Il CLOUD Act spiegato: Cosa significa per le tue foto e la tua privacy

Le tue foto sono nel “cloud”. Ma in quale cloud? E quali leggi si applicano?

Se stai archiviando foto su Google Foto, iCloud, OneDrive o Dropbox, probabilmente presumi che i tuoi dati siano protetti dalle leggi sulla privacy del paese in cui si trovano quei server. Se le tue foto sono archiviate in Europa, potresti pensare che le regole sulla privacy europee - come il GDPR - ti proteggono. Ma c’è una legge americana di cui probabilmente non hai mai sentito parlare che può annullare tutto questo. Si chiama CLOUD Act, ed è più importante di quanto pensi.

Cos’è il CLOUD Act?

Il CLOUD Act è una breve e complessa legge americana del 2018. Il nome significa “Clarifying Lawful Overseas Use of Data” - che, onestamente, suona più confuso della stessa legge. Puoi leggere il testo effettivo qui, ma lo traduciamo in italiano semplice.

Ecco l’idea centrale: Se un’azienda americana archivia i tuoi dati - anche se quei server si trovano fisicamente in Europa - le forze dell’ordine americane possono esigere che quella azienda ti consegni direttamente i tuoi dati, senza prima chiedere il permesso alle autorità europee.

Pensala così: Affitti un appartamento a Parigi. Il proprietario è americano. Secondo le regole normali, se la polizia volesse perquisire il tuo appartamento, dovrebbe passare attraverso i tribunali francesi e ottenere l’approvazione francese. Ma cosa se c’è una regola che dice che i proprietari americani devono aprire le loro porte alla polizia americana ogni volta che lo chiedono? Questo è essenzialmente quello che fa il CLOUD Act - consente alle forze dell’ordine americane di aggirare i processi legali europei e di rivolgersi direttamente all’azienda che archivia i tuoi dati.

Il CLOUD Act consente alle autorità americane di richiedere dati alle aziende tecnologiche americane, anche quando tali dati sono archiviati su server europei e appartengono a cittadini europei - potenzialmente annullando le protezioni sulla privacy europee.

Perché questo è importante (anche se i tuoi dati sono in Europa)

Potresti pensare: “Le mie foto sono archiviate in un data center tedesco, protetto dalla legge tedesca”. Sembra sicuro. Ma non è la legge che protegge l’edificio che conta - è la legge che protegge l’azienda che gestisce l’edificio.

Quando carichi foto su Google Foto, Google (un’azienda americana) ne è responsabile. La sede centrale di Google è in California. Google deve conformarsi alle leggi americane. Se le forze dell’ordine americane si presentano con una richiesta legale, Google deve conformarsi alla legge americana - anche se le tue foto si trovano su server a Francoforte, Amsterdam o Dublino.

Il CLOUD Act è stato effettivamente progettato per risolvere un problema diverso: era destinato ad aiutare le aziende tecnologiche americane a evitare richieste legali conflittuanti da più paesi. Ma l’effetto collaterale è stato quello di creare un percorso legale per le autorità americane di accedere ai dati archiviati ovunque nel mondo, finché un’azienda americana li detiene.

GDPR non ti protegge dal CLOUD Act

Qui è dove diventa importante: GDPR (il Regolamento generale sulla protezione dei dati dell’UE) è fantastico. Ti dà i diritti, limita ciò che le aziende possono fare con i tuoi dati, e forza la trasparenza. Ma GDPR riguarda ciò che le aziende possono fare con i tuoi dati di loro iniziativa. Non è uno scudo contro le richieste governative.

Il CLOUD Act riguarda l’accesso governativo. GDPR non può fermare le forze dell’ordine americane dal fare una richiesta legale secondo le regole del CLOUD Act. Sono due cose diverse:

• GDPR controlla cosa fanno le aziende con i tuoi dati negli affari normali e quotidiani
• CLOUD Act controlla cosa possono esigere i governi da quelle aziende

Anche un’azienda che rispetta perfettamente il GDPR deve comunque conformarsi a una richiesta del CLOUD Act dalle autorità americane. È come avere le regole di affitto più rigorose del mondo - ma la polizia può comunque entrare se ha un mandato.

Chi è effettivamente colpito?

Fondamentalmente: chiunque utilizzi servizi di archiviazione cloud o foto importanti. Questo include:

• Google Foto e Google Drive
• Apple iCloud
• Microsoft OneDrive e Outlook
• Dropbox
• Foto di Amazon
• Facebook e Instagram (che ospitano anche le tue foto)
• Qualsiasi altra azienda di cloud americana

Se un’azienda americana archivia i tuoi dati, il CLOUD Act potrebbe applicarsi. Questo non è teorico - le forze dell’ordine americane hanno già utilizzato i poteri del CLOUD Act per richiedere dati alle aziende tecnologiche, e le aziende generalmente si conformano.

Conseguenze del mondo reale

Rendilo concreto. Immagina:

• Un giornalista in Polonia usa Google Drive per archiviare ricerche e documenti. Le autorità americane che indagano sulle fonti del giornalista potrebbero esigere che Google consegni tutto - anche se i dati sono archiviati in Europa e il giornalista è europeo.

• Un fotografo in Germania usa Dropbox per eseguire il backup di foto di clienti e contratti. Se indagato per qualche motivo, le autorità americane potrebbero accedere a quei file senza passare attraverso i tribunali tedeschi.

• Un attivista in Ungheria usa Gmail e Google Foto. Le autorità americane potrebbero accedere alle sue e-mail e foto se avessero una base legale per farlo.

Questi non sono scenari paranoici. Questo è il modo in cui la legge funziona effettivamente.

Come il CLOUD Act differisce da altre regole

Potresti sentire parlare di leggi come GDPR, SCHREMS II o decisioni di adeguatezza. Queste sono importanti, ma funzionano diversamente:

• GDPR dice alle aziende come gestire i tuoi dati. Non ferma i governi.
• Le decisioni di adeguatezza (come tra l’UE e gli USA) cercano di creare fiducia tra le regioni. Ma non annullano il CLOUD Act.
• SCHREMS II ha reso più difficile spostare i dati tra i continenti. Ma non previene le richieste del CLOUD Act una volta che i dati sono presso un’azienda americana.

Il CLOUD Act sta al di sopra della maggior parte di questo - è un percorso legale diretto per le autorità americane di accedere ai dati.

Cosa puoi effettivamente fare?

Non puoi rifiutare il CLOUD Act. Ma hai scelte:

1. Usa alternative europee. Servizi come Nextcloud, Proton (con sede in Svizzera) o fornitori europei più piccoli non sono soggetti al CLOUD Act perché non sono aziende americane. Questo ti dà una protezione reale secondo la legge europea.

2. Crittografa prima di caricare. Se i tuoi dati sono crittografati da end-to-end (tu hai le chiavi, l’azienda no), le aziende non possono consegnare dati leggibili anche se le autorità lo richiedono. Cerca servizi con architettura a conoscenza zero.

3. Comprendi il rischio. Per foto familiari casuali? Forse il rischio è accettabile. Per documenti sensibili, cartelle mediche o qualsiasi cosa tu debba mantenere privata? Vale la pena considerare le alternative.

4. Supporta la legislazione sulla privacy. Sostieni leggi europee più forti sulla protezione dei dati e regolamenti che limitino il modo in cui le autorità americane possono accedere ai dati dei cittadini dell’UE.

Perché PixelUnion esiste

Abbiamo costruito PixelUnion proprio per preoccupazioni come questa. PixelUnion è un servizio europeo, incentrato sulla privacy, di archiviazione gestita di foto e video. I tuoi dati rimangono in Europa, sotto le protezioni legali europee. Non vendiamo i tuoi dati, non creiamo profili su di te, e non siamo soggetti al CLOUD Act perché non siamo un’azienda americana.

Crediamo che tu debba essere in grado di archiviare le tue foto e i tuoi ricordi senza chiederti se un governo straniero può accedervi senza il tuo consenso.

Il CLOUD Act non è una cospirazione segreta. È una vera legge con vere conseguenze. Non hai bisogno di farti prendere dal panico, ma hai bisogno di capirlo - soprattutto se ti importa della tua privacy. Le tue foto raccontano la tua storia. Meriti di sapere quali leggi proteggono quella storia.

Scopri l’archiviazione di foto incentrata sulla privacy senza i problemi del CLOUD Act. Scopri di più su PixelUnion.