Cloud Act: cosa significa davvero per un'azienda italiana
Nell'articolo precedente abbiamo distinto la residenza dei dati dalla sovranità. Il Cloud Act è la ragione per cui quella distinzione non è un esercizio teorico.
Che cos'è, in cinque righe
Il Clarifying Lawful Overseas Use of Data Act è una legge statunitense del 2018. Stabilisce che un fornitore di servizi soggetto alla giurisdizione degli Stati Uniti deve rendere disponibili alle autorità i dati che detiene o controlla, indipendentemente dal paese in cui sono fisicamente archiviati.
La formula da leggere con attenzione è "detiene o controlla". Il criterio non è la posizione del server: è il controllo societario di chi lo gestisce.
Chi ne è soggetto
Le società statunitensi e le loro controllate, ovunque abbiano sede. Un datacenter in Irlanda o in Germania gestito da una controllata europea di un gruppo americano rientra nel perimetro. Anche fornitori con una presenza commerciale rilevante negli Stati Uniti possono trovarsi nella stessa condizione.
Cosa il Cloud Act non è
Non è una licenza di accesso indiscriminato. Serve un procedimento, un mandato, una base legale. È corretto dirlo, perché il tema viene spesso raccontato in modo allarmistico.
Il problema, per un'azienda italiana, è un altro: nel procedimento il titolare del trattamento non è parte. La richiesta arriva al fornitore, non a te. E in diversi casi al fornitore è vietato informarti che è avvenuta.
L'attrito con il GDPR
L'articolo 48 del GDPR prevede che una richiesta di dati proveniente da un'autorità di un paese terzo sia eseguibile solo se fondata su un accordo internazionale, come un trattato di mutua assistenza giudiziaria.
Il risultato è che il fornitore può trovarsi stretto fra due obblighi in conflitto. Ma il rischio di conformità, in caso di contestazione, ricade sul titolare del trattamento: cioè sull'azienda cliente.
Cosa fare, in ordine
Il punto
Non è una scelta di campo tra Stati Uniti ed Europa, e nemmeno una questione di sfiducia verso un fornitore. È una decisione per classe di dato: sapere quali informazioni, se richieste da un'autorità estera, uscirebbero dall'azienda senza che tu lo sappia — e decidere consapevolmente se questo è accettabile.
Per la maggior parte dei dati aziendali lo è. Per una parte, no. Il lavoro consiste nel sapere quale parte.
Parliamone
Offriamo una consulenza gratuita di 30 minuti per una prima ricognizione: dove sono i dati oggi, quali fornitori li trattano, quali categorie meritano un assetto diverso. Nessun impegno, nessuna presentazione commerciale.
Scrivici a info@digiway.it o prenota un appuntamento dal sito.
Nell'articolo precedente abbiamo distinto la residenza dei dati dalla sovranità. Il Cloud Act è la ragione per cui quella distinzione non è un esercizio teorico.
Che cos'è, in cinque righe
Il Clarifying Lawful Overseas Use of Data Act è una legge statunitense del 2018. Stabilisce che un fornitore di servizi soggetto alla giurisdizione degli Stati Uniti deve rendere disponibili alle autorità i dati che detiene o controlla, indipendentemente dal paese in cui sono fisicamente archiviati.
La formula da leggere con attenzione è "detiene o controlla". Il criterio non è la posizione del server: è il controllo societario di chi lo gestisce.
Chi ne è soggetto
Le società statunitensi e le loro controllate, ovunque abbiano sede. Un datacenter in Irlanda o in Germania gestito da una controllata europea di un gruppo americano rientra nel perimetro. Anche fornitori con una presenza commerciale rilevante negli Stati Uniti possono trovarsi nella stessa condizione.
Cosa il Cloud Act non è
Non è una licenza di accesso indiscriminato. Serve un procedimento, un mandato, una base legale. È corretto dirlo, perché il tema viene spesso raccontato in modo allarmistico.
Il problema, per un'azienda italiana, è un altro: nel procedimento il titolare del trattamento non è parte. La richiesta arriva al fornitore, non a te. E in diversi casi al fornitore è vietato informarti che è avvenuta.
L'attrito con il GDPR
L'articolo 48 del GDPR prevede che una richiesta di dati proveniente da un'autorità di un paese terzo sia eseguibile solo se fondata su un accordo internazionale, come un trattato di mutua assistenza giudiziaria.
Il risultato è che il fornitore può trovarsi stretto fra due obblighi in conflitto. Ma il rischio di conformità, in caso di contestazione, ricade sul titolare del trattamento: cioè sull'azienda cliente.
Cosa fare, in ordine
- Mappare. Quali dati sono presso quali fornitori, e chi controlla quei fornitori. È un lavoro di mezza giornata che quasi nessuno ha fatto.
- Classificare. Distinguere ciò che può stare ovunque da ciò che non può uscire: dati sanitari, segreto professionale, progetti, listini, contratti, informazioni su procedimenti in corso.
- Separare. Per la sola categoria critica, scegliere un'infrastruttura non soggetta a giurisdizione extra-UE — on-premise o cloud europeo dedicato. Il resto può restare dov'è.
- Documentare. Scrivere la scelta e il perché. È esattamente ciò che un audit chiede, e ciò che nessuno ha pronto quando serve.
Il punto
Non è una scelta di campo tra Stati Uniti ed Europa, e nemmeno una questione di sfiducia verso un fornitore. È una decisione per classe di dato: sapere quali informazioni, se richieste da un'autorità estera, uscirebbero dall'azienda senza che tu lo sappia — e decidere consapevolmente se questo è accettabile.
Per la maggior parte dei dati aziendali lo è. Per una parte, no. Il lavoro consiste nel sapere quale parte.
Parliamone
Offriamo una consulenza gratuita di 30 minuti per una prima ricognizione: dove sono i dati oggi, quali fornitori li trattano, quali categorie meritano un assetto diverso. Nessun impegno, nessuna presentazione commerciale.
Scrivici a info@digiway.it o prenota un appuntamento dal sito.
