Quasi tutti i cloud «svizzeri» dicono dove sono i dischi. È la parte facile. La parte che decide è chi può essere obbligato a consegnare quei dischi, e a quale Stato.
Non lo diciamo noi. Nel rapporto sul CLOUD Act statunitense, l’Ufficio federale di giustizia spiega cosa possono ottenere le autorità americane dai fornitori con sede negli Stati Uniti.
«Permette alle autorità di perseguimento penale statunitensi di ottenere accesso ai dati conservati dai fornitori di servizi cloud con sede negli USA, indipendentemente da dove nel mondo i dati sono archiviati.»
Ufficio federale di giustizia, Bericht zum US CLOUD Act, 17 settembre 2021, p. 46 (traduzione nostra)
Quattro anni dopo, la Cancelleria federale è arrivata a una conclusione più netta, nel documento che regola l’uso del cloud pubblico dentro l’amministrazione federale.
«Contro tali accessi ai dati da parte delle autorità americane sono disponibili solo limitate possibilità di tutela giuridica, il che non è compatibile con le garanzie costituzionali della Costituzione federale svizzera.»
Cancelleria federale, Rechtlicher Rahmen für die Nutzung von Public-Cloud-Diensten in der Bundesverwaltung, V2.0, marzo 2025, p. 23 (traduzione nostra)
Lo stesso documento affronta il caso delle filiali europee di gruppi americani: l’ordine arriva alla casa madre, e quello che succede dopo dipende dalla pressione economica che la madre esercita sulla figlia. Il perimetro che conta, quindi, non è geografico ma societario.
Nivol è di DayKo LAB SA, Massagno, per conto dello Swiss Innovative Arts and Technologies Institute, Lodrino. Due società svizzere, contratti svizzeri, personale in Ticino.
Serve a qualcosa di preciso. Le linee guida della Federazione Svizzera degli Avvocati impongono di verificare l’esatta ubicazione dei server e le norme estere sulla consegna dei dati dei clienti, nominando espressamente il CLOUD Act. Chi fa quella verifica su di noi non trova niente da analizzare, perché non c’è nessun aggancio all’estero da cui partire.
L’Incaricato federale della protezione dei dati ha spiegato perché le clausole contrattuali non risolvono il problema: un contratto svizzero non vincola l’autorità di un altro Stato. Quello che serve è tecnico.
«Le misure tecniche e organizzative supplementari devono essere tali che gli accessi delle autorità ai dati personali trasmessi siano di fatto impediti nel Paese di destinazione, per esempio una cifratura attuata secondo i principi BYOK e BYOE, in modo che nel cloud non siano presenti dati in chiaro.»
IFPDT, Anleitung für die Prüfung der Zulässigkeit von Datenübermittlungen mit Auslandbezug (traduzione nostra)
Nello stesso documento c’è una frase che vale la pena leggere due volte: fattori soggettivi come la probabilità che un accesso avvenga, di regola, non possono essere presi in considerazione. Sperare che non succeda non è una misura di sicurezza.
Nel novembre 2025 gli incaricati cantonali della protezione dei dati, riuniti in privatim, sono andati oltre: per i dati coperti da un obbligo legale di segreto, l’uso dei grandi servizi internazionali è nella maggior parte dei casi inammissibile anche quando quei dati sono archiviati in datacenter svizzeri. Resta praticabile solo se i dati sono cifrati dall’organo responsabile e il fornitore non ha accesso alla chiave.
Quando attivi la cifratura, il file viene cifrato nel tuo browser prima di partire. La chiave finisce nel frammento del link, la parte dopo il cancelletto, che i browser non trasmettono al server. Noi custodiamo blocchi cifrati di cui non abbiamo la chiave. Se ci arriva una richiesta, possiamo consegnare soltanto quelli.
Qui gira parecchia confusione, spesso alimentata da chi vende. Mettiamo in fila quello che dicono le fonti.
È la cartella informatizzata del paziente. L’ordinanza è esplicita e chiede due cose insieme, il luogo e il diritto applicabile.
«I supporti di memoria dei dati devono trovarsi in Svizzera e sottostare al diritto svizzero.»
Ordinanza sulla cartella informatizzata del paziente (RS 816.11), art. 12 cpv. 5
Nessuno ti obbliga a restare in Svizzera. Ti obbligano a rispondere di quello che succede fuori, il che è più faticoso.
La FINMA ammette l’esternalizzazione all’estero soltanto se l’istituto può garantire che sé stesso, la società di audit e la FINMA riescano a esercitare e a imporre i diritti di verifica. Chiede inoltre di inventariare dove stanno i dati critici, e mette fra gli scenari da esercitare il divieto, da parte di governi esteri, di servire imprese svizzere.
Chi tratta dati bancari è mandatario ai sensi dell’art. 47 della Legge sulle banche, con pena detentiva fino a tre anni. Per avvocati e medici il fornitore è ausiliario ai sensi dell’art. 321 del Codice penale. Non è una responsabilità del cliente che si scarica su di noi: è nostra, personalmente.
Nella sentenza DTF 145 II 229 il Tribunale federale ha stabilito che l’ausiliario non può far eseguire a terzi i compiti affidati, e che un accordo con cui si impegna a farli rispettare da quei terzi non risolve la situazione. Nello stesso caso ha ritenuto insufficiente un contratto che limitava la responsabilità del fornitore alla sola colpa grave.
La legge cantonale sull’esercizio delle professioni di fiduciario punisce la rivelazione di un segreto con una multa fino a 50 000 franchi, anche dopo la fine dell’attività. È vigilanza cantonale e non segreto penale, ma vale comunque la pena saperlo.
La legge sulla protezione dei dati li ammette verso Paesi con protezione adeguata o con garanzie contrattuali. L’adeguatezza riconosciuta agli Stati Uniti si ferma alle organizzazioni certificate secondo il quadro Svizzera–USA. Una comunicazione fuori dalle regole costa fino a 250 000 franchi di multa, e colpisce la persona fisica.
La ragione più solida è la corrente. Uno studio dell’Ufficio federale dell’energia del luglio 2026 osserva che i progetti di datacenter in Svizzera si collocano ormai fra i 20 e i 60 megawatt, con punte oltre i 100. Il collo di bottiglia non sono i capannoni disponibili: è la potenza che la rete a monte riesce a consegnare. Sopra i 20 megawatt servono spesso nuove sottostazioni, e un progetto di rete in Svizzera richiede in media una quindicina d’anni.
Nel solo Grande Zurigo circa 600 megawatt risultano contrattualmente riservati e bloccati dal punto di vista della rete, mentre soltanto il 10-30 per cento di quella potenza viene effettivamente richiamato. Una nostra unità da 16 kW si attacca alla rete di distribuzione che esiste già, senza entrare in quella coda.
Poi c’è la questione di cosa succede quando qualcosa si rompe. Nel rapporto sui rischi nazionali della Protezione della popolazione, il guasto di un centro di calcolo è l’ottavo rischio per danno atteso e il terzo per frequenza. Nel suo monitoraggio 2025, la FINMA scrive che la concentrazione su pochi fornitori di infrastruttura informatica è un rischio chiave, e che un’interruzione presso uno di questi avrebbe conseguenze molto gravi sull’intera piazza finanziaria.
Il vantaggio di molte unità indipendenti riguarda il sistema nel suo insieme: un guasto colpisce pochi clienti alla volta.
Su questi temi circolano affermazioni che non stanno in piedi. Alcune farebbero comodo anche a noi.
Il percorso di certificazione è aperto, sia per DayKo LAB SA sia per SIATI. Finché un organismo accreditato non l’ha rilasciata, scriviamo che è in corso e non che ce l’abbiamo. In Svizzera, fra l’altro, non esiste uno schema di certificazione dedicato ai servizi cloud paragonabile al C5 tedesco.
Per il segreto d’avvocato, il codice deontologico presume la conformità anche per fornitori nell’Unione europea, nell’AELS e nel Regno Unito. Chi vi racconta che solo un cloud svizzero è ammesso vi sta vendendo qualcosa.
Lo dice lo stesso studio federale che citiamo sopra. Le nostre unità recuperano quel divario rinunciando al gruppo frigorifero, ma il dato di partenza è quello.
La Confederazione ha prorogato fino al 2031 i contratti quadro con i grandi fornitori americani. Le ragioni della nostra scelta sono quelle scritte sopra, e sono nostre.
Dal 1° aprile 2025 i fornitori di servizi cloud e i centri di calcolo con sede in Svizzera devono annunciare un attacco all’Ufficio federale della cibersicurezza entro 24 ore. Per noi non vale nessuna soglia di esenzione, e ci sembra giusto così.
Le citazioni sono tratte dai documenti originali; le traduzioni dal tedesco sono nostre. Questa pagina descrive come siamo organizzati e non sostituisce una consulenza legale. Se avete un caso particolare, scriveteci.