Sovranità dei dati UE per i documenti di conformità: perché la giurisdizione conta quando non puoi cancellare il file
La sovranità dei dati è uno di quegli argomenti che generano più calore che luce. A volte viene presentata come protezionismo travestito da linguaggio giuridico, a volte come una reale questione di governance. Nel contesto dei dati applicativi di tutti i giorni, la distinzione è spesso accademica.
Per i documenti sensibili ai fini della conformità (fatture con obblighi di conservazione di 7 anni, contratti soggetti a legal hold, documentazione trasmessa alle autorità di vigilanza che non può essere alterata né cancellata), la distinzione non è accademica. Ha conseguenze legali.
Questo articolo sostiene una tesi precisa: quando non puoi cancellare un documento, il luogo in cui si trova conta più del solito, e “luogo” significa giurisdizione, non solo geografia.
L’argomento classico della residenza dei dati
L’argomento più comune a favore di un’infrastruttura ospitata nell’UE è la conformità al GDPR: i dati personali non dovrebbero lasciare lo Spazio economico europeo senza garanzie adeguate. È un requisito reale e, per le applicazioni che trattano dati personali, è importante.
Ma non è l’argomento più forte per mantenere i documenti di conformità in Europa. L’argomento del GDPR si applica a dati che possono contenere o meno dati personali. I documenti di conformità spesso contengono dati personali, ma questo è quasi secondario rispetto alla questione centrale.
L’argomento più forte riguarda ciò che accade ai documenti che sei legalmente obbligato a conservare e che legalmente non puoi cancellare.
La normativa sulla conservazione e il problema dell’accesso all’infrastruttura
Gli obblighi di conservazione delle fatture nell’UE sono tipicamente di 7 anni. I documenti del settore pubblico olandese soggetti all’Archiefwet possono richiedere una conservazione di 20 anni. Non si tratta di semplici linee guida. Non conservare i documenti richiesti espone le organizzazioni a sanzioni fiscali, alla perdita del diritto alla detrazione dell’IVA e a sanzioni regolamentari.
Il rovescio della medaglia degli obblighi di conservazione è che i documenti conservati non possono essere cancellati durante il periodo di conservazione. I documenti soggetti a legal hold non possono essere cancellati affatto finché l’hold non viene revocato.
Questo crea una situazione insolita dal punto di vista dell’infrastruttura: hai dati che sei legalmente obbligato a conservare, che potrebbe esserti legalmente vietato cancellare, archiviati su un’infrastruttura controllata da terzi. La domanda è: chi altro ha accesso a quei dati, in base a quale autorità legale, e cosa può farne?
La questione del CLOUD Act
Il Clarifying Lawful Overseas Use of Data Act (CLOUD Act) è una legge federale statunitense, emanata nel 2018, che consente alle forze dell’ordine statunitensi di obbligare le aziende statunitensi, compresi i provider cloud, a produrre i dati archiviati sui loro server, indipendentemente da dove si trovino fisicamente tali server.
L’effetto pratico: i dati di un’azienda europea archiviati sull’infrastruttura di un hyperscaler statunitense possono, in linea di principio, essere consultati dalle forze dell’ordine statunitensi senza informare l’azienda europea, nel rispetto dei requisiti procedurali del CLOUD Act.
Per la maggior parte dei dati, si tratta di una preoccupazione teorica. Il volume di dati aziendali ordinari che diventa effettivamente oggetto di richieste ai sensi del CLOUD Act è ridotto, e le procedure per ottenere tali dati non sono banali.
Per i documenti di conformità, il calcolo è diverso per due ragioni.
In primo luogo, i documenti di conformità riguardano spesso gli aspetti commercialmente più sensibili di un’azienda: prezzi dei fornitori, condizioni dei clienti, valori contrattuali, comunicazioni alle autorità di vigilanza. Sono documenti a cui concorrenti e governi con interessi commerciali potrebbero voler accedere attivamente.
In secondo luogo, gli obblighi di conservazione fanno sì che i dati esistano per lunghi periodi. Una richiesta ai sensi del CLOUD Act nell’anno 5 di un periodo di conservazione di 7 anni riguarda dati che sono, per definizione, rilevanti per l’operatività aziendale in corso.
Il CLOUD Act non significa che usare l’infrastruttura di un hyperscaler statunitense sia illegale o che i dati vengano consultati abitualmente. Significa che si applica il quadro giuridico che crea questa possibilità, e che il provider cloud ha una capacità limitata di opporsi a un ordine legale valido. Il profilo di rischio è diverso rispetto a un’infrastruttura esclusivamente UE.
Cosa significa “sovrano UE” nella pratica
“Sovrano UE” è un’espressione usata con leggerezza nel marketing, e vale la pena essere precisi su cosa richiede.
Come minimo, un’infrastruttura sovrana UE significa:
Tutti i dati restano all’interno dello Spazio economico europeo. Non solo la regione primaria: anche i backup, il disaster recovery e qualsiasi replica devono restare all’interno del SEE. I trasferimenti transfrontalieri di dati verso giurisdizioni esterne al SEE richiedono una decisione di adeguatezza (che può essere revocata) oppure garanzie adeguate vincolanti.
Il gestore dell’infrastruttura non è soggetto a leggi extra-UE sull’accesso ai dati per i dati in questione. Ciò significa che il gestore non è un’azienda statunitense, né una sua controllata, soggetta agli obblighi del CLOUD Act per i dati che vi archivi. Le aziende con sede nell’UE prive di una struttura societaria statunitense non sono soggette al CLOUD Act.
I controlli di accesso fisico sono sotto giurisdizione UE. Le operazioni del datacenter sono soggette al diritto dell’UE, non al diritto della giurisdizione in cui è costituito l’hyperscaler.
Non esiste alcuna dipendenza da infrastrutture di origine statunitense che potrebbero essere usate per accedere ai dati. Usare un datacenter europeo per lo storage primario instradando però tutto il traffico attraverso una CDN di origine statunitense, o affidarsi a un’infrastruttura di gestione delle chiavi di origine statunitense, reintroduce dalla porta di servizio dipendenze giurisdizionali.
La vera sovranità non riguarda la bandiera sull’edificio. Riguarda il quadro giuridico che stabilisce chi può accedere ai dati e in quali circostanze.
Perché questo conta proprio per i documenti che non puoi cancellare
Torniamo all’osservazione iniziale: i documenti di conformità hanno obblighi di conservazione. Non possono essere cancellati durante il periodo di conservazione.
Ora combina questo aspetto con la questione dell’infrastruttura sovrana. Un documento archiviato su un’infrastruttura extra-UE, sotto un quadro giuridico extra-UE, che non puoi cancellare per 7 anni, è un documento il cui profilo di accesso non puoi controllare completamente per 7 anni.
Per una fattura con obblighi di conservazione standard, questo può essere un rischio accettabile. Per un contratto con una struttura di prezzi sensibile, una comunicazione alle autorità di vigilanza o documenti soggetti a legal hold in una controversia in corso, il profilo di rischio è diverso.
L’impossibilità di cancellare il documento significa anche che non puoi ridurre l’esposizione rimuovendo i dati. Con un object storage cloud che opera con object lock in modalità COMPLIANCE, sei per progettazione vincolato all’esistenza del documento per tutto il periodo di conservazione. La scelta della giurisdizione, quindi, non è facilmente reversibile una volta applicato il blocco.
L’opzione on-premises
Per le organizzazioni in cui la sovranità dei dati è un requisito rigido (non una preferenza, ma un obbligo legale o contrattuale), il deployment on-premises è la soluzione più completa.
Il deployment on-premises colloca i dati interamente all’interno dell’infrastruttura dell’organizzazione, sotto i suoi controlli di sicurezza, senza alcuna dipendenza da provider cloud esterni. La questione giurisdizionale diventa: quali leggi si applicano all’infrastruttura dell’organizzazione stessa? Per le organizzazioni UE che operano nell’UE, la risposta è il diritto dell’UE.
Il deployment on-premises comporta costi operativi: l’organizzazione è responsabile di disponibilità, backup, disaster recovery e pianificazione della capacità. Ma per gli enti regolamentati in cui la residenza dei dati è un requisito di conformità, questi costi sono di norma già accettati come parte dell’architettura di sicurezza di base.
Il BYOS (bring your own storage, cioè il proprio storage compatibile con S3) è un’opzione intermedia. Il livello applicativo resta un servizio, ma i dati sono custoditi nel bucket di storage dell’organizzazione stessa, che opera nel suo account cloud e sotto la giurisdizione da essa scelta. Il fornitore dell’applicazione non detiene i documenti: li elabora e li scrive nel bucket dell’organizzazione.
La domanda pratica per i team di conformità
La domanda per i team di conformità che valutano un’infrastruttura documentale non è se la sovranità UE sia un plus. È se i requisiti legali e di rischio dei documenti archiviati (obblighi di conservazione, procedure di legal hold, sensibilità regolamentare) la rendano necessaria.
Per i documenti ordinari con la conservazione standard di 7 anni, il rischio legato alla dipendenza da un hyperscaler statunitense può essere accettabile. Molte organizzazioni accettano questo compromesso, e raramente causa problemi.
Per i documenti soggetti a legal hold, lunghi periodi di conservazione, elevata sensibilità commerciale o requisiti espliciti di residenza dei dati nei quadri normativi dei settori regolamentati, vale la pena porsi seriamente la domanda prima che la decisione sull’infrastruttura diventi definitiva.
Una volta applicato l’object lock e avviato il conteggio del periodo di conservazione, è più difficile tornare sulla questione della giurisdizione.
SealDoc gira su infrastruttura UE in datacenter europei certificati ISO 27001, senza alcuna dipendenza da hyperscaler statunitensi. Con Enterprise, il BYOS consente alle organizzazioni di portare il proprio storage compatibile con S3 e di decidere in autonomia dove sono archiviati i loro documenti e sotto quale giurisdizione.