Dove stanno i tuoi dati

Di Davide Gargantini ·

Contratti, cartelle cliniche, dichiarazioni dei redditi, pratiche legali, fotografie dei documenti d’identità: chi lavora con i clienti custodisce dati che gli vengono affidati proprio perché ci si fida. Per il GDPR, di quei dati sei titolare del trattamento. Vuol dire che sei tu a rispondere di dove vanno a finire, anche quando a conservarli è un fornitore.

La domanda “dove stanno i miei dati?” sembra facile. Non lo è.

Il server in Europa non basta

Molti grandi fornitori americani offrono di tenere i dati in data center europei: Francoforte, Dublino, Milano. È un passo avanti, ma non risolve il problema principale.

Dal 2018 una legge americana, il CLOUD Act, permette alle autorità degli Stati Uniti di chiedere a un’azienda americana i dati che controlla, ovunque siano conservati. Conta la nazionalità dell’azienda, non la posizione del server. Un file in un data center di Francoforte, gestito dalla filiale di un’azienda americana, resta raggiungibile.

Non è un’ipotesi da complottisti. Il 10 giugno 2025, davanti a una commissione d’inchiesta del Senato francese e sotto giuramento, il direttore degli affari pubblici e legali di Microsoft France si è sentito chiedere se poteva garantire che i dati dei cittadini francesi non sarebbero mai stati consegnati al governo americano senza l’accordo delle autorità francesi. La risposta, dal resoconto ufficiale: «No, non posso garantirlo, ma, ancora una volta, non è mai successo finora».

È una risposta onesta, e va letta per intero: finora non è successo. Ma il punto è che non dipende da Microsoft, né da te. Dipende dalle leggi di un altro Paese.

A questo si aggiungono le leggi americane sulla sorveglianza, come la sezione 702 del FISA, che permette alle agenzie di intelligence di raccogliere le comunicazioni di persone non americane attraverso i fornitori americani. È il motivo principale per cui, in Europa, il trasferimento dei dati verso gli Stati Uniti è da anni un terreno instabile.

Il ping-pong dei trasferimenti

Per trasferire dati personali verso un Paese fuori dall’Unione serve una base legale. Per gli Stati Uniti, la storia degli ultimi dieci anni è questa:

Oggi, quindi, i trasferimenti verso le aziende americane aderenti all’accordo sono legali. Ma i due accordi precedenti sono caduti da un giorno all’altro, e il terzo è di nuovo davanti ai giudici. Chi ha tutto su un fornitore americano deve mettere in conto che un giorno la base legale possa sparire, e avere un piano B.

Cosa vuol dire per la tua attività

Rispondi tu, anche per il fornitore

Il fornitore cloud, per il GDPR, è un responsabile del trattamento che agisce per conto tuo (articolo 28). Serve un accordo scritto che regoli cosa può fare con i dati: i grandi fornitori lo includono nelle loro condizioni, ed è bene sapere dov’è e cosa dice, a partire dall’elenco dei sub-fornitori e dei Paesi in cui i dati possono finire.

Alcuni dati pesano di più

Dati sanitari e dati giudiziari, per il GDPR, sono categorie particolari (articoli 9 e 10), con regole più severe. A questi si aggiungono le informazioni coperte dal segreto professionale. Medici, psicologi, fisioterapisti, avvocati e commercialisti trattano spesso proprio questi dati, e per loro la domanda “chi può leggerli?” non è teorica.

In Italia è già successo

Nel giugno 2022 il Garante per la protezione dei dati personali ha stabilito che un sito italiano non poteva usare Google Analytics così com’era configurato, perché trasferiva dati verso gli Stati Uniti senza garanzie adeguate. Era il periodo tra Privacy Shield e Data Privacy Framework, e da allora il quadro è cambiato. Ma il caso dimostra che il tema non riguarda solo le grandi aziende: riguardava un sito qualunque, e un servizio gratuito che usavano tutti.

E non è solo una questione di leggi

Anche senza governi di mezzo, il fornitore detta le condizioni d’uso, e le può cambiare. Negli ultimi anni molte piattaforme hanno aggiornato le loro regole sull’uso dei contenuti degli utenti, per esempio per addestrare l’intelligenza artificiale. Ogni volta tocca a te accorgertene, leggere e decidere se va ancora bene.

Cosa puoi fare, in pratica

  1. Fai l’inventario. Dove stanno i dati dei clienti? Posta, documenti, gestionale, backup, chat, moduli online. Spesso la sorpresa più grande sono i servizi “di passaggio”, come WhatsApp o un modulo di Google usato una volta.
  2. Guarda di chi è l’azienda, non solo dove sono i server. Un fornitore con sede e proprietà in Europa, in genere, non è soggetto al CLOUD Act (salvo che abbia attività negli Stati Uniti). Le pagine Alternative ne indicano diversi, servizio per servizio.
  3. Preferisci la cifratura end-to-end dove possibile. Un fornitore non può consegnare quello che non sa leggere: è il motivo per cui un gestore come Bitwarden, o una posta come Proton, sono già una buona risposta anche quando non sono in casa. Ne parla la pagina Al posto del gestore password di Google e Apple.
  4. Leggi l’accordo sul trattamento dei dati del fornitore che usi già: dove possono finire i dati, chi sono i sub-fornitori, cosa succede quando chiudi l’account.
  5. Per i dati più delicati, valuta un’infrastruttura che controlli, gestita da te o da un tecnico di fiducia, in Europa.
  6. Tieni un piano B. Una copia dei dati fuori dal fornitore, in un formato aperto, è la cosa che ti salva se domani un trasferimento diventasse illegale o un servizio chiudesse. La pagina Il backup che non hai spiega come.

Una precisazione

Questa pagina spiega il problema e le strade possibili, ma non è una consulenza legale. Per valutare la tua situazione specifica (registro dei trattamenti, nomine, valutazioni d’impatto) rivolgiti al tuo consulente privacy o al responsabile della protezione dei dati, se ne hai uno. Quello che posso fare io è la parte tecnica: capire dove sono i dati e portarli dove devono stare.

Fonti