Il CLOUD Act: cosa c'è da sapere

Dove risiedono le mie informazioni personali e devo preoccuparmene? Questa domanda diventa più pertinente mentre ci avviamo verso la fine di un decennio digitale e l'inizio di un altro.

Implicazioni dei dati alla fine degli anni 2020

Nel XX secolo, poche persone si rendevano conto della portata della battaglia per i dati che sarebbe seguita. Chiunque possieda un dispositivo informatico e/o l'accesso a Internet ha un interesse in gioco. I vantaggi includono profitto, influenza, controllo e la capacità di accedere a informazioni su un individuo o un'azienda dietro le quinte.

Mentre le aziende continuano la loro ricerca per diventare più integrate e connesse con la propria base di clienti, cresce la necessità di privacy e protezione dei dati. Poiché non esistono confini chiari per un'azienda con un indirizzo web, lo scenario è pronto per un'escalation dei livelli di frode internazionale e criminalità informatica. Questo a sua volta apre la strada ai governi per redigere nuove leggi e spingersi oltre i confini alla ricerca di tracce di dati; le loro azioni sono giustificate dalla necessità di proteggere i dati delle persone. In questo modo, il divario tra privacy dei dati e divulgazione dei dati diventa più marcato. Allo stesso tempo, il principio di territorialità, un fondamento del diritto internazionale, svanisce lentamente.

Il CLOUD Act

La recente introduzione del ‘Clarifying Lawful Use of Overseas Data Act’ (altrimenti noto come CLOUD Act) da parte del governo americano, serve a rafforzare la tesi a favore della sorveglianza governativa transfrontaliera. In primo luogo, il CLOUD Act modifica lo Stored Communications Act (SCA) del 1986. Consente alle forze dell'ordine federali di costringere le aziende tecnologiche con sede negli Stati Uniti, tramite mandato o citazione in giudizio, a fornire i dati richiesti memorizzati sui server, indipendentemente dal fatto che i dati siano conservati negli Stati Uniti o su suolo straniero. Fino al 23 marzo 2018, l'unico modo per il governo americano di accedere ai dati all'estero era stipulare un Trattato di mutua assistenza legale (Mutual Legal-Assistance Treaty), un accordo con cui due paesi acconsentono a condividere informazioni e collaborare per risolvere un'indagine legale.

Il CLOUD Act tiene in debita considerazione la crittografia dei dati. Scoraggia inoltre il governo dall'utilizzarlo per insistere affinché le aziende allentino la loro crittografia. Questo è un processo fondamentale per la sicurezza dei dati. Ciononostante, molti ritengono che la legge sia imperfetta a un livello fondamentale. Tra le altre preoccupazioni, spicca il fatto che la legge sia stata redatta in modo brusco. Inoltre, è stata emanata senza una discussione approfondita e pubblica come parte della legge di spesa del governo, l'Omnibus. Inoltre, il CLOUD Act consente ai paesi stranieri di stipulare un “accordo esecutivo” con il Presidente degli Stati Uniti, il Dipartimento di Stato o il Procuratore Generale e richiedere i dati memorizzati negli Stati Uniti contattando direttamente le aziende ed eludendo di fatto il controllo del governo. Di conseguenza, sul web si è scatenata un'ondata di feedback negativi come reazione alle prevedibili implicazioni globali per i diritti umani e il diritto internazionale.

Applicazione del CLOUD Act

Il CLOUD Act si applica già ad aziende tecnologiche come Google, Facebook, Twitter e Instagram. Facebook e Google hanno effettivamente contribuito alla stesura della nuova legislazione insieme ad Apple e Microsoft. La collaborazione del governo con queste aziende indica uno spostamento dell'equilibrio verso i fornitori di soluzioni tecnologiche su larga scala. Tutte le imprese avranno la responsabilità di nominare un rappresentante legale per le questioni relative alla divulgazione dei dati. Da parte loro, le realtà più piccole, le startup e gli innovatori, potrebbero trovarsi in difficoltà con il carico amministrativo aggiuntivo.

L'agenda globale

Come conseguenza del Cloud Act, la Commissione Europea ha compiuto un passo legislativo per consentire le richieste di informazioni sui dati. La Commissione spianerà inoltre la strada all'uso di prove elettroniche archiviate da società registrate nell'UE, indipendentemente dalle leggi specifiche sulla privacy dei singoli Stati membri. Ne consegue logicamente che la legge porterà a una reazione a catena. Altri paesi rispecchieranno le leggi sulla divulgazione dei dati e richiederanno informazioni anche oltre confine. A sua volta, ciò potrebbe portare a un degrado generale del livello di privacy dei dati in tutto il mondo.

Cosa significa questo per CloudSigma?

CloudSigma ha una posizione unica in un mare di incertezza che cresce attorno al Cloud Act. CloudSigma isola ciascuna sede cloud che gestisce in qualsiasi parte del mondo si trovi. Ad esempio, un'entità australiana gestisce le sue sedi in Australia. Pertanto, sono soggette solo alla legge australiana. Allo mesmo modo, le sue sedi svizzere non sono soggette alla giurisdizione dell'UE, degli Stati Uniti o di qualsiasi altra giurisdizione ad eccezione della Svizzera. Pertanto, i clienti di CloudSigma possono facilmente controllare sotto quali giurisdizioni operare.

Inoltre, i clienti possono assicurarsi di essere conformi ai relativi requisiti di protezione dei dati a cui potrebbero essere soggetti. Ciò è in netto contrasto con l'approccio globalizzato di molti altri provider. Questo approccio espone i clienti a giurisdizioni potenzialmente numerose, inclusi gli Stati Uniti e altrove. Pertanto, i dati potrebbero essere accessibili contro la loro volontà e in violazione delle leggi locali sulla privacy dei dati. Di conseguenza, i dati potrebbero a loro volta esporli a responsabilità senza alcuna colpa da parte loro. Uno scenario del genere è evitabile utilizzando un provider come CloudSigma.