GDPR e Cloud Act

Quando si sceglie un servizio cloud, la domanda «Dove si trovano i server?» è importante, ma non sufficiente. Per valutare correttamente gli obblighi di protezione dei dati occorre considerare anche quali dati vengono trattati, chi li tratta, per quali finalità, dove avvengono gli accessi e a quale giurisdizione è soggetto il provider.

1. La regola di fondo: il GDPR non è una legge sulla posizione dei server

Il GDPR non si applica perché un file o un database si trova fisicamente nell'Unione europea. La localizzazione del server può essere rilevante per i trasferimenti internazionali, ma non è il criterio generale che decide se il regolamento si applica.

La domanda corretta non è:"Dove si trova il server?"
Le domande corrette sono: Che dati sono, quale trattamento viene svolto, chi lo svolge, in quale contesto e quale collegamento esiste con l'Unione europea.

2. Primo filtro: deve trattarsi di dati personali

Il GDPR riguarda le informazioni relative a una persona fisica identificata o identificabile. Rientrano quindi non soltanto nome e cognome, ma anche identificatori digitali e combinazioni di informazioni che permettono di risalire a una persona.

3. Secondo filtro: deve esserci un trattamento

Il concetto di trattamento è molto ampio. Comprende raccolta, registrazione, organizzazione, conservazione, modifica, consultazione, uso, comunicazione, trasmissione, combinazione, limitazione, cancellazione e distruzione dei dati.

• Conservare un database è già un trattamento.

• Eseguire un backup è un trattamento.

• Consultare o esportare dati è un trattamento.

• Cancellare dati è, tecnicamente, un'operazione di trattamento.

4. Terzo filtro: l'ambito territoriale dell'articolo 3 GDPR

4.1 Criterio dello stabilimento

Se un titolare o un responsabile del trattamento è stabilito nell'Unione europea e il trattamento avviene nel contesto delle attività di tale stabilimento, il GDPR si applica anche se il trattamento materiale avviene fuori dall'Unione.

Esempio: Azienda italiana + database negli Stati Uniti: il fatto che il server sia negli USA non fa cessare l'applicazione del GDPR.

4.2 Criterio del targeting

Un'organizzazione non stabilita nell'UE può comunque ricadere nel GDPR quando tratta dati di persone che si trovano nell'Unione e il trattamento riguarda l'offerta di beni o servizi a tali persone oppure il monitoraggio del loro comportamento nell'Unione.

Questo criterio non coincide con la cittadinanza. L'articolo 3(2) guarda alle persone che si trovano nell'Unione nel contesto descritto, non semplicemente ai cittadini dell'UE ovunque si trovino.

5. Casi pratici sull'applicazione del GDPR

6. Che cosa impone il GDPR quando si applica

L'applicabilità del GDPR non significa che il trattamento sia vietato. Significa che il trattamento deve rispettare una serie di condizioni, obblighi e garanzie:

1. Individuare una base giuridica valida, ad esempio consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico o interesse legittimo nei limiti previsti.

2. Rispettare i principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità, riservatezza e accountability.

3. Gestire correttamente i rapporti tra titolare del trattamento e responsabile del trattamento.

4. Rispettare i diritti degli interessati, tra cui accesso, rettifica, cancellazione, limitazione, portabilità e opposizione quando applicabili.

5. Applicare tutele rafforzate alle categorie particolari di dati e ai dati relativi a condanne penali e reati.

6. Adottare misure tecniche e organizzative adeguate al rischio, incluse, quando appropriate, cifratura e pseudonimizzazione.

7. Valutare, nei casi previsti, la necessità di DPIA, DPO e procedure di gestione delle violazioni dei dati personali (data breach).

8. Se i dati vengono trasferiti fuori dal SEE, applicare anche le regole del Capo V sui trasferimenti internazionali.
   

7. Trasferire i dati fuori dall'UE non fa cessare il GDPR

Quando un trattamento già soggetto al GDPR comporta un trasferimento verso un Paese terzo, non si verifica una sostituzione del GDPR con la legge del Paese di destinazione. Il GDPR continua a disciplinare il trattamento e si aggiungono le condizioni specifiche per il trasferimento internazionale.

Dati trasferiti negli USA non significa dati usciti dal GDPR.

A seconda del caso, il trasferimento può basarsi su una decisione di adeguatezza, su garanzie appropriate come le clausole contrattuali standard, su norme vincolanti d'impresa oppure, in situazioni specifiche, sulle deroghe dell'articolo 49. Questi strumenti non sostituiscono la necessità che il trattamento sia lecito alla base.

8. Che cosa fa il CLOUD Act

Il CLOUD Act statunitense ha chiarito, tra l'altro, che un provider di servizi di comunicazione elettronica o di remote computing soggetto alla giurisdizione statunitense deve rispettare gli obblighi previsti dallo Stored Communications Act per dati che si trovano nella sua possessione, custodia o controllo, anche quando tali dati sono conservati fuori dagli Stati Uniti.

La collocazione fisica del server, quindi, non è necessariamente decisiva per stabilire se un ordine statunitense possa raggiungere dati controllati dal provider.

CLOUD Act: Il criterio centrale è il rapporto tra giurisdizione sul provider e dati nella sua possessione, custodia o controllo; non il semplice indirizzo del data center.

9. Che cosa il CLOUD Act non significa

Il CLOUD Act non equivale a un accesso libero e indiscriminato del governo statunitense ai server dei provider. L'accesso ai dati richiede un procedimento giuridico valido secondo le norme applicabili. Inoltre, il CLOUD Act non rende automaticamente ogni società del mondo soggetta agli Stati Uniti: occorre che il provider sia soggetto alla giurisdizione statunitense.

Il CLOUD Act contiene anche una disciplina per accordi esecutivi bilaterali destinati a facilitare, in determinate condizioni, l'accesso transfrontaliero a prove elettroniche.

10. Dove nasce il possibile conflitto con il GDPR

Il potenziale conflitto nasce perché i due ordinamenti possono guardare allo stesso dato e allo stesso provider imponendo obblighi differenti.

L'articolo 48 GDPR è centrale: una decisione di un'autorità amministrativa o giudiziaria di un Paese terzo che richiede a un titolare o responsabile di trasferire o comunicare dati personali non viene automaticamente riconosciuta o resa esecutiva nell'Unione. Le Linee guida EDPB 02/2024 (nella versione finale del 5 giugno 2025) chiariscono che l'articolo 48 non costituisce da solo una base giuridica per il trasferimento.

Il conflitto pratico: Il diritto USA richiede la produzione; il diritto UE richiede che quella comunicazione abbia una base giuridica e rispetti le condizioni del GDPR. Non ogni ordine CLOUD Act produce necessariamente una violazione del GDPR, ma l'ordine statunitense non elimina gli obblighi europei.

11. I casi concreti GDPR + CLOUD Act

12. Perché la domanda "dove sono i server?" non basta

La posizione del data center è importante, ma da sola non risponde né alla domanda sull'applicazione del GDPR né alla domanda sull'esposizione al diritto statunitense.

Per una valutazione seria bisogna verificare almeno:

• Chi è il titolare del trattamento e chi sono i responsabili o sub-responsabili;

• Dove sono stabilite le società coinvolte e a quali giurisdizioni sono soggette;

• Chi possiede o controlla concretamente i dati;

• Chi possiede le chiavi di cifratura e se il provider può tecnicamente decifrare i contenuti;

• Dove avvengono accessi, supporto, amministrazione e trattamento;

• Se vi sono trasferimenti verso Paesi terzi e con quale meccanismo giuridico;

• Se esistono subfornitori o società del gruppo che possono accedere ai dati;

• Quale tipo di ordine o richiesta dell'autorità straniera è coinvolto e quale base giuridica europea è disponibile.

13. Schema decisionale sintetico

14. Frasi da evitare e formulazioni corrette

15. Riferimenti normativi e istituzionali principali

• Regolamento (UE) 2016/679 (GDPR). Articoli 2, 3, 4, 5, 6, 9, 10, 28, 32-35, 44-49 e 83.
  https://eur-lex.europa.eu/eli/reg/2016/679/oj

• EDPB - Guidelines 3/2018 on the territorial scope of the GDPR (Article 3). Versione finale adottata dopo consultazione pubblica, 12 novembre 2019.
  https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3-version_en

• EDPB Guidelines 02/2024 on Article 48 GDPR. Versione finale 2.1, 5 giugno 2025.
  https://www.edpb.europa.eu/documents/guideline/guidelines-022024-on-article-48-gdpr_en

• U.S. CLOUD Act. Clarifying Lawful Overseas Use of Data Act, Division V, Consolidated Appropriations Act 2018.
  https://www.justice.gov/d9/pages/attachments/2019/04/09/cloud_act.pdf

• U.S. Department of Justice - The Purpose and Impact of the CLOUD Act. White paper che descrive l'obbligo di produzione per dati nella possessione, custodia o controllo del provider, indipendentemente dal luogo di conservazione.
  https://www.justice.gov/d9/pages/attachments/2019/04/10/doj_cloud_act_white_paper_2019_04_10.pdf

16. Conclusione

GDPR e CLOUD Act rispondono a logiche diverse e possono sovrapporsi. Il GDPR stabilisce quando e come possono essere trattati dati personali che ricadono nel suo ambito; il CLOUD Act disciplina, tra l'altro, gli obblighi di alcuni provider soggetti alla giurisdizione statunitense rispetto a dati nella loro possessione, custodia o controllo. Per questo motivo non basta sapere in quale Paese si trova il server.

La valutazione corretta richiede di separare quattro piani:

1. Applicabilità del GDPR;

2. Liceità del trattamento;

3. Eventuale trasferimento internazionale;

4. Eventuale assoggettamento del provider a un ordine di un'autorità straniera.