« I vostri dati restano in Europa »: la frase rassicura, ma non dice tutto. Vi spiego in modo semplice cosa cambiano il CLOUD Act e la sentenza Schrems II, e come tenere i dati dei vostri clienti sotto la vostra giurisdizione.
Molti software sviluppati negli Stati Uniti ve lo promettono: i vostri dati sono ospitati a Francoforte, Dublino o Parigi. È vero. Ma la posizione del server è solo una parte della risposta. L’altra parte è il paese dell’azienda che sviluppa il software.
Siamo sinceri: per la lista della spesa del team, il tema non si pone. Per i documenti delle pratiche dei vostri clienti, vale dieci minuti di lettura.
Il CLOUD Act, in parole semplici
Approvato negli Stati Uniti nel 2018, il CLOUD Act consente alle autorità americane di esigere da un’azienda soggetta al diritto statunitense i dati che controlla, ovunque siano conservati nel mondo.
In pratica, se il vostro software è sviluppato da una società americana, i server in Europa non cambiano questa regola. E non è detto che ne veniate informati.
Schrems II: la risposta dell’Europa
Nel luglio 2020 la Corte di giustizia dell’Unione europea ha invalidato il Privacy Shield, l’accordo che regolava i trasferimenti di dati verso gli Stati Uniti.
« I requisiti del diritto interno degli Stati Uniti […] comportano limitazioni alla protezione dei dati personali che non sono configurate in modo da soddisfare requisiti sostanzialmente equivalenti a quelli richiesti dal diritto dell’Unione. »
CGUE, sentenza Schrems II, 16 luglio 2020, causa C-311/18
Nel 2023 è stato adottato un nuovo quadro, il Data Privacy Framework. Semplifica le cose per molte aziende. Resta però contestato, come lo erano stati i due precedenti. Affidare solo a lui la protezione delle vostre pratiche sensibili significa accettare un’incertezza.
Cosa cambia per uno studio professionale
Avvocato, commercialista, broker, professionista sanitario: trattate quasi sempre dati personali, spesso sensibili. Se affidate questi dati a un fornitore americano, il GDPR vi chiede di valutare voi stessi il rischio del trasferimento e di saperlo giustificare in caso di controllo.
Il contratto del vostro fornitore documenta la sua conformità. La vostra analisi spetta a voi. Ed è proprio quel documento che vi verrà chiesto.
Come verificare che un fornitore sia davvero europeo
- Guardate le note legali. La società che sviluppa il software è registrata in un paese dell’Unione?
- Guardate chi la controlla. Una filiale europea di un gruppo americano può restare soggetta al diritto statunitense.
- Guardate dove si trova l’hosting. Un hosting europeo, indipendente dai gruppi americani, completa la risposta.
Come Client Vault tiene i vostri dati da voi
Client Vault è una cassaforte digitale sicura che installate sul vostro sito WordPress. È sviluppata da Sdravobiz, una società europea. Soprattutto, non conserva nulla presso lo sviluppatore: i vostri documenti vivono sul vostro server, presso l’hosting e nel paese che scegliete voi.
- Nessun trasferimento verso lo sviluppatore: i documenti restano sulla vostra installazione.
- File cifrati in AES-256 fin dal loro arrivo.
- Un registro delle attività sigillato che data ogni caricamento e ogni consultazione.
- Un export ZIP per restituire una pratica in pochi clic.
Il risultato: la vostra analisi del rischio diventa più breve e più solida. Per scegliere il vostro hosting, ho confrontato OVH, Scaleway, Infomaniak e o2switch. E per rassicurare i vostri clienti, ecco cinque risposte pronte all’uso.
Siete un’agenzia WordPress?
Molti dei vostri clienti non sanno che un software americano richiede loro un’analisi in più. Proporre un’installazione sul loro server, con i loro colori, è un consiglio utile e un servizio fatturabile.
Cosa non fa Client Vault
Siamo sinceri. Non si tratta di bandire tutti gli strumenti americani. Per la messaggistica interna o le note del team, il rischio è spesso basso e l’analisi più semplice. La questione conta davvero per i dati sensibili dei vostri clienti.
Client Vault è anche un plugin di vostra proprietà: il vostro sito richiede aggiornamenti e backup, idealmente affidati a un’agenzia di fiducia.
Il prossimo passo
Client Vault
I dati dei vostri clienti, sotto la vostra giurisdizione
In videochiamata guardiamo dove si trovano oggi i vostri dati e vi mostro la cassaforte installata sul vostro server.
- La cassaforte vista dal vostro cliente
- La cifratura e il registro delle attività
- L’export di una pratica
- Le vostre domande sull’hosting
Domande frequenti
Che cos’è il CLOUD Act?
Una legge americana del 2018 che consente alle autorità degli Stati Uniti di esigere da un’azienda soggetta al diritto statunitense i dati che controlla, ovunque siano conservati.
Un software ospitato in Europa è protetto dal CLOUD Act?
Non necessariamente. Se lo sviluppatore è soggetto al diritto statunitense, la posizione europea dei server non basta.
Cosa ha cambiato la sentenza Schrems II?
Nel 2020 ha invalidato il Privacy Shield e ha chiesto alle aziende europee di valutare da sole il rischio di ogni trasferimento verso gli Stati Uniti.
Il Data Privacy Framework risolve la questione?
Semplifica i trasferimenti verso le aziende certificate, ma resta contestato. Per i dati sensibili, tenerli sotto la vostra giurisdizione resta la via più serena.
Dove sono conservati i dati con Client Vault?
Sul vostro server, presso l’hosting e nel paese che scegliete voi. Presso lo sviluppatore non viene conservato nulla.
