“I nostri dati stanno in Svizzera, il fornitore ce l’ha garantito.” È una frase che sento spesso, ed è una mezza verità. Il luogo dei server dice dove sono i dischi. Non dice quale legge può obbligare chi li gestisce ad aprirli.

Perché non basta sapere dove stanno i server?

Perché una legge non guarda solo dove sono i dischi, ma anche chi ha il potere di aprirli. Se il fornitore dipende da una società che deve rispondere ai giudici di un altro paese, quel paese può chiedergli i dati, ovunque si trovino.

Pensa a una cassaforte in una banca di Lugano. Se la banca appartiene a un gruppo estero, e la legge di quel paese obbliga il gruppo a consegnare ciò che controlla, la posizione della cassaforte conta meno di quanto sembra. Con i dati è lo stesso: conta chi ha la chiave.

Per questo la domanda giusta non è solo “dove stanno i miei dati?”, ma “sotto quale legge?”.

Cosa dice davvero il CLOUD Act?

Il CLOUD Act, approvato dal Congresso americano nel marzo 2018, dice che un fornitore di servizi di comunicazione o di archiviazione deve consegnare i dati che ha in suo “possesso, custodia o controllo”, anche se si trovano fuori dagli Stati Uniti. Serve un ordine valido di un’autorità americana, per i contenuti un mandato di un giudice.

Il fornitore deve conservare o consegnare i dati in suo possesso, custodia o controllo, indipendentemente dal fatto che si trovino dentro o fuori dagli Stati Uniti.

↳ Fonte: Codice degli Stati Uniti, titolo 18, sezione 2713, aggiunta dal CLOUD Act (in inglese)[law.cornell.edu]

Tre precisazioni, perché in giro si legge di tutto:

  • Non è un prelievo automatico. Secondo il Dipartimento di Giustizia americano, per ottenere i contenuti serve un mandato di un giudice indipendente, motivato da indizi seri di un reato specifico. La raccolta indiscriminata di dati non è permessa con questi mandati.
  • Il fornitore può opporsi. Se il cliente non è una persona americana, non vive negli Stati Uniti e la consegna rischierebbe di violare la legge di un paese che ha un accordo CLOUD Act in vigore con gli Stati Uniti, il fornitore può chiedere al giudice di annullare o ridurre l’ordine. Anche senza accordo, se c’è un conflitto con una legge straniera, i giudici americani pesano gli interessi dei due paesi. Ma decidono loro. Secondo la pagina del Dipartimento di Giustizia, aggiornata l’ultima volta il 24 ottobre 2023, gli accordi erano con il Regno Unito e l’Australia; con l’Unione europea c’erano negoziati in corso, la Svizzera non compariva.
  • Non riguarda solo le società americane. Vale per i fornitori soggetti alla giurisdizione degli Stati Uniti: le società americane, le loro filiali se la casa madre controlla i dati, ma anche società straniere con legami abbastanza forti con il mercato americano. Lo decide un giudice, caso per caso.
Dipartimento di Giustizia USA, «The Purpose and Impact of the CLOUD Act», white paper (in inglese) Dipartimento di Giustizia USA, CLOUD Act Resources: accordi firmati e negoziati (in inglese)

Il testo ufficiale della legge è nella legge di bilancio americana del 2018, di cui il CLOUD Act è una parte.

Detto in breve: se il tuo fornitore risponde ai giudici americani, i tuoi dati possono finire in un’indagine americana anche se sono su un server a Zurigo o a Milano. Non succede tutti i giorni, e non succede senza un giudice. Ma la decisione non è più solo svizzera o europea.

E se il fornitore è svizzero?

Con un fornitore svizzero che non ha società madre, filiali o attività rilevanti negli Stati Uniti, i tuoi dati restano sotto il diritto svizzero e la legge sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023. Un’autorità straniera non può dare ordini direttamente in Svizzera: di regola deve chiedere i dati alle autorità svizzere con una domanda di assistenza giudiziaria, secondo la legge federale sull’assistenza internazionale in materia penale del 1981. E il Codice penale svizzero punisce chi compie in Svizzera, senza autorizzazione, atti di autorità per conto di uno Stato estero.

Legge federale sulla protezione dei dati (nLPD) del 2020, in vigore dal 1° settembre 2023 Legge federale sull'assistenza internazionale in materia penale del 1981 Codice penale svizzero

Non vuol dire che nessuno potrà mai vederli: anche le autorità svizzere possono chiederli, con un procedimento svizzero. Vuol dire che sai quale legge si applica, e che è quella del paese in cui lavori.

Ma “svizzero” non è una parola magica. Ci sono tre punti da verificare, anche con un fornitore di casa:

  • Chi lo possiede. Un’azienda con sede a Lugano può appartenere a un gruppo estero. Conta la catena di controllo, non l’indirizzo sulla fattura.
  • Chi fa l’assistenza, e da dove. Chiedi se un tecnico in un altro paese può entrare nei sistemi e vedere i tuoi dati: se sì, conta anche il paese da cui lavora, ovunque siano i server.
  • I subfornitori. Il tuo fornitore può appoggiarsi ad altri: un centro dati, un servizio di posta, un servizio di backup. L’Incaricato federale della protezione dei dati (IFPDT) suggerisce proprio di chiedere se il fornitore conosce i suoi subfornitori e in quali paesi sono trattati i dati.
IFPDT, Trattamento di dati nel cloud

Per gli enti pubblici la questione è già sul tavolo. Nel novembre 2025 privatim, la conferenza degli incaricati svizzeri della protezione dei dati, ha scritto che per gli enti pubblici affidare dati personali sensibili, o coperti da un segreto previsto dalla legge, a servizi cloud internazionali pronti all’uso “nella maggior parte dei casi” non è ammissibile, salvo che l’ente li cifri da sé e il fornitore non abbia accesso alla chiave. Fra i motivi cita proprio il CLOUD Act, anche per i dati nei centri dati svizzeri. È una presa di posizione, non una legge, e riguarda gli enti pubblici, non le aziende private. Ma dice bene qual è il problema.

privatim, risoluzione sulle soluzioni cloud internazionali (in francese)

E il Data Privacy Framework non ha risolto tutto?

No: il Data Privacy Framework permette di inviare dati personali verso le aziende americane certificate, ma non cancella il CLOUD Act. Regola i trasferimenti dalla Svizzera e dall’Unione europea verso gli Stati Uniti, non le richieste dei giudici americani ai fornitori.

  • Svizzera. Il Consiglio federale ha deciso il 14 agosto 2024 che le imprese americane certificate offrono una protezione adeguata. Dal 15 settembre 2024 si possono inviare dati personali a queste imprese senza garanzie in più. Verso le imprese non certificate servono ancora contratti e garanzie specifiche.
  • Italia e Unione europea. Per il GDPR, il regolamento europeo sulla protezione dei dati, la Commissione europea ha adottato il quadro equivalente il 10 luglio 2023. Anche qui vale solo per le aziende che aderiscono.
Consiglio federale, «Quadro CH-USA per la protezione dei dati: le imprese statunitensi certificate garantiscono una protezione adeguata» Commissione europea, trasferimenti di dati UE-USA (in inglese)

Il limite è che il quadro poggia su impegni americani che possono cambiare, e che la Corte di giustizia dell’UE ha già annullato due volte i quadri precedenti, nel 2015 e nel 2020. Il 3 settembre 2025 il Tribunale dell’Unione europea ha respinto un ricorso contro quello attuale, valutando la situazione al momento della sua adozione. Il ricorrente ha impugnato la sentenza davanti alla Corte di giustizia il 31 ottobre 2025: a fine ottobre 2026 la Corte non aveva ancora deciso.

Tribunale dell'Unione europea, comunicato stampa n. 106/25, causa T-553/23 Latombe / Commissione Gazzetta ufficiale dell'UE, impugnazione nella causa C-703/25 P

Per un’azienda vuol dire una cosa semplice: oggi usare un fornitore americano certificato è legale, e spesso funziona benissimo. Ma è una scelta che si basa su un accordo politico. Se l’accordo cade, tocca a te trovare un’altra base, o un’altra soluzione, in fretta.

Le 5 domande da fare al tuo fornitore

Cinque domande, per iscritto, a chi tiene posta, documenti, gestionale e backup della tua azienda. Non servono competenze tecniche: servono risposte chiare. Se una risposta è vaga, la vaghezza è già un’informazione.

  1. Chi è la vostra società madre, e in quale paese ha sede? Vale per tutta la catena, fino in cima. Se in cima c’è una società americana, il CLOUD Act può entrare in gioco anche se firmi con una società svizzera o italiana, se la casa madre controlla i dati.
  2. In quali paesi stanno i server con i miei dati, compresi i backup? I backup contano quanto i dati principali, e a volte stanno altrove.
  3. Chi fa l’assistenza tecnica, e da quali paesi può accedere ai miei dati? Chiedi se i tecnici possono vedere i contenuti o solo gestire le macchine.
  4. Quali subfornitori usate, e dove sono? Chiedi l’elenco, e se vi impegnate ad avvisarmi quando lo cambiate.
  5. Come esco e riprendo i miei dati, in quale formato e in quanto tempo? Un formato leggibile vuol dire che li apri anche senza il loro programma: per esempio file di testo, fogli di calcolo, PDF, posta in un formato standard. Chiedi anche se i dati vengono cancellati dopo, e come lo dimostrano.

Ecco un testo pronto da girare al fornitore. Adatta le parti fra parentesi quadre:

Buongiorno, per aggiornare il nostro registro dei trattamenti e la valutazione dei fornitori vi chiediamo di rispondere per iscritto, entro [data], alle domande seguenti sul servizio [nome del servizio]:

  1. Ragione sociale e paese della vostra società madre e di chi la controlla.
  2. Paesi in cui si trovano i server con i nostri dati, backup compresi.
  3. Paesi da cui il vostro personale o quello dei partner può accedere ai nostri dati, e per quali attività.
  4. Elenco dei subfornitori che trattano i nostri dati, con il loro paese, e come ci avvisate se cambia.
  5. Procedura, formato e tempi per riavere tutti i nostri dati a fine contratto, e per la loro cancellazione.

Grazie, [nome, ruolo, azienda]

Se la tua azienda sceglie la cifratura come difesa in più, chiedi anche chi tiene le chiavi. Se le tiene il fornitore, può anche aprire i dati. L’IFPDT stesso suggerisce di cifrare o anonimizzare i dati prima di caricarli, quando si può.

Se ti serve un criterio per leggere le risposte, usa la prima domanda del Metodo 3V, la Verifica: sai davvero chi ha accesso ai tuoi dati?

E in famiglia? La mini-checklist

Tre cose da controllare una volta, poi una volta l’anno. Se hai poca pratica, falle con un familiare o un amico che conosce il telefono.

  • Foto. Sai su quale servizio finiscono le foto del telefono? Prova a scaricarne un album intero sul computer o su un disco esterno. Se ci riesci, sai che puoi riaverle tutte.
  • E-mail. Il tuo indirizzo di posta dipende da un solo fornitore. Controlla di avere ancora accesso al numero di telefono e all’indirizzo di recupero, e attiva la verifica in due passaggi, cioè il codice in più oltre alla password: è spiegata in questo articolo. Salva fuori dalla casella le e-mail che non vuoi perdere, come contratti e ricevute.
  • Backup. Tieni almeno una copia delle cose importanti fuori dal cloud, su un disco a casa, staccato dal computer quando non lo usi. Come farla bene è spiegato nell’articolo sulla regola 3-2-1.

Domande frequenti

Se uso un servizio americano gratuito per le foto, le autorità americane le guardano?

Il CLOUD Act non funziona così: serve soprattutto alle indagini penali, e per i contenuti ci vuole il mandato di un giudice per un reato specifico. Esistono anche leggi americane sull'intelligence, ed è su quelle che si discute il Data Privacy Framework. Il punto vero è che a decidere chi può chiedere le tue foto non è un giudice svizzero o italiano. Per una famiglia conta soprattutto avere una copia propria.

Un fornitore svizzero costa di più: ne vale la pena?

Dipende dai dati. Per i dati dei clienti, dei pazienti o dei collaboratori, sapere che vale la legge svizzera semplifica i conti con la nLPD e con i clienti che te lo chiedono. Per materiale pubblico o poco sensibile un servizio internazionale può andare bene. La scelta si fa servizio per servizio, dopo aver avuto le risposte alle 5 domande.

La mia azienda è in Italia: il CLOUD Act mi riguarda lo stesso?

Sì, allo stesso modo. Se il tuo fornitore è soggetto alla giurisdizione americana, i dati che controlla possono essere chiesti anche se stanno in un centro dati a Milano o a Francoforte. Per te resta l'obbligo di rispettare il GDPR. Le 5 domande al fornitore valgono uguali, e le risposte ti servono anche per la documentazione privacy.

Devo cambiare tutti i fornitori subito?

No. Cambiare di corsa costa e crea errori. Prima fai l'inventario dei servizi e mandi le 5 domande. Poi decidi, partendo dai dati più delicati: clienti, salute, contabilità, collaboratori. Per il resto basta sapere come uscire, cioè avere provato almeno una volta a esportare i dati in un formato leggibile.

Per chi vuole andare più a fondo

Su questi temi ho scritto un libro: «Prigionieri Digitali. Manifesto di sovranità digitale per imprenditori e decisori». Non chiede di rinunciare al cloud o all’intelligenza artificiale. Spiega come capire da chi dipende davvero la tua azienda, e come preparare la via d’uscita prima che serva. Ha otto appendici operative, fra cui una per le famiglie e una per chi amministra enti pubblici.

L’uscita è stimata fra metà e fine novembre 2026. Sul sito prigionieridigitali.com puoi chiedere di essere avvisato quando esce.

Sapere quale legge si applica ai tuoi dati è il primo passo per controllarli. Comincia dalle 5 domande: le risposte arrivano in pochi giorni, e ti dicono dove sei. Un’azienda che non sa chi ha in mano i suoi dati è solo un bersaglio con una partita IVA.