Residenza dei dati e sovranità dei dati non sono la stessa cosa
Quando un fornitore cloud rassicura dicendo che i dati restano in Europa, sta rispondendo a una domanda sola: dove. Ed è la domanda più facile.
Ce n'è una seconda, che quasi nessun contratto mette in evidenza: chi può accedere legalmente a quei dati. Le due risposte non coincidono, e lo spazio tra loro è dove si concentra il rischio.
Residenza: dove stanno fisicamente i dati
La residenza dei dati è un fatto geografico. I server sono a Francoforte, a Milano, ad Amsterdam. È una condizione verificabile, si scrive nel contratto, e serve davvero: riduce la latenza, semplifica il tema dei trasferimenti extra-UE, rassicura in sede di audit.
Il punto è che la residenza descrive una posizione, non una protezione.
Sovranità: a quale ordinamento rispondono
La sovranità dei dati è una questione giuridica, non geografica. Riguarda quale legge può obbligare chi custodisce i dati a consegnarli, e quella legge non dipende da dove si trova il server: dipende da chi controlla la società che eroga il servizio.
Una controllata europea di un gruppo statunitense opera in Europa, fattura in euro, archivia in Germania — e resta comunque raggiungibile dall'ordinamento del paese in cui ha sede la capogruppo. Il dato non si è mosso di un metro, ma la giurisdizione che può richiederlo è un'altra.
Perché il divario conta
Lo scenario concreto è questo: un'autorità estera avanza una richiesta di accesso al fornitore. Il fornitore, soggetto a quella giurisdizione, la esegue. Il dato lascia il perimetro senza che l'azienda ne sia informata e senza che possa opporsi.
Per molte organizzazioni è un rischio remoto e accettabile. Per altre no: enti pubblici, sanità, studi professionali vincolati al segreto, aziende che custodiscono progetti e proprietà intellettuale, settori sotto vigilanza. Per loro il GDPR chiede di sapere chi tratta i dati e a quali condizioni, e in un audit "non lo so" non è una risposta difendibile.
Tre domande da fare al fornitore
1. Chi controlla la società che eroga il servizio, e a quale giurisdizione risponde la capogruppo?
2. In caso di richiesta di accesso da parte di un'autorità estera, siete contrattualmente tenuti a informarci?
3. Chi detiene le chiavi di cifratura: voi o noi?
Se la risposta alla terza domanda è "noi", residenza e sovranità restano due cose diverse anche nella pratica quotidiana.
Cosa si può fare, concretamente
Non si tratta di tornare al server in cantina. Le strade praticabili oggi sono tre: infrastruttura on-premise per i dati che non possono uscire; cloud europeo dedicato, erogato da un fornitore soggetto alla sola giurisdizione UE; oppure un assetto ibrido, in cui si classifica il patrimonio informativo e si tiene dentro il perimetro solo ciò che lo richiede davvero.
La scelta non è ideologica. È una decisione per classe di dato, e va presa prima del prossimo rinnovo contrattuale — perché è l'unico momento in cui si ha davvero potere negoziale.
Approfondisci
Martedì 8 settembre, alle 16:00 (ora italiana), partecipiamo a The Future of Sovereign Collaboration: un primo sguardo a HCL Domino Workspace, la piattaforma che unisce mail, chat, riunioni, file e AI mantenendo i dati nel perimetro che decidi tu.
Registrati qui: https://attendee.gotowebinar.com/register/8381232348952276830
Quando un fornitore cloud rassicura dicendo che i dati restano in Europa, sta rispondendo a una domanda sola: dove. Ed è la domanda più facile.
Ce n'è una seconda, che quasi nessun contratto mette in evidenza: chi può accedere legalmente a quei dati. Le due risposte non coincidono, e lo spazio tra loro è dove si concentra il rischio.
Residenza: dove stanno fisicamente i dati
La residenza dei dati è un fatto geografico. I server sono a Francoforte, a Milano, ad Amsterdam. È una condizione verificabile, si scrive nel contratto, e serve davvero: riduce la latenza, semplifica il tema dei trasferimenti extra-UE, rassicura in sede di audit.
Il punto è che la residenza descrive una posizione, non una protezione.
Sovranità: a quale ordinamento rispondono
La sovranità dei dati è una questione giuridica, non geografica. Riguarda quale legge può obbligare chi custodisce i dati a consegnarli, e quella legge non dipende da dove si trova il server: dipende da chi controlla la società che eroga il servizio.
Una controllata europea di un gruppo statunitense opera in Europa, fattura in euro, archivia in Germania — e resta comunque raggiungibile dall'ordinamento del paese in cui ha sede la capogruppo. Il dato non si è mosso di un metro, ma la giurisdizione che può richiederlo è un'altra.
Perché il divario conta
Lo scenario concreto è questo: un'autorità estera avanza una richiesta di accesso al fornitore. Il fornitore, soggetto a quella giurisdizione, la esegue. Il dato lascia il perimetro senza che l'azienda ne sia informata e senza che possa opporsi.
Per molte organizzazioni è un rischio remoto e accettabile. Per altre no: enti pubblici, sanità, studi professionali vincolati al segreto, aziende che custodiscono progetti e proprietà intellettuale, settori sotto vigilanza. Per loro il GDPR chiede di sapere chi tratta i dati e a quali condizioni, e in un audit "non lo so" non è una risposta difendibile.
Tre domande da fare al fornitore
1. Chi controlla la società che eroga il servizio, e a quale giurisdizione risponde la capogruppo?
2. In caso di richiesta di accesso da parte di un'autorità estera, siete contrattualmente tenuti a informarci?
3. Chi detiene le chiavi di cifratura: voi o noi?
Se la risposta alla terza domanda è "noi", residenza e sovranità restano due cose diverse anche nella pratica quotidiana.
Cosa si può fare, concretamente
Non si tratta di tornare al server in cantina. Le strade praticabili oggi sono tre: infrastruttura on-premise per i dati che non possono uscire; cloud europeo dedicato, erogato da un fornitore soggetto alla sola giurisdizione UE; oppure un assetto ibrido, in cui si classifica il patrimonio informativo e si tiene dentro il perimetro solo ciò che lo richiede davvero.
La scelta non è ideologica. È una decisione per classe di dato, e va presa prima del prossimo rinnovo contrattuale — perché è l'unico momento in cui si ha davvero potere negoziale.
Approfondisci
Martedì 8 settembre, alle 16:00 (ora italiana), partecipiamo a The Future of Sovereign Collaboration: un primo sguardo a HCL Domino Workspace, la piattaforma che unisce mail, chat, riunioni, file e AI mantenendo i dati nel perimetro che decidi tu.
Registrati qui: https://attendee.gotowebinar.com/register/8381232348952276830
