Sovranità e giurisdizione

Gli interessi statunitensi possono raggiungere i vostri dati all’interno di un data centre europeo

Dove sono conservati i vostri dati e a quale legge deve rispondere il vostro fornitore sono due questioni diverse. Per un fornitore cloud americano, la legge statunitense può raggiungere i dati custoditi in un data centre europeo, e questo cambia il valore effettivo di una promessa di hosting in Europa.

La giurisdizione segue il fornitore, non l’infrastruttura

Il FISA Amendments Act (Sezione 702, codificata in 50 U.S.C. 1881a) consente al Procuratore generale e al Direttore dell’intelligence nazionale di autorizzare congiuntamente l’acquisizione di informazioni di intelligence estera su persone non statunitensi che si ritiene ragionevolmente si trovino al di fuori degli Stati Uniti, per un periodo massimo di un anno alla volta, senza un provvedimento giudiziario individuale per ciascun obiettivo. I fornitori sono obbligati a collaborare e una direttiva rivolta a un fornitore comporta generalmente un obbligo di segretezza.

Il CLOUD Act (18 U.S.C. 2523) consente a un ordine statunitense di obbligare un fornitore a divulgare dati in suo possesso, custodia o controllo, indipendentemente da dove siano conservati. È stato approvato nel marzo 2018 proprio per risolvere la controversia in United States v. Microsoft, in cui il governo aveva ottenuto un mandato relativo a un account la cui posta elettronica era conservata nel data centre di Microsoft a Dublino. Microsoft lo ha contestato; il caso è arrivato alla Corte suprema; e il 17 aprile 2018 la Corte ha dichiarato il ricorso privo di oggetto, poiché nel frattempo il CLOUD Act aveva reso comunque esigibile la consegna dei dati.

L’obbligo giuridico ricade quindi sul fornitore americano in quanto custode, a prescindere da dove si trovino fisicamente i server. Le Forze armate svedesi sono giunte alla stessa conclusione nella propria strategia cloud, osservando che la sede centrale del fornitore è determinante per stabilire quale legislazione si applichi. SVT, 30 maggio 2026

L’«intelligence estera» va oltre la cattura dei terroristi

La Sezione 702 riguarda le «informazioni di intelligence estera». La definizione di legge (50 U.S.C. 1801(e)) comprende le informazioni necessarie agli Stati Uniti per proteggersi da attacchi, sabotaggi, terrorismo internazionale, proliferazione di armi e attività clandestine di intelligence. Ma comprende anche, in relazione a qualsiasi potenza o territorio straniero, informazioni riguardanti «la difesa nazionale o la sicurezza degli Stati Uniti» o «la conduzione degli affari esteri degli Stati Uniti».

Il punto è che la Sezione 702 non equivale a «catturare terroristi». Una gara commerciale, una decisione strategica di politica energetica o il posizionamento di un fornitore della difesa possono tutti incidere sulla conduzione degli affari esteri statunitensi. Questo espone materiale commercialmente sensibile all’acquisizione quando ricorrono le condizioni previste dalla legge.

Cosa dicono e cosa è stato documentato

Rassicurazioni pubbliche

L’amministratrice delegata di Microsoft Svezia, Sophia Wikander, ha dichiarato nel maggio 2026 che Microsoft avrebbe contestato ogni volta un ordine di questo tipo. SVT, 30 maggio 2026
Microsoft Svezia ha pubblicato impegni a contestare qualsiasi richiesta di divulgazione di dati di clienti svedesi commerciali o del settore pubblico che sia in conflitto con il GDPR o altre leggi svedesi. Ufficio stampa di Microsoft Svezia, 11 febbraio 2021

Cosa è stato documentato

Il direttore degli affari legali di Microsoft Francia, Anton Carniaux, ha dichiarato al Senato francese (10 giugno 2025) di non poter garantire che i dati conservati nei data centre europei non vengano consegnati alle autorità statunitensi a seguito di una richiesta formalmente valida ai sensi del CLOUD Act; l’azienda sarebbe obbligata per legge a produrli. Commento sulla protezione dei dati di Amburgo, 1 agosto 2025
Le rivelazioni di Snowden (2013) hanno identificato fornitori statunitensi, tra cui Microsoft, come partecipanti al programma PRISM ai sensi della Sezione 702. PRISM (Wikipedia)
Gli stessi rapporti di Microsoft sulle richieste governative e delle forze dell’ordine pubblicano volumi aggregati di dati prodotti in risposta a ordini FISA e richieste di sicurezza nazionale. Rapporto sulla trasparenza di Microsoft

Quali interessi prevalgono quando gli obblighi sono in conflitto?

Non pretendiamo di sapere, richiesta per richiesta, cosa sceglierebbe di fare un fornitore, e non affermiamo che uno specifico file sia stato richiesto o letto. Ma gli incentivi sono difficili da ignorare.

Un fornitore che riceve una direttiva ai sensi della Sezione 702 è tenuto a mantenere segreta l’acquisizione. Il cliente resta escluso da questo processo: il fornitore non può offrire la trasparenza necessaria per verificare cosa sia accaduto ai dati del cliente. Una promessa pubblica di contestare un ordine non dimostra che verrà presentata una contestazione. Senza prove di azioni concrete, resta una rassicurazione di marketing.

Quando la scelta è tra violare la legge statunitense in modo visibile e violare quella europea in modo invisibile, una lettura ragionevole degli incentivi è che i fornitori non sceglierebbero di essere i primi a violare pubblicamente la legge statunitense. In particolare, nessun fornitore statunitense ha mai pubblicamente disobbedito a una direttiva ai sensi della Sezione 702 o a una richiesta definitiva ai sensi del CLOUD Act. Questo non prova cosa contenesse una singola richiesta: è un’affermazione su ciò che gli incentivi rendono prevedibile. Microsoft pubblica cifre che mostrano l’adempimento di richieste di sicurezza nazionale riguardanti migliaia di account. È una prassi osservabile, non un rischio ipotetico. La promessa di un amministratore delegato di contestare un ordine è una rassicurazione di marketing, non la prova che l’azienda rifiuterà di consegnare i vostri dati. In assenza di un caso documentato di rifiuto, la domanda pratica è: che fine farebbero i miei dati in quella situazione, e come potrei mai saperlo?

Approfondimenti

Parliamo delle vostre esigenze