Cinque domande per stabilire quanto un servizio sia davvero europeo

Modulo 2: Cosa significa davvero cloud europeo? · Tempo di lettura: 11 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di stabilire, con cinque domande, sotto quale diritto ricade un servizio cloud, e di spiegare perché un datacenter in Europa da solo non basta.

Concetti chiave: sede legale (sede statutaria), proprietario ultimo, ubicazione del datacenter, subresponsabile del trattamento, accesso da remoto, gestione delle chiavi, UE, SEE, decisione di adeguatezza, "sovereign cloud"

"I nostri dati si trovano in Europa." E allora?

Quasi ogni grande servizio cloud oggi lo dichiara: i Suoi dati si trovano in un datacenter a Francoforte, Amsterdam o Dublino. Suona rassicurante, ma risponde a una sola delle domande che contano davvero. Nel modulo 1 ha visto che il CLOUD Act americano non guarda alla posizione del server, ma all'azienda che ha i dati in suo possesso, custodia o controllo ("possession, custody, or control"). Un server a Francoforte di un'azienda che alla fine è americana può quindi comunque ricadere sotto un ordine americano.

Per questo non si guarda a una sola caratteristica, ma a cinque. La Bakkerij De Korrel del nostro esempio (12 dipendenti, dominio example.com) usa ora una suite da ufficio americana e vuole sapere quali alternative sono davvero europee. Con queste cinque domande separa il marketing dai fatti.

Domanda 1: dove ha sede l'azienda?

La sede legale è il paese in cui l'azienda che firma il Suo contratto è registrata legalmente: la sede statutaria. Questo paese determina in primo luogo quale diritto si applica all'azienda, quale tribunale è competente e quale autorità di controllo vigila.

Non guardi al sito web, ma alla controparte contrattuale: il nome in fondo alle condizioni generali, all'accordo sul trattamento dei dati e alla fattura. Se lì è scritto "Example Cloud Ireland Ltd.", la Sua controparte contrattuale è irlandese, anche se il marchio è americano. È un buon inizio, ma non ancora una risposta. Per questo serve la domanda 2.

Domanda 2: chi è il proprietario ultimo?

Il proprietario ultimo è l'azienda o la persona che si trova al vertice della catena degli azionisti. Una controllata europea di una società madre americana è giuridicamente un'azienda europea, ma la società madre ha il controllo. Secondo il CLOUD Act un giudice americano può obbligare la società madre a fornire dati detenuti da una controllata, se la società madre ha di fatto "control" su di essi. Se ciò valga in un caso concreto dipende da come è strutturata l'azienda. I giuristi non sono concordi su questo punto. Proprio per questo è un rischio e non una certezza.

Può accadere anche il contrario: un'azienda oggi europea può domani essere acquisita. Nei Paesi Bassi questo è successo nel 2025 e nel 2026 attorno a Solvinity, l'azienda dietro l'infrastruttura di DigiD. L'americana Kyndryl voleva acquisirla; il governo olandese ha vietato l'acquisizione nel maggio 2026 dopo il parere del Bureau Toetsing Investeringen, l'organismo olandese di controllo degli investimenti esteri. Chieda quindi anche a un fornitore: cosa succede al mio contratto in caso di acquisizione? Posso recedere allora senza costi?

Dove trova il proprietario? Nel registro delle imprese (nei Paesi Bassi la KVK, in Germania l'Handelsregister), nel bilancio annuale, o nella pagina "Chi siamo" o "Impressum". Nelle società quotate in borsa è indicato nei documenti di bilancio.

Domanda 3: dove si trovano i dati, e le copie di backup?

L'ubicazione del datacenter resta importante. Se i Suoi dati si trovano nell'UE, non c'è trasferimento fuori dal SEE ai sensi del GDPR, purché nessuno dall'esterno possa accedervi. Chieda tutte le ubicazioni: il datacenter primario, il datacenter di disaster recovery e i backup. Un fornitore con server nei Paesi Bassi e backup negli Stati Uniti ha comunque un trasferimento di dati.

Faccia attenzione a tre concetti che spesso vengono confusi:

Svizzera e Regno Unito non fanno quindi parte dell'UE, ma un servizio con sede lì può essere usato ai sensi del GDPR senza clausole contrattuali aggiuntive. La decisione per la Svizzera risale al 2000 ed è stata confermata a gennaio 2024 in una rivalutazione. La decisione per il Regno Unito è stata prorogata il 19 dicembre 2025 fino al 27 dicembre 2031. Una decisione di adeguatezza può comunque essere rivista o annullata dalla Corte di giustizia dell'Unione europea: è successo due volte con gli accordi con gli USA (modulo 1, lezione 1.4). Per gli Stati Uniti vale ora il Data Privacy Framework, ma solo per le aziende americane che vi hanno aderito, e con l'incertezza che ha visto nella lezione 1.4.

Domanda 4: chi altro può accedere? Subresponsabili e accesso da remoto

Un subresponsabile del trattamento è un'altra azienda incaricata dal fornitore, che nel farlo tratta o può vedere i Suoi dati: il datacenter, un servizio di backup, un'azienda per la consegna della posta elettronica, un reparto di assistenza in un altro paese, un servizio di IA che riassume le email. Il GDPR impone al fornitore di comunicarLe in anticipo quali subresponsabili utilizza e di permetterLe di opporsi a quelli nuovi (articolo 28 GDPR, lezione 9.2).

Presti particolare attenzione all'accesso da remoto. Dati che si trovano ad Amsterdam, ma che un addetto all'assistenza in un paese fuori dal SEE può consultare per risolvere un guasto, secondo le autorità di controllo europee vengono comunque trasferiti. Un datacenter in Europa con un helpdesk che opera 24 ore su 24 in tutto il mondo è quindi meno europeo di quanto sembri.

Dove trova l'elenco? Di solito come allegato all'accordo sul trattamento dei dati o su una pagina separata "subresponsabili" o "sub-processors". Se quell'elenco manca, o è vago ("lavoriamo con partner accuratamente selezionati"), è una bandiera rossa.

Domanda 5: chi ha la chiave?

La cifratura protegge dagli altri solo se non hanno la chiave. Nella maggior parte dei servizi cloud i Suoi dati sono cifrati in transito (https) e a riposo (sul disco), ma è il fornitore ad avere la chiave. Se il fornitore deve consegnare dati, può decifrarli. Con la cifratura end-to-end o una cifratura con una chiave gestita solo da Lei, il fornitore non può farlo. Questo protegge meglio, ma ha un prezzo: la ricerca, la modifica condivisa nel browser e il recupero di una password dimenticata spesso non funzionano o funzionano in modo limitato. Chieda quindi: quali parti sono cifrate end-to-end, e cosa non posso più fare in quel caso?

"Sovereign cloud" di aziende americane

I grandi fornitori americani rispondono alla domanda di sovranità. Alcuni esempi, per riconoscere i termini:

• Microsoft EU Data Boundary: Microsoft ha annunciato nel febbraio 2025 che i dati dei clienti di Microsoft 365, Dynamics 365, Power Platform e della maggior parte dei servizi Azure vengono archiviati ed elaborati all'interno dell'UE e dei paesi EFTA, inclusi i dati di assistenza. Microsoft stessa scrive che in casi limitati alcuni dati vengono comunque elaborati fuori dall'UE, ad esempio per motivi di sicurezza. Microsoft resta un'azienda americana. Nel giugno 2025 il direttore legale di Microsoft Francia ha dichiarato sotto giuramento al Senato francese di non poter garantire che i dati non vengano mai forniti alle autorità americane senza autorizzazione.
• AWS European Sovereign Cloud: disponibile in generale dal 15 gennaio 2026, con una prima regione nel Brandeburgo (Germania). È gestito da una società tedesca con personale nell'UE ed è tecnicamente separato dal resto di AWS. La società madre ultima è Amazon. Gli analisti sottolineano che il rischio legato al CLOUD Act può quindi essere minore, ma non dimostrabilmente assente.
• Modelli di collaborazione: in Francia e Germania esistono aziende europee che gestiscono su licenza tecnologia cloud americana, in modo che l'azienda europea mantenga il controllo. Se questo funzioni davvero dipende dagli accordi su aggiornamenti, gestione e accesso.

Questi servizi possono rappresentare per alcune organizzazioni una tappa intermedia ragionevole. Ma Le ponga le stesse cinque domande. La risposta alla domanda 2 (proprietario) resta, in questi servizi, diversa da quella di un'azienda interamente europea.

Nella pratica: come si presenta presso un fornitore

Prenda come esempio un WebOké Nextcloud. Sede legale e proprietario: una bv olandese. Datacenter: secondo la documentazione, due datacenter olandesi di NorthC. Software: Nextcloud, realizzato dalla tedesca Nextcloud GmbH, open source. La chiave della cifratura dell'archiviazione è in mano al fornitore; la cifratura end-to-end può essere attivata singolarmente per cartella. Presso altri fornitori europei, come altri fornitori di Nextcloud, mailbox.org, Infomaniak o IONOS, cerchi le stesse cinque risposte negli stessi punti: contratto, registro delle imprese, accordo sul trattamento dei dati ed elenco dei subresponsabili.

Riepilogo

• Un datacenter in Europa risponde a una sola delle cinque domande.
• Le cinque domande: sede legale, proprietario ultimo, ubicazione dei dati e dei backup, subresponsabili e accesso da remoto, e chi ha la chiave.
• Una controllata europea di un'azienda americana può comunque ricadere sotto il CLOUD Act.
• Svizzera e Regno Unito non fanno parte dell'UE, ma hanno una decisione di adeguatezza; il SEE è l'UE più Norvegia, Islanda e Liechtenstein.
• I servizi "sovereign cloud" di aziende americane riducono i rischi, ma non cambiano la risposta alla domanda sul proprietario.

Quiz

Esercizio

Esercizio A2.1: Chi riceve e invia posta per il Suo dominio? Inserisca il Suo dominio. Il programma cerca i record MX ed espande completamente il Suo record SPF. Lei indica quali organizzazioni ricevono la Sua posta e quali possono inviarla a Suo nome. Così in pochi minuti vede quali parti sono già coinvolte nella Sua posta elettronica.

Esercizio E2.1: Le cinque domande per i Suoi servizi. Scelga due servizi che usa attualmente (ad esempio la Sua posta elettronica e la Sua archiviazione file) e una possibile alternativa europea. Cerchi per tutti e tre le risposte alle cinque domande, citando la fonte.

Per saperne di più

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori il funzionamento è simile.

• Guida a Nextcloud 1.1: Cosa sono Nextcloud e un WebOké Nextcloud?
• Guida a Nextcloud 3.1: In che modo WebOké protegge il Suo Nextcloud?
• Guida a Nextcloud 15.13: Domande frequenti su sicurezza e privacy
• Commissione europea, panoramica delle decisioni di adeguatezza: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (dati "regardless of whether" si trovino dentro o fuori dagli USA)