Se il tuo provider cloud ha sede negli Stati Uniti, un valido ordine di un tribunale statunitense può obbligare quella società a recuperare i dati della tua azienda su server situati in qualsiasi parte del mondo.
Aziende come Google, Microsoft e Amazon sono vulnerabili a questa intrusione, resa possibile dal CLOUD Act, una legge del 2018 che dà alle forze dell’ordine americane tentacoli globali.
È un problema soprattutto per le aziende dell’UE. Se il tuo provider statunitense consegna le tue email o i tuoi file, ciò potrebbe costituire una violazione del GDPR per la perdita di dati personali, che prevede sanzioni fino a 20 milioni di € o al 4% del fatturato annuo globale, se superiore.
Questa è la realtà che le aziende americane occultano quando nei loro messaggi di marketing parlano di “conforme al GDPR” e di “cloud sovrano europeo“. Un data center UE di un provider statunitense è comunque gestito da una società soggetta alla giurisdizione americana. Per la tua azienda, questo significa che le decisioni di acquisto comportano una responsabilità in materia di conformità che potresti non aver considerato. Per i tuoi clienti, significa che i dati personali che ti hanno affidato potrebbero finire in un procedimento legale su cui non hanno alcun controllo (e di cui potrebbero persino non venire mai a conoscenza).
Ecco una spiegazione chiara del CLOUD Act, perché questa legislazione invasiva è importante per le aziende e come limitare la tua esposizione. Dove risiedono i tuoi dati non decide più chi può accedervi.
Che cos’è il CLOUD Act?
Il Clarifying Lawful Overseas Use of Data Act (CLOUD Act(nuova finestra)) è una legge federale statunitense entrata in vigore nel 2018. Consente alle forze dell’ordine federali (in primis il Dipartimento di Giustizia e l’FBI, ma anche le polizie federali, statali e locali) di ottenere un mandato, un ordine del tribunale o una citazione che obbliga le aziende tecnologiche soggette alla giurisdizione americana a consegnare i dati, indipendentemente da dove questi siano fisicamente archiviati nel mondo.
Ad esempio, se l’FBI ottiene un mandato che obbliga Microsoft a consegnare le email di un’azienda europea, Microsoft deve ottemperare, anche se un tribunale europeo non è d’accordo con la richiesta.
Il CLOUD Act ha una finalità di polizia legittima. È concepito per aiutare le forze dell’ordine federali a indagare su reati gravi come terrorismo, sfruttamento dei minori e criminalità informatica. Non è concepito per la raccolta di informazioni di intelligence, che passa attraverso un’autorità statunitense separata (sezione 702 del FISA) e viene spesso confusa con il CLOUD Act.
Questa finalità legittima, tuttavia, non elimina il problema strutturale per le aziende: il CLOUD Act può mettere un provider soggetto alla giurisdizione americana nella posizione di dover violare la legge dell’UE per ottemperare a un legittimo ordine statunitense. Lascia le aziende intrappolate tra due regimi di conformità, senza alcun modo di soddisfarli entrambi.
Qual è l’origine del CLOUD Act?
Il CLOUD Act è stato approvato nel 2018 dal governo degli Stati Uniti per modificare lo Stored Communications Act (SCA) del 1986. Questa modifica è stata, in gran parte, una risposta a un procedimento giudiziario in corso(nuova finestra), il caso “Microsoft-Ireland”.
Nel 2013, Microsoft ha contestato un mandato federale che richiedeva le email di un cliente indagato per traffico di droga, email archiviate da Microsoft su server in Irlanda. Il caso ruotava attorno a una spinosa questione giuridica: un mandato statunitense emesso ai sensi dell’SCA poteva raggiungere comunicazioni digitali controllate da una società con sede negli Stati Uniti, ma archiviate su un server dati al di fuori degli Stati Uniti?
Nel 2018, il caso era in attesa di appello presso la Corte Suprema quando il Congresso degli Stati Uniti ha approvato il CLOUD Act. Ciò ha reso irrilevante il caso “Microsoft-Ireland” e risolto la questione dei poteri extraterritoriali del governo statunitense sui dati archiviati su suolo straniero, almeno sulla carta.
Quali poteri conferisce il CLOUD Act al governo degli Stati Uniti?
Il CLOUD Act ha conferito al governo degli Stati Uniti il potere di richiedere dati mirati, ovunque fossero archiviati, rafforzando gli ordini SCA extraterritoriali rivolti ai provider statunitensi. La legge ha chiarito che le forze dell’ordine americane possono utilizzare mandati, citazioni e ordini del tribunale per accedere a dati di comunicazioni archiviati elettronicamente e situati al di fuori degli Stati Uniti, se il provider di archiviazione è soggetto alla giurisdizione statunitense e i dati richiesti sono pertinenti e rilevanti per un’indagine penale in corso. Una richiesta ai sensi del CLOUD Act arriva direttamente al provider, aggirando il molto più lento processo MLAT (Mutual Legal Assistance Treaty)(nuova finestra) su cui il governo degli Stati Uniti faceva affidamento in precedenza.
Il CLOUD Act ha inoltre conferito poteri ai governi disposti a stipulare un accordo esecutivo bilaterale con il governo degli Stati Uniti, che consente alle forze dell’ordine dei paesi partner di inviare richieste dirette, transfrontaliere e specifiche per singoli casi di dati ai fornitori di servizi con sede negli Stati Uniti.
Gli accordi esecutivi accelerano la raccolta di prove nei casi penali gravi come terrorismo e sfruttamento dei minori, dove il processo MLAT potrebbe richiedere mesi. Al momento in cui scriviamo, esistono solo due accordi esecutivi: tra Stati Uniti e Regno Unito (entrato in vigore in ottobre 2022(nuova finestra)) e tra Stati Uniti e Australia (entrato in vigore a gennaio 2024(nuova finestra)). Sono stati avviati i negoziati tra il governo degli Stati Uniti, l’UE e il Canada(nuova finestra), ma non sono ancora conclusi.
I provider tecnologici hanno però un meccanismo di salvaguardia: possono contestare o chiedere di modificare un ordine statunitense in base alla “comity” (il principio giuridico per cui i tribunali rispettano le leggi di altre giurisdizioni) se ottemperare significherebbe violare una legge straniera, in particolare una coperta da un accordo esecutivo. Al di fuori del Regno Unito e dell’Australia, questa contestazione basata sulla comity di common law è l’unica opzione sul tavolo.
Tuttavia, come sostiene l’Electronic Privacy Information Center (EPIC)(nuova finestra), anche con la comity il CLOUD Act lascia ai clienti, aziende incluse, ben pochi mezzi di ricorso reali. I provider non sono tenuti a informare un cliente i cui dati sono stati consultati, i clienti non hanno alcun diritto autonomo di contestare una richiesta (dipende interamente dalla scelta del provider di opporsi) e gli accordi esecutivi escludono esplicitamente la creazione di qualsiasi nuovo rimedio per le persone coinvolte.
Il CLOUD Act contro il GDPR
In Europa, dove una ricerca di Proton mostra che oltre il 74% di tutte le società quotate in borsa dipende da servizi tecnologici con sede negli Stati Uniti, il CLOUD Act è motivo di particolare preoccupazione perché entra in conflitto con il Regolamento generale sulla protezione dei dati (GDPR) dell’UE.
Ai sensi dell’articolo 48(nuova finestra) del GDPR, un ordine di un tribunale straniero o una decisione di un’autorità amministrativa (compreso un ordine SCA) volto a trasferire o divulgare dati personali non è automaticamente riconosciuto o eseguito nell’UE, a meno che non sia emesso nell’ambito di un accordo internazionale, come un MLAT.
Sebbene non vi sia stato alcun caso di sanzione del GDPR a un’azienda in relazione a un ordine del CLOUD Act, esiste un precedente di autorità di controllo che intervengono su questa categoria di rischio: nel 2023, la Data Protection Commission irlandese ha sanzionato Meta con un record di 1,2 miliardi di €(nuova finestra) per i trasferimenti UE-USA esposti alla legge statunitense sulla sorveglianza, in particolare alla sezione 702 del FISA, non al CLOUD Act.
Per i provider cloud con sede negli Stati Uniti, questo significa che se il governo americano richiede dati che essi trattano ma che sono controllati da aziende europee, ottemperare al CLOUD Act potrebbe significare violare il GDPR. Ai sensi dell’articolo 28(nuova finestra), il provider (responsabile del trattamento) può agire solo su istruzioni documentate del titolare del trattamento, e la “divulgazione di dati a un governo straniero” non rientra tra tali istruzioni.
L’esposizione non è limitata al provider. Se il provider divulga i dati di un cliente in risposta a un ordine coercitivo senza la base di accordo internazionale richiesta dall’articolo 48 (che, poiché attualmente non esiste alcun accordo esecutivo sul CLOUD Act tra Stati Uniti e UE, significa un MLAT), l’azienda che possiede quei dati si assume una propria responsabilità, non solo il fornitore incaricato di archiviarli.
Perché la posizione dei dati non significa sovranità dei dati
A giugno 2025(nuova finestra), il direttore degli affari pubblici e legali di Microsoft Francia, Anton Carniaux, è stato interrogato sotto giuramento al Senato francese(nuova finestra) per sapere se poteva garantire che i dati dei cittadini francesi non sarebbero mai stati consegnati alle autorità statunitensi senza il consenso francese.
La sua risposta: “No. Non posso garantirlo”. Ha aggiunto che “non è mai accaduto prima”, il che, naturalmente, non significa che non potrebbe accadere in futuro.
Il messaggio era chiaro: La sovranità dei dati non riguarda più dove sono archiviati i dati, ma chi li controlla. La posizione dei server dei tuoi dati e i governi che hanno autorità su di essi non coincidono più necessariamente.
Questo fatto mal si concilia con le offerte cloud “conformi al GDPR” che i giganti del cloud statunitensi (o “hyperscaler”) propongono alle aziende europee. Questi prodotti di “cloud sovrano europeo” sono gestiti da società con sede negli Stati Uniti, o controllate da una capogruppo americana, e le tutele del GDPR si estendono solo fin dove lo consente la legge statunitense.
Come l’architettura di crittografia zero-access riduce l’esposizione al CLOUD Act
Se il tuo provider di archiviazione cloud è soggetto alla giurisdizione statunitense e le forze dell’ordine americane richiedono l’accesso ai tuoi dati (per motivi legali legittimi), né tu né il tuo provider potete impedirlo. A quel punto, l’unica difesa dei tuoi dati è la crittografia.
La crittografia rende i dati illeggibili e inutilizzabili sia dai criminali informatici sia dai governi, trasformandoli in “testo cifrato” che solo chi possiede la chiave giusta può leggere.
Tuttavia, la crittografia offerta dalla maggior parte dei provider cloud statunitensi presenta un difetto fatale: sono loro stessi a conservare le chiavi di decriptazione. Ciò significa che possono leggere i tuoi dati, o essere obbligati a consegnarne una copia leggibile a terzi, come le forze dell’ordine americane.
Per una protezione reale contro l’esposizione dei dati di file e messaggi, sia ai criminali informatici sia ai governi, hai bisogno della crittografia end-to-end o della crittografia zero-access, che impedisce al provider di accedere ai dati.
Un provider che utilizza la crittografia zero-access non possiede la chiave per decriptare i file che gestisce e archivia sui propri server. Può comunque essere costretto a divulgare i dati quando le forze dell’ordine lo richiedono, anche se i dati sono archiviati in una giurisdizione che applica uno standard rigoroso di protezione dei dati, come la Svizzera. Ma i file consegnati sarebbero crittografati e illeggibili.
Come Proton protegge le aziende dal CLOUD Act
Proton è protetta dal CLOUD Act in due modi fondamentali:
- La giurisdizione svizzera, che limita chi può obbligare Proton a consegnare i dati
- E una crittografia robusta, che limita ciò che possono fare con qualunque cosa Proton consegni
Proton ha sede a Ginevra, in Svizzera, al di fuori della giurisdizione statunitense e della portata degli ordini del CLOUD Act. Neanche le autorità americane possono ricorrere a una scorciatoia bilaterale: la Svizzera non è parte di alcun accordo esecutivo sul CLOUD Act.
Questo non elimina del tutto i procedimenti legali. La Svizzera ha il proprio quadro di assistenza giudiziaria reciproca, che consente alle autorità svizzere di cooperare con indagini straniere. Ma qualsiasi richiesta deve prima superare il vaglio della legge svizzera, davanti ai tribunali svizzeri: non può essere un mandato notificato direttamente al provider.
La storia legale di Proton dimostra che siamo disposti e in grado di contestare la legge svizzera. Nel 2020, abbiamo contestato una legge svizzera sulla conservazione dei dati che ritenevamo un tentativo improprio di usare le leggi sulle telecomunicazioni per minare la privacy. Nel 2021, il Tribunale amministrativo federale ha stabilito che i servizi email non sono fornitori di telecomunicazioni e, di conseguenza, non sono soggetti agli obblighi di conservazione previsti dalla legge.
E anche un ordine svizzero andato a buon fine ha dei limiti su ciò che può ottenere. La crittografia end-to-end e zero-access di Proton fa sì che il contenuto dei messaggi e i file siano illeggibili per Proton stessa, e non c’è alcuna chiave da consegnare, indipendentemente da chi la richiede. Il contenuto delle tue email, dei tuoi documenti, dei tuoi file e degli altri dati resta fuori portata.
Domande frequenti sul CLOUD Act
Il CLOUD Act prevale sul GDPR?
Il CLOUD Act non prevale sul GDPR, ma entra in conflitto con esso. Un ordine CLOUD Act può mettere un fornitore statunitense in una posizione in cui l’ottemperanza viola l’articolo 48 del GDPR (nessun riconoscimento automatico di un ordine straniero senza un accordo internazionale). Nessuna delle due leggi cede all’altra, e il fornitore, e qualsiasi azienda europea che serve, si trova intrappolato tra le due.
Il CLOUD Act è solo per le aziende statunitensi?
Il CLOUD Act non si applica solo alle imprese con sede negli Stati Uniti, o controllate da una società madre statunitense. Raggiunge anche qualsiasi fornitore con una presenza legale o un legame commerciale sufficiente negli Stati Uniti. Una filiale statunitense, personale o uffici con sede negli Stati Uniti, o imprese indirizzate intenzionalmente ai clienti statunitensi possono essere sufficienti per portare un’organizzazione con sede al di fuori degli Stati Uniti nella portata del CLOUD Act.
Posso rifiutare una richiesta del CLOUD Act?
Il cliente (titolare del trattamento) generalmente non è quello a cui viene notificato l’ordine, lo è il fornitore. Il fornitore può sollevare una contestazione di cortesia se l’ottemperanza viola la legge straniera, o opporsi se una richiesta è legalmente carente. Ma se i rimedi legali sono esauriti e l’ordine rimane valido, un fornitore sarebbe costretto a ottemperare.
Che differenza c’è tra il CLOUD Act e un MLAT?
Quando le prove digitali vengono richieste tramite un trattato di assistenza legale reciproca (MLAT), questa richiesta è soggetta a revisione giudiziaria, un processo accurato e lento. Gli accordi esecutivi attivati dal CLOUD Act consentono alle forze dell’ordine di aggirare il processo MLAT se richiedono dati da un paese partner. Finora, solo il Regno Unito e l’Australia hanno accordi esecutivi con gli Stati Uniti.
La crittografia ferma le richieste del CLOUD Act?
La crittografia non ferma un ordine legale, ma se un fornitore archivia i dati dei clienti con crittografia end-to-end o crittografia a accesso zero, allora non avrà dati leggibili da consegnare alle autorità perché non ha le chiavi di decriptazione. Consegnerebbe quindi solo file crittografati.
