CLOUD Act, FISA 702 e altre leggi americane

Modulo 1: Perché un cloud europeo? · Tempo di lettura: 12 minuti

Obiettivo formativo: dopo questa lezione sarà in grado di spiegare quali leggi americane danno accesso ai dati presso aziende statunitensi, perché questo vale anche se i dati si trovano in Europa, e qual è la situazione a novembre 2026.

Concetti chiave: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", fornitore di un servizio di comunicazione elettronica, FISA Section 702, tribunale FISA (FISC), certificazione, Executive Order 12333, ordine di non divulgazione, diritto penale contro attività di intelligence

Perché le leggi americane riguardano i server europei

Nella lezione 1.1 ha visto che un'azienda è soggetta al diritto del paese in cui ha sede. Per la maggior parte dei grandi servizi cloud si tratta degli Stati Uniti. Due leggi americane ricorrono in ogni discussione sul cloud europeo: il CLOUD Act e la Section 702 del FISA. Hanno uno scopo diverso e funzionano in modo diverso, quindi è bene tenerle distinte.

Questa è una spiegazione, non una consulenza legale. La legislazione americana e la sua interpretazione cambiano; la situazione descritta in questa lezione è quella di novembre 2026.

Il CLOUD Act: indagini in materia penale

CLOUD Act sta per Clarifying Lawful Overseas Use of Data Act. La legge è stata approvata il 23 marzo 2018, come parte di una grande legge di bilancio. L'occasione fu una causa legale tra Microsoft e il governo americano: l'FBI voleva la posta elettronica di un sospettato, conservata su un server in Irlanda, e Microsoft si rifiutò perché i dati si trovavano fuori dagli Stati Uniti. Prima che la Corte Suprema si pronunciasse, il Congresso approvò il CLOUD Act, e la questione fu così archiviata.

Il nucleo della legge sta in un'unica frase, oggi contenuta nel 18 U.S.C. 2713. In parole semplici: un fornitore di un servizio di comunicazione elettronica o di un servizio di archiviazione remota deve conservare o consegnare i dati che si trovano nel suo "possession, custody, or control" (possesso, custodia o controllo), indipendentemente dal fatto che tali dati si trovino dentro o fuori dagli Stati Uniti.

Cosa significa questo in pratica?

• Si tratta di indagini penali. Il governo deve disporre di un ordine di un giudice, come un mandato (warrant), proprio come per i dati situati negli Stati Uniti.
• Si tratta di dati che l'azienda ha in suo potere. Se la Sua posta si trova presso una controllata europea, ma la società madre americana può accedervi, allora la società madre può essere chiamata a rispondere.
• Il fornitore può opporsi se la consegna entra in conflitto con il diritto di un altro paese, ma solo in determinati casi (soprattutto con paesi con cui gli Stati Uniti hanno un trattato speciale, come il Regno Unito e l'Australia). Un trattato generale tra l'UE e gli Stati Uniti su questo tipo di prove non esiste ancora.
• Il cliente non ne viene sempre a conoscenza. Un giudice può imporre al fornitore un ordine di non divulgazione, in modo che questi non possa avvisarLa.

D'altra parte il GDPR (art. 48) stabilisce che una sentenza o un ordine straniero di consegna dei dati viene riconosciuto solo se esiste un trattato, come un trattato di assistenza giudiziaria. Un fornitore americano può quindi trovarsi stretto tra due leggi. È proprio questo il problema: Lei, come cliente, non può scegliere quale legge prevalga.

Un momento emblematico: nel giugno 2025 una commissione d'inchiesta del Senato francese ha chiesto al direttore degli affari legali di Microsoft Francia se potesse garantire sotto giuramento che i dati dei cittadini francesi non sarebbero mai stati consegnati alle autorità americane senza l'autorizzazione della Francia. La sua risposta: "No, non posso garantirlo." Ha aggiunto che l'azienda contesta le richieste infondate e che una richiesta di questo tipo non si era ancora verificata nella pratica. Entrambe le parti di questa risposta sono importanti: il rischio è basso, ma esiste, e l'azienda non può escluderlo.

FISA Section 702: intelligence su cittadini stranieri

Il FISA è il Foreign Intelligence Surveillance Act. La Section 702 è stata aggiunta nel 2008. Lo scopo non è l'indagine su reati, ma la raccolta di informazioni di intelligence estera. È qui che si trova la grande differenza rispetto al CLOUD Act:

In base alla Section 702, i servizi americani possono obbligare i fornitori di servizi di comunicazione elettronica a collaborare nella raccolta delle comunicazioni di "target" stranieri. Per un cittadino europeo il diritto americano offre qui scarsa protezione: la tutela costituzionale contro le perquisizioni (il Quarto Emendamento) vale soprattutto per i cittadini americani. Questo programma ha svolto un ruolo centrale nella sentenza Schrems II della Corte di giustizia europea (lezione 1.4).

Situazione a novembre 2026

La Section 702 deve essere rinnovata periodicamente dal Congresso. Nell'aprile 2024 la legge RISAA l'ha prorogata di due anni, fino ad aprile 2026. Nell'aprile 2026 una proroga lunga non è riuscita; sono seguite due brevi proroghe. Il 12 giugno 2026 la legge è scaduta, per la prima volta dal 2008. Secondo le notizie, nella pratica la raccolta prosegue, perché il tribunale FISA aveva già approvato le certificazioni annuali nel marzo 2026; queste sono valide fino a circa marzo 2027. Il Congresso continua a discutere di una nuova proroga nel periodo della lame duck a partire dal 9 novembre 2026.

Per la Sua scelta questo significa: che la legge sia scaduta temporaneamente o meno, il problema di fondo non scompare. È probabile che ci sarà una nuova proroga, e i poteri possono ripresentarsi in un'altra forma.

Executive Order 12333: senza giudice

Oltre a queste leggi esiste l'Executive Order 12333 del 1981, un decreto presidenziale sulle attività di intelligence. Vi rientrano ad esempio l'intercettazione dei cavi internet e la raccolta di dati al di fuori degli Stati Uniti, senza l'intervento di un giudice e senza che un'azienda debba collaborare. Per i dati cifrati durante il trasporto questo è un problema minore; per i dati presso un'azienda americana sono il CLOUD Act e la Section 702 le vie rilevanti.

Quanto è grande davvero il rischio?

Siamo onesti: per la maggior parte delle piccole organizzazioni la probabilità che i servizi americani siano interessati proprio alla loro posta elettronica è bassa. Ci sono comunque motivi per prendere la questione sul serio:

• Lei non lo sa. A causa degli ordini di non divulgazione, potrebbe non venirne mai a conoscenza.
• Lei non è l'unico interessato. Nella Sua posta elettronica ci sono dati di clienti, fornitori e dipendenti. Lei deve proteggere i loro dati (lezione 1.2).
• Alcuni dati sono sensibili. Uno studio legale, un medico di base, un giornalista o una scuola hanno una valutazione diversa rispetto a un panificio.
• Le regole possono cambiare senza che Lei abbia voce in capitolo.

Il panificio Bakkerij De Korrel ha poco da temere da un servizio di intelligence. Ma Sanne riflette sul fatto che nella sua casella di posta ci sono anche le comunicazioni di malattia del suo personale. Si tratta di dati relativi alla salute, e con questi deve essere particolarmente scrupolosa.

Nella pratica: come si presenta presso un fornitore

Un fornitore europeo senza società madre americana e senza subresponsabili americani non rientra nel CLOUD Act e non è un "provider" ai sensi della Section 702. Può comunque essere obbligato a collaborare con la polizia e la giustizia europee, ma secondo il diritto europeo e nazionale, con un giudice europeo come controllo. Presso WebOké, nella guida di Nextcloud è indicato che i Suoi file non vengono trasferiti verso aziende cloud americane. Presso altri fornitori, cerchi un elenco dei subresponsabili e il proprietario giuridico (lezione 2.1).

Riepilogo

• Il CLOUD Act (2018) obbliga i fornitori americani a consegnare i dati sotto il loro controllo in presenza di un ordine penale, anche se si trovano all'estero.
• La FISA Section 702 dà ai servizi americani accesso alle comunicazioni di cittadini non statunitensi al di fuori degli Stati Uniti, a fini di intelligence, senza ordine individuale.
• La Section 702 è scaduta il 12 giugno 2026, ma secondo le notizie la raccolta prosegue sulla base delle certificazioni di marzo 2026; una nuova proroga è in discussione.
• Un server in Europa non protegge se l'azienda che vi sta dietro è soggetta al diritto americano.
• Il rischio è basso per la maggior parte delle organizzazioni, ma non è da escludere né da controllare.

Quiz

Esercizio

Esercizio E1.3: Sotto quale giurisdizione rientra il Suo servizio? Scelga il Suo servizio cloud più importante. Verifichi quale azienda stipula il contratto con Lei (è indicato nelle condizioni), dove ha sede e chi è la società madre finale. Risponda: il CLOUD Act può essere applicabile a questo servizio, e perché?

Per approfondire

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori il funzionamento è simile.

• Guida a Nextcloud 15.13: Domande frequenti su sicurezza e privacy
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) e il rapporto CRS "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Regolamento (UE) 2016/679 (GDPR), articolo 48 (ordini stranieri di consegna dei dati)