Glossario · Concetto di protezione dei dati Residenza dei dati (Data Residency)
Un impegno contrattuale e tecnico secondo cui i dati sono archiviati fisicamente all'interno di una specifica giurisdizione (tipicamente UE/SEE). Distinto dalla sovranità dei dati: la residenza riguarda dove risiedono i dati, non chi ha portata legale su di essi. Un fornitore con capogruppo statunitense che offre residenza dei dati UE resta soggetto al CLOUD Act.
## Il concetto
La **residenza dei dati** è un impegno del fornitore — di solito contrattuale — secondo cui i dati dei clienti sono archiviati fisicamente all'interno di una giurisdizione definita, più comunemente l'UE o il SEE. Spesso fa parte di un Accordo sul Trattamento dei Dati ai sensi dell'articolo 28 del GDPR ed è la risposta che la maggior parte dei fornitori dà quando un cliente europeo chiede: dove sono i nostri dati?
## Perché residenza non è sovranità
Residenza dei dati e **sovranità dei dati** sono concetti correlati ma distinti, e trattarli come intercambiabili è un errore comune e costoso.
- **Residenza dei dati** risponde a: *Dove sono archiviati fisicamente i dati?*
- **Sovranità dei dati** risponde a: *Chi ha la portata legale per imporre la divulgazione o l'accesso ai dati, indipendentemente da dove si trovino?*
Un fornitore con sede negli USA può impegnarsi genuinamente ad archiviare i dati dei clienti europei solo in un data center di Francoforte. Tale impegno è tecnicamente reale. Non impedisce tuttavia alle autorità statunitensi di obbligare il fornitore a divulgare quei dati ospitati a Francoforte in virtù del **CLOUD Act** o della **Sezione 702 di FISA**.
La Corte di giustizia dell'Unione europea lo ha reso esplicito in Schrems II (2020): clausole contrattuali, crittografia e impegni di residenza non eliminano il rischio di portata giuridica extraterritoriale quando l'entità giuridica capogruppo del fornitore è sotto una giurisdizione straniera con poteri di divulgazione obbligatoria.
## Cosa consegue realmente la residenza
La residenza dei dati non è priva di valore — affronta diversi rischi reali:
1. **Latenza e prestazioni** — i dati fisicamente più vicini agli utenti offrono prestazioni migliori.
2. **Quadri regolatori regionali** — alcuni Stati membri dell'UE hanno regole nazionali di localizzazione dei dati (settore pubblico, sanità, difesa) che impongono l'archiviazione nel paese.
3. **Alcuni obblighi GDPR** — le regole di trasferimento del Capo V diventano più semplici quando i dati non lasciano il SEE.
4. **Esigibilità contrattuale** — un fornitore che promette residenza UE può esservi tenuto contrattualmente, e le violazioni sono azionabili.
Semplicemente non affronta il problema dell'esposizione a CLOUD Act / FISA 702 — ciò richiede *sovranità*, non residenza.
## Lo schema delle regioni UE nei fornitori cloud
Ogni grande cloud provider statunitense commercializza ora regioni UE:
- AWS UE (Francoforte, Parigi, Stoccolma, Milano, Zurigo, Irlanda, Spagna)
- Microsoft Azure Europe (Amsterdam, Dublino, Parigi, Zurigo, Milano, Berlino, Francoforte)
- Google Cloud Europe (Belgio, Paesi Bassi, Finlandia, Francoforte, Parigi, Madrid, Milano, Varsavia, Zurigo)
Ognuno di questi è un impegno di residenza dei dati, non una garanzia di sovranità dei dati. La società capogruppo — Amazon.com Inc., Microsoft Corporation, Alphabet Inc. — è costituita negli USA. L'obbligo del CLOUD Act segue la capogruppo, non la posizione fisica del server.
Anche l'EU Data Boundary di Microsoft (implementata nel 2023-2024, ulteriormente estesa nel 2026) — un genuino risultato ingegneristico che vincola una gamma più ampia di elaborazioni alle regioni UE — resta un impegno di residenza. Riduce l'esposizione operativa quotidiana ma non elimina la portata strutturale del CLOUD Act.
## Cloud sovrano vs sola residenza
Due categorie di offerte cloud europee affrontano la questione della sovranità, non solo la residenza:
1. **Certificazione francese Cloud de Confiance** — SecNumCloud + Qualification-SecNumCloud, che richiede che l'operatore sia sotto proprietà e controllo esclusivamente UE. Bleu (joint venture Orange + Capgemini attorno a Microsoft) e S3NS (Google + Thales) mirano a questo, ma la loro struttura con partner tecnologico statunitense resta oggetto di dibattito.
2. **Fornitori genuinamente con sede UE** — Hetzner (Germania), Scaleway (Francia), OVHcloud (Francia), Infomaniak (Svizzera), Bunny.net (Slovenia), UpCloud (Finlandia). Sono strutturalmente UE a livello di capogruppo.
## Come valutare la differenza in pratica
Quando un fornitore commercializza 'residenza dei dati UE conforme al GDPR', le utili domande di follow-up sono:
1. Dove è costituita l'entità giuridica capogruppo? (Delaware o UE?)
2. La capogruppo è quotata su una borsa statunitense e presenta quindi comunicazioni alla SEC?
3. Ci sono filiali statunitensi nella catena societaria che potrebbero essere obbligate a consegnare dati UE ai sensi del CLOUD Act?
4. Qual è la risposta se arriva una National Security Letter statunitense — e qual è la risposta se al fornitore non è consentito divulgare che è arrivata una NSL?
Per carichi di lavoro genuinamente sensibili — dati sanitari regolamentati, dati di transazioni finanziarie, informazioni adiacenti alla difesa, dati dei cittadini del settore pubblico — solo risposte affermative alla #1 e negative alla #3 costituiscono una protezione significativa. La residenza dei dati da sola è insufficiente.
## In sintesi
La residenza dei dati è un controllo utile e spesso necessario, ma trattarla come equivalente alla sovranità dei dati è l'errore di categoria più comune nell'acquisto di fornitori europei. Se il vostro responsabile della compliance accetta 'i dati sono a Francoforte' come risposta all'esposizione al CLOUD Act, avete residenza, non sovranità — e nelle condizioni regolatorie del 2026 (NIS2, DORA, regole settoriali) potrebbe non essere più sufficiente.
Ti è stato utile?
Grazie per il tuo feedback!