{"id":2314,"date":"2026-09-24T12:03:17","date_gmt":"2026-09-24T11:03:17","guid":{"rendered":"https:\/\/sooma.com\/?p=2314"},"modified":"2026-09-24T12:33:14","modified_gmt":"2026-09-24T11:33:14","slug":"otto-domande-che-un-ente-pubblico-dovrebbe-fare-al-proprio-fornitore-di-e-mail","status":"publish","type":"post","link":"https:\/\/sooma.com\/it\/oito-perguntas-que-uma-entidade-publica-devia-fazer-ao-seu-fornecedor-de-email\/","title":{"rendered":"Otto domande che un ente pubblico dovrebbe porre al proprio fornitore di e-mail"},"content":{"rendered":"

Nel giugno 2026, la decisione della Corte Suprema degli Stati Uniti nel caso Trump v. Slaughter ha posto fine all\u2019indipendenza della Federal Trade Commission. Per la maggior parte delle persone, \u00e8 stata una notizia di politica americana. Per chi gestisce sistemi informativi in un ente pubblico portoghese, \u00e8 stata un\u2019altra cosa: la rimozione di uno dei pilastri su cui poggia l\u2019accordo che consente il trasferimento dei dati degli europei verso gli Stati Uniti.<\/strong><\/em><\/p>\n

\u00c8 il terzo shock in dieci anni. Il Safe Harbor \u00e8 caduto nel 2015, il Privacy Shield \u00e8 caduto nel 2020, e l\u2019accordo che li ha sostituiti \u00e8 ora sotto contestazione. Nessuno di questi episodi \u00e8 derivato dalla malafede dei negoziatori. Sono derivati da un\u2019incompatibilit\u00e0 di fondo tra due modi di intendere la sovranit\u00e0, che nessun accordo politico pu\u00f2 risolvere.<\/p>\n

Nel frattempo, i nostri omologhi europei si sono mossi. In Francia, la dottrina sul cloud riserva i sistemi dello Stato con dati sensibili a infrastrutture qualificate immuni dalla legislazione extraeuropea. In Italia, i dati pubblici sono stati classificati per criticit\u00e0 e quelli pi\u00f9 sensibili concentrati in infrastrutture nazionali qualificate. In Germania, un Land ha migrato l\u2019e-mail dell\u2019intera amministrazione, oltre quarantamila caselle di posta, verso soluzioni aperte. Nei Paesi Bassi, il parlamento ha approvato mozioni per fermare le migrazioni non necessarie dell\u2019amministrazione verso fornitori cloud americani.<\/p>\n

Il Portogallo ha approvato il proprio piano nazionale per il cloud sovrano, da attuare nei prossimi anni. \u00c8 il riconoscimento ufficiale che l\u2019attuale dipendenza \u00e8 un rischio. Ma un ente specifico, con una procedura di appalto da avviare nei prossimi sei mesi, non pu\u00f2 aspettare la fine del decennio.<\/p>\n

Queste sono le otto domande da porre prima di quella procedura. Non richiedono conoscenze tecniche. Richiedono risposte chiare.<\/p>\n

1. A quale legge \u00e8 soggetta l\u2019entit\u00e0 che gestisce il servizio, e chi la controlla?<\/h2>\n

\u00c8 la domanda che comprende tutte le altre, e non viene quasi mai posta. Non va confusa con l\u2019ubicazione dei server. Una societ\u00e0 costituita negli Stati Uniti, o controllata da una societ\u00e0 americana, resta soggetta al diritto americano ovunque installi le proprie apparecchiature.<\/p>\n

Il caso che lo ha dimostrato non era teorico. Nel 2013, i tribunali americani hanno chiesto a una societ\u00e0 tecnologica di consegnare il contenuto di un account e-mail conservato in un data center di Dublino. La societ\u00e0 ha rifiutato e ha vinto in tribunale. Nel 2018, il Congresso ha approvato una legge che impone la consegna dei dati in possesso, custodia o controllo di queste societ\u00e0, indipendentemente dal paese in cui sono conservati. Il caso si \u00e8 concluso con la consegna.<\/p>\n

Cosa chiedere:<\/strong> identificazione dell\u2019entit\u00e0 contraente, sua sede legale, struttura proprietaria e di controllo, e legge a cui \u00e8 soggetta.<\/p>\n

2. Dove si trovano fisicamente i dati, e chi ha accesso ai locali?<\/h2>\n

L\u2019ubicazione non risolve la questione della giurisdizione, ma resta rilevante. Occorre sapere in quale paese si trovano le apparecchiature, chi gestisce lo spazio fisico e se tale gestore ha accesso logico ai sistemi.<\/p>\n

Cosa chiedere:<\/strong> ubicazione dei data center, identificazione del fornitore di hosting fisico e dichiarazione espressa sul fatto che tale fornitore abbia o meno accesso ai dati.<\/p>\n

3. Esistono trasferimenti verso paesi terzi, anche occasionali?<\/h2>\n

La domanda deve coprire tutto, non solo il servizio principale. Analisi del traffico del sito web, strumenti di assistenza clienti, elaborazione dei pagamenti, font caricati da server esterni. Ciascuno di questi pu\u00f2 costituire un trasferimento.<\/p>\n

Cosa chiedere:<\/strong> un elenco completo dei sub-responsabili e dei destinatari, con la loro ubicazione, e una dichiarazione sui trasferimenti verso paesi terzi.<\/p>\n

4. Per quanto tempo vengono conservati i log di traffico, e su quale base?<\/h2>\n

Molti fornitori conservano i metadati delle comunicazioni per mesi o anni, per inerzia tecnica. Vale la pena ricordare il quadro attuale: la Corte Costituzionale portoghese ha dichiarato incostituzionali, con forza obbligatoria generale, le norme che imponevano la conservazione generalizzata dei dati di traffico per un anno, e ha nuovamente dichiarato incostituzionale un successivo tentativo di conservazione indiscriminata per tre mesi.<\/p>\n

In altre parole, la conservazione prolungata dei metadati senza una finalit\u00e0 specifica oggi non \u00e8 pi\u00f9 un obbligo. \u00c8 un rischio.<\/p>\n

Cosa chiedere:<\/strong> periodi di conservazione specifici per tipo di log, e la finalit\u00e0 che li giustifica.<\/p>\n

5. Come vengono gestite le richieste delle autorit\u00e0, comprese quelle straniere?<\/h2>\n

Un ente pubblico ha un interesse particolare a sapere cosa succede se qualcuno chiede accesso ai suoi dati, e soprattutto se quel qualcuno \u00e8 un\u2019autorit\u00e0 di un altro paese.<\/p>\n

Cosa chiedere:<\/strong> una descrizione della procedura interna di esame delle richieste, e una dichiarazione su come vengono gestite le richieste dirette di autorit\u00e0 di paesi terzi, che dovrebbero seguire i meccanismi di cooperazione giudiziaria con il coinvolgimento delle autorit\u00e0 portoghesi. Chiedete inoltre se il fornitore pubblica un rapporto di trasparenza.<\/p>\n

6. Come viene tutelato il segreto amministrativo e professionale?<\/h2>\n

Procedimenti disciplinari, dati sanitari, informazioni classificate, comunicazioni con gli avvocati. Se queste materie viaggiano su un\u2019infrastruttura soggetta alla giurisdizione di un paese terzo, il dovere di segretezza non dipende pi\u00f9 soltanto dall\u2019ente.<\/p>\n

Cosa chiedere:<\/strong> una dichiarazione sull\u2019accesso del fornitore al contenuto delle comunicazioni, e sulle circostanze in cui tale accesso pu\u00f2 avvenire.<\/p>\n

7. Il fornitore assume il ruolo di responsabile del trattamento, e fornisce un accordo<\/h2>\n

sul trattamento dei dati?<\/p>\n

Per i dati conservati nelle caselle di posta, l\u2019ente pubblico \u00e8 il titolare e il fornitore \u00e8 il responsabile del trattamento. Ci\u00f2 richiede un contratto scritto con il contenuto previsto dall\u2019Articolo 28 del Regolamento generale sulla protezione dei dati. Un fornitore che non lo offre non \u00e8 in condizione di contrattare con un ente pubblico.<\/p>\n

Cosa chiedere:<\/strong> una bozza di accordo sul trattamento dei dati, con allegati sui sub-responsabili e sulle misure di sicurezza.<\/p>\n

8. Cosa succede alla fine del contratto?<\/h2>\n

La reversibilit\u00e0 viene spesso dimenticata al momento della contrattazione e diventa dolorosa al momento della cessazione.<\/p>\n

Cosa chiedere:<\/strong> formati e protocolli di esportazione dei dati, periodo di conservazione dopo la cessazione, tempi e modalit\u00e0 di cancellazione, e se viene fornito supporto per la transizione a un altro fornitore.<\/p>\n

Una nota finale su ci\u00f2 che \u00e8 in gioco<\/h2>\n

Nessuna di queste domande riguarda la tecnologia. Riguardano tutte la responsabilit\u00e0.<\/p>\n

Chi decide sull\u2019infrastruttura di comunicazione di un ente pubblico non sta semplicemente scegliendo un servizio. Sta stabilendo a quale ordinamento giuridico saranno soggette le comunicazioni tra lo Stato e i cittadini che serve. \u00c8 una decisione di sovranit\u00e0, presa in un capitolato di gara.<\/p>\n

 <\/p>\n

La buona notizia \u00e8 che nulla di tutto questo richiede di attendere i piani nazionali. Richiede di porre otto domande, e di scegliere in base alle risposte.<\/strong><\/em><\/p>","protected":false},"excerpt":{"rendered":"

Una checklist di sovranit\u00e0 digitale, da usare prima della prossima procedura di appalto.<\/p>","protected":false},"author":5,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_titles_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_fb_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_twitter_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"categories":[35],"tags":[],"class_list":["post-2314","post","type-post","status-publish","format-standard","hentry","category-sector-publico"],"_links":{"self":[{"href":"https:\/\/sooma.com\/it\/wp-json\/wp\/v2\/posts\/2314","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sooma.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sooma.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sooma.com\/it\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/sooma.com\/it\/wp-json\/wp\/v2\/comments?post=2314"}],"version-history":[{"count":0,"href":"https:\/\/sooma.com\/it\/wp-json\/wp\/v2\/posts\/2314\/revisions"}],"wp:attachment":[{"href":"https:\/\/sooma.com\/it\/wp-json\/wp\/v2\/media?parent=2314"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sooma.com\/it\/wp-json\/wp\/v2\/categories?post=2314"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sooma.com\/it\/wp-json\/wp\/v2\/tags?post=2314"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}