Le Clausole Contrattuali Standard (SCC) sono termini legali preapprovati che le organizzazioni aggiungono ai contratti quando i dati personali lasciano l'Unione Europea. Impegnano il mittente e il destinatario a specifici obblighi in materia di privacy, sicurezza e trasferimento, contribuendo a rendere lecito il trasferimento anche quando il paese di destinazione non dispone di una decisione di adeguatezza dell'UE.
Nella sicurezza informatica, le SCC sono importanti perché molti servizi cloud, SaaS, di analisi e di intelligenza artificiale elaborano dati dell'UE in altre giurisdizioni. Sono una soluzione di ripiego comune quando un quadro di trasferimento diventa incerto o non è disponibile. Le SCC non proteggono i dati da sole; funzionano insieme a controlli tecnici e organizzativi come la crittografia, la limitazione degli accessi, la registrazione dei log, la due diligence sui fornitori e la risposta agli incidenti. In pratica, i difensori utilizzano le SCC come parte della governance dei trasferimenti, mentre gli attaccanti possono sfruttare una supervisione debole dei terzi, una cattiva gestione dei subfornitori o una condivisione dei dati troppo ampia per aumentare l'esposizione. Se il contratto e i controlli di sicurezza effettivi non coincidono, il trasferimento può essere fragile sia dal punto di vista legale sia operativo.