In sintesi: un SaaS « ospitato in Europa » ma editato negli Stati Uniti rimane esposto al CLOUD Act. Schrems II ha invalidato il Privacy Shield e complicato i trasferimenti. Per uno studio professionale francese, la conformità RGPD non si riassume più nella localizzazione dei server — dipende anche dalla giurisdizione dell’editore. Ecco l’analisi pratica.
« I vostri dati rimangono in Europa. » È l’argomento che tutti i SaaS americani propongono ai loro potenziali clienti europei dal 2021. Ed è tecnicamente vero: la loro infrastruttura gira su AWS Frankfurt, Azure Dublin o Google Belgium. La menzogna non sta nella frase, ma in ciò che lascia intendere. Perché la localizzazione dei server è solo una parte dell’equazione. L’altra è la giurisdizione dell’editore — e lì l’argomento crolla.
Il CLOUD Act, semplicemente
Il Clarifying Lawful Overseas Use of Data Act è stato votato dal Congresso americano nel marzo 2018, sulla scia di una battaglia legale che vedeva contrapposti Microsoft e il governo americano riguardo a un’email archiviata a Dublino. Cosa dice il testo: ogni azienda che ricade sotto la giurisdizione americana — quindi ogni azienda incorporata negli Stati Uniti, ma anche ogni filiale e, più ampiamente, ogni entità che abbia un punto di contatto sostanziale con il territorio — deve fornire alle autorità americane, su requisizione legale, i dati che detiene, indipendentemente da dove siano archiviati.
Concretamente: se utilizzate TaxDome, che è una società americana, e le autorità statunitensi richiedono i vostri dati nell’ambito di un’indagine, TaxDome deve ottemperare. Il fatto che i vostri server siano a Francoforte non cambia nulla. Il fatto che i vostri clienti siano aziende francesi non cambia nulla. Il fatto che siate voi stessi francesi non cambia nulla.
Schrems II, la decisione che ha cambiato tutto
Nel luglio 2020, la Corte di Giustizia dell’Unione Europea, interpellata dall’attivista austriaco Max Schrems, ha invalidato il Privacy Shield, l’accordo quadro che fino a quel momento regolava i trasferimenti di dati personali tra l’Unione Europea e gli Stati Uniti. La ragione addotta: la legge statunitense, in particolare la sezione 702 del FISA e l’ordine esecutivo 12333, autorizza una sorveglianza governativa incompatibile con gli standard europei di protezione dei dati.
« I requisiti del diritto interno degli Stati Uniti, e in particolare alcuni programmi che consentono l’accesso, da parte delle autorità pubbliche di tale Stato, ai dati personali trasferiti dall’Unione verso tale Stato a fini di sicurezza nazionale, comportano limitazioni alla protezione dei dati personali che non sono regolamentate in modo tale da rispondere a requisiti sostanzialmente equivalenti a quelli richiesti dal diritto dell’Unione. »
CGUE, sentenza Schrems II, 16 luglio 2020, causa C-311/18
La sentenza Schrems II non ha vietato i trasferimenti verso gli Stati Uniti. La Corte ha mantenuto la validità delle Standard Contractual Clauses, imponendo però al titolare del trattamento europeo di procedere a una valutazione caso per caso del livello effettivo di protezione. In parole povere: se trasferite dati a un sub-responsabile statunitense, dovete documentare un’analisi d’impatto, implementare misure tecniche supplementari se necessario e poterlo giustificare in caso di controllo.
Il Trans-Atlantic Data Privacy Framework del 2023: non è la fine della storia
Nel luglio 2023, la Commissione europea ha adottato una nuova decisione di adeguatezza per gli Stati Uniti, basata sul Trans-Atlantic Data Privacy Framework. Questo accordo introduce nuove garanzie da parte americana e consente, in teoria, trasferimenti più semplici verso le organizzazioni certificate. Si tratta di un sollievo operativo per molte aziende europee.
Tuttavia, il quadro rimane fragile. Max Schrems ha già annunciato che contesterà questo nuovo accordo, come ha fatto per il Privacy Shield nel 2015 e per il Privacy Shield nel 2020. La probabilità che intervenga una nuova decisione Schrems III nei prossimi anni non è trascurabile. Costruire oggi la propria conformità sull’ipotesi che il TDPF durerà dieci anni significa esporsi a un rischio strutturale.
Cosa cambia per uno studio professionale francese nel 2026
Concretamente, diverse questioni si pongono per ogni studio che utilizza un SaaS il cui fornitore è americano. La prima è sapere se i dati trattati siano dati di carattere personale ai sensi del RGPD: per uno studio legale, di commercialisti o di broker, la risposta è quasi sempre sì. La seconda è sapere se il fornitore abbia documentato un’analisi d’impatto post-Schrems II: dovrebbe averlo fatto, nel suo DPA aggiornato. La terza è sapere se voi, in qualità di titolari del trattamento, abbiate effettuato la vostra analisi d’impatto: è raro che ciò accada.
In caso di controllo da parte della CNIL, sarà questa terza analisi a essere richiesta. Il DPA del SaaS non è sufficiente: documenta la conformità del responsabile del trattamento, non la vostra. Dovete essere in grado di dimostrare di aver valutato il rischio di trasferimento, identificato le misure tecniche necessarie e tracciato una decisione motivata.
Le clausole contrattuali standard non sono più sufficienti
Le clausole contrattuali standard (SCC), aggiornate nel 2021 dalla Commissione europea, rappresentano il principale strumento contrattuale per disciplinare i trasferimenti di dati al di fuori dell’Unione europea. Coprono gli obblighi sia del titolare del trattamento che del responsabile del trattamento. Molte aziende ritengono erroneamente che sia sufficiente firmarle per essere conformi. Questa interpretazione è errata.
La sentenza Schrems II ha chiarito esplicitamente che le SCC di per sé non sono sufficienti: è necessario, inoltre, valutare se il paese di destinazione offra una protezione effettivamente equivalente e, in caso contrario, implementare misure supplementari. Per gli Stati Uniti, il Comitato europeo per la protezione dei dati (EDPB) ha pubblicato raccomandazioni che elencano tali misure: crittografia end-to-end gestita dal mittente, pseudonimizzazione, frazionamento dei trasferimenti, ecc. Implementare queste misure tecniche su un software SaaS americano chiavi in mano è tecnicamente possibile, ma operativamente complesso.
Verificare se un fornitore è realmente europeo
Non è sempre facile da verificare. Ecco alcune regole di buon senso. Primo, consultate le note legali: la società che fornisce il servizio è iscritta al registro delle imprese di un paese europeo? Secondo, analizzate la catena di controllo: l’azionista ultimo è europeo? Una società francese interamente detenuta da un fondo americano può, giuridicamente, rimanere sotto influenza statunitense. Terzo, esaminate i conti: se il fornitore realizza la maggior parte del proprio fatturato negli Stati Uniti e vi ha la propria direzione effettiva, le autorità americane potrebbero avere un punto di contatto sostanziale.
Pennylane, Yousign, Doctrine, Tiime sono editori francesi nel vero senso della parola: azienda francese, azionisti prevalentemente europei, direzione francese. Clio è canadese — vicino all’Unione europea ma non europeo, e soggetto a un regime giuridico diverso dal nostro. TaxDome, SmartVault, HoneyBook sono americani. Conoscere queste differenze significa smettere di rassicurarsi con il concetto di « ospitato in Europa ».
Come Client Vault risponde a questo rischio strutturale
Client Vault è pubblicato da una società francese, sotto direzione francese, con un azionariato europeo. Il codice viene installato sul server che preferite — quindi, in pratica, presso un provider di hosting francese: OVH, Scaleway, Infomaniak, o2switch o la vostra infrastruttura. In nessun momento i vostri dati lasciano un perimetro sotto il vostro controllo. Le autorità americane non hanno alcun punto di contatto per esercitare pressioni: né sull’editore, né sull’host, né sull’infrastruttura.
Questa architettura rende obsoleta gran parte dell’analisi di impatto post-Schrems II: non c’è alcun trasferimento al di fuori dell’Unione europea da analizzare. È una semplificazione amministrativa che ha un vero valore economico in caso di controllo CNIL: il vostro dossier RGPD è più breve, più solido e più difendibile.
Per le agenzie WordPress: è anche un argomento commerciale diretto. Molti dei vostri clienti professionisti non sanno che utilizzare un SaaS americano impone loro obblighi RGPD aggiuntivi. Spiegare loro il rischio e proporre una via sovrana che elimini tale rischio è un servizio a valore aggiunto che potete posizionare chiaramente.
Limiti onesti
Questo ragionamento non si applica a tutti gli strumenti. Per gli strumenti non critici — come Slack per la comunicazione interna, Notion per gli appunti del team, Trello per la gestione semplificata dei progetti —, il calcolo è diverso. Il rischio di trasferimento esiste, ma la sensibilità dei dati è minore. Bandire ogni SaaS statunitense da tutti gli utilizzi è una risposta eccessiva che non risulta operativamente sostenibile.
Per i dati aziendali critici, invece — documenti di fascicoli, bilanci dei pazienti, contratti con i clienti, dati finanziari —, il rischio merita un’analisi approfondita. È su questo perimetro che la via della sovranità assume tutto il suo significato.
Conosciamoci
Se sei un responsabile del trattamento o un DPO e la conformità post-Schrems II ti preoccupa, discutiamone in videochiamata. Da venti a trenta minuti per mappare la tua esposizione al Cloud Act e vedere come una via sovrana possa semplificare la tua analisi d’impatto.
Domande frequenti
Che cos’è il Cloud Act e chi riguarda?
Legge statunitense del 2018 che consente alle autorità americane di richiedere dati detenuti da un’azienda soggetta alla loro giurisdizione, indipendentemente dalla localizzazione dei server. Qualsiasi azienda che utilizzi un SaaS americano rientra in questo perimetro.
Un SaaS ospitato in Europa è necessariamente conforme al RGPD?
No. La localizzazione dei server è solo uno dei tanti criteri. La giurisdizione dell’editore, il DPA, l’analisi d’impatto post-Schrems II e le misure tecniche supplementari contano altrettanto.
Cosa è cambiato in pratica con Schrems II?
La sentenza della CGUE del 2020 ha invalidato il Privacy Shield e imposto un’analisi d’impatto caso per caso per ogni trasferimento fuori dall’UE. Le SCC non sono più sufficienti da sole: è necessario documentare una decisione motivata e, se necessario, aggiungere misure tecniche.
Il mio studio è a rischio CLOUD Act?
Sì, nel momento in cui utilizza un SaaS il cui editore è soggetto alla giurisdizione americana e tale SaaS tratta dati personali dei clienti. Il rischio è proporzionale alla sensibilità dei dati trattati.
Le Standard Contractual Clauses sono sufficienti?
Schrems II ha esplicitamente affermato di no, di per sé. È necessaria una valutazione dell’effettivo livello di protezione e, ove opportuno, misure supplementari. Il Comitato europeo per la protezione dei dati ha pubblicato raccomandazioni dettagliate.
Cosa fare se il mio SaaS riceve un’ingiunzione americana?
L’editore è tenuto a conformarsi secondo il diritto americano. Generalmente sarete avvisati se la procedura lo permette, ma non sempre. La migliore protezione rimane l’evitamento strutturale: non affidare dati critici a un editore esposto.
Come verificare se un editore è veramente europeo?
Esaminate le note legali (luogo di costituzione), la catena di controllo (azionariato ultimo) e la direzione effettiva. Una società francese detenuta da un fondo americano può restare sotto influenza statunitense ai sensi del CLOUD Act.
{“@context”:”https://schema.org”,”@type”:”Article”,”headline”:”CLOUD Act vs RGPD : où sont vraiment vos données client”,”author”:{“@type”:”Person”,”name”:”Dragan Stamenkovic”},”datePublished”:”2026-05-10″,”dateModified”:”2026-05-10″,”publisher”:{“@type”:”Organization”,”name”:”Client Vault”},”mainEntityOfPage”:”https://clientvault.pro/blog/rgpd-cloud-act-donnees-client”}{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[ {“@type”:”Question”,”name”:”Qu’est-ce que le CLOUD Act et qui est concerné ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Loi américaine de 2018 permettant aux autorités américaines de réquisitionner les données détenues par toute entreprise relevant de leur juridiction.”}}, {“@type”:”Question”,”name”:”Un SaaS hébergé en Europe est-il forcément RGPD-compliant ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Non. La juridiction de l’éditeur, le DPA et l’analyse d’impact post-Schrems II comptent autant que la localisation.”}}, {“@type”:”Question”,”name”:”Qu’a changé Schrems II en pratique ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Invalidation du Privacy Shield, analyse d’impact obligatoire au cas par cas pour tout transfert hors UE.”}}, {“@type”:”Question”,”name”:”Mon cabinet est-il à risque CLOUD Act ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Oui dès lors qu’il utilise un SaaS américain pour traiter des données personnelles. Risque proportionnel à la sensibilité.”}}, {“@type”:”Question”,”name”:”Les Standard Contractual Clauses suffisent-elles ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Non en elles-mêmes selon Schrems II. Il faut évaluation du niveau de protection effectif et mesures supplémentaires.”}}, {“@type”:”Question”,”name”:”Que faire si mon SaaS reçoit une injonction américaine ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”L’éditeur s’exécute selon le droit US. Notification pas garantie. Meilleure protection : éviter de confier les données critiques à un éditeur exposé.”}}, {“@type”:”Question”,”name”:”Comment vérifier si un éditeur est vraiment européen ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Examiner mentions légales, chaîne de contrôle actionnarial et direction effective.”}} ]}
