{"id":3319,"date":"2022-07-14T11:48:39","date_gmt":"2022-07-14T09:48:39","guid":{"rendered":"https:\/\/www.jaera.it\/?p=3319"},"modified":"2023-03-03T09:58:03","modified_gmt":"2023-03-03T08:58:03","slug":"cloud-act-usa-e-realmente-un-problema","status":"publish","type":"post","link":"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/","title":{"rendered":"Cloud Act USA \u00e8 realmente un problema?"},"content":{"rendered":"

Cloud Act USA<\/a> \u00e8 realmente un problema? Si tratta della legge che permette di fatto l’accesso alle autorit\u00e0 federali statunitensi ai dati raccolti da un Service Cloud anche su server dislocati in paesi terzi rispetto al territorio USA, laddove questo operatore sia di diritto statunitense. Tradotto: se Microsoft ha una Farm in Germania non la pone al riparo da eventuali richieste di accesso ai dati ivi salvati.<\/p>\n

S\u00ec, ma in quale contesto? Il Procuratore Generale domattina si sveglia e decide di indagare su di me e chiede l’accesso ai miei dati e alla mia posta a Microsoft?<\/p>\n

Andiamo con ordine<\/h3>\n

Dopo le recenti uscite dei Garanti austriaco<\/a>, francese<\/a> e, dulcis in fundo, italiano<\/a> sulla questione Google Analytics (che abbiamo affrontato di recente in questo articolo<\/a>), sotto la lente di ingrandimento sta finendo Microsoft. Ora io mi sento a questo giro di difenderla. E chi mi conosce, e sa quanto io abbia nel mio DNA informatico la Mela morsicata, pu\u00f2 intuire quanto sia bizzarra questa mia difesa.<\/p>\n

Veniamo ai fatti: in sostanza sebbene MS garantisca che i dati contenuti nei documenti che produciamo con la suite Office 365 stiano su server europei, ci sono almeno due profili di rischio da tenere sotto controllo.<\/p>\n

Problema 1 – Cloud Act<\/h3>\n

Vale a dire la legge americana che consente al governo federale di mettere il naso nei dati anche se salvati su server europei di societ\u00e0 di diritto americano. Come a dire mie care societ\u00e0 americane inutile che andiate a salvare all’estero, vi prendo comunque? Quindi, il problema si ripeter\u00e0 nuovamente con la suite di office automatico di Google? Parliamone<\/b>.<\/p>\n

Problema 2 –\u00a0Metadati<\/h3>\n

Altra criticit\u00e0. Questa brutta. Se i file generati con la suite Office 365 vengono s\u00ec salvati in Europa, i metadati da essi generati no. Vengono spediti dritti dritti a Richmond per analisi statistiche e di marketing. Cos\u00ec da capire le funzionalit\u00e0 dei programmi che sono pi\u00f9 usate e indirizzare lo sviluppo applicativo seguente. Giusto per fare un esempio tranquillo di loro utilizzo. Peccato che sanno chi usa cosa quando quanto come per quanto tempo ecc.<\/p>\n

L’articolo 48<\/h3>\n

uno degli articoli meno approfonditi del GDPR, ma che in questo periodo \u00e8 sulla cresta dell’onda recita<\/p>\n

Le sentenze di un\u2019autorit\u00e0 giurisdizionale e le decisioni di un\u2019autorit\u00e0 amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l\u2019Unione o un suo Stato membro, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del presente capo.<\/p><\/blockquote>\n

Il Cloud Act<\/h3>\n
\n
\n
\n
\n

The CLOUD Act has two distinct parts. First, the Act authorizes the United States to enter into executive agreements with other countries that meet certain criteria, such as respect for the rule of law, to address the conflict-of-law problem. For investigations of serious crime, CLOUD agreements can be used to remove restrictions under each country\u2019s laws so that CSPs can comply with qualifying, lawful orders for electronic data issued by the other country. Second, the CLOUD Act makes explicit in U.S. law the long-established U.S. and international principle that a company subject to a country\u2019s jurisdiction can be required to produce data the company controls, regardless of where it is stored at any point in time.<\/p>\n

Il CLOUD Act ha due parti distinte. In primo luogo, la legge autorizza gli Stati Uniti a stipulare accordi esecutivi con altri paesi che soddisfano determinati criteri, come il rispetto dello stato di diritto, per affrontare il problema del conflitto di leggi. Per le indagini sui reati gravi, gli accordi CLOUD possono essere utilizzati per rimuovere le restrizioni previste dalle leggi di ciascun paese in modo che i CSP [Cloud Service Provider] possano conformarsi agli ordini legittimi e qualificati per i dati elettronici emessi dall’altro paese. In secondo luogo, il CLOUD Act rende esplicito nella legge statunitense principio stabilito da molto tempo e di portata internazionale per cui a una societ\u00e0 soggetta alla giurisdizione di un paese pu\u00f2 essere richiesto di produrre dati che l’azienda controlla, indipendentemente da dove viene memorizzato in qualsiasi momento.<\/h4>\n<\/div>\n<\/div>\n<\/div>\n<\/blockquote>\n

Quindi…<\/h3>\n

Quindi attenzione, perch\u00e9 parliamo di un accordo che permette agli USA di metter il naso non a caso <\/b>nei dati dei cittadini europei che usano il Cloud Microsoft, ma solo se coinvolti in indagini penali\u00a0per reati gravi<\/b>. Che non \u00e8 proprio banale come precisazione ed \u00e8 perfettamente in linea con l’articolo 48 del GDPR<\/b>. Questo quanto veniva dichiarato sull’accordo nel 2019 dal Department of Justice (DOJ) statunitense.<\/p>\n

I funzionari del Dipartimento di Giustizia e della Commissione europea si sono incontrati ieri per avviare negoziati formali su un accordo UE-USA per facilitare l’accesso alle prove elettroniche nelle indagini penali.<\/p><\/blockquote>\n

Per quale ragione cito questa dichiarazione? Banalmente per sottolineare che questo tipo di accordo non \u00e8 in vigore da due minuti, ma da qualche anno ormai e non contraddice i principi del Capo V del GDPR<\/b>. Cio\u00e8 siamo in un contesto di mutua assistenza giudiziaria. Vale a dire che tendenzialmente quando viene richiesto dall’autorit\u00e0 giudiziaria americana di passare dei dati personali oltreoceano \u00e8 sulla base di un accordo che esiste tra le due sponde atlantiche. Pertanto, a mio modestissimo avviso vedo l’agitazione da parte delle autorit\u00e0 garanti che stanno investigando Microsoft (Germania<\/a>) per questo tema abbastanza pretenziose e figlie di un formalismo eccessivo che lungi dall’essere propositivo, rischia di diventare un arma che potrebbe ritorcersi contro il GDPR medesimo<\/a>.<\/p>\n

E i metadati?<\/h3>\n

Ecco, questo potrebbe essere il solo e unico aspetto sul quale Microsoft potrebbe avere voce in capitolo. Il trasferimento di quei dati a fini commerciali negli States non \u00e8 legittimo<\/b>. Punto. Non c’\u00e8 molto da dire, salvo che in questo contesto l’azienda di Richmond pu\u00f2 decidere lei cosa fare dei dati: analizzarli in loco senza trasferirli, oppure anonimizzarli e trasferirli anonimi (alla maniera del GDPR per\u00f2).<\/p>\n

Concludendo<\/h3>\n

L’isteria collettiva da trasferimento di dati personali sta assumendo i contorni del grottesco. Ormai ho visto aziende europee che chiedono ad alcuni miei clienti europei di compilare tra di loro le Clausole Contrattuali Tipo… Non ci siamo<\/strong>. Occorre calmarsi leggere il GDPR e sopratutto (e questo a mio parere devono averlo chiaro politici e garanti europei) non scaricare sulle aziende il costo tecnico e operativo di questa situazione<\/b>. Quindi non ritengo opportuno vedere liste di operazioni complesse per impedire il trasferimento dei metadati verso i server americani di MS.<\/p>\n

    \n
  1. effettuare il controllo delle trasmissioni di dati a Microsoft;<\/li>\n
  2. l\u2019intervento sulle impostazioni del sistema operativo<\/strong>, bloccando per quanto possibile i trasferimenti;<\/li>\n
  3. l\u2019utilizzo di firewall <\/strong>che impediscano la trasmissione;<\/li>\n
  4. l\u2019uso di indirizzi\/account di posta elettronica ufficiali pseudonimi<\/strong>;<\/li>\n
  5. l\u2019utilizzo di un browser preconfigurato e protetto<\/strong>;<\/li>\n
  6. l\u2019uso di dispositivi terminali forniti dalle istituzioni e configurati per salvare i dati<\/strong>;<\/li>\n
  7. il reindirizzamento del traffico attraverso un\u2019infrastruttura separata, con\u00a0mascheramento degli IP.<\/strong><\/li>\n<\/ol>\n

    Questo genere di richieste possono essere accettabili (e potremmo discuterne comunque) se ti chiami multinazionale, ma non possiamo scordare che l’ossatura imprenditoriale italiana \u00e8 fatta di microimprese<\/b> che usano Office 365 e non sono in condizione di applicare simili misure tecniche e organizzative.<\/p>\n

    Credo che sia opportuno, oltre che serio, che certe decisioni vengano prese ad alti livelli e non scaricate sul groppone di chi gi\u00e0 spesso fatica a capire perch\u00e9 sia necessario il GDPR. Se le autorit\u00e0 non saranno in grado di compiere questo passo (al di l\u00e0 di annunci firmali tra i capi di stato che non servono a niente) si produrr\u00e0 quell’effetto boomerang che innescher\u00e0 un circolo vizioso attorno alla protezione dei dati personali.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Cloud Act USA \u00e8 realmente un problema? Si tratta della legge che permette di fatto l’accesso alle autorit\u00e0 federali statunitensi ai dati raccolti da un Service Cloud anche su server dislocati in paesi terzi rispetto al territorio USA, laddove questo operatore sia di diritto statunitense. Tradotto: se Microsoft ha una Farm in Germania non la […]<\/p>\n","protected":false},"author":3,"featured_media":3335,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[46,75],"tags":[429,30,431,428,430,79,83,29],"yoast_head":"\nCloud Act USA \u00e8 realmente un problema? - Jaera<\/title>\n<meta name=\"description\" content=\"Cloud Act USA \u00e8 realmente un problema? Proviamo a capire quali sono i possibili scenari relativi a questa norma nel trasferimento dei dati.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/\" \/>\n<meta property=\"og:locale\" content=\"it_IT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Cloud Act USA \u00e8 realmente un problema? - Jaera\" \/>\n<meta property=\"og:description\" content=\"Cloud Act USA \u00e8 realmente un problema? Proviamo a capire quali sono i possibili scenari relativi a questa norma nel trasferimento dei dati.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/\" \/>\n<meta property=\"og:site_name\" content=\"Jaera\" \/>\n<meta property=\"article:published_time\" content=\"2022-07-14T09:48:39+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2023-03-03T08:58:03+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2022\/07\/CLOUD-ACT.jpeg\" \/>\n\t<meta property=\"og:image:width\" content=\"2000\" \/>\n\t<meta property=\"og:image:height\" content=\"900\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Jaera team\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Scritto da\" \/>\n\t<meta name=\"twitter:data1\" content=\"Jaera team\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tempo di lettura stimato\" \/>\n\t<meta name=\"twitter:data2\" content=\"7 minuti\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/\",\"url\":\"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/\",\"name\":\"Cloud Act USA \u00e8 realmente un problema? - Jaera\",\"isPartOf\":{\"@id\":\"https:\/\/www.jaera.it\/blog\/#website\"},\"datePublished\":\"2022-07-14T09:48:39+00:00\",\"dateModified\":\"2023-03-03T08:58:03+00:00\",\"author\":{\"@id\":\"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/0c6b83954b76fc35067e8dafae0265a6\"},\"description\":\"Cloud Act USA \u00e8 realmente un problema? Proviamo a capire quali sono i possibili scenari relativi a questa norma nel trasferimento dei dati.\",\"breadcrumb\":{\"@id\":\"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/#breadcrumb\"},\"inLanguage\":\"it-IT\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\/\/www.jaera.it\/blog\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Cloud Act USA \u00e8 realmente un problema?\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.jaera.it\/blog\/#website\",\"url\":\"https:\/\/www.jaera.it\/blog\/\",\"name\":\"Jaera\",\"description\":\"Consulenza professionale e servizi per aziende\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.jaera.it\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"it-IT\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/0c6b83954b76fc35067e8dafae0265a6\",\"name\":\"Jaera team\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2021\/03\/logo-Jaera-colori-RGB-03.png\",\"contentUrl\":\"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2021\/03\/logo-Jaera-colori-RGB-03.png\",\"caption\":\"Jaera team\"},\"description\":\"Jaera S.r.l. si occupa di consulenza aziendale in ottica compliance e di nomina di specifiche funzioni aziendali, di consulenza in informatica e formazione.\",\"url\":\"https:\/\/www.jaera.it\/blog\/author\/jaera-team\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Cloud Act USA \u00e8 realmente un problema? - Jaera","description":"Cloud Act USA \u00e8 realmente un problema? Proviamo a capire quali sono i possibili scenari relativi a questa norma nel trasferimento dei dati.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/","og_locale":"it_IT","og_type":"article","og_title":"Cloud Act USA \u00e8 realmente un problema? - Jaera","og_description":"Cloud Act USA \u00e8 realmente un problema? Proviamo a capire quali sono i possibili scenari relativi a questa norma nel trasferimento dei dati.","og_url":"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/","og_site_name":"Jaera","article_published_time":"2022-07-14T09:48:39+00:00","article_modified_time":"2023-03-03T08:58:03+00:00","og_image":[{"width":2000,"height":900,"url":"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2022\/07\/CLOUD-ACT.jpeg","type":"image\/jpeg"}],"author":"Jaera team","twitter_card":"summary_large_image","twitter_misc":{"Scritto da":"Jaera team","Tempo di lettura stimato":"7 minuti"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/","url":"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/","name":"Cloud Act USA \u00e8 realmente un problema? - Jaera","isPartOf":{"@id":"https:\/\/www.jaera.it\/blog\/#website"},"datePublished":"2022-07-14T09:48:39+00:00","dateModified":"2023-03-03T08:58:03+00:00","author":{"@id":"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/0c6b83954b76fc35067e8dafae0265a6"},"description":"Cloud Act USA \u00e8 realmente un problema? Proviamo a capire quali sono i possibili scenari relativi a questa norma nel trasferimento dei dati.","breadcrumb":{"@id":"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/#breadcrumb"},"inLanguage":"it-IT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/www.jaera.it\/blog\/cloud-act-usa-e-realmente-un-problema\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/www.jaera.it\/blog\/"},{"@type":"ListItem","position":2,"name":"Cloud Act USA \u00e8 realmente un problema?"}]},{"@type":"WebSite","@id":"https:\/\/www.jaera.it\/blog\/#website","url":"https:\/\/www.jaera.it\/blog\/","name":"Jaera","description":"Consulenza professionale e servizi per aziende","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.jaera.it\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"it-IT"},{"@type":"Person","@id":"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/0c6b83954b76fc35067e8dafae0265a6","name":"Jaera team","image":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/www.jaera.it\/blog\/#\/schema\/person\/image\/","url":"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2021\/03\/logo-Jaera-colori-RGB-03.png","contentUrl":"https:\/\/www.jaera.it\/blog\/wp-content\/uploads\/2021\/03\/logo-Jaera-colori-RGB-03.png","caption":"Jaera team"},"description":"Jaera S.r.l. si occupa di consulenza aziendale in ottica compliance e di nomina di specifiche funzioni aziendali, di consulenza in informatica e formazione.","url":"https:\/\/www.jaera.it\/blog\/author\/jaera-team\/"}]}},"_links":{"self":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts\/3319"}],"collection":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/comments?post=3319"}],"version-history":[{"count":7,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts\/3319\/revisions"}],"predecessor-version":[{"id":3337,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/posts\/3319\/revisions\/3337"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/media\/3335"}],"wp:attachment":[{"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/media?parent=3319"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/categories?post=3319"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.jaera.it\/blog\/wp-json\/wp\/v2\/tags?post=3319"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}