«Il data center è in Italia» non basta: l’elenco lo scrive il Garante UE

Nei vostri contratti e capitolati c’è scritto «data center in Italia» o «dati residenti nell’Unione europea». Sapreste dire, adesso, chi può accedere da remoto a quei sistemi, da quale paese, con quali privilegi, e chi tiene le chiavi di cifratura? Se la risposta è l’indirizzo del data center, il documento di cui parliamo dice che non basta. È il parere 14/2026 del Garante europeo della protezione dei dati (EDPS) sulla proposta di regolamento per il Cloud and AI Development Act — firmato a Bruxelles il 29 luglio 2026 da Wojciech Rafał Wiewiórowski. La proposta su cui si pronuncia, COM(2026) 502 final, è del 3 giugno 2026.

Che cosa c’è nella proposta

L’obiettivo, al paragrafo 2, è affrontare «the limited and geographically concentrated availability of computing capacity in the Union and the risks associated with dependence on cloud and AI supplied by non-European providers» — la disponibilità limitata di capacità di calcolo nell’Unione, e i rischi della dipendenza da fornitori non europei.

La proposta — sintesi del paragrafo 3, verbatim — «establishes Cloud and AI Leadership Initiatives, measures on data centre capacity, a Union cloud computing sovereignty framework based on four Union assurance levels, recognition and assessment procedures for cloud computing services, risk assessments by Member States and Union entities, procurement obligations, the European public sector cloud federation (“EuroCloud Federation”), Commission-led procurement activities and measures concerning open-source solutions and software reuse» — istituisce iniziative su cloud e AI, misure sulla capacità dei data center, un quadro di sovranità del cloud computing su quattro livelli di garanzia, procedure di riconoscimento, valutazioni del rischio, obblighi di procurement, la federazione europea del cloud pubblico («EuroCloud Federation») e misure su open-source e riuso del software.

I quattro livelli, fissati dall’articolo 16 con criteri nell’allegato II, si applicano ai servizi per enti dell’Unione e organismi pubblici. Al livello più basso, l’articolo 19 «allows cloud computing service providers to carry out a conformity self-assessment and issue an EU statement of conformity» — consente l’autovalutazione e una dichiarazione UE di conformità: il Garante lo accetta solo per il livello 1, e chiede che indichi esplicitamente il proprio ambito.

I tredici fattori

Il paragrafo 24 del parere lo dice, verbatim: «The EDPS acknowledges that data localisation in the Union may in some cases be a relevant element for ensuring sovereignty, operational autonomy and limiting exposure to third-country risks. However, data localisation within the Union should not be seen, in itself, as sufficient per se to fully exclude risks of access from third countries. Such risks may also depend on factors such as remote access, support administration, maintenance, monitoring and incident response activities, privileged access management, sub-processing, sub-outsourcing, corporate control, applicable third-country laws, encryption and key management, software dependencies, telemetry, logging, access rights and other technical and organisational measures.»

Tradotto: la localizzazione dei dati nell’Unione può essere un elemento rilevante per sovranità e autonomia operativa, ma non deve essere considerata, di per sé, sufficiente a escludere del tutto i rischi di accesso da paesi terzi. Quei rischi dipendono anche da altri fattori. Sono tredici, ed è la lista che un capitolato dovrebbe coprire:

accesso da remoto
amministrazione del supporto
manutenzione
monitoraggio
attività di risposta agli incidenti
gestione degli accessi privilegiati
sub-responsabili del trattamento
subappalto
controllo societario
leggi di paesi terzi applicabili
cifratura e gestione delle chiavi
dipendenze software
telemetria, registrazioni e diritti di accesso

Nessuno di questi tredici punti si vede visitando un data center: il pavimento è dello stesso colore, i rack sono nello stesso capannone. Si vedono solo nei contratti, nelle procedure operative e nella configurazione dei sistemi.

Metadati e telemetria sono dati del cliente

Un dettaglio che la maggior parte dei contratti di hosting ignora, isolato al paragrafo 25: «The EDPS notes that several criteria in Annex II require customer data, including metadata and telemetry data, to remain exclusively within the Union — in certain cases ‘in any case’ (criterion (f) for levels 2 to 4), in others unless the public sector body explicitly requires otherwise (criterion (c) for levels 1 to 3).» — diversi criteri richiedono che i dati del cliente, inclusi metadati e telemetria, restino esclusivamente nell’Unione: in certi casi «in ogni caso» (criterio f, livelli 2-4), in altri a meno che l’organismo pubblico richieda esplicitamente il contrario (criterio c, livelli 1-3).

Il punto non è la regola, ma la premessa: metadati e telemetria sono dati del cliente, ai fini di questi criteri — non un sottoprodotto tecnico del fornitore, non un log che «resta in casa» per definizione. È la distinzione che un contratto standard non fa.

Le clausole che il Garante chiede

Le conclusioni chiedono che gli articoli da 37 a 40 della proposta contengano, verbatim, «appropriate and non-negotiable data protection safeguards, including purpose limitation for telemetry, metadata and service-generated data, full sub-processor transparency, complete transfer mapping, appropriate handling of third-country authority requests, audit rights for each controller and the unimpeded exercise of the EDPS’ powers under Article 58 EUDPR» — garanzie di protezione dati appropriate e non negoziabili. In righe di capitolato, sono cinque:

limitazione di finalità su telemetria, metadati e dati generati dal servizio
trasparenza completa sui sub-responsabili del trattamento
mappatura completa dei trasferimenti di dati
gestione definita delle richieste di autorità di paesi terzi
diritti di audit per ciascun titolare del trattamento

Sono clausole che si scrivono prima della firma, non che si negoziano dopo un incidente.

Come lo verifichiamo noi

Quando verifichiamo un capitolato cloud o un contratto di hosting, non partiamo dall’indirizzo del data center: partiamo dai tredici fattori del paragrafo 24 e dalle cinque clausole delle conclusioni, e li confrontiamo uno per uno con quello che il contratto dice davvero. Dalla prima sessione esce un elenco datato dei punti di accesso ai vostri sistemi — chi, da dove, con quali privilegi, con quali chiavi — e la lista delle righe di capitolato che oggi non lo coprono. Resta a voi anche se non proseguite: non è un parere generico, è la mappa di partenza per scrivere o correggere il capitolato.

Vedi il servizio · Parlane con un tecnico

Che cosa non è ancora

Un punto va detto una volta: quello di cui parliamo è una proposta di regolamento del 3 giugno 2026, e un parere consultivo su quella proposta. Nessuna delle due cose è ancora diritto vigente: il percorso legislativo può ancora cambiare articoli, allegati, persino i quattro livelli di garanzia.

Ma la lista dei tredici fattori non aspetta l’esito del negoziato. È utilizzabile oggi, in un capitolato, indipendentemente da come finirà l’atto — perché descrive rischi che esistono già. Lo dice il Sommario esecutivo del parere, verbatim: «Dependence on a limited number of third-country providers, vendor lock-in, access by third-country authorities and operational discontinuity may also have implications for the rights to privacy and the protection of personal data» — la dipendenza da un numero limitato di fornitori di paesi terzi, il vendor lock-in, l’accesso da parte di autorità di paesi terzi e la discontinuità operativa hanno implicazioni per la riservatezza e i dati personali, con o senza il nuovo regolamento.

I due assi, applicati

Primo asse: i tredici fattori e le cinque clausole diventano righe verificabili del capitolato e punti di verifica in accettazione, con la traccia che il committente esibisce — non un parere, un elenco che si controlla.

Secondo asse: contratti, configurazioni, elenchi degli accessi privilegiati, mappe dei trasferimenti e as-built della sala non restano fogli sparsi. Diventano, insieme a CSIDIA, l’altra società del gruppo, una mappa unica: chi accede a che cosa, da dove, con quali chiavi. Su quella mappa un’AI fa la diagnosi e la squadra interviene. Quando un cliente vi chiede «chi può leggere i miei dati», la risposta è un elenco, non una rassicurazione verbale. Nel perimetro del cliente: on-premise, su macchine autonome senza integrazione profonda nella rete esistente, oppure cloud dedicato con data center in Italia — sempre con gestione condivisa.

Ne abbiamo scritto parlando della giurisdizione dell’infrastruttura cloud del Data Act e delle dichiarazioni di interesse strategico nazionale sui grandi campus dati: la localizzazione è la prima riga del capitolato, non l’ultima.

Sapreste elencare, adesso, senza aprire un contratto, chi accede da remoto ai vostri sistemi, da dove, e chi custodisce le chiavi di cifratura? Se la risposta non è immediata, parlatene con un tecnico: il sopralluogo è senza costi.