"Abbiamo bisogno della residenza dei dati nell'UE" è una delle frasi più frequenti nei questionari che banche e assicurazioni europee inviano ai fornitori. È anche una delle più fraintese. Nessun regolamento UE obbliga un'istituzione finanziaria a conservare tutti i propri dati all'interno dell'Unione europea. Ciò che la legge richiede è più specifico: il GDPR stabilisce regole per il trasferimento di dati personali al di fuori dell'UE, e DORA Le chiede di conoscere, documentare e fissare contrattualmente dove i Suoi fornitori di servizi TIC trattano e conservano i dati.
Questo articolo distingue gli obblighi di legge dalla scelta aziendale. Spiega cosa dicono davvero il GDPR, DORA e NIS2, dove l'hosting nell'UE Le semplifica il lavoro e quali domande porre a qualsiasi strumento di conformità prima di affidargli le Sue evidenze di audit.
Residenza, localizzazione, sovranità: tre concetti diversi
Questi termini vengono spesso confusi, quindi conviene definirli subito.
- Residenza dei dati indica dove i dati sono conservati. "Residenza dei dati nell'UE" significa di solito che il fornitore conserva i Suoi dati in data center situati nell'UE.
- Localizzazione dei dati è un obbligo di legge secondo cui i dati devono restare in un paese o in una regione. Il diritto dell'UE ne prevede pochissimi per il settore privato. Il GDPR e DORA non ne contengono nessuno.
- Sovranità dei dati riguarda quale ordinamento giuridico può accedere ai dati. Un server a Francoforte gestito da un'azienda che deve obbedire a un'autorità straniera è residente nell'UE, ma non pienamente sovrano.
La maggior parte delle dichiarazioni dei fornitori riguarda la residenza. La maggior parte dei rischi reali riguarda i trasferimenti e l'accesso. Tenga a mente questa differenza per il resto dell'articolo.
Cosa richiede davvero il GDPR
Il GDPR non stabilisce dove debbano essere conservati i dati personali. Il Capo V (articoli da 44 a 50) stabilisce quando i dati personali possono essere trasferiti verso un paese al di fuori dello Spazio economico europeo. Un trasferimento è lecito se ricorre una di queste condizioni:
- Una decisione di adeguatezza (articolo 45). La Commissione europea ha stabilito che il paese offre un livello di protezione sostanzialmente equivalente. Da luglio 2023 ciò include le organizzazioni statunitensi certificate nell'ambito dell'EU-US Data Privacy Framework.
- Garanzie adeguate (articolo 46), il più delle volte le clausole contrattuali standard (SCC), oppure le norme vincolanti d'impresa (articolo 47) all'interno di un gruppo societario.
- Una deroga (articolo 49) per situazioni specifiche, come il consenso esplicito. Le deroghe sono di portata ristretta e non sono pensate per i trasferimenti di routine.
Dalla sentenza Schrems II della Corte di giustizia (C-311/18, luglio 2020), che ha annullato il vecchio Privacy Shield, le SCC da sole non sempre bastano. Occorre valutare se la legge del paese di destinazione ne compromette l'efficacia e, in tal caso, aggiungere misure supplementari. Questa è la valutazione d'impatto sul trasferimento.
Violare le regole sui trasferimenti costa caro. Ai sensi dell'articolo 83(5)(c), le sanzioni possono arrivare a 20 milioni di EUR o al 4 per cento del fatturato mondiale annuo, se superiore. Ma si noti per che cosa è prevista la sanzione: per un trasferimento illecito, non per il semplice fatto che un server si trovi fuori dall'UE.
Cosa richiede davvero DORA
Il Digital Operational Resilience Act (Regolamento (UE) 2022/2554) si applica dal 17 gennaio 2025. Non contiene alcuna norma sulla residenza dei dati. Contiene invece diversi obblighi relativi all'ubicazione dei dati:
- Articolo 30(2)(b): ogni contratto per servizi TIC deve indicare le regioni o i paesi in cui i servizi sono prestati e in cui i dati sono trattati, compresa l'ubicazione della conservazione. Il fornitore deve informarLa in anticipo se intende modificarli.
- Articolo 28(3): Lei deve tenere un registro di informazioni su tutti gli accordi contrattuali con fornitori terzi di servizi TIC. Le autorità di vigilanza lo usano per capire da chi, e dove, dipendono le Sue funzioni critiche.
- Articolo 29: prima di firmare, Lei valuta il rischio di concentrazione, comprese le lunghe catene di subappalto e i fornitori stabiliti in paesi terzi.
- Articolo 28(8): per i servizi che supportano funzioni essenziali o importanti, serve una strategia di uscita.
- Articolo 31(12): Lei può utilizzare un fornitore di servizi TIC designato come critico dalle Autorità europee di vigilanza, e stabilito al di fuori dell'UE, solo se questo costituisce una filiazione nell'Unione entro 12 mesi. Si tratta dello stabilimento giuridico del fornitore, non del luogo in cui sono conservati i Suoi dati.
Le autorità nazionali competenti possono imporre sanzioni amministrative e misure correttive in caso di violazioni (articolo 50). Nella pratica, il rilievo più comune non è "dati conservati nel posto sbagliato", ma "non sapeva o non ha documentato dove sono conservati, e non ha valutato il rischio".
Cosa richiede NIS2
NIS2 (Direttiva (UE) 2022/2555) chiede ai soggetti essenziali e importanti di gestire la sicurezza della catena di approvvigionamento nell'ambito delle misure di gestione dei rischi di cibersicurezza (articolo 21). Nemmeno NIS2 impone la conservazione nell'UE.
Perché allora così tanti clienti chiedono l'hosting nell'UE?
Perché elimina lavoro e rischi, anche se nessuna legge lo impone. Per uno strumento di conformità in particolare, l'hosting nell'UE significa:
- Meno trasferimenti da valutare. Se i dati persistenti restano nell'UE, c'è meno da coprire con SCC e valutazioni d'impatto sul trasferimento.
- Documentazione DORA più semplice. La voce sull'ubicazione nel contratto e nel registro è breve e stabile.
- Minore esposizione alle leggi straniere sull'accesso ai dati. I dati detenuti da un fornitore statunitense possono, in base al CLOUD Act statunitense, essere soggetti a ordini di divulgazione degli Stati Uniti anche se conservati in Europa. Un fornitore dell'UE su infrastruttura dell'UE riduce tale esposizione.
- Dialogo più semplice con autorità di vigilanza e clienti. Molti dei Suoi clienti, e alcuni contratti del settore pubblico, richiedono l'hosting nell'UE nelle loro condizioni di acquisto. Si tratta di un obbligo contrattuale, non di legge, ma una volta firmato è altrettanto vincolante.
Le evidenze di conformità sono sensibili. Descrivono le debolezze dei Suoi controlli, i Suoi incidenti e i Suoi fornitori. Il luogo in cui sono conservate e chi può accedervi meritano la stessa attenzione che Lei riserva ai dati dei clienti.
Domande da porre a qualsiasi strumento di conformità
Non si fermi a "Offrite la residenza dei dati nell'UE?". Ponga invece queste domande:
- Dove sono conservati i dati persistenti dei clienti, compresi i backup? Chieda le regioni, non formule di marketing.
- Quali subresponsabili del trattamento gestiscono i nostri dati, e dove? Un fornitore serio pubblica l'elenco completo.
- Una parte del trattamento avviene al di fuori dell'UE? Le funzioni di IA si appoggiano spesso a fornitori di modelli linguistici di grandi dimensioni. Verifichi chi sono, dove operano e su quale base di trasferimento (adeguatezza, SCC).
- Possiamo mantenere il trattamento IA nell'UE, se necessario?
- Cosa inserirete nel contratto? Verifichi che le risposte precedenti compaiano nell'accordo, come richiede l'articolo 30(2)(b) di DORA, insieme a una clausola di notifica delle modifiche.
- Come avviene l'uscita? Formati di esportazione, cancellazione e tempistiche per la strategia di uscita richiesta da DORA.
Errori comuni
- Considerare la residenza come l'intera risposta. Uno strumento può conservare i dati nell'UE e comunque inviarli altrove per il trattamento. Chieda del trattamento, non solo della conservazione.
- Dimenticare i subfornitori. Contano anche i fornitori del Suo fornitore. La valutazione del rischio di concentrazione di DORA comprende espressamente le catene di subappalto.
- Affidarsi alle SCC senza una valutazione. Dopo Schrems II occorre documentare perché le clausole funzionano per quella destinazione.
- Non indicare le ubicazioni nel contratto. Ai sensi di DORA questa è di per sé una lacuna di conformità, anche se il sito web del fornitore dice le cose giuste.
- Trascurare backup e disaster recovery. Anche le regioni di backup sono ubicazioni dei dati.
La posizione di Matproof
Matproof è una piattaforma di automazione della conformità per i servizi finanziari dell'UE. Per essere concreti sulla nostra configurazione:
- I dati persistenti dei clienti, comprese le Sue evidenze di audit, sono ospitati in Germania.
- Le nostre funzioni di IA standard utilizzano OpenAI e Anthropic, fornitori statunitensi, sulla base delle clausole contrattuali standard. I clienti regolamentati possono attivare un'opzione UE che mantiene il trattamento IA nell'UE.
- L'elenco completo dei subresponsabili del trattamento, con le relative ubicazioni, è pubblicato nella nostra pagina sulla privacy.
Preferiamo che Lei lo verifichi piuttosto che si fidi di uno slogan.
Come iniziare
- Mappi i flussi di dati dei Suoi strumenti di conformità e GRC: quali dati vanno dove, sia per la conservazione sia per il trattamento.
- Aggiorni il registro di informazioni con le ubicazioni individuate e segnali le lacune.
- Verifichi ogni contratto TIC per le clausole sull'ubicazione e sulla notifica delle modifiche.
- Riesamini le basi di trasferimento per ogni trattamento al di fuori del SEE ed effettui valutazioni d'impatto sul trasferimento dove si usano le SCC.
- Decida dove l'hosting nell'UE è per Lei un requisito, in base ai contratti dei Suoi clienti e alla Sua propensione al rischio, e ne faccia un criterio di selezione anziché un presupposto.
Domande frequenti
D: Il GDPR ci obbliga a conservare i dati personali nell'UE?
No. Il GDPR disciplina i trasferimenti di dati personali verso paesi al di fuori del SEE (Capo V). I trasferimenti sono leciti in presenza di una decisione di adeguatezza, di garanzie adeguate come le clausole contrattuali standard, o di norme vincolanti d'impresa.
D: DORA impone la residenza dei dati nell'UE?
No. DORA richiede che i contratti TIC indichino dove i servizi sono prestati e dove i dati sono trattati e conservati (articolo 30(2)(b)), un registro di informazioni (articolo 28(3)) e una valutazione del rischio legato ai paesi terzi e del rischio di concentrazione (articolo 29).
D: L'EU-US Data Privacy Framework è sufficiente per gli strumenti statunitensi?
È una base di trasferimento valida da luglio 2023, ma solo per le organizzazioni statunitensi certificate. Verifichi la certificazione e tenga presente che i quadri precedenti (Safe Harbor, Privacy Shield) sono stati annullati dalla Corte di giustizia.
D: Quali sono le sanzioni?
I trasferimenti illeciti di dati personali possono essere sanzionati fino a 20 milioni di EUR o al 4 per cento del fatturato mondiale annuo ai sensi dell'articolo 83(5) del GDPR. Ai sensi di DORA, le autorità nazionali stabiliscono sanzioni amministrative e misure correttive per le carenze nella gestione dei rischi informatici derivanti da terzi (articolo 50).
D: L'hosting nell'UE conviene ancora?
Spesso sì. Riduce le valutazioni dei trasferimenti, semplifica la documentazione DORA e soddisfa le condizioni di acquisto che molti clienti stabiliscono. Lo consideri una scelta consapevole, sostenuta dalla Sua valutazione dei rischi, non un obbligo di legge.
Punti chiave
- Nessuna legge UE obbliga le istituzioni finanziarie a conservare tutti i dati nell'UE.
- Il GDPR disciplina i trasferimenti di dati personali al di fuori del SEE. DORA richiede ubicazioni dei dati documentate e fissate nel contratto, oltre a una valutazione dei rischi.
- L'hosting nell'UE è una scelta solida per i dati sensibili come le evidenze di conformità, perché riduce i trasferimenti, il rischio di accesso straniero e l'onere di documentazione.
- Chieda ai fornitori della conservazione, del trattamento, dei subresponsabili e dell'IA, e faccia inserire le risposte nel contratto.
Per una valutazione gratuita della Sua configurazione di conformità, visiti https://matproof.com/contact.
Letture correlate
Pronto a passare all'azione? Matproof esegue penetration test con IA e monitoraggio della conformità in modo continuo. Prenota una demo.