Data Act: il vostro fornitore cloud dichiara la giurisdizione dell’infrastruttura?
7 min di lettura
Aprite in un’altra scheda il sito del fornitore che ospita i vostri carichi di lavoro. Cercate una pagina che dichiari a quale giurisdizione è soggetta l’infrastruttura che tratta i dati del servizio che usate — non l’azienda, quel servizio. Poi cercate, nel contratto firmato, l’indirizzo di quella pagina. Se in dieci minuti non trovate né l’una né l’altro, avete già la risposta a una domanda che il regolamento (UE) 2023/2854 — il Data Act — pone da quasi undici mesi, non da domani: l’obbligo è in vigore dal 12 settembre 2025, e quasi nessuno lo ha ancora verificato.
Due lettere, un sito, un contratto.
L’articolo 28 del Data Act, «Obblighi contrattuali di trasparenza in materia di accesso e trasferimento internazionali», è breve. Il paragrafo 1 impone ai fornitori di servizi di trattamento dei dati di pubblicare sul sito, mantenendole aggiornate, due informazioni: «la giurisdizione cui è soggetta l’infrastruttura TIC utilizzata per il trattamento dei dati dei loro servizi individuali», e una descrizione generale delle misure adottate per impedire l’accesso governativo internazionale ai dati non personali detenuti nell’Unione, quando ciò creerebbe un conflitto con il diritto dell’Unione o nazionale. Il paragrafo 2 aggiunge la parte che quasi nessun capitolato controlla: quei siti web «sono elencati nei contratti» per tutti i servizi offerti. Non basta che la pagina esista da qualche parte: il contratto deve rimandarci.
La data non è nel 2027: è già passata.
L’articolo 50 fissa l’applicazione del regolamento al 12 settembre 2025, con tre eccezioni nominate: l’articolo 3, paragrafo 1 (sui prodotti connessi, che vale dal 12 settembre 2026), il capo III (obblighi di messa a disposizione dei dati) e il capo IV (clausole abusive, con regime transitorio fino al 2027 per i contratti in corso). L’articolo 28 sta nel capo VI, «Passaggio tra servizi di trattamento dei dati»: non compare fra le eccezioni, vale la regola generale, dal 12 settembre 2025. Non è la sola scadenza di quest’estate che sembra futura e non lo è: anche la comunicazione sulla sostenibilità dei data center riguarda un anno civile già in corso.
«Giurisdizione dell’infrastruttura» non è «dove sta il server».
È la distinzione che un capitolato deve saper scrivere. Il regolamento non chiede l’indirizzo del data center: chiede a quale diritto è soggetta l’infrastruttura TIC che tratta i dati. Un impianto fisicamente in Italia, gestito da una società soggetta al diritto di un paese terzo, è una configurazione diversa — sul piano dell’articolo 28 — da un impianto in Italia gestito da una società soggetta solo al diritto dell’Unione: stessa geografia, giurisdizione diversa. La definizione di «servizio di trattamento dei dati», all’articolo 2, punto 8, è funzionale, non nominale: «un servizio digitale […] che consente l’accesso di rete universale e su richiesta a un pool condiviso di risorse informatiche configurabili, scalabili ed elastiche di natura centralizzata, distribuita o altamente distribuita». Non parla di «cloud pubblico», e copre anche configurazioni distribuite: la dichiarazione va resa per ciascun servizio individuale, non per l’azienda nel suo complesso. Chi compra connettività, colocation o capacità di calcolo dovrebbe pretendere la stessa granularità in capitolato.
Il secondo tempo: uscire costerà meno, e va dichiarato prima di entrare.
Due articoli più avanti, l’articolo 29 smonta gradualmente le tariffe di passaggio fra fornitori: dal 12 gennaio 2027 spariscono; nel transitorio, dall’11 gennaio 2024 a quella data, possono essere solo «ridotte», e non superiori «ai costi direttamente connessi al pertinente processo di passaggio» sostenuti dal fornitore. Prima di firmare, il paragrafo 4 impone di informare il cliente su spese standard, penali di risoluzione anticipata e tariffe di passaggio ridotte. Un cliente che oggi paga per estrarre i propri dati ha uno strumento per chiedere il conto di quel costo.
L’articolo 30, paragrafo 1, riguarda il livello infrastrutturale di cui parliamo su questo sito: i fornitori «concernenti risorse informatiche scalabili ed elastiche limitate a elementi infrastrutturali quali server, reti e risorse virtuali», che non danno accesso ad applicazioni o software, devono adottare tutte le misure ragionevoli perché il cliente raggiunga l’«equivalenza funzionale» dopo il passaggio; il fornitore di origine «agevola il processo […] fornendo capacità, sufficienti informazioni, documentazione, assistenza tecnica e, se del caso, gli strumenti necessari». Documentazione e strumenti al passaggio non sono una cortesia commerciale: sono un obbligo scritto.
Il rovescio, che va detto.
L’articolo 28 chiede «una descrizione generale» delle misure contro l’accesso governativo internazionale, non un elenco puntuale: una pagina vaga può restare pienamente conforme. La trasparenza non risolve il problema, lo rende verificabile — il che è già qualcosa, ma non è una garanzia.
E l’articolo 32, due articoli dopo il 28, non blinda i dati europei da ogni autorità straniera. Ho verificato il paragrafo 2: le decisioni di un giudice o di un’autorità amministrativa di un paese terzo che obbligano al trasferimento di dati non personali detenuti nell’Unione «sono riconosciute o assumono qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l’Unione, ad esempio un trattato di mutua assistenza giudiziaria, o su qualsiasi accordo analogo tra il paese terzo richiedente e uno Stato membro». Senza un accordo del genere, il paragrafo 3 non vieta il trasferimento in automatico: lo ammette a tre condizioni — motivi e proporzionalità della decisione, con un nesso specifico a persone o violazioni determinate; un’obiezione motivata riesaminabile da un giudice del paese terzo; un giudice con il potere, secondo il proprio diritto, di tenere conto degli interessi tutelati dal diritto dell’Unione. Non è un divieto assoluto: è una procedura a condizioni verificabili. Chi scrive che il Data Act «mette i dati al riparo dalle autorità straniere» sta semplificando oltre quello che il testo dice.
Cosa scrivere a capitolato.
- Giurisdizione dichiarata servizio per servizio, con riferimento all’articolo 28, paragrafo 1, lettera a) — non una dichiarazione unica per l’intero fornitore.
- Gli indirizzi web dell’articolo 28 richiamati nel contratto, come impone il paragrafo 2, non solo pubblicati su una pagina che nessuna clausola cita.
- Le misure dell’articolo 32 allegate, non solo linkate: il testo delle misure tecniche e organizzative, non un rimando a una pagina che può cambiare senza preavviso.
- Costi di passaggio quantificati in anticipo, come impone l’articolo 29, paragrafo 4, prima di firmare — non scoperti al momento dell’uscita.
- Obblighi di equivalenza funzionale ex articolo 30 scritti come clausola, con l’elenco di ciò che il fornitore di origine deve consegnare: capacità, informazioni, documentazione, assistenza, strumenti.
Come si verifica.
La verifica dei dieci minuti va fatta oggi: aprire il sito del fornitore, cercare la pagina dell’articolo 28, controllare che dichiari la giurisdizione per il servizio specifico che usate — non per l’azienda in astratto — e la data di ultimo aggiornamento. Poi il contratto: l’indirizzo di quella pagina è richiamato, come vuole il paragrafo 2? Se non c’è, è una non conformità del fornitore, e una clausola mancante nel vostro capitolato. In accettazione vale la stessa logica per l’articolo 32: le misure devono comparire, allegate per intero, nella documentazione contrattuale — non solo citate a voce in una call di vendita.
Il punto.
Il Data Act non chiede un atto di fede: chiede una pagina aggiornata, un contratto che la richiami, un allegato che descriva le misure — verificabili in un pomeriggio, non un parere. È il lavoro che portiamo in un capitolato di conformità: giurisdizione dichiarata servizio per servizio, indirizzi dell’articolo 28 richiamati per iscritto, misure dell’articolo 32 allegate, costi di passaggio dell’articolo 29 quantificati prima di firmare — clausole verificabili, con il collaudo fatto in accettazione e la traccia da esibire. Il fascicolo dei fornitori cloud, colocation e connettività di un data center, insieme a tracce, misure e as-built della rete che li collega, smette di essere pagine sparse e diventa una mappa unica del sito e della rete: un’AI segnala l’incoerenza — una giurisdizione dichiarata che non combacia più col contratto, un fornitore che ha cambiato pagina senza avvisare — e una squadra interviene, insieme a CSIDIA, l’altra società del gruppo. Dove serve un’AI sui dati della rete, gira nel perimetro del cliente: su macchine autonome on-premise, senza integrazione profonda nella rete esistente, o in cloud dedicato con data center in Italia, con gestione condivisa fra le due squadre.
Dovete verificare se i vostri fornitori cloud, colocation e connettività rispettano l’articolo 28, o scrivere la clausola che lo richiama nel prossimo capitolato? Parlatene con un tecnico: il sopralluogo è senza costi, e la pagina del fornitore si controlla oggi, non alla prossima scadenza contrattuale.