Sovranità del dato: cos'è e perché è importante

La sovranità del dato è il principio per cui i dati sono soggetti alle leggi del Paese in cui vengono conservati e trattati. In pratica riguarda tre aspetti: dove si trovano i dati, quale legge li governa, compresa quella del Paese del fornitore, e chi può accedervi. È un concetto più ampio della localizzazione dei dati, che indica soltanto il luogo fisico in cui sono conservati.

La sovranità del dato riguarda i dati: dove stanno, quale legge li governa e chi può accedervi. La sovranità digitale, chiamata dall'Unione europea anche sovranità tecnologica, riguarda l'intera dipendenza tecnologica di uno Stato, di un'impresa o di un ente: dati, infrastrutture, software e competenze. La sovranità del dato è la parte della sovranità digitale che un'azienda può verificare nei contratti con i fornitori.

Il CLOUD Act è la legge statunitense del 2018 che obbliga i fornitori soggetti alla giurisdizione degli Stati Uniti a consegnare i dati richiesti da un'autorità americana, anche se conservati fuori dagli Stati Uniti. Si applica ai dati di un'azienda italiana quando il fornitore del servizio, o la sua capogruppo, è soggetto alla giurisdizione statunitense, indipendentemente dal Paese in cui si trova il data center.

No, un cloud europeo di un provider americano localizza i dati nell'Unione europea, ma non li sottrae al CLOUD Act: il fornitore resta soggetto alla giurisdizione statunitense e può ricevere l'ordine di consegnare i dati. La sovranità dei dati richiede che anche il fornitore sia soggetto soltanto alla legge italiana ed europea, oltre ai data center.

No, Microsoft 365 e Google Workspace non la rispettano in senso pieno: Microsoft e Google sono società statunitensi soggette al CLOUD Act, anche per i dati conservati in Europa. Il 10 giugno 2025 Microsoft France ha dichiarato al Senato francese di non poter garantire che i dati non vengano mai trasmessi alle autorità statunitensi. Una copia di backup su un'infrastruttura diversa mantiene comunque i dati disponibili e sotto un secondo contratto.

I dati dei servizi Rackone stanno nei data center della rete Edge che scegli tu: il data center di proprietà a Venezia, a Noventa di Piave, e siti partner in Italia e in Europa. Per i servizi su Acronis stanno nel data center Acronis di Roma o in un altro data center dell'Unione europea, a tua scelta. I dati non vengono spostati senza la tua autorizzazione.

No, né la NIS2 né la DORA impongono di conservare i dati in Italia, ma entrambe chiedono di governare la catena di fornitura. Il decreto NIS2 (D.Lgs. 138/2024, articolo 24) include la sicurezza dei rapporti con i fornitori fra le misure obbligatorie; la DORA (articolo 30) chiede di indicare nel contratto dove si trattano e si conservano i dati e di ricevere un preavviso prima di ogni cambio. Un fornitore con dati e sede in Italia rende queste verifiche più semplici.

No, una pubblica amministrazione acquista dal mercato solo servizi cloud qualificati dall'Agenzia per la cybersicurezza nazionale, secondo il regolamento adottato con la determinazione 21007/24 del 27 giugno 2024. Acronis Cyber Protect Cloud, su cui Rackone eroga backup e disaster recovery, è qualificato dall'ACN.

La sovranità dei dati di un fornitore cloud si verifica con cinque domande: in quali data center e Paesi stanno i dati e le copie di backup; quale legge si applica al fornitore e alla sua capogruppo; quali subfornitori trattano i dati; come il fornitore gestisce la richiesta di un'autorità extra-UE; con quale preavviso comunica un cambio di sede. Sono le stesse informazioni che la DORA chiede di scrivere nel contratto.

Sì, la migrazione dei dati da un cloud estero a un'infrastruttura in Italia, chiamata anche cloud repatriation, si pianifica servizio per servizio: inventario dei dati e delle dipendenze, scelta del sito, migrazione, verifica e dismissione della copia di origine. Rackone la progetta e la segue sulla rete Edge, con un piano di rollback per ogni passaggio.