Data Act: quanto dura il passaggio a un altro fornitore cloud?

Uscire da un fornitore di servizi cloud non è una decisione che si prende il giorno in cui serve: è un progetto con un orologio, e quell’orologio parte solo se le clausole che lo governano sono già scritte nel contratto — con il diritto di leggerle prima di firmare. Non è una scadenza futura: il regolamento (UE) 2023/2854, il Data Act, si applica dal 12 settembre 2025, e l’articolo 25, «Clausole contrattuali relative al passaggio», sta nel capo VI. L’articolo 50 elenca tre eccezioni all’applicazione generale — l’articolo 3, paragrafo 1, il capo III e il capo IV — e il capo VI non compare fra queste: vale la regola generale. Ieri abbiamo verificato lo stesso regolamento sull’articolo 28, la giurisdizione dell’infrastruttura che tratta i vostri dati. Qui l’angolo è diverso: non dove sta l’infrastruttura, ma cosa succede — per contratto — quando decidete di lasciarla.

Tre finestre, sommate

Sommate le tre finestre che l’articolo 25 mette per iscritto e avrete il calendario reale di un cambio di fornitore, non quello immaginato in un piano di continuità operativa. La lettera d) fissa «un termine massimo di preavviso per l’avvio del processo di passaggio, non superiore a due mesi». Dopo quel preavviso parte la lettera a): «un periodo transitorio massimo obbligatorio di 30 giorni di calendario», durante il quale «il contratto di servizio resta applicabile» e il fornitore continua a fornire il servizio, con assistenza al cliente, continuità operativa, informazioni chiare sui rischi noti e un livello di sicurezza elevato per l’intero processo, dati compresi. Poi la lettera g): «un periodo minimo di almeno 30 giorni di calendario per il recupero dei dati», che decorre dalla fine del transitorio. Due mesi più trenta giorni più trenta giorni: fino a quattro mesi — e il paragrafo 4 dello stesso articolo ammette, se il transitorio di 30 giorni è tecnicamente inattuabile, un periodo alternativo fino a sette mesi, con preavviso al cliente entro 14 giorni lavorativi. Chi progetta una migrazione sommando solo i tempi tecnici del trasferimento dati sta progettando su una durata sbagliata.

Prima di firmare: il diritto di leggere il contratto

Il paragrafo 1 dell’articolo 25 non si limita a imporre che le clausole esistano. Dice che i diritti del cliente e gli obblighi del fornitore «sono chiaramente definiti in un contratto scritto», e che il fornitore mette quel contratto a disposizione del cliente «prima della firma del contratto», in modo da consentirgli di «conservare e riprodurre il contratto». È il momento in cui si negozia, non quello in cui si scopre. Un capitolato che chiede la bozza contrattuale in fase di gara, prima dell’aggiudicazione, sta solo esercitando un diritto che il regolamento già riconosce.

Un elenco specifico, non una formula

La lettera e) non ammette genericità: chiede «un’indicazione specifica dettagliata di tutte le categorie di dati e risorse digitali che possono essere trasferite durante il processo di passaggio, compresi almeno tutti i dati esportabili». Un allegato che scrive «i dati del cliente» non soddisfa la lettera e): la norma chiede categorie elencate, non un’etichetta — la differenza fra un contratto verificabile in accettazione e uno che si scopre incompleto il giorno della migrazione, quando l’orologio dell’articolo 25 non concede tempo per rinegoziare.

L’eccezione che va nominata, non invocata

Il contrappeso sta nella lettera f), ed è la clausola su cui si gioca davvero la partita. Il fornitore può escludere dai dati esportabili le categorie legate al proprio funzionamento interno — non ai dati del cliente, alla logica interna del servizio — «qualora esista un di rischio [sic] di violazione dei segreti commerciali del fornitore»: il refuso è nel testo pubblicato in Gazzetta ufficiale, non nostro. Ma la condizione che segue è netta: quelle categorie devono comparire con «un’indicazione specifica dettagliata», e il testo pretende che «tali esenzioni non ostacolino o ritardino il processo di passaggio». Un’esenzione non elencata alla firma non è un’esenzione valida; un’esenzione che rallenta la migrazione non lo è a maggior ragione. La tutela dei segreti commerciali del fornitore è legittima, e il regolamento la riconosce esplicitamente: il punto non è negarla, è pretendere che sia nominata quando si firma, non invocata quando si esce.

Il resto della clausola, in breve

L’articolo 25 aggiunge tre elementi che un capitolato dovrebbe controllare. La lettera c) fa sì che il contratto si consideri risolto — con notifica al cliente — al completamento del passaggio, o alla fine del preavviso se il cliente sceglie di cancellare invece di migrare. La lettera h) impone la cancellazione completa dei dati e delle risorse digitali esportabili generati dal cliente, o che lo riguardano direttamente, dopo la scadenza del periodo di recupero della lettera g). La lettera i) rimanda alle tariffe di passaggio dell’articolo 29, con un proprio calendario, da quantificare prima di firmare — non da scoprire all’uscita.

Il rovescio: a chi si applica

Questi obblighi valgono per i «servizi di trattamento dei dati» come li definisce l’articolo 2, punto 8: «un servizio digitale fornito a un cliente e che consente l’accesso di rete universale e su richiesta a un pool condiviso di risorse informatiche configurabili, scalabili ed elastiche di natura centralizzata, distribuita o altamente distribuita», erogato «con un minimo sforzo di gestione». È una definizione funzionale, non un elenco di marchi: copre il cloud propriamente detto e le configurazioni distribuite. Non copre automaticamente tutto ciò che un data center fattura. Un contratto di colocation puro — spazio, energia, raffreddamento, senza il pool di risorse configurabili che la definizione richiede — o una fornitura di sola connettività in fibra non rientrano necessariamente nell’articolo 25: vanno lette per quello che descrivono, non per l’etichetta commerciale che portano. Chi scrive un capitolato dovrebbe verificarlo servizio per servizio, non dedurlo dal nome del fornitore.

Cosa scrivere a capitolato

Le tre finestre — preavviso fino a due mesi (lett. d), transitorio obbligatorio fino a 30 giorni (lett. a), recupero dati di almeno 30 giorni (lett. g) — dichiarate per iscritto e sommate, non lasciate implicite.
L’elenco specifico delle categorie di dati e risorse digitali trasferibili, come allegato contrattuale ex lettera e), non una formula generica.
Le esenzioni della lettera f) nominate una per una alla firma, con la clausola che ne vieta l’effetto di ostacolo o ritardo — non scoperte al momento dell’uscita.
I costi di passaggio quantificati prima di stipulare, come impone l’articolo 29, paragrafo 4: spese standard, penali di risoluzione anticipata, tariffe di passaggio ridotte.
L’equivalenza funzionale dell’articolo 30, con l’elenco di ciò che il fornitore di origine deve consegnare al passaggio: capacità, informazioni, documentazione, assistenza tecnica, strumenti.

Come si verifica

La prova d’uscita si chiede in gara o al rinnovo, non alla disdetta: al fornitore va chiesta la simulazione documentata delle tre finestre per il servizio specifico che comprate, e l’elenco delle categorie esentate ai sensi della lettera f), con la motivazione del rischio per i segreti commerciali. Se il fornitore non sa rispondere a queste due domande, la clausola dell’articolo 25 non è nel contratto: è un buco che si scopre quando è già tardi per negoziarlo.

Il punto.

Le tre finestre, l’elenco delle categorie e le esenzioni della lettera f) non restano un parere: diventano clausole scritte nel capitolato e una prova d’uscita fatta in accettazione, con la simulazione documentata da esibire — lo stesso lavoro che portiamo nei capitolati di conformità. E per un data center la logica non si ferma al contratto del singolo fornitore cloud: l’inventario di cosa gira su quale contratto, con quale finestra di uscita, insieme a tracce, misure e as-built della rete che li collega, smette di essere un fascicolo sparso e diventa una mappa unica del sito, su cui un’AI segnala quando un servizio critico poggia su un contratto la cui finestra di uscita supera il tempo che l’organizzazione può permettersi — insieme a CSIDIA, l’altra società del gruppo. L’impianto è multimodello: on-premise su macchine autonome che non richiedono integrazione profonda nella rete, oppure cloud dedicato con data center in Italia, gestione condivisa, squadre nostre, senza subappalto. Il valore sta nella mappa della rete, non nel modello che la legge.

Il contratto del vostro fornitore cloud dichiara le tre finestre dell’articolo 25, o dovete scriverle nel prossimo capitolato? Parlatene con un tecnico: il sopralluogo è senza costi, e la simulazione del passaggio si chiede oggi, non nel momento in cui serve davvero.