Quando un’azienda europea contratta un servizio di posta elettronica, raramente chiede a quale legge sia soggetto quel servizio. Chiede del prezzo, dello spazio di archiviazione e se funziona con Outlook. Eppure è proprio quella la domanda che determina tutto il resto, perché i dati non vivono solo in un luogo: vivono sotto una giurisdizione. Nell’ultimo decennio è diventato chiaro che le due cose possono non coincidere.
Due grammatiche diverse
La tradizione giuridica europea concepisce la sovranità in termini di territorio. La legge si applica a ciò che avviene entro i confini, e il GDPR ha esteso questa logica: i dati degli europei viaggiano protetti, e possono lasciare l’Unione solo verso paesi che offrono garanzie equivalenti.
La tradizione americana parte da un altro principio. Il criterio di collegamento non è il suolo, è la persona: la nazionalità e, soprattutto, il controllo. Una società costituita negli Stati Uniti, o controllata da una società americana, resta soggetta alla legge americana ovunque operi e ovunque conservi ciò che conserva. Non è un’anomalia né una manovra. È il modo in cui quel sistema intende la propria autorità.
Finché i due mondi non si toccavano, la differenza era materia da manuali. Quando l’intera economia è passata a vivere sui server, è diventata il problema centrale della sovranità digitale europea.
Come il modello americano ha acquisito portata globale
Il punto di svolta è stato l’ottobre 2001. Dopo l’11 settembre, il Patriot Act ha ampliato in modo significativo i poteri di raccolta di intelligence, con un principio implicito che avrebbe plasmato i due decenni successivi: in materia di sicurezza nazionale, l’accesso alle informazioni prevale sulle obiezioni di forma.
Ciò che è seguito è stato più decisivo del Patriot Act stesso. Nel 2008, la Sezione 702 del FISA ha autorizzato la raccolta delle comunicazioni di persone non statunitensi situate fuori dagli Stati Uniti, presso i fornitori americani di servizi elettronici, a fini di intelligence estera. Senza che i soggetti interessati venissero avvisati, e senza che disponessero di mezzi di difesa paragonabili a quelli europei.
Si noti la costruzione. La legge non protegge meno gli stranieri per una svista. Li protegge meno per scelta, perché il Quarto Emendamento è un diritto degli americani.
2013: l’anno in cui il dibattito ha smesso di essere tecnico
Nel giugno 2013, le rivelazioni di Edward Snowden hanno mostrato la reale portata dei programmi di raccolta. Ma è stato in ottobre che la questione è passata da dibattito tra esperti a crisi diplomatica: alcuni documenti indicavano che la NSA aveva monitorato il telefono cellulare di Angela Merkel. La reazione della Cancelliera è entrata nel vocabolario europeo, “spiarsi tra amici, questo proprio non si fa”, e il disagio tra Berlino e Washington è durato anni.
L’onestà sui dettagli conta. L’indagine penale tedesca è stata infine archiviata nel 2015, perché i documenti disponibili non consentivano di provare dove e come fosse avvenuta l’intercettazione. Ciò che è stato provato non è il reato. È l’asimmetria. Un governo europeo ha scoperto di non controllare la riservatezza delle proprie comunicazioni, e di non avere strumenti per contestarlo.
Il caso che ha chiuso la questione una volta per tutte
La prova decisiva è arrivata attraverso il diritto ordinario, senza scandali. Nel dicembre 2013, un mandato americano ha imposto a Microsoft di consegnare il contenuto di un account di posta elettronica. La società ha constatato che i messaggi si trovavano in un data center a Dublino e si è rifiutata di consegnarli, con un argomento semplice: un mandato degli Stati Uniti non raggiunge un server in Irlanda. Nel 2016, la Corte d’appello le ha dato ragione.
È durata due anni. Nel marzo 2018, il Congresso ha approvato il CLOUD Act, che ha imposto ai fornitori americani di consegnare i dati in loro possesso, custodia o controllo, che si trovino all’interno o all’esterno del territorio nazionale. Un nuovo mandato è stato emesso in base alla nuova legge, Microsoft ha ottemperato, e la Corte Suprema ha dichiarato il caso privo di oggetto.
La lezione è chiara e ancora attuale: costruire un data center in Europa non cambia la giurisdizione di chi lo gestisce. L’ubicazione fisica dei server è una risposta alla domanda sbagliata.
La risposta europea, tre volte insufficiente
Sul fronte europeo, la soluzione tentata è stata sempre la stessa: un accordo politico che dichiara gli Stati Uniti una destinazione sicura per i dati.
Il Safe Harbor è caduto nel 2015, con la sentenza Schrems I. Il Privacy Shield che lo ha sostituito è caduto nel 2020, con Schrems II, con la Corte di giustizia che ha concluso che la legislazione americana in materia di sorveglianza non offriva ai cittadini europei né garanzie equivalenti né mezzi di ricorso effettivi. Il terzo accordo, il Data Privacy Framework del 2023, poggiava su un elemento essenziale: l’esistenza di autorità amministrative indipendenti dall’esecutivo americano.
Nel giugno 2026, quell’elemento è stato rimosso. La decisione della Corte Suprema degli Stati Uniti nel caso Trump v. Slaughter ha posto fine all’indipendenza della Federal Trade Commission, e la contestazione dell’accordo, che molti già chiamano la futura “Schrems III”, è di nuovo in corso.
Tre accordi, tre debolezze dello stesso tipo. Non per malafede di chi li ha negoziati, ma perché nessun accordo politico può conciliare due definizioni incompatibili di sovranità.
Cosa significa per chi decide
Per un’azienda o un ente pubblico europeo, la conclusione pratica è meno drammatica di quanto sembri, e più concreta.
La domanda da porre a un fornitore non è dove si trovano i server. È a quale legge è soggetta l’entità che li gestisce, e chi la controlla. Se la risposta coinvolge una società americana o una società da essa controllata, la conformità dell’organizzazione viene a dipendere dalla validità di un accordo internazionale che è già caduto due volte e che viene contestato per la terza.
Se la risposta è una società europea, a proprietà europea e soggetta solo alla legge europea, la domanda scompare. Non perché qualcuno prometta di più, ma perché non esiste una seconda legge che rivendichi l’accesso.
Per le professioni con obbligo di riservatezza, il ragionamento è ancora più diretto. Un avvocato, un medico o un funzionario pubblico non risponde solo di ciò che divulga. Risponde dell’architettura che ha scelto per custodire ciò che non può essere divulgato.
La sovranità digitale non è una bandiera. È sapere, con precisione, a chi risponde l’infrastruttura che custodisce le informazioni della vostra organizzazione.