Un cloud europeo e un cloud americano si distinguono innanzitutto per la società che controlla il servizio, poi per il diritto che si applica a tale società, e solo dopo per il paese dei server. Due sale identiche a Francoforte possono rientrare in due diritti diversi.
Si confrontano spesso mappe di datacenter: Parigi, Dublino, Francoforte. È facile, e risponde a una domanda secondaria. Per sapere chi può essere costretto a produrre i suoi dati, occorre guardare la società che li detiene e il diritto a cui risponde. Il confronto utile contrappone due posizioni giuridiche, non due paesi, e non designa un vincitore: la scelta giusta dipende dagli usi dell’azienda. La nozione di sovranità è spiegata in che cos’è un cloud sovrano, e la griglia di acquisto in definizione, criteri e limiti. Questa pagina mette a confronto.
Microsoft e Google sono società di diritto americano. I loro contratti europei, le loro filiali e i loro datacenter nell’Unione non fanno scomparire questo fatto. Quando un’autorità americana si rivolge a loro secondo il diritto americano, la domanda diventa: la società ha il possesso o il controllo dei dati, anche quando i dischi si trovano in Europa?
Il CLOUD Act, legge americana del 2018, risponde per i fornitori soggetti alle giurisdizioni degli Stati Uniti: un’ingiunzione valida può riguardare dati detenuti dal fornitore, qualunque sia il luogo di archiviazione. Non è un accesso permanente. È una procedura. Il punto pratico per l’acquirente è un altro: il luogo europeo del disco non sottrae il fornitore americano a questa procedura.
Queste società propongono meccanismi reali di localizzazione. Microsoft descrive un confine europeo dei dati (EU Data Boundary) per servizi idonei: dati dei clienti e dati personali pseudonimizzati archiviati e trattati nell’UE o nell’AELS, dati dei servizi professionali archiviati a riposo, con eccezioni documentate (accesso remoto del supporto, alcune escalation, funzioni opzionali, clienti Multi-Geo fuori perimetro). Google propone regioni dei dati per contenuti coperti, a seconda dell’edizione, e un controllo degli accessi del supporto (Access Management) riservato a edizioni e opzioni precise. Questi meccanismi riducono i flussi. Non cambiano la nazionalità del produttore del software.
Un produttore del software americano che serve clienti europei si trova tra due diritti. Il diritto americano può imporgli di produrre dati che controlla. Il GDPR (Regolamento generale sulla protezione dei dati) prevede al suo articolo 48 che una decisione di un’autorità giurisdizionale o di un’autorità di un paese terzo che richieda il trasferimento o la comunicazione di dati personali possa essere riconosciuta o assumere qualsivoglia carattere esecutivo soltanto se basata su un accordo internazionale, ad esempio un trattato di mutua assistenza giudiziaria, in vigore tra tale paese e l’Unione o lo Stato membro. Il testo non dice come un produttore concili queste due esigenze in un caso concreto: spetta al fornitore spiegare la propria prassi, e al cliente chiederglielo.
Il diritto americano prevede un ricorso. Secondo 18 U.S.C. § 2703(h), il fornitore può chiedere l’annullamento o la modifica di un’ingiunzione, entro 14 giorni dalla sua notifica, se ritiene che il cliente non sia una «United States person», non risieda negli Stati Uniti, e che la comunicazione lo esporrebbe a un rischio concreto di violare il diritto di un «governo straniero qualificato». Si tratta di uno Stato legato agli Stati Uniti da un accordo esecutivo entrato in vigore. Il Dipartimento di Giustizia americano pubblica accordi con il Regno Unito (firmato il 3 ottobre 2019) e l’Australia (firmato il 15 dicembre 2021). Nessun accordo è in vigore con l’Unione europea; i negoziati UE–Stati Uniti sulle prove elettroniche sono ripresi nel 2023; la pagina del Dipartimento non menziona alcun accordo con la Francia. Ora, questo specifico meccanismo di contestazione presuppone un accordo di questo tipo.
La questione è stata posta pubblicamente in Francia. Il 10 giugno 2025, davanti alla commissione d’inchiesta del Senato sugli appalti pubblici, al direttore degli affari pubblici e giuridici di Microsoft France è stato chiesto se fosse in grado di garantire, sotto giuramento, che i dati dei cittadini francesi affidati a Microsoft tramite l’Ugap non sarebbero mai stati trasmessi, a seguito di un’ingiunzione del governo americano, senza l’accordo esplicito delle autorità francesi. Ha risposto: «No, non posso garantirlo, ma, ancora una volta, questo non è mai successo finora.» La risposta contiene i due elementi del dibattito: una garanzia che la società non può dare, e un caso che, secondo la società, non si è verificato.
Un cloud europeo, nel senso utile del termine, è gestito da una società di diritto europeo, che non dipende da un gruppo soggetto a un obbligo americano di consegna dei dati. OVHcloud è una società francese. Nextcloud GmbH è una società tedesca: produce un software, che il cliente o un fornitore di hosting gestisce. BlueMind è una società francese di posta elettronica. Infomaniak è una società svizzera: la Svizzera si trova in Europa, fuori dall’Unione europea, e beneficia di una decisione di adeguatezza della Commissione. Classificarla come «americana» sarebbe sbagliato. Classificarla come «Unione europea» sarebbe altrettanto sbagliato.
Il diritto europeo non è uno scudo unico. Un operatore francese risponde al diritto francese, un operatore tedesco al diritto tedesco. Le richieste delle autorità esistono. Passano per il giudice e le regole del paese dell’operatore.
Il carattere europeo può anche perdersi nella subfornitura: un gestore europeo che affida backup, filtraggio o supporto a un fornitore americano reintroduce ciò che l’acquirente voleva evitare. La pagina proteggere un’azienda dal CLOUD Act descrive in dettaglio questo punto.
| Domanda | Cloud di un produttore americano, dati in Europa | Cloud gestito da una società europea |
|---|---|---|
| Dove sono i dischi? | Spesso a scelta, in una regione UE, con eccezioni scritte | Secondo il contratto: Francia, Germania, altro paese dell’UE, o presso il cliente |
| Chi può essere citato negli Stati Uniti per produrre i dati che controlla? | Il produttore americano, se ne ha il possesso o il controllo | In linea di principio non il gestore europeo, salvo che dipenda da un gruppo o da un subfornitore che lo sia |
| Quale giudice per una richiesta locale? | Diritto del contratto, spesso integrato dal diritto americano del produttore | Diritto del paese del gestore |
| Le funzioni avanzate per l’ufficio | Molto ampie (Office, Excel, Teams, oppure Docs e la ricerca Google) | Variabili a seconda del prodotto. Raramente equivalenti su Excel avanzato, Power BI o l’ecosistema Teams |
| Uscita dei dati | Strumenti di esportazione reali, cronologie di chat e di automazione spesso parziali | Da leggere offerta per offerta. L’esportazione della posta (IMAP) è in genere la più semplice |
Nessuna colonna vince ovunque: il produttore americano prevale per l’ampiezza delle funzioni, il gestore europeo per la posizione giuridica. Decidere significa sapere quale riga pesa di più per la sua azienda.
Anche con dati archiviati in Europa, un servizio di un produttore americano comporta trasferimenti (accesso del supporto, escalation, funzioni opzionali), che devono basarsi su una base giuridica del GDPR.
Il quadro precedente, il Privacy Shield (decisione 2016/1250), è stato invalidato dalla Corte di giustizia dell’Unione europea il 16 luglio 2020 (causa C-311/18, detta Schrems II), in particolare a causa dell’ampiezza dei programmi di sorveglianza americani e dell’assenza di un ricorso effettivo. Le clausole contrattuali tipo restano valide, ma richiedono una valutazione caso per caso.
Al 5 ottobre 2026, i trasferimenti verso organizzazioni americane certificate possono basarsi sulla decisione di adeguatezza (UE) 2023/1795, detta Data Privacy Framework. È in vigore. È contestata, come rilevano gli studi legali DAC Beachcroft e WilmerHale. Secondo quest’ultimo, il Tribunale dell’Unione europea ha respinto il 3 settembre 2025 un ricorso di annullamento, e il 31 ottobre 2025 è stata proposta un’impugnazione dinanzi alla Corte di giustizia. Un’azienda prudente documenta questa base giuridica nel proprio registro e prevede che cosa fare se dovesse venire meno.
Resta pertinente quando l’attività si basa su Excel avanzato, Power BI, componenti aggiuntivi di Office, Teams come standard del settore, o decine di integrazioni già in produzione. Cambiare strumento per un motivo giuridico, per poi perdere l’uso che fa funzionare l’azienda, è un cattivo calcolo. La pagina Microsoft 365 a confronto con una soluzione sovrana descrive in dettaglio questa soglia.
Resta pertinente anche quando l’analisi giuridica del trasferimento, il DPA e le opzioni di residenza dei dati rispondono all’esigenza reale del registro. Molte aziende europee utilizzano Microsoft 365 o Google Workspace in questo quadro. Dirlo fa parte di un confronto onesto. Le verifiche da effettuare sono descritte in GDPR e Microsoft 365 e GDPR e Google Workspace.
Diventa pertinente quando la direzione vuole che la società che detiene le email e i file sia una società europea, che il supporto sia raggiungibile in questo quadro, e che gli usi rientrino nella posta elettronica, nei file e nella loro modifica online, nella videoconferenza, in un CRM e in una telefonia. Diventa pertinente anche per un’installazione presso il cliente, quando l’azienda non vuole alcun cloud.
Le due opzioni non si escludono a vicenda. Un’azienda può mantenere una suite americana per le postazioni che ne dipendono e affidare il resto a un gestore europeo. Questa configurazione richiede più amministrazione; si giustifica quando la separazione degli usi è netta.
La guida Le alternative europee a Microsoft 365 passa in rassegna Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, altri attori, e Klytic, con il caso d’uso di ciascuno.
Caso ipotetico. Una PMI industriale ha due sedi. L’ufficio tecnico lavora in Excel avanzato e comunica con i propri committenti su Teams. L’officina, gli acquisti e l’amministrazione utilizzano soprattutto la posta elettronica e cartelle condivise, dove si trovano dei disegni tecnici.
Un committente chiede che i suoi disegni siano detenuti da una società europea. Per l’ufficio tecnico, abbandonare Excel avanzato e Teams disorganizzerebbe il lavoro con i clienti: la suite americana resta giustificata, con un’analisi del trasferimento documentata. Per i disegni e la posta elettronica degli altri reparti, un gestore europeo risponde alla richiesta senza perdita d’uso. La decisione segue le righe della tabella, non un principio.
No. Il CLOUD Act riguarda i dati che un fornitore soggetto al diritto americano detiene o controlla, qualunque sia il luogo di archiviazione. La regione europea riduce i trasferimenti. Non cambia la società che detiene i dati.
Sì, se dipende da un gruppo soggetto a tale diritto o se affida dati a un subfornitore che lo è. Per questo bisogna leggere la società madre e l’elenco dei subfornitori, non solo il nome del gestore.
Fornisce una base giuridica ai trasferimenti verso organizzazioni americane certificate, ai sensi del GDPR. È in vigore e contestato. Non cambia né la nazionalità del produttore del software né la portata dell’ingiunzione prevista dal diritto americano.
Klytic si colloca nella seconda colonna della tabella. È gestito da Dedicace Software, società francese. L’hosting è possibile in qualsiasi zona geografica corrispondente alla giurisdizione applicabile, salvo disponibilità dei servizi richiesti, ad esempio in Europa o a Mauritius, oppure sui server del cliente.
La posta elettronica si basa su Zimbra, prodotto da Synacor negli Stati Uniti e gestito da Klytic. I documenti si basano su un’istanza Nextcloud dedicata per cliente. Klytic non è qualificato SecNumCloud e non sostituisce Excel avanzato, Power BI né Teams. I servizi si acquistano separatamente: un’azienda può mantenere Microsoft 365 e aggiungere solo il filtraggio Klytic MTA, posto davanti alla propria posta elettronica. Il dettaglio dell’hosting si trova nella pagina hosting e sovranità.
Questa pagina descrive un quadro generale. Non sostituisce l’analisi del suo contratto.
Situazione giuridica al 5 ottobre 2026. Questo testo non sostituisce l’analisi di un contratto. La decisione di adeguatezza UE–Stati Uniti (UE) 2023/1795 è in vigore. È oggetto di contestazione. Per SecNumCloud fa fede il catalogo dell’ANSSI.
Consultate a ottobre 2026.
Email, documenti, videoconferenza, CRM e telefonia, ospitati nell’area che corrisponde alla sua giurisdizione, per esempio in Europa o a Mauritius, o presso la sua sede.
Offerta di benvenuto
Offerta di prova senza impegno. Un consulente la ricontatterà per comprendere le sue esigenze e preparare il suo spazio Klytic.
