Cloud Act, FISA e sovranità dei dati

Il dipendente non deve valutare quale diritto si applichi: il suo ruolo è non aggirare gli strumenti scelti dall'azienda. Un servizio cloud personale o gratuito, usato per un documento di lavoro, sfugge alla scelta del fornitore di hosting, alla classificazione dei dati e al contratto che la direzione può aver negoziato.

Il CERT-FR ricorda inoltre che, nel cloud, i clienti dei servizi cloud hanno responsabilità importanti nella gestione dei dati e delle identità¹. Un dipendente che condivide un file o carica un documento agisce sui dati dell'azienda.

Ne derivano due abitudini: usare gli strumenti forniti o approvati e segnalare alla direzione informatica un uso del cloud non approvato; chiedere prima di caricarvi grandi basi di dati sanitari, relativi a reati o riguardanti minori, che la CNIL indica tra i dati sensibili⁵.

La scelta del fornitore di hosting diventa una decisione giuridica oltre che tecnica. Il CERT-FR scrive che è indispensabile valutare questi rischi caso per caso¹.

Per i trattamenti più sensibili, la CNIL raccomanda di ricorrere a un prestatore soggetto esclusivamente al diritto europeo e che offra il livello di protezione adeguato⁵. Il CERT-FR segnala un secondo rischio. Un servizio fornito da un prestatore straniero può essere soggetto a restrizioni all'esportazione o a sanzioni, che possono cambiare nel tempo, con effetti sulla disponibilità dei dati e delle applicazioni¹.

Il capo V del GDPR disciplina i trasferimenti di dati personali verso Paesi terzi. L'articolo 44 pone il principio: un trasferimento ha luogo solo se le condizioni del capo sono rispettate, in modo che il livello di protezione garantito dal regolamento non sia compromesso³.

Il capo prevede più strade. La decisione di adeguatezza della Commissione non richiede alcuna autorizzazione specifica (articolo 45)³. In sua assenza sono possibili garanzie adeguate: tra le altre, norme vincolanti d'impresa o clausole tipo di protezione dei dati (articolo 46)³. Esistono deroghe per situazioni particolari, come il consenso esplicito dell'interessato (articolo 49)³.

L'articolo 48 tratta il caso preciso di un'ingiunzione straniera: la decisione di un'autorità giurisdizionale o amministrativa di un Paese terzo che richieda un trasferimento o una comunicazione di dati può essere riconosciuta o resa esecutiva solo se si basa su un accordo internazionale, come un trattato di mutua assistenza giudiziaria³.

Sul versante americano, la Commissione spiega che l'adeguatezza ha fatto seguito a un ordine esecutivo presidenziale del 7 ottobre e a un regolamento del procuratore generale degli Stati Uniti. Questi testi hanno introdotto garanzie vincolanti per rispondere alla sentenza Schrems II della Corte di giustizia dell'Unione europea del luglio 2020: accesso delle agenzie di intelligence limitato a ciò che è necessario e proporzionato, e meccanismo di ricorso indipendente per i reclami degli europei⁴. Queste garanzie si applicano a tutti i trasferimenti verso imprese americane, qualunque sia lo strumento di trasferimento utilizzato⁴.

Sul versante francese, la versione 3.2 del referenziale SecNumCloud dell'ANSSI include requisiti di protezione rispetto all'applicazione di queste leggi extraterritoriali¹. La CNIL precisa che questa certificazione consente una protezione contro gli accessi da parte di autorità straniere⁵.

La decisione di adeguatezza sul Data Privacy Framework è adottata e vale per le imprese americane aderenti⁴. Il GDPR prevede un riesame periodico della decisione di adeguatezza almeno ogni quattro anni, e la Commissione può abrogarla, modificarla o sospenderla se il livello di protezione non è più adeguato³.

La certificazione europea EUCS era ancora un progetto nel luglio 2024. A quella data la CNIL rilevava che il progetto guidato dall'ENISA non consentiva più di accertare che il fornitore di hosting non sia soggetto a una normativa extraeuropea, nemmeno ai livelli più elevati e nemmeno in via facoltativa⁵. Chiedeva di reintrodurvi criteri di immunità dalle leggi extraeuropee, ispirati a SecNumCloud⁵. La questione doveva essere discussa di nuovo non appena fosse stata costituita la nuova Commissione europea⁵. In Francia, la legge del 21 maggio citata dalla CNIL, detta legge SREN, prevede che, per dati di particolare sensibilità per lo Stato, il servizio cloud debba applicare criteri di sicurezza e di protezione dei dati per impedire qualsiasi accesso da parte di autorità pubbliche di Stati terzi non autorizzato dal diritto dell'Unione o di uno Stato membro⁵. La dottrina «Cloud au centre» chiede, da parte sua, alle autorità pubbliche di assicurarsi che i dati «d'une sensibilité particulière» ospitati nel cloud non siano soggetti a leggi extraeuropee⁵.