--- id: CP-374 slug: cloud-act-fisa-702-sovranita-dati lang: it title: Cloud Act, FISA e sovranità dei dati description: Leggi americane possono aprire l'accesso a dati ospitati in Europa. Cosa dice il GDPR, cosa cambia con il quadro UE-USA, e SecNumCloud. canonical_url: https://startbrain.io/cyberpedia/it/articles/cloud-act-fisa-702-sovranita-dati/ markdown_url: https://startbrain.io/cyberpedia/it/articles/cloud-act-fisa-702-sovranita-dati.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Cloud Act, FISA e sovranità dei dati», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/cloud-act-fisa-702-sovranita-dati/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-039 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/cloud-act-fisa-702-sovranita-dati/ fr: https://startbrain.io/cyberpedia/fr/articles/cloud-act-fisa-702-souverainete-donnees/ en: https://startbrain.io/cyberpedia/en/articles/cloud-act-fisa-702-data-sovereignty/ de: https://startbrain.io/cyberpedia/de/articles/cloud-act-fisa-702-datensouveranitaet/ es: https://startbrain.io/cyberpedia/es/articles/cloud-act-fisa-702-soberania-datos/ nl: https://startbrain.io/cyberpedia/nl/articles/cloud-act-fisa-702-gegevenssoevereiniteit/ sources: - "n": 1 title: "Cloud computing : état de la menace informatique" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf published: "2025-02-19" accessed: "2026-11-03" - "n": 2 title: Le devoir de souveraineté numérique publisher: Sénat url: https://www.senat.fr/rap/r19-007-1/r19-007-13.html published: "2019-10-01" accessed: "2026-11-03" - "n": 3 title: CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 accessed: "2026-11-03" - "n": 4 title: EU-US data transfers publisher: Commission européenne url: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en accessed: "2026-11-03" - "n": 5 title: "Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles" publisher: CNIL url: https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres published: "2024-07-19" accessed: "2026-11-03" --- # Cloud Act, FISA e sovranità dei dati Quando un'azienda affida file, messaggi o software a un servizio cloud, sceglie anche, spesso senza accorgersene, il diritto a cui i suoi dati sono soggetti. Il CERT-FR, legato all'ANSSI, osserva che alcuni fornitori di hosting sono soggetti a normative come il Cloud Act e il FISA americani, che consentono alle autorità di quel Paese di accedere ai dati conservati nel cloud, anche al di fuori del loro territorio [1]. Il rapporto del Senato francese scrive che «les géants américains sont tenus à l'application des régimes de sanctions extraterritoriales ou des règles d'accès aux preuves électroniques (comme le Cloud Act)» [2]. Questa scheda spiega cosa cambia per un dipendente e per la direzione. ## In 30 secondi - Dove accade: in qualsiasi servizio cloud (archiviazione, posta, strumenti d'ufficio online) fornito da un prestatore soggetto a una legge extraeuropea, anche se i server si trovano in Europa [1]. - Cosa prevede il diritto: il GDPR riconosce la decisione di un'autorità di un Paese terzo che richiede dati solo se si fonda su un accordo internazionale, come un trattato di mutua assistenza giudiziaria [3]. - Cosa propone la Francia: la versione 3.2 del referenziale SecNumCloud dell'ANSSI include requisiti di protezione rispetto a queste leggi [1]. - Il riflesso: prima di caricare un dato in uno strumento cloud, verificare che sia fornito o approvato dall'azienda e chiedere alla direzione informatica o al responsabile della protezione dei dati quali dati vi possono essere inseriti. ## Domande dirette ### I dati ospitati in Europa sono al riparo dalle leggi americane? Non necessariamente. Secondo il CERT-FR, queste leggi consentono alle autorità americane di accedere ai dati conservati nel cloud, anche al di fuori del loro territorio [1]. La CNIL parla di un rischio per i dati conservati da un'impresa soggetta a un diritto extraeuropeo, come i fornitori di hosting la cui società madre ha sede negli Stati Uniti [5]. ### Il fornitore può avvisare il proprio cliente? Il CERT-FR descrive leggi che obbligano i fornitori di hosting a trasmettere alle proprie autorità i dati dei clienti, senza possibilità di ricorso e senza informare i clienti stessi [1]. ### La cifratura basta? No, secondo il CERT-FR. Non offre una protezione adeguata se anche le chiavi di cifratura si trovano nel cloud, il che avviene in genere quando i dati cifrati sono elaborati nel cloud e non soltanto archiviati [1]. ### Cosa dice il GDPR? L'articolo 48 esclude il riconoscimento automatico di una decisione straniera: questa può essere riconosciuta o resa esecutiva solo se fondata su un accordo internazionale in vigore tra il Paese richiedente e l'Unione o uno Stato membro [3]. ### Gli Stati Uniti sono un Paese «adeguato»? Per le imprese che aderiscono al Data Privacy Framework, sì. La Commissione europea ha adottato la propria decisione di adeguatezza un 10 luglio, e i dati personali possono circolare liberamente dall'UE verso queste imprese [4]. La CNIL data questa decisione al 10 luglio 2023 [5]. ## Cosa cambia per i dipendenti Il dipendente non deve valutare quale diritto si applichi: il suo ruolo è non aggirare gli strumenti scelti dall'azienda. Un servizio cloud personale o gratuito, usato per un documento di lavoro, sfugge alla scelta del fornitore di hosting, alla classificazione dei dati e al contratto che la direzione può aver negoziato. Il CERT-FR ricorda inoltre che, nel cloud, i clienti dei servizi cloud hanno responsabilità importanti nella gestione dei dati e delle identità [1]. Un dipendente che condivide un file o carica un documento agisce sui dati dell'azienda. Ne derivano due abitudini: usare gli strumenti forniti o approvati e segnalare alla direzione informatica un uso del cloud non approvato; chiedere prima di caricarvi grandi basi di dati sanitari, relativi a reati o riguardanti minori, che la CNIL indica tra i dati sensibili [5]. ## Cosa cambia per la direzione La scelta del fornitore di hosting diventa una decisione giuridica oltre che tecnica. Il CERT-FR scrive che è indispensabile valutare questi rischi caso per caso [1]. Per i trattamenti più sensibili, la CNIL raccomanda di ricorrere a un prestatore soggetto esclusivamente al diritto europeo e che offra il livello di protezione adeguato [5]. Il CERT-FR segnala un secondo rischio. Un servizio fornito da un prestatore straniero può essere soggetto a restrizioni all'esportazione o a sanzioni, che possono cambiare nel tempo, con effetti sulla disponibilità dei dati e delle applicazioni [1]. ## Cosa dice il testo Il capo V del GDPR disciplina i trasferimenti di dati personali verso Paesi terzi. L'articolo 44 pone il principio: un trasferimento ha luogo solo se le condizioni del capo sono rispettate, in modo che il livello di protezione garantito dal regolamento non sia compromesso [3]. Il capo prevede più strade. La decisione di adeguatezza della Commissione non richiede alcuna autorizzazione specifica (articolo 45) [3]. In sua assenza sono possibili garanzie adeguate: tra le altre, norme vincolanti d'impresa o clausole tipo di protezione dei dati (articolo 46) [3]. Esistono deroghe per situazioni particolari, come il consenso esplicito dell'interessato (articolo 49) [3]. L'articolo 48 tratta il caso preciso di un'ingiunzione straniera: la decisione di un'autorità giurisdizionale o amministrativa di un Paese terzo che richieda un trasferimento o una comunicazione di dati può essere riconosciuta o resa esecutiva solo se si basa su un accordo internazionale, come un trattato di mutua assistenza giudiziaria [3]. Sul versante americano, la Commissione spiega che l'adeguatezza ha fatto seguito a un ordine esecutivo presidenziale del 7 ottobre e a un regolamento del procuratore generale degli Stati Uniti. Questi testi hanno introdotto garanzie vincolanti per rispondere alla sentenza Schrems II della Corte di giustizia dell'Unione europea del luglio 2020: accesso delle agenzie di intelligence limitato a ciò che è necessario e proporzionato, e meccanismo di ricorso indipendente per i reclami degli europei [4]. Queste garanzie si applicano a tutti i trasferimenti verso imprese americane, qualunque sia lo strumento di trasferimento utilizzato [4]. Sul versante francese, la versione 3.2 del referenziale SecNumCloud dell'ANSSI include requisiti di protezione rispetto all'applicazione di queste leggi extraterritoriali [1]. La CNIL precisa che questa certificazione consente una protezione contro gli accessi da parte di autorità straniere [5]. ## A che punto è l'applicazione La decisione di adeguatezza sul Data Privacy Framework è adottata e vale per le imprese americane aderenti [4]. Il GDPR prevede un riesame periodico della decisione di adeguatezza almeno ogni quattro anni, e la Commissione può abrogarla, modificarla o sospenderla se il livello di protezione non è più adeguato [3]. La certificazione europea EUCS era ancora un progetto nel luglio 2024. A quella data la CNIL rilevava che il progetto guidato dall'ENISA non consentiva più di accertare che il fornitore di hosting non sia soggetto a una normativa extraeuropea, nemmeno ai livelli più elevati e nemmeno in via facoltativa [5]. Chiedeva di reintrodurvi criteri di immunità dalle leggi extraeuropee, ispirati a SecNumCloud [5]. La questione doveva essere discussa di nuovo non appena fosse stata costituita la nuova Commissione europea [5]. In Francia, la legge del 21 maggio citata dalla CNIL, detta legge SREN, prevede che, per dati di particolare sensibilità per lo Stato, il servizio cloud debba applicare criteri di sicurezza e di protezione dei dati per impedire qualsiasi accesso da parte di autorità pubbliche di Stati terzi non autorizzato dal diritto dell'Unione o di uno Stato membro [5]. La dottrina «Cloud au centre» chiede, da parte sua, alle autorità pubbliche di assicurarsi che i dati «d'une sensibilité particulière» ospitati nel cloud non siano soggetti a leggi extraeuropee [5]. ## Fonti 1. CERT-FR (ANSSI), «Cloud computing : état de la menace informatique», 19 febbraio 2025. https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf (consultato il 3 novembre 2026) 2. Sénat, «Le devoir de souveraineté numérique», 1 ottobre 2019. https://www.senat.fr/rap/r19-007-1/r19-007-13.html (consultato il 3 novembre 2026) 3. CNIL, «CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 (consultato il 3 novembre 2026) 4. Commission européenne, «EU-US data transfers». https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en (consultato il 3 novembre 2026) 5. CNIL, «Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles», 19 luglio 2024. https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/cloud-act-fisa-702-sovranita-dati/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.