Cos'è la sovranità dei dati e perché è importante per le tue foto?

La sovranità dei dati compare in quasi ogni informativa sulla privacy e pagina di marketing che leggi. I fornitori cloud la citano. I governi la usano nella legislazione. Interi startup ne fanno il fulcro del loro marchio. Ma se chiedi a tre persone cosa significa, di solito ottieni quattro risposte diverse.

È un problema, perché il termine ha effettivamente un significato specifico, e la differenza tra la definizione tecnica e la versione di marketing è la differenza tra una protezione reale e una scappatoia legale.

Cosa significa davvero la sovranità dei dati

La sovranità dei dati è il principio secondo cui i dati sono soggetti alle leggi del paese in cui si trovano fisicamente. Se le tue foto sono su server in Germania, si applica la legge tedesca. Se sono in Irlanda, si applica la legge irlandese. E poiché Irlanda e Germania sono entrambi Stati membri dell’UE, regolamenti come il GDPR governano come i dati possono essere raccolti, elaborati e condivisi.

Il concetto sembra semplice. In pratica è complicato da tre cose che la maggior parte delle pagine sulla privacy non spiega.

I tre livelli della sovranità

Per capire se un servizio offre davvero sovranità dei dati, devi porre tre domande separate.

Dove risiedono fisicamente i dati? Questo è il livello su cui la maggior parte si concentra. Quando un servizio dice “dati archiviati nell’UE”, di solito significa che i suoi server sono in un data center europeo. È necessario, ma non sufficiente.

Chi gestisce l’infrastruttura? Il server fisico può trovarsi a Francoforte, ma se è gestito da un fornitore cloud statunitense, il gestore è soggetto alla legge statunitense. Quando il governo degli Stati Uniti presenta una richiesta, il gestore risponde, indipendentemente da dove si trovi la macchina.

Dove è registrata l’azienda? Questo è il livello che determina quali leggi l’azienda stessa deve seguire. Un’azienda registrata in California è soggetta alla legge statunitense, incluso il CLOUD Act, indipendentemente da dove si trovino i suoi server o clienti.

Perché la sovranità dei dati tenga, tutti e tre i livelli devono allinearsi. Il server deve trovarsi nella giurisdizione rilevante, il gestore deve essere soggetto alla legge di quella giurisdizione, e l’azienda non deve essere legalmente obbligata a rispondere alle richieste di un governo estero.

Perché “archiviato nell’UE” non basta

Il divario tra la promessa di marketing e la realtà legale è diventato chiaro con una sentenza della Corte di giustizia dell’Unione europea del 2020, nota come Schrems II. La Corte ha stabilito che il trasferimento di dati personali dall’UE agli USA non proteggeva adeguatamente gli europei dalle leggi di sorveglianza statunitensi, anche quando i dati non attraversavano mai l’Atlantico.

Il ragionamento della Corte è stato diretto. Se un’azienda statunitense detiene i dati, la legge statunitense li raggiunge, ovunque siano i server. La sola posizione di archiviazione non determina quali leggi si applicano.

Per questo “ospitato nell’UE” è una frase comune e un’affermazione debole. Copre solo il primo dei tre livelli. Senza gli altri due, la protezione che suggerisce non regge.

Cosa cambia il CLOUD Act

Il CLOUD Act statunitense è stato approvato nel 2018. Dà alle autorità statunitensi il potere di obbligare le aziende con sede negli USA a consegnare i dati che detengono o controllano, indipendentemente da dove tali dati siano fisicamente archiviati.

Questo significa che un fornitore cloud statunitense che gestisce server nei Paesi Bassi può essere legalmente obbligato a consegnare i dati archiviati su quei server alle autorità statunitensi. Il governo olandese non deve essere informato. L’utente interessato non deve essere avvisato. Le garanzie di protezione dei dati del GDPR non annullano la richiesta.

Il GDPR limita ciò che le aziende fanno con i tuoi dati di propria iniziativa. Il CLOUD Act permette a un attore esterno specifico di aggirare quel limite. Entrambe le leggi sono in vigore contemporaneamente e puntano in direzioni opposte.

Il nostro collega ha scritto una spiegazione più dettagliata su come funziona il CLOUD Act e cosa significa per l’archiviazione delle foto.

Cosa richiede la vera sovranità europea dei dati

Perché un servizio offra vera sovranità europea dei dati, tre condizioni devono essere soddisfatte.

I dati devono essere archiviati su server situati all’interno dell’UE. Il gestore dell’infrastruttura deve essere soggetto al diritto dell’UE. L’azienda proprietaria del servizio deve essere registrata nell’UE e libera da controllo da parte di una società madre statunitense.

Quando tutte e tre sono soddisfatte, il servizio è governato dal diritto dell’UE, e solo dal diritto dell’UE. Una richiesta del governo statunitense non ha alcuna via legale verso i dati.

Quando una delle tre manca, l’affermazione di sovranità è parziale. Può ancora offrire miglioramenti rispetto ad altre opzioni, ma non offre la protezione che il termine suggerisce.

Perché questo è importante per le tue foto

Le foto sono una delle categorie di dati più personali che carichi da qualche parte. Contengono il tuo viso, i volti delle persone vicine a te, i luoghi in cui vai e i timestamp della tua vita quotidiana. L’articolo sui metadati mostra quante informazioni un singolo file foto contiene.

Quando scegli dove archiviare quella libreria, la questione della sovranità non è astratta. Determina chi può imporre l’accesso a quelle foto, sotto quale quadro legale, e con quale ricorso.

Cosa fa PixelUnion

PixelUnion è registrata nell’UE. I nostri server si trovano nell’UE. La nostra infrastruttura è gestita sotto il diritto dell’UE. Non c’è una società madre statunitense, e non c’è alcuna via legale attraverso cui il CLOUD Act raggiunga i dati dei nostri clienti.

Non è una decisione di marketing. È una decisione strutturale su cosa “archiviato nell’UE” deve significare perché la frase sia onesta.

L’articolo sul GDPR copre i diritti che il regolamento ti concede e come si applicano nella pratica. La sovranità dei dati è la condizione sottostante che rende quei diritti esigibili in primo luogo.

Vuoi vedere come la sovranità europea si traduce in una vera alternativa ai servizi statunitensi? Il nostro collega ha preparato una guida pratica per abbandonare completamente i Big Tech, con alternative concrete per ogni servizio.