Quando un’impresa sceglie un cloud, la prima domanda è quasi sempre “dove sono i miei dati?”. È la domanda giusta, ma non basta. Un data center in Italia dice dove si trovano i file, non quale legge li governa né chi può accedervi.
1. Tre domande, non una
- Dove sono i dati? La residenza fisica, copie di backup comprese.
- Quale legge si applica? Quella del Paese del data center, ma anche quella del fornitore e della sua capogruppo. Un servizio erogato in Italia da un fornitore soggetto a una norma extra-UE, come il CLOUD Act statunitense del 2018, può restare esposto a richieste di accesso di autorità estere anche se i server sono in Europa.
- Chi può accedere? Personale, subfornitori e autorità, e da quali Paesi.
Per parlare di cloud davvero sovrano servono quindi tre cose insieme: stessa giurisdizione, controllo operativo e conformità.
2. Perché conta adesso
- GDPR, capo V (artt. 44-49): i trasferimenti di dati fuori dall’UE richiedono una base giuridica. Dopo la sentenza Schrems II (2020) si è passati al Data Privacy Framework (2023), confermato dal Tribunale UE a settembre 2025 ma ancora oggetto di contenzioso.
- NIS2 (D.lgs. 138/2024, art. 24): la sicurezza della catena di fornitura fa parte delle misure richieste, e il fornitore cloud ne fa parte.
- DORA: nel settore finanziario il contratto deve indicare i luoghi di trattamento e conservazione dei dati.
- Pubblica amministrazione: il Regolamento ACN n. 21007/24 (27 giugno 2024, applicabile dal 1° agosto 2024) lega la scelta dei servizi cloud qualificati alla classificazione dei dati, divisi in tre classi: ordinari, critici, strategici.
3. Sei domande da fare al fornitore
- In quali data center e in quali Paesi si trovano dati e copie di backup?
- A quale legge è soggetto il fornitore, capogruppo compresa?
- Quali subfornitori trattano i dati?
- Come gestisce le richieste di accesso di autorità extra-UE?
- Quale preavviso contrattuale dà prima di cambiare sede di trattamento?
- Quali certificazioni e qualifiche ha (ISO/IEC 27001, 27017, 27018, qualifica ACN)?
4. Cosa significa la qualifica ACN
Per i servizi cloud destinati alla PA, la qualifica è una verifica di conformità svolta da ACN prima che il servizio compaia nel catalogo pubblico dell’Agenzia. Dura 36 mesi e, in questo periodo, ACN controlla che i requisiti restino rispettati. I livelli di qualifica sono legati alla classificazione dei dati: più è alto il livello, più delicati sono i dati che il servizio può trattare.
5. Cosa fa FinGreenTech
FinGreenTech ha la qualifica ACN QC2 per i servizi cloud destinati alla PA e le certificazioni ISO/IEC 27001, 27017 e 27018. Macchine virtuali, mail e web server girano su data center TIER IV in Italia (Vianova a Pisa, CONSIS/Retelit a Roma), con un unico interlocutore per sistemi, cloud, sicurezza e backup. Dove ci sono i requisiti, i servizi cloud sono finanziabili con il Voucher Cloud & Cybersecurity MIMIT.
La sovranità non è un’etichetta: è una serie di risposte verificabili. Richiedi una consulenza oppure scrivici a info@fingreentech.com, e le verifichiamo insieme sul tuo caso.
Fonti: ACN, Regolamento Cloud per la PA; ACN, classificazione di dati e servizi (19 aprile 2022).
Nota sulla trasparenza. Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale e revisionato dal Team di FinGreenTech, che ne è responsabile editoriale.
