I dati nel cloud: Stored Communications Act e CLOUD Act

Che cos'è lo Stored Communications Act

Lo Stored Communications Act (legge sulle comunicazioni conservate) comprende 18 U.S.C. §§ 2701–2713, introdotto nel 1986 (Pub. L. 99-508, titolo II). Riguarda due figure: chi offre un electronic communication service (servizio di comunicazione elettronica), cioè permette di inviare e ricevere comunicazioni (§ 2510(15)), e chi offre un remote computing service (servizio di elaborazione a distanza), cioè archiviazione o elaborazione di dati per il pubblico (§ 2711(2)).

La regola di partenza è il silenzio: il fornitore di servizi al pubblico non può divulgare il contenuto delle comunicazioni che conserva, né consegnare a un ente pubblico i dati sui clienti (§ 2702(a)), salvo le eccezioni elencate dalla legge, tra le quali le procedure del § 2703 (§ 2702(b) e (c)).

Che cosa può ottenere il governo, e con quale atto

Per l'ordine del § 2703(d) il governo deve presentare «specific and articulable facts» (fatti specifici e circostanziati) che diano fondati motivi di ritenere i dati rilevanti e pertinenti per un'indagine penale in corso; il fornitore può chiederne l'annullamento se è troppo oneroso (§ 2703(d)). Su richiesta del governo, il fornitore deve inoltre conservare i dati per 90 giorni, prorogabili di altri 90, in attesa dell'atto formale (§ 2703(f)).

Il testo del 1986 distingue ancora in base all'età e al tipo di servizio: per i contenuti conservati da più di 180 giorni, o tenuti da un servizio di archiviazione, il § 2703(b) ammette anche la subpoena o l'ordine del giudice, con preavviso al cliente che può essere ritardato (§ 2705). Nel 2010 la Corte d'appello del Sesto circuito, in United States v. Warshak, 631 F.3d 266 (6th Cir. 2010), ha deciso che l'utente ha una ragionevole aspettativa di riservatezza sulle proprie email presso il fornitore, e che gli agenti, facendosele consegnare senza un mandato basato sulla probable cause (fondato motivo), avevano violato il Quarto emendamento; le prove non furono escluse perché gli agenti si erano affidati in buona fede alla legge. Vale per il Sesto circuito, non come regola nazionale.

Il cliente non lo sa necessariamente. Con il mandato non è richiesto alcun avviso (§ 2703(b)(1)(A)), né per i dati diversi dai contenuti (§ 2703(c)(3)); e il giudice può ordinare al fornitore di non informare nessuno se c'è motivo di ritenere che l'avviso metterebbe in pericolo una persona, favorirebbe la fuga, la distruzione di prove o l'intimidazione di testimoni, o comprometterebbe l'indagine (§ 2705(b)).

Il caso Microsoft Irlanda

Nel dicembre 2013 agenti federali ottennero da un giudice federale di New York un mandato del § 2703 per le email di un account di Microsoft che, secondo gli agenti, serviva a un traffico di droga. I contenuti si trovavano soltanto nel centro dati di Microsoft a Dublino, e Microsoft chiese di annullare il mandato per quella parte. Il giudice respinse la richiesta, il tribunale confermò e Microsoft, che non consegnò quei dati, fu dichiarata in civil contempt (inottemperanza all'ordine del giudice). Nel 2016 la Corte d'appello del Secondo circuito le diede ragione: obbligarla a consegnare quelle email sarebbe stata un'applicazione extraterritoriale del § 2703 non autorizzata dalla legge (In re Warrant to Search a Certain E-Mail Account Controlled and Maintained by Microsoft Corp., 829 F.3d 197 (2d Cir. 2016)).

Mentre il caso era davanti alla Corte Suprema, il 23 marzo 2018 il CLOUD Act divenne legge come parte del Consolidated Appropriations Act, 2018, la legge sugli stanziamenti federali (Pub. L. 115-141, divisione V); il governo ottenne, sulla base della nuova legge, un nuovo mandato per gli stessi dati. Il 17 aprile 2018 la Corte Suprema dichiarò il caso superato (moot), annullò la decisione e rinviò perché il processo fosse chiuso: United States v. Microsoft Corp., 584 U.S. 236 (2018). La questione di come andasse letta la legge prima del 2018 non è stata decisa.

Il CLOUD Act

Il Clarifying Lawful Overseas Use of Data Act (legge che chiarisce l'uso legittimo dei dati all'estero), in breve CLOUD Act, ha fatto tre cose.

1. I dati all'estero. Ha aggiunto il § 2713, che la Corte Suprema ha riportato per intero nella decisione Microsoft: il fornitore deve rispettare gli obblighi del capitolo di conservare, copiare o divulgare contenuti e dati relativi ai clienti che sono in suo possesso, custodia o controllo, «regardless of whether such communication, record, or other information is located within or outside of the United States» (indipendentemente dal fatto che si trovino dentro o fuori dagli Stati Uniti).
2. La contestazione per conflitto di leggi. Ha aggiunto al § 2703 la lettera (h). Il fornitore che deve consegnare contenuti può chiedere entro 14 giorni di annullare o modificare l'atto se ritiene ragionevolmente che il cliente non sia una United States person (cittadino, residente permanente, società americana) e non risieda negli Stati Uniti, e che la consegna creerebbe un rischio concreto di violare la legge di un qualifying foreign government, cioè di un paese con un accordo esecutivo in vigore. Il giudice bilancia, tra l'altro, gli interessi dei due Stati, le sanzioni per il fornitore e i legami del cliente con gli Stati Uniti (§ 2703(h)(2)–(3)). Per gli altri paesi la legge lascia intatti i criteri di cortesia internazionale (comity) elaborati dai giudici (CLOUD Act, sez. 103(c)).
3. Gli accordi esecutivi. Ha creato il § 2523, che permette agli Stati Uniti di concludere accordi con cui i fornitori americani possono rispondere direttamente agli ordini di un governo straniero (§ 2702(b)(9)) e viceversa. Le vie tradizionali dell'assistenza giudiziaria restano disponibili (CLOUD Act, sez. 106).

Gli accordi esecutivi del § 2523

Un accordo vale solo se l'Attorney General, d'intesa con il Segretario di Stato, certifica al Congresso che la legge del paese straniero protegge in modo solido la riservatezza e le libertà civili. Gli ordini devono riguardare reati gravi, terrorismo compreso, indicare una persona, un account o un dispositivo specifico, basarsi su fatti circostanziati ed essere soggetti al controllo di un giudice o di un'autorità indipendente; il paese straniero non può prendere di mira cittadini o residenti americani né persone che si trovano negli Stati Uniti, e gli ordini non possono servire a limitare la libertà di parola (§ 2523(b)(1) e (4)). L'accordo entra in vigore non prima di 180 giorni dalla comunicazione al Congresso, salvo che questo approvi una legge di disapprovazione (§ 2523(d)); la certificazione va riesaminata ogni cinque anni e, se non è rinnovata, l'accordo non soddisfa più i requisiti (§ 2523(e)).

Gli accordi servono solo alle autorità: il Dipartimento della Giustizia precisa che non sono a disposizione dei privati, neppure degli imputati.

E la cifratura?

Il CLOUD Act ha scelto la neutralità. Tra i requisiti degli accordi esecutivi c'è questo:

«the terms of the agreement shall not create any obligation that providers be capable of decrypting data or limitation that prevents providers from decrypting data»

Cioè: l'accordo non può creare né un obbligo per i fornitori di essere in grado di decifrare i dati, né un limite che impedisca loro di farlo (18 U.S.C. § 2523(b)(3)). È la stessa logica della regola sugli operatori di telecomunicazioni nel CALEA, spiegata in Intercettazioni e cifratura.

Casi frequenti

• «I miei dati sono su un server in Europa di un'azienda americana: il governo degli Stati Uniti può ottenerli?» Il § 2713 dice che gli obblighi del fornitore valgono indipendentemente da dove si trovano i dati, se sono in suo possesso, custodia o controllo; serve comunque l'atto richiesto dal § 2703. Per il diritto europeo vedi questa pagina.
• «Il CLOUD Act permette di prendere i dati senza un giudice?» Il CLOUD Act non ha toccato le regole del § 2703 su subpoena, ordine e mandato: ha stabilito che valgono anche per i dati conservati all'estero e ha aggiunto la contestazione del § 2703(h).
• «E alla frontiera?» Il controllo del telefono all'ingresso segue altre regole: vedi Cloud, app e account: che cosa vedono.

Fonti

18 U.S.C. §§ 2510, 2701, 2702, 2703, 2705, 2711, 2713, 2523, testo vigente del U.S. Code; testo del CLOUD Act, Pub. L. 115-141, divisione V (justice.gov); United States v. Microsoft Corp., 584 U.S. 236 (2018), testo della Corte Suprema (supremecourt.gov) e citazione verificata su CourtListener; United States v. Warshak, 631 F.3d 266 (6th Cir. 2010), testo della decisione (CourtListener); Dipartimento della Giustizia, pagine «CLOUD Act Resources» e «Regarding CLOUD Act Executive Agreements», testo dell'accordo con l'Australia e comunicato del 3 ottobre 2022 sull'entrata in vigore dell'accordo con il Regno Unito (justice.gov); Federal Register, avvisi del 3 marzo 2020 e del 6 luglio 2022 sulle certificazioni dell'Attorney General per gli accordi con Regno Unito e Australia; Commissione europea, annuncio della ripresa dei negoziati UE-USA (marzo 2023). Verificato il 24 settembre 2026.