Oltre la privacy: disponibilità, dipendenza e costi

Modulo 1: Perché un cloud europeo? · Tempo di lettura: 11 minuti

Obiettivo della lezione: al termine di questa lezione sarà in grado di spiegare che la sovranità digitale riguarda anche la disponibilità, la dipendenza e il controllo, conoscerà i nuovi diritti europei al passaggio introdotti dal Data Act, e sarà in grado di ponderare i rischi della Sua situazione specifica.

Concetti chiave: sovranità digitale, rischio di disponibilità, sanzioni, modifica unilaterale delle condizioni, dipendenza dal fornitore (vendor lock-in), rischio di concentrazione, Data Act dell'UE, diritto al passaggio, costi di passaggio, NIS2, ponderazione (probabilità e impatto)

La sovranità è più di "chi può leggere i Suoi dati"

Le lezioni precedenti riguardavano la riservatezza: chi può accedere ai Suoi dati. Ma ci sono altre due domande altrettanto importanti per un'organizzazione:

1. Può accedervi quando Le servono? (disponibilità)
2. Può decidere Lei stesso, anche se il fornitore vuole qualcos'altro? (controllo)

Insieme, questo si chiama sovranità digitale: la misura in cui Lei (o il Suo paese, o l'Europa) mantiene il controllo sui propri dati e servizi digitali. La parola suona grande, ma per la Panetteria De Korrel è molto pratica: se lunedì mattina alle sei Sanne non riesce ad aprire i percorsi di consegna, dodici persone resteranno in attesa.

Questa è una spiegazione, non una consulenza legale.

Rischio 1: il Suo account può essere chiuso

Un servizio cloud può limitare o sospendere il Suo accesso. Di solito per motivi comuni: una fattura non pagata, un sospetto di abuso, un sistema automatico che valuta male qualcosa. Chiunque abbia mai avuto un account bloccato presso un grande servizio sa quanto sia difficile riuscire a parlare con una persona in carne e ossa.

Esiste anche una variante geopolitica. Un'azienda deve rispettare le sanzioni del paese sotto la cui giurisdizione opera. Nel febbraio 2025 il governo statunitense ha imposto sanzioni al procuratore capo della Corte Penale Internazionale (CPI) dell'Aia. Nel maggio 2025 l'agenzia di stampa AP ha riferito che non aveva più accesso alla sua casella di posta di lavoro presso Microsoft. Microsoft ha dichiarato di non aver mai interrotto i propri servizi alla CPI; secondo resoconti successivi, è stata la stessa CPI, sotto la pressione delle sanzioni, a non rendere più accessibile la casella di posta. Come siano andate esattamente le cose è ancora oggetto di discussione. Ma l'esempio dimostra che la disponibilità di un servizio dipende anche dalla politica del paese del fornitore, non solo dalla tecnologia.

È improbabile che una panetteria sia mai colpita da sanzioni. Il punto è più ampio: Lei dipende da regole su cui non ha alcuna influenza.

Rischio 2: le condizioni e i prezzi cambiano unilateralmente

I servizi cloud funzionano con abbonamenti e condizioni generali che il fornitore può modificare. I pacchetti vengono uniti, alcune funzioni scompaiono in un pacchetto più costoso, oppure arriva una nuova funzione (come l'IA) che aumenta il prezzo o utilizza i Suoi dati in modo diverso. Di solito può solo scegliere: accettare o andarsene. E andarsene è difficile se tutto il Suo lavoro è già lì. Questo si chiama dipendenza dal fornitore, in inglese vendor lock-in (lezione 2.3).

Rischio 3: tutto presso un solo fornitore

Se la Sua posta, agenda, file, chat, password e accesso ad altri servizi ("accedi con Google o Microsoft") si trovano tutti presso un unico fornitore, basta un'interruzione, un account bloccato o una password violata per perdere tutto in una volta sola. Questo si chiama rischio di concentrazione. Vale per qualsiasi fornitore, anche per uno europeo. La distribuzione e un backup proprio (modulo 8) aiutano a limitarlo.

Lo stesso vale a livello nazionale. Nei Paesi Bassi, nel 2025 e nel 2026, è nata una discussione su Solvinity, l'azienda che fornisce l'infrastruttura per DigiD e MijnOverheid (i servizi digitali del governo olandese). L'americana Kyndryl voleva acquisirla. Dopo il parere del Bureau Toetsing Investeringen (l'ufficio olandese di valutazione degli investimenti esteri), nel maggio 2026 il sottosegretario olandese ha vietato l'acquisizione, a tutela dell'interesse pubblico; una delle preoccupazioni era che il governo statunitense potesse ottenere accesso tramite il CLOUD Act. L'esempio dimostra che anche il proprietario di un fornitore europeo può cambiare. Un servizio europeo di oggi potrebbe avere domani una società madre americana. Per questo un piano di uscita (lezione 8.2) fa parte di ogni scelta.

Nuove regole europee: il Data Act

L'UE ha introdotto regole per rendere più semplice il passaggio tra servizi cloud, nel Data Act (regolamento (UE) 2023/2854). Il regolamento è in vigore dal 12 settembre 2025. Per i servizi cloud (la norma parla di "servizi di trattamento dei dati") le regole si trovano nel capo VI (articoli da 23 a 31). In sintesi:

• Un fornitore non può ostacolarLa se desidera passare a un altro fornitore o a server propri, e deve collaborare a questo scopo.
• Il contratto deve prevedere, tra l'altro, un termine di preavviso massimo di due mesi, un periodo di transizione in linea di principio non superiore a trenta giorni, e un periodo di almeno trenta giorni per recuperare i Suoi dati.
• I fornitori devono essere chiari in anticipo sui costi.
• I costi di passaggio, compresi i costi per l'invio in uscita dei dati (egress), potevano già essere addebitati solo al prezzo di costo fin dall'entrata in vigore, e decadono completamente a partire dal 12 gennaio 2027 (articolo 29). Restano invece possibili i normali costi di abbonamento e le penali per la disdetta anticipata di un contratto a tempo determinato.

Questo aiuta, ma non risolve tutto. La norma dice che Lei può portare con sé i Suoi dati, non che funzioneranno esattamente allo stesso modo presso il nuovo servizio. Portare un documento Google o una cronologia chat di Teams in un altro ambiente resta complicato (moduli 5, 6 e 7).

NIS2 in un paragrafo

La direttiva NIS2 europea (direttiva (UE) 2022/2555) obbliga le organizzazioni di medie e grandi dimensioni nei settori importanti a mettere in ordine la propria sicurezza informatica e quella dei propri fornitori. Una piccola panetteria non vi rientra, ma un fornitore di una tale organizzazione può comunque ricevere domande sui propri servizi cloud. La NIS2 non dice nulla sull'essere europei o meno, ma impone di conoscere i rischi nella propria catena di fornitura.

Ponderare: non tutto ha la stessa importanza

Non deve trasferire tutto domani. Una valutazione pragmatica per ciascun elemento aiuta. Per ogni rischio consideri la probabilità che accada e l'impatto nel caso in cui accada:

Una tabella di questo tipo mostra da dove iniziare. La cartella del personale è piccola e sensibile: facile da trasferire con grande beneficio. La posta è importante, ma richiede un piano accurato (modulo 4). La cronologia chat forse non la trasferirà, ma la archivierà.

Un contrappeso onesto: i grandi servizi americani sono affidabili, tecnicamente solidi e familiari per i Suoi collaboratori. Un passaggio richiede tempo e abitudine. La domanda non è "giusto o sbagliato", ma quali rischi accetta consapevolmente.

Nella pratica: ecco come funziona presso un fornitore

Chieda a ogni fornitore, anche a uno europeo: come posso estrarre i miei dati, in quali formati, e per quanto tempo dopo la disdetta posso ancora accedervi? Presso WebOké, ad esempio, la guida di Nextcloud spiega come trasferire i dati tra istanze Nextcloud, e Nextcloud utilizza standard aperti come WebDAV, CalDAV e CardDAV, in modo da poter passare anche a un altro fornitore. Altri fornitori dispongono di funzioni di esportazione simili; verifichi se funzionano senza l'aiuto dell'assistenza.

Riepilogo

• La sovranità digitale riguarda riservatezza, disponibilità e controllo.
• Un account può essere chiuso per un errore, un mancato pagamento o sanzioni; il caso CPI (2025) dimostra che la politica incide.
• Le condizioni e i prezzi possono cambiare unilateralmente; avere tutto presso un unico fornitore comporta un rischio di concentrazione.
• Il Data Act (applicabile dal 12 settembre 2025) introduce diritti al passaggio; i costi di passaggio decadono dal 12 gennaio 2027.
• Valuti probabilità e impatto per ogni elemento e inizi da dove il beneficio è maggiore.

Quiz

Esercizio

Esercizio A1.5: la Sua ponderazione del rischio. Compili per la Sua organizzazione, per ciascun elemento (posta, agenda, contatti, file, documenti, chat, password, backup), quanto è riservato, quanto è grave un'interruzione e quanto è difficile andarsene. Il programma verifica se la Sua ponderazione è completa e coerente e dispone gli elementi in un ordine.

Esercizio E1.5: la Sua valutazione in cinque frasi. Scriva perché la Sua organizzazione vuole o non vuole passare (parzialmente), quali rischi accetta consapevolmente e qual è l'argomento principale per i Suoi colleghi.

Per saperne di più

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori il funzionamento è simile.

• Guida a Nextcloud 1.1: Cosa sono Nextcloud e un WebOké Nextcloud?
• Guida a Nextcloud 13.1: Preparazione: cosa portare e in quale ordine
• Guida a Nextcloud 6.6: Backup presso WebOké: cosa conserviamo noi e cosa può fare Lei stesso
• Regolamento (UE) 2023/2854 (Data Act), capo VI, articoli da 23 a 31, su EUR-Lex
• Direttiva (UE) 2022/2555 (NIS2), su EUR-Lex