il solo hosting in UE non risolve un problema Schrems II se una capogruppo extra-SEE può essere costretta a produrli. Ma la residenza nell'Unione resta una prima linea di difesa significativa per gli operatori europei. Riduce la superficie dei trasferimenti, semplifica le valutazioni d'impatto e si allinea alle aspettative dei Garanti, dal Garante per la protezione dei dati personali italiano alla CNIL francese, dall'AEPD spagnola all'olandese Autoriteit Persoonsgegevens, tutte autorità che hanno pubblicato indicazioni a favore del trattamento entro il SEE per i dati di lavoro sensibili.

L'EU Data Act, applicabile dal 12 settembre 2025, aggiunge un'altra dimensione. Conferisce agli utenti di prodotti connessi, inclusi gli asset industriali, diritti di accesso e portabilità sui dati che generano. Per gli armatori significa una leva più chiara sui dati di motore e di equipaggiamento detenuti dai costruttori, ma comporta anche obblighi quando l'armatore stesso detiene dati per conto altrui. Un'infrastruttura europea semplifica l'attuazione di quei diritti.

La tassa di frammentazione

La maggior parte degli armatori con cui parliamo gestisce tra quattro e otto sistemi digitali distinti che toccano dati personali: una piattaforma di crewing o HR, un planned maintenance, un portale acquisti, uno strumento di port call, un voyage performance, talvolta un payroll separato, talvolta una piattaforma medica separata. Presi singolarmente sono gestibili. Insieme producono quella che chiamiamo la tassa di frammentazione.

• Cinque fornitori significano cinque accordi sul trattamento, ciascuno con un proprio elenco di sub-responsabili, una propria clausola di notifica delle violazioni e un proprio diritto di audit.
• Cinque elenchi di sub-responsabili da monitorare. Molti armatori scoprono solo dopo un incidente che un responsabile ha cambiato regione cloud sei mesi prima.
• Cinque catene di notifica delle violazioni. L'articolo 33 obbliga il titolare a notificare al Garante entro settantadue ore. Se il responsabile impiega quarantotto ore a informarvi, ne avete ventiquattro.
• Cinque set di log di accesso da riconciliare quando un interessato esercita un diritto ex articoli da 15 a 22.
• Cinque baseline di sicurezza diverse, spesso con basi di evidenza non comparabili. ISO 27001 in un fornitore, SOC 2 in un altro, un'autodichiarazione non auditata in un terzo.

La tassa di frammentazione non si paga in sanzioni. Si paga in ore del DPO, in parcelle legali, in progetti rallentati e nella lenta erosione della certezza che l'armatore sappia davvero dove vivono i dati del proprio equipaggio.

Una checklist operativa per gli armatori

Quello che segue è ciò che assomiglia a un programma credibile nel 2026. Niente di tutto questo è facoltativo sotto il GDPR, ma la profondità delle evidenze richieste cresce con la sensibilità dei dati e la dimensione dell'operazione.

1. Tenere un registro dei trattamenti completo ex articolo 30, con ciascun flusso di equipaggio, noleggiatore e telemetria elencato, base giuridica individuata, periodo di conservazione fissato e destinatari indicati. Aggiornare a ogni nuovo fornitore.
2. Effettuare una DPIA per ogni monitoraggio sistematico dei marittimi, trattamento biometrico, fatigue tracking o trattamento su larga scala di categorie particolari. Consultare l'autorità di controllo quando il rischio residuo è elevato.
3. Eseguire valutazioni d'impatto sui trasferimenti per ogni destinazione non adeguata, sub-responsabili compresi. Conservare l'analisi.
4. Negoziare DPA ex articolo 28 aderenti alla realtà. Pretendere hosting nel SEE per i dati sensibili, cifratura con chiavi sotto controllo dell'armatore, una procedura chiara di cambio sub-responsabili con diritto di opposizione e una notifica delle violazioni entro ventiquattro ore, non al massimo regolatorio.
5. Documentare la base giuridica per ogni trattamento ex articolo 9 e la norma interna che la fonda. Riferimenti generici alla lett. b non bastano.
6. Costruire una sola informativa per il marittimo che copra l'intero ciclo di vita dal reclutamento al rimpatrio, in lingua comprensibile, e rivederla ad ogni rinnovo contrattuale.
7. Tenere il registro dei sub-responsabili vivo, non annuale. Iscriversi alle notifiche di cambio fornitore e automatizzare il confronto dove possibile.
8. Testare il proprio breach playbook. Una tabletop l'anno, con i responsabili nella stanza, fa emergere i problemi di tempistica prima che lo faccia un incidente reale.
9. Consolidare quando si può. Ogni fornitore in meno è un DPA in meno, un elenco di sub-responsabili in meno, una catena di notifica in meno. Il consolidamento non è una decisione di procurement, è una decisione di privacy.

Come si presenta una buona postura

Un armatore con il proprio programma privacy sotto controllo riesce a rispondere a quattro domande per iscritto, in meno di una giornata di lavoro, senza panico. Dove vivono ciascuna categoria di dati di equipaggio, noleggiatori e telemetria, e sotto il controllo di chi. Qual è la base giuridica per ogni trattamento e quale norma nazionale o di un Paese terzo la sostiene. Quali trasferimenti escono dal SEE, sotto quale garanzia e con quale TIA a sostegno. Come verrebbe rilevata, contenuta e comunicata al Garante entro settantadue ore una violazione, e ai marittimi interessati senza ingiustificato ritardo.

Se quelle quattro risposte sono pulite, il resto della macchina GDPR, dalle istanze degli interessati al registro dei trattamenti, tende a comporsi da sé. Se non lo sono, nessuna mole di documentazione di policy può sostituire l'architettura dei dati sottostante.

Come SupaMaritime affronta il problema

SupaMaritime è costruita per gli operatori commerciali europei che vogliono meno fornitori, infrastruttura residente in UE e una postura privacy unica sull'intera operazione. I moduli della piattaforma coprono i flussi di traghetti, mercantili e agenti portuali su un modello dati condiviso, eliminando la maggior parte dei flussi inter-sistema che alimentano la tassa di frammentazione. Hosting ed elaborazione primaria sono nel SEE, le chiavi di cifratura sono controllabili dall'armatore e i cambi di sub-responsabile vengono notificati, non sepolti in una nota. La nostra postura di sicurezza e fiducia è pubblicata su /it/security, una panoramica dell'architettura modulare su /it/modules, e i flussi dedicati su /it/ferry, /it/merchant e /it/agent. Niente di tutto questo sostituisce un DPO competente, ma rende il suo lavoro trattabile invece che eroico.