Adottato negli Stati Uniti nel 2018, il Cloud Act (Clarifying Lawful Overseas Use of Data Act) obbliga i fornitori di servizi online soggetti alla giurisdizione statunitense a consegnare alle autorità americane i dati che possiedono, controllano o sorvegliano, anche quando tali dati sono conservati fuori dagli Stati Uniti, ad esempio in un centro dati svizzero. Questa portata extraterritoriale è al centro delle tensioni con la LPD e il RGPD.
Una portata extraterritoriale che aggira l'assistenza giudiziaria
Il Cloud Act sostituisce il criterio del luogo di conservazione con quello del controllo: ciò che conta non è dove si trovano i dati, ma chi li controlla. Un fornitore statunitense (Microsoft, Google, Amazon…) può quindi essere costretto a divulgare dati ospitati in Svizzera senza passare attraverso la via ordinaria dell'assistenza giudiziaria internazionale. Le garanzie contrattuali negoziate con il fornitore non vincolano le autorità americane.
Punto di attenzione
Il Cloud Act non si ferma al fornitore con cui firma il contratto. Si applica ai dati «posseduti, controllati o sorvegliati» da qualsiasi impresa soggetta alla giurisdizione statunitense — compresi un subappaltatore, un gestore di centro dati, un produttore di software o una filiale americana del Suo prestatore. Un fornitore con sede in Svizzera o in Europa può quindi essere indirettamente interessato quando utilizza infrastrutture o servizi di imprese americane (Microsoft, AWS, Google, ecc.). Prima di scegliere un prestatore, occorre esaminare non solo la sua sede, ma l'intera catena dei subappaltatori e delle dipendenze tecniche. La nazionalità del software non basta tuttavia a decidere: un software americano installato sulla propria infrastruttura, i cui log restano locali e al quale l'editore non ha alcun accesso tecnico, espone difficilmente i dati al Cloud Act. Ciò che conta è la capacità del fornitore di accedere ai dati — accesso remoto del supporto, telemetria, hosting o funzioni ibride.
LPD e RGPD: regole di trasferimento alla prova
La LPD (art. 16 segg.) e il RGPD (capo V) consentono il trasferimento di dati all'estero solo se lo Stato destinatario offre un livello di protezione adeguato o se esistono garanzie appropriate. Dalla sentenza Schrems II della CGUE è però chiaro che le clausole contrattuali tipo non bastano di fronte a leggi di sorveglianza che consentono accessi senza controllo effettivo. Il Cloud Act crea esattamente questo conflitto: un accesso previsto dalla legge americana, indipendente dagli impegni contrattuali del fornitore.
Amministrazioni svizzere e strumenti Microsoft
Molti cantoni e comuni utilizzano Microsoft 365, Teams o Outlook per posta, archiviazione e collaborazione. La Conferenza svizzera degli incaricati della protezione dei dati (Privatim) ha adottato il 18 novembre 2025 una risoluzione pubblicata il 24 novembre 2025: le soluzioni SaaS di fornitori internazionali — Microsoft 365 è citata espressamente — non sono di principio adatte al trattamento di dati personali particolarmente sensibili o soggetti a un obbligo legale di segretezza.
Le ragioni addotte: assenza di una vera crittografia end-to-end, trasparenza insufficiente su subappaltatori e aggiornamenti, modifica unilaterale delle condizioni, perdita di controllo e assoggettamento dei fornitori statunitensi al Cloud Act. Per Privatim l'uso è ipotizzabile solo se l'ente crittografa esso stesso i dati e il fornitore non ha accesso alle chiavi.
La risoluzione non è giuridicamente vincolante per la Confederazione e il canton Glarona si è espressamente dissociato. Fissa tuttavia una linea chiara per le autorità e alimenta la prassi degli incaricati cantonali.
Professioni soggette al segreto: la stessa logica
Avvocati, medici, notai e altri professionisti vincolati al segreto (art. 321 CP) o agli obblighi LPD/RGPD devono applicare lo stesso ragionamento. Conservare fascicoli riservati in un ambiente di posta o cloud di un fornitore statunitense li espone a un accesso fondato sul Cloud Act, incompatibile con il segreto professionale. Clausole contrattuali, certificazioni o promesse del fornitore non bastano: solo un'architettura in cui il professionista mantiene il controllo delle chiavi riduce realmente il rischio.
Raccomandazioni pratiche
1. Classificare i dati: pubblici, professionali correnti, sensibili o coperti dal segreto. 2. Ospitare i dati sensibili in Svizzera o in Europa presso fornitori non soggetti al Cloud Act. 3. Se il ricorso a un fornitore internazionale è inevitabile, applicare la crittografia end-to-end con chiavi detenute localmente. 4. Documentare l'analisi dei rischi (DPIA) e verificare la catena dei subappaltatori. 5. Seguire l'evoluzione delle posizioni ufficiali (Privatim, IFPDT, EDPB) e della giurisprudenza.
Fonti
Testo del Cloud Act (H.R. 4943, Congresso degli Stati Uniti)
Legge federale sulla protezione dei dati (LPD, RS 235.1)
Regolamento generale sulla protezione dei dati (RGPD, UE 2016/679)
Privatim — Risoluzione sull'esternalizzazione dei trattamenti di dati nel cloud
CGUE, sentenza Schrems II (C-311/18)
Swissinfo — Data protection officer warns Swiss authorities over US cloud risks
Heise — Switzerland: Data Protection Officers Impose Broad Cloud Ban for Authorities