Ogni volta che un'azienda adotta un software in cloud, i suoi dati vanno a vivere da qualche altra parte. Per molte applicazioni è un dettaglio tecnico. Per i dati personali, e ancora di più per i dati sulla sicurezza aziendale, è una scelta che ha conseguenze legali, contrattuali e strategiche.
Data residency e sovranità del dato: due concetti diversi
La data residency indica il luogo fisico in cui i dati sono conservati ed elaborati: un data center in Italia, in Germania, negli Stati Uniti. La sovranità del dato riguarda invece quale legge si applica a quei dati e quali autorità possono chiederne l'accesso.
Le due cose non coincidono. Un server collocato in Europa ma gestito da un fornitore soggetto a una giurisdizione extra UE può essere raggiunto da richieste di accesso basate su leggi straniere, come il CLOUD Act statunitense. Per questo non basta chiedere dove sono i server: bisogna chiedere chi li controlla.
Cosa dice il GDPR sui trasferimenti fuori dall'UE
Il GDPR non vieta di trasferire dati personali fuori dallo Spazio economico europeo, ma lo consente solo a condizioni precise: una decisione di adeguatezza della Commissione europea per il Paese di destinazione, oppure garanzie adeguate come le clausole contrattuali tipo, accompagnate da una valutazione dell'impatto del trasferimento.
La storia recente mostra quanto questo terreno sia instabile: la Corte di giustizia dell'UE ha già annullato due accordi sui trasferimenti verso gli Stati Uniti, il Safe Harbor nel 2015 e il Privacy Shield nel 2020 con la sentenza Schrems II. L'attuale Data Privacy Framework è stato a sua volta oggetto di ricorsi. Chi tiene i dati in Europa, presso fornitori europei, semplicemente non ha questo problema.
I dati di compliance sono i più sensibili che hai
Una piattaforma di compliance contiene molto più di nomi ed email. Contiene la mappa dei tuoi sistemi, le vulnerabilità aperte, i piani di risposta agli incidenti, l'elenco dei fornitori critici e lo stato delle contromisure. In mani sbagliate, è la guida perfetta per attaccarti.
Non a caso sia la NIS2 sia DORA chiedono di governare il rischio legato ai fornitori ICT. Il software con cui gestisci la sicurezza è, a tutti gli effetti, uno di questi fornitori: va scelto e valutato con lo stesso rigore che applichi agli altri.
La checklist per valutare un fornitore cloud
- Localizzazione: in quali Paesi sono conservati i dati, i backup e gli ambienti di disaster recovery?
- Giurisdizione: a quale legge è soggetto il fornitore e la sua capogruppo?
- Sub-responsabili: quali terze parti trattano i dati e dove? L'elenco è pubblico e aggiornato?
- Certificazioni: ISO/IEC 27001 per il sistema di gestione della sicurezza, ISO/IEC 27017 per i controlli specifici del cloud.
- Crittografia: i dati sono cifrati in transito e a riposo? Chi gestisce le chiavi?
- Accessi: esistono permessi granulari per ruolo e un registro di chi ha visto o modificato cosa?
- Contratto: è previsto un accordo di nomina a responsabile del trattamento ai sensi dell'art. 28 GDPR?
- Uscita: se cambi fornitore, puoi esportare tutti i tuoi dati in un formato utilizzabile?
Come lavora Kripta
Kripta è una piattaforma italiana con data residency in Italia e nell'Unione europea, progettata secondo il principio di GDPR by design e gestita da NovaFlow S.r.l., azienda certificata ISO 9001, ISO 27001 e ISO 27017.
I dati restano nel territorio europeo, con crittografia, backup giornalieri e controlli di accesso granulari: ogni figura, interna o esterna, vede solo ciò che le compete. È lo stesso modello che permette a legale, fornitore IT, formatore e assicuratore di lavorare insieme sulla tua azienda senza far circolare documenti sensibili via email.
Ultimo aggiornamento: