Il CLOUD Act e i dati degli italiani in Europa

Due ordinamenti, la stessa pretesa

Il CLOUD Act del 2018 ha aggiunto allo Stored Communications Act americano il § 2713: il fornitore di servizi di comunicazione elettronica o di elaborazione a distanza deve rispettare gli obblighi di conservare o divulgare i dati «regardless of whether such communication, record, or other information is located within or outside of the United States» (indipendentemente dal fatto che si trovino dentro o fuori dagli Stati Uniti). Il regolamento europeo sulle prove elettroniche usa la stessa logica al contrario: gli ordini europei si rivolgono ai fornitori che offrono servizi nell'Unione «indipendentemente dall'ubicazione dei dati» (regolamento (UE) 2023/1543, art. 1, par. 1). Come funzionano le richieste americane (subpoena, ordine del giudice, mandato) è spiegato in I dati nel cloud: SCA e CLOUD Act.

Il lato americano: conta il controllo

Se un'autorità americana chiede, con l'atto previsto dal § 2703, dati che un fornitore conserva in un centro dati europeo, il luogo di conservazione da solo non la ferma. Il fornitore ha però due strade per far valere un conflitto con la legge straniera.

• La contestazione del § 2703(h). Il fornitore può chiedere al giudice americano di annullare o modificare l'ordine per i contenuti di un cliente che non è una United States person e non risiede negli Stati Uniti, se la consegna rischia di violare la legge di un qualifying foreign government: un paese con un accordo esecutivo in vigore con gli Stati Uniti (18 U.S.C. § 2703(h)(1)–(2)). L'Italia non figura tra i paesi con cui il Dipartimento della Giustizia, nella sua pagina sul CLOUD Act, elenca accordi o negoziati, e l'accordo con l'Unione europea non esiste ancora.
• La cortesia internazionale. Per i paesi senza accordo, il CLOUD Act dice che restano intatti i criteri di comity (cortesia internazionale) elaborati dai giudici (CLOUD Act, sez. 103(c)).

Anche la direzione opposta è regolata: la legge americana vieta in generale ai fornitori di servizi al pubblico di divulgare il contenuto delle comunicazioni (§ 2702(a)), salvo un elenco di eccezioni in cui compare l'ordine di un governo straniero coperto da un accordo esecutivo certificato (§ 2702(b)(9)). Senza accordo resta l'assistenza giudiziaria tra Stati, che il CLOUD Act lascia disponibile (sez. 106). Il Dipartimento della Giustizia scrive che le richieste di assistenza per ottenere prove elettroniche dagli Stati Uniti sono aumentate in modo drammatico, rallentando le risposte, e che molte riguardano persone o enti di altri paesi, in indagini il cui unico legame con gli Stati Uniti è che le prove si trovano presso un fornitore americano.

Il lato europeo: l'articolo 48 del GDPR

Il regolamento generale sulla protezione dei dati (regolamento (UE) 2016/679, GDPR) contiene una norma scritta per questi casi.

«Le sentenze di un'autorità giurisdizionale e le decisioni di un'autorità amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l'Unione o un suo Stato membro, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del presente capo.»

Il considerando 115 ne spiega la ragione: l'applicazione extraterritoriale di leggi di paesi terzi «potrebbe essere contraria al diritto internazionale» e ostacolare la protezione garantita nell'Unione, e i trasferimenti dovrebbero avvenire solo alle condizioni del GDPR, per esempio per un rilevante motivo di interesse pubblico riconosciuto dal diritto dell'Unione o dello Stato membro.

L'articolo 48 non vieta ogni trasferimento: dice che l'ordine straniero, da solo, non viene riconosciuto né eseguito nell'Unione se non si basa su un accordo internazionale, e rinvia agli altri presupposti del capo V. Il fornitore americano si trova così davanti a due regole di ordinamenti diversi. Il trasferimento ordinario di dati verso gli Stati Uniti, per ragioni commerciali, è un tema diverso: vedi Trasferire dati dall'Italia agli USA.

Il regolamento europeo sulle prove elettroniche

Il regolamento (UE) 2023/1543 del 12 luglio 2023 istituisce l'ordine europeo di produzione e l'ordine europeo di conservazione delle prove elettroniche nei procedimenti penali. Si applica dal 18 agosto 2026; l'obbligo di comunicare attraverso il sistema informatico decentrato scatta un anno dopo l'adozione dei relativi atti di esecuzione (art. 34). I punti essenziali:

1. A chi si rivolge. Ai fornitori che offrono servizi nell'Unione, ovunque abbiano sede (art. 2, par. 1): l'ordine va allo stabilimento designato o al rappresentante legale del fornitore in un altro Stato membro (art. 1 e art. 3). La direttiva (UE) 2023/1544 impone agli Stati membri di obbligare i fornitori non stabiliti nell'Unione a nominare un rappresentante legale; chi offriva servizi al 18 febbraio 2026 doveva farlo entro il 18 agosto 2026 (art. 3, par. 6).
2. Per quali reati. Per i dati degli abbonati e quelli necessari solo a identificare l'utente, per qualsiasi reato; per i dati sul traffico e per i contenuti, per i reati punibili con una pena massima di almeno tre anni, per i reati di terrorismo e, se commessi anche in parte con un sistema di informazione, per le frodi sui mezzi di pagamento diversi dai contanti, l'abuso sessuale sui minori e gli attacchi ai sistemi di informazione definiti dalle direttive europee (art. 5, par. 3 e 4).
3. In quanto tempo. Dieci giorni; nei casi di emergenza otto ore (art. 10). Per i dati sul traffico e i contenuti, l'ordine va di regola notificato anche all'autorità dello Stato in cui si trova il destinatario (art. 8).
4. Se c'è un conflitto con la legge di un paese terzo. Il fornitore che ritiene di non poter eseguire l'ordine per un obbligo previsto dal diritto di un paese terzo presenta entro dieci giorni un'«obiezione motivata», che non può fondarsi sul solo fatto che i dati sono conservati in un paese terzo; se l'autorità vuole confermare l'ordine, decide un giudice del suo Stato, e intanto l'esecuzione è sospesa (art. 17).
5. Anche per la difesa. L'emissione dell'ordine può essere chiesta anche dall'indagato o imputato, o dal suo difensore, nei limiti dei diritti di difesa previsti dal diritto processuale nazionale (art. 1, par. 2).

Il regolamento non vincola la Danimarca; l'Irlanda ha scelto di partecipare. Se il fornitore è stabilito o rappresentato in Italia, le autorità italiane possono continuare a usare gli strumenti nazionali (art. 1, par. 1, secondo comma).

La cifratura

Il considerando 20 del regolamento europeo è esplicito: «L'applicazione del presente regolamento non dovrebbe pregiudicare l'uso della cifratura da parte dei prestatori di servizi o dei loro utenti.» I dati vanno forniti «a prescindere dal fatto che siano criptati o meno», ma il regolamento non stabilisce «alcun obbligo per i prestatori di servizi di decifrare i dati». Dal lato americano, gli accordi esecutivi del CLOUD Act non possono creare un obbligo per i fornitori di essere in grado di decifrare i dati, né impedire loro di farlo (18 U.S.C. § 2523(b)(3)). Sulla regola analoga per gli operatori di telecomunicazioni vedi Intercettazioni e cifratura.

Il negoziato tra Unione europea e Stati Uniti

Il Consiglio ha autorizzato la Commissione a negoziare con gli Stati Uniti nel 2019, e il negoziato è cominciato nel settembre di quell'anno. È stato sospeso mentre l'Unione completava la propria legislazione sulle prove elettroniche; nel marzo 2023 il Dipartimento della Giustizia americano e la Commissione ne hanno annunciato la ripresa, con un incontro previsto a Stoccolma il 15 e 16 marzo 2023. È l'ultimo passo ufficiale datato reperito per questa pagina: la pagina della Commissione sulle prove elettroniche, consultata il 24 settembre 2026, dice che i negoziati con gli Stati Uniti sono in corso. Nello stesso quadro, il secondo protocollo addizionale alla Convenzione del Consiglio d'Europa sulla criminalità informatica (Budapest) è stato adottato il 17 novembre 2021, e il Consiglio ha autorizzato gli Stati membri a firmarlo il 5 aprile 2022 e a ratificarlo il 14 febbraio 2023.

Che cosa significa per una persona o un'azienda italiana

• Il luogo dei dati non decide da solo. Le autorità americane possono chiedere al fornitore i dati conservati in Europa (§ 2713) e quelle europee possono chiedere i dati conservati negli Stati Uniti (art. 1 del regolamento 2023/1543), ciascuna con le proprie procedure.
• Non sempre lo saprai subito. Negli Stati Uniti il mandato non richiede avviso al cliente e il giudice può vietare al fornitore di informarlo (18 U.S.C. §§ 2703(b)(1)(A), 2705(b)).
• Per il GDPR l'ordine straniero non basta. Senza un accordo internazionale non è riconosciuto né eseguibile nell'Unione in quanto tale; restano gli altri presupposti del capo V (art. 48).

Casi frequenti

• «Se scelgo un fornitore americano con server in Europa, i miei dati sono fuori dalla portata del CLOUD Act?» Per la legge americana il luogo non basta: conta se i dati sono in possesso, custodia o controllo del fornitore (18 U.S.C. § 2713).
• «Un magistrato italiano può chiedere direttamente i miei dati a un fornitore americano?» Dal 18 agosto 2026, se il fornitore offre servizi nell'Unione, sì: con un ordine europeo di produzione rivolto al suo stabilimento designato o al suo rappresentante legale, alle condizioni del regolamento 2023/1543.
• «Esiste un accordo tra Unione europea e Stati Uniti come quello tra Stati Uniti e Regno Unito?» No: il negoziato è in corso. Gli accordi americani esistenti sono elencati in SCA e CLOUD Act.

Fonti

Regolamento (UE) 2016/679 (GDPR), art. 48 e considerando 115; regolamento (UE) 2023/1543, artt. 1, 2, 3, 5, 8, 10, 17, 34 e considerando 20; direttiva (UE) 2023/1544, art. 3, testi in italiano della Gazzetta ufficiale dell'Unione europea; 18 U.S.C. §§ 2523, 2702, 2703, 2705, 2713, testo vigente del U.S. Code; testo del CLOUD Act, Pub. L. 115-141, divisione V, sezz. 103 e 106 (justice.gov); Dipartimento della Giustizia, pagina «CLOUD Act Resources» (justice.gov); Commissione europea, pagina «E-evidence - cross-border access to electronic evidence» (commission.europa.eu, consultata il 24 settembre 2026) e annuncio della ripresa del negoziato UE-USA del marzo 2023. Verificato il 24 settembre 2026.