Sovranità dei dati e CLOUD Act: perché conta l'UE
Cos'è il CLOUD Act e cosa significa per la tua email?
Il CLOUD Act (Clarifying Lawful Overseas Use of Data Act) è una legge statunitense del 2018. In breve, può obbligare i fornitori soggetti al diritto americano a consegnare dati alle autorità statunitensi, indipendentemente dal fatto che quei dati siano conservati negli Stati Uniti o altrove.
Per l'email il punto centrale è questo: la posizione fisica dei server non è decisiva. Se il tuo fornitore è soggetto al diritto americano, quella legge in teoria può avere un ruolo, anche se i dati si trovano in un data center europeo. Ecco perché “dove sono i miei dati” e “a quale diritto è soggetto il mio fornitore” sono due domande diverse.
Perché è importante
Per chi lavora con dati riservati non è teoria. Un medico, un avvocato o un commercialista ha spesso un obbligo di segreto e di diligenza. Se un governo straniero può in teoria chiedere l'accesso a dati che gestisci tu, questo si scontra con la promessa che fai ai tuoi clienti o pazienti.
La sovranità dei dati è l'idea che i tuoi dati siano soggetti al diritto della giurisdizione che scegli tu, e non a quello di un paese con cui non hai mai avuto nulla a che fare. Per le organizzazioni europee significa: sotto il GDPR, con le relative garanzie. Appena può entrare in gioco un'altra giurisdizione, perdi una parte di quella certezza.
C'è anche un lato pratico. Clienti e autorità di controllo chiedono sempre più spesso dove sono i tuoi dati e a quale diritto sono soggetti. “Presso un fornitore europeo, sotto il GDPR” è una risposta che ispira fiducia. “In realtà non lo so” non lo è.
Come funziona
Immagina una cassaforte che si trova a Rotterdam, ma che appartiene a un'azienda di New York. La cassaforte è fisicamente nei Paesi Bassi, ma il proprietario è soggetto alle regole americane. Se un'autorità statunitense chiede il contenuto al proprietario, entra in gioco il diritto americano, nonostante la posizione della cassaforte. Più o meno funziona così con i dati presso un fornitore soggetto al diritto americano.
La situazione opposta dà tranquillità. Se la tua email si trova presso un fornitore interamente soggetto al diritto europeo, con server in Europa, il quadro applicabile è il GDPR. I governi stranieri non hanno allora una via semplice tramite il fornitore; l'accesso passa per i quadri giuridici europei e la cooperazione tra paesi. Per te il quadro diventa molto più prevedibile.
Se vuoi vedere più in generale la differenza tra i due mondi, leggi hosting email europeo e americano a confronto.
Attenzione: qui parliamo di ciò che è possibile in teoria, non di ciò che succede ogni giorno. La maggior parte delle persone non riceve mai una richiesta concreta. Il punto è la certezza in anticipo: presso un fornitore soggetto al diritto europeo sai a quali regole sei soggetto e quali garanzie valgono. Per chi deve garantire il segreto professionale, questa prevedibilità conta spesso più della probabilità che un giorno qualcosa vada storto. Dopotutto costruisci i tuoi impegni su ciò che è possibile, non sulla fortuna.
A cosa devi fare attenzione
Alcuni punti di attenzione e malintesi:
- “I miei dati sono in Europa, quindi sono a posto.” Non necessariamente. La posizione dei dati conta, ma se il fornitore è soggetto al diritto americano, una legge come il CLOUD Act può comunque entrare in gioco. Chiedi anche la giurisdizione del fornitore, non solo la posizione dei server.
- “È una cosa solo per le grandi aziende.” Le regole su diligenza e riservatezza valgono per chiunque lavori con dati altrui, anche per un piccolo studio o un'associazione.
- Non fare domande al fornitore. Un fornitore affidabile risponde chiaramente alla domanda su dove sono i tuoi dati e a quale diritto sono soggetti. Se non ricevi una risposta chiara, è già di per sé un segnale.
- Pensare che sia un dettaglio tecnico. È una scelta di diritto e di controllo. Per i dati sensibili questa scelta pesa quanto la tecnica.
Questi sono punti di attenzione generali, non un giudizio legale definitivo per la tua situazione. Nel dubbio rivolgiti a uno specialista.
E con Mailflux
Mailflux ospita la tua email in Europa, in conformità al GDPR, con il tuo dominio. Significa che i tuoi messaggi sono soggetti alle regole europee sulla privacy e che puoi spiegare senza giri di parole dove si trovano i tuoi dati. Non sei sicuro di dove finisca davvero la tua posta? Dove si trova la mia email ti aiuta a capirlo.
Ogni piano include connessioni crittografate, filtri contro spam, phishing e malware, backup automatici e autenticazione a due fattori opzionale. I tuoi contenuti non vengono analizzati per la pubblicità. Così mantieni il controllo sulla tua corrispondenza e la certezza sul diritto che si applica. Approfondisci in hosting email europeo con il tuo dominio.
FAQ
Domande frequenti
Il CLOUD Act riguarda anche me come utente europeo?
Indirettamente può succedere. Se usi un fornitore soggetto al diritto americano, il CLOUD Act può avere un ruolo nelle richieste delle autorità statunitensi, anche se i tuoi dati sono in Europa. Con un fornitore interamente soggetto al diritto europeo quel rischio è minore. Nel dubbio rivolgiti a uno specialista.
I dati in un data center europeo sono sempre al sicuro dall'accesso straniero?
La posizione aiuta, ma non è tutta la storia. Conta anche a quale giurisdizione è soggetto il fornitore. Un server in Europa presso un fornitore soggetto al diritto americano offre meno certezza di un fornitore che opera interamente sotto il diritto europeo.
Cosa significa esattamente sovranità dei dati?
Sovranità dei dati significa che i tuoi dati sono soggetti al diritto della giurisdizione che scegli tu, invece che a una legge straniera. Per le organizzazioni europee si traduce nel GDPR, con le relative garanzie su come vengono trattati i dati personali.