Nel giugno 2026, la decisione della Corte Suprema degli Stati Uniti nel caso Trump v. Slaughter ha posto fine all’indipendenza della Federal Trade Commission. Per la maggior parte delle persone, è stata una notizia di politica americana. Per chi gestisce sistemi informativi in un ente pubblico portoghese, è stata un’altra cosa: la rimozione di uno dei pilastri su cui poggia l’accordo che consente il trasferimento dei dati degli europei verso gli Stati Uniti.
È il terzo shock in dieci anni. Il Safe Harbor è caduto nel 2015, il Privacy Shield è caduto nel 2020, e l’accordo che li ha sostituiti è ora sotto contestazione. Nessuno di questi episodi è derivato dalla malafede dei negoziatori. Sono derivati da un’incompatibilità di fondo tra due modi di intendere la sovranità, che nessun accordo politico può risolvere.
Nel frattempo, i nostri omologhi europei si sono mossi. In Francia, la dottrina sul cloud riserva i sistemi dello Stato con dati sensibili a infrastrutture qualificate immuni dalla legislazione extraeuropea. In Italia, i dati pubblici sono stati classificati per criticità e quelli più sensibili concentrati in infrastrutture nazionali qualificate. In Germania, un Land ha migrato l’e-mail dell’intera amministrazione, oltre quarantamila caselle di posta, verso soluzioni aperte. Nei Paesi Bassi, il parlamento ha approvato mozioni per fermare le migrazioni non necessarie dell’amministrazione verso fornitori cloud americani.
Il Portogallo ha approvato il proprio piano nazionale per il cloud sovrano, da attuare nei prossimi anni. È il riconoscimento ufficiale che l’attuale dipendenza è un rischio. Ma un ente specifico, con una procedura di appalto da avviare nei prossimi sei mesi, non può aspettare la fine del decennio.
Queste sono le otto domande da porre prima di quella procedura. Non richiedono conoscenze tecniche. Richiedono risposte chiare.
1. A quale legge è soggetta l’entità che gestisce il servizio, e chi la controlla?
È la domanda che comprende tutte le altre, e non viene quasi mai posta. Non va confusa con l’ubicazione dei server. Una società costituita negli Stati Uniti, o controllata da una società americana, resta soggetta al diritto americano ovunque installi le proprie apparecchiature.
Il caso che lo ha dimostrato non era teorico. Nel 2013, i tribunali americani hanno chiesto a una società tecnologica di consegnare il contenuto di un account e-mail conservato in un data center di Dublino. La società ha rifiutato e ha vinto in tribunale. Nel 2018, il Congresso ha approvato una legge che impone la consegna dei dati in possesso, custodia o controllo di queste società, indipendentemente dal paese in cui sono conservati. Il caso si è concluso con la consegna.
Cosa chiedere: identificazione dell’entità contraente, sua sede legale, struttura proprietaria e di controllo, e legge a cui è soggetta.
2. Dove si trovano fisicamente i dati, e chi ha accesso ai locali?
L’ubicazione non risolve la questione della giurisdizione, ma resta rilevante. Occorre sapere in quale paese si trovano le apparecchiature, chi gestisce lo spazio fisico e se tale gestore ha accesso logico ai sistemi.
Cosa chiedere: ubicazione dei data center, identificazione del fornitore di hosting fisico e dichiarazione espressa sul fatto che tale fornitore abbia o meno accesso ai dati.
3. Esistono trasferimenti verso paesi terzi, anche occasionali?
La domanda deve coprire tutto, non solo il servizio principale. Analisi del traffico del sito web, strumenti di assistenza clienti, elaborazione dei pagamenti, font caricati da server esterni. Ciascuno di questi può costituire un trasferimento.
Cosa chiedere: un elenco completo dei sub-responsabili e dei destinatari, con la loro ubicazione, e una dichiarazione sui trasferimenti verso paesi terzi.
4. Per quanto tempo vengono conservati i log di traffico, e su quale base?
Molti fornitori conservano i metadati delle comunicazioni per mesi o anni, per inerzia tecnica. Vale la pena ricordare il quadro attuale: la Corte Costituzionale portoghese ha dichiarato incostituzionali, con forza obbligatoria generale, le norme che imponevano la conservazione generalizzata dei dati di traffico per un anno, e ha nuovamente dichiarato incostituzionale un successivo tentativo di conservazione indiscriminata per tre mesi.
In altre parole, la conservazione prolungata dei metadati senza una finalità specifica oggi non è più un obbligo. È un rischio.
Cosa chiedere: periodi di conservazione specifici per tipo di log, e la finalità che li giustifica.
5. Come vengono gestite le richieste delle autorità, comprese quelle straniere?
Un ente pubblico ha un interesse particolare a sapere cosa succede se qualcuno chiede accesso ai suoi dati, e soprattutto se quel qualcuno è un’autorità di un altro paese.
Cosa chiedere: una descrizione della procedura interna di esame delle richieste, e una dichiarazione su come vengono gestite le richieste dirette di autorità di paesi terzi, che dovrebbero seguire i meccanismi di cooperazione giudiziaria con il coinvolgimento delle autorità portoghesi. Chiedete inoltre se il fornitore pubblica un rapporto di trasparenza.
6. Come viene tutelato il segreto amministrativo e professionale?
Procedimenti disciplinari, dati sanitari, informazioni classificate, comunicazioni con gli avvocati. Se queste materie viaggiano su un’infrastruttura soggetta alla giurisdizione di un paese terzo, il dovere di segretezza non dipende più soltanto dall’ente.
Cosa chiedere: una dichiarazione sull’accesso del fornitore al contenuto delle comunicazioni, e sulle circostanze in cui tale accesso può avvenire.
7. Il fornitore assume il ruolo di responsabile del trattamento, e fornisce un accordo
sul trattamento dei dati?
Per i dati conservati nelle caselle di posta, l’ente pubblico è il titolare e il fornitore è il responsabile del trattamento. Ciò richiede un contratto scritto con il contenuto previsto dall’Articolo 28 del Regolamento generale sulla protezione dei dati. Un fornitore che non lo offre non è in condizione di contrattare con un ente pubblico.
Cosa chiedere: una bozza di accordo sul trattamento dei dati, con allegati sui sub-responsabili e sulle misure di sicurezza.
8. Cosa succede alla fine del contratto?
La reversibilità viene spesso dimenticata al momento della contrattazione e diventa dolorosa al momento della cessazione.
Cosa chiedere: formati e protocolli di esportazione dei dati, periodo di conservazione dopo la cessazione, tempi e modalità di cancellazione, e se viene fornito supporto per la transizione a un altro fornitore.
Una nota finale su ciò che è in gioco
Nessuna di queste domande riguarda la tecnologia. Riguardano tutte la responsabilità.
Chi decide sull’infrastruttura di comunicazione di un ente pubblico non sta semplicemente scegliendo un servizio. Sta stabilendo a quale ordinamento giuridico saranno soggette le comunicazioni tra lo Stato e i cittadini che serve. È una decisione di sovranità, presa in un capitolato di gara.
La buona notizia è che nulla di tutto questo richiede di attendere i piani nazionali. Richiede di porre otto domande, e di scegliere in base alle risposte.