Il tema della sovranità digitale2 è ormai divenuto fondamentale nell’ambito delle sfide che l’Unione europea si trova ad affrontare, sia per le rilevanti conseguenze di carattere economico e concorrenziale, sia per la tenuta e l’autonomia delle proprie infrastrutture tecnologiche, sia, non da ultimo, per un’effettiva tutela dei diritti coinvolti.
Infatti, a fronte di un’ingente opera di regolamentazione posta in essere da parte del legislatore europeo in tema di società digitale e nuove tecnologie, l’ordinamento Ue si trova comunque ad affrontare una marcata divergenza tra quanto normativamente previsto e quanto effettivamente possibile, considerata la forte dipendenza da soggetti – fornitori di tecnologie – sovente extra europei, rispetto ai quali, anche a fronte di una disparità di potere, è reso difficile estendere efficacemente l’applicazione delle regole stesse emanate nei tempi recenti.
Indice degli argomenti
Cloud computing e sovranità digitale: la strategia dell’Unione europea
Infatti, a seguito di un primo e importante passo in avanti, mosso con l’emanazione di molteplici normative in materia di dati e nuove tecnologie3, attualmente il legislatore europeo, consapevole della necessità di “emanciparsi” da tale dipendenza dai fornitori extra Ue e garantire un uso sicuro di tali tecnologie in settori critici che richiedono il pieno controllo delle stesse, ha inteso manifestare l’intenzione di un cambio di rotta, decidendo di emanare una proposta normativa sulla sovranità digitale e tecnologica, c.d. “pacchetto Tech Sovereignty” e presentato dalla Commissione il 3 giugno scorso.
Nell’ambito di tale “pacchetto” normativo rileva, in particolare ai fini del presente lavoro, la presenza di una proposta legislativa sullo sviluppo del cloud e dell’intelligenza artificiale, “Cloud and AI Development Act”4, la quale segue le intenzioni dichiarate con l’emanazione della Comunicazione della Commissione europea “Ai Continent Action Plan”5, attualmente la manifestazione più forte dell’Ue per l’affermazione della propria leadership nel settore dell’intelligenza artificiale.
Perché il cloud è centrale nella sovranità digitale europea
Al fine di comprendere quale rilevanza abbia attualmente il c.d. cloud, occorre anzitutto partire dall’assunto per il quale l’uso di tecnologie digitali nella quotidianità è ormai caratterizzato da due fattori: da una parte si tratta di tecnologie sempre più avanzate e complesse, dall’altra, invece, queste sono sempre più alla portata delle persone e sono spesso strumentalmente abilitanti allo svolgimento di attività di rilievo anche costituzionale.
Dalla tecnologia digitale ai servizi cloud
In tale contesto il cloud rappresenta una nuova dimensione multiforme attraverso la quale le tecnologie digitali sono rese disponibili, mediante la dematerializzazione e delocalizzazione delle risorse informatiche caratterizzante la c.d. “terza fase di Internet”6.
Il cloud, connotato da peculiarità tecnico-informatiche proprie, rappresenta la concretizzazione delle principali tendenze sociali e commerciali dell’epoca moderna, ove le logiche appropriative, fondate sulla fisicità e piena disponibilità di un bene, stanno lasciando il passo alla logica dell’uso7, proporzionato alle esigenze e risorse8 individuali9, ancor più se si considera che le nuove tecnologie sono soggette ad un rapido sviluppo e al conseguente rischio di obsolescenza.
Si tratta di un fenomeno che trova oggi il proprio riconoscimento anche in atti di carattere regolatorio, siano essi leggi, provvedimenti di soft law o contratti di diritto privato, i quali tradiscono una generalizzata consapevolezza delle conseguenze giuridiche derivanti dallo sviluppo e dall’uso del cloud, sia di interesse pubblico che privato.
Pertanto, in virtù del modello di fornitura e accessibilità delle tecnologie cloud, almeno in via approssimativa alla portata di un più ampio novero di persone, occorre chiedersi se, effettivamente, il cloud possa ormai essere qualificato come fondamentale, così come prospettato più ampiamente in tema di accesso ad Internet – esso stesso essenziale per il funzionamento del cloud10 – per garantire diritti e libertà nella società digitale e sia quindi rilevante nell’ambito del c.d. “costituzionalismo digitale”.
Definizione e inquadramento giuridico del cloud computing
Volendo definire tecnicamente il cloud, secondo il National Institute for Standards and Technology, questo è «un insieme di servizi ICT accessibili on-demand e in modalità self-service tramite tecnologie Internet, basati su risorse condivise, caratterizzati da rapida scalabilità delle risorse e dalla misurabilità puntuale dei livelli di performance, in modo da essere consumabili in modalità pay-per-use»11.
Manca ad oggi, invece, una definizione cristallizzata in un autonomo atto di carattere legislativo specificamente indirizzato a tal fenomeno, auspicabilmente di fonte europea12 e quindi caratterizzato da generalità e omogeneità, che sia in grado di racchiudere in sé tutti i molteplici aspetti che denotano giuridicamente il fenomeno, nonché i profili evolutivi che, da metodo alternativo di archiviazione dei dati, lo caratterizzano sempre più come modo di erogazione di servizi mediante la loro esternalizzazione, c.d. “in outsourcing”13.
Tale modello, infatti, risponde ulteriormente ad esigenze di riduzione dei costi rispetto ai servizi gestiti in house e di affidamento a soggetti e strutture specializzate che ne garantiscano, astrattamente, la migliore gestione a regola d’arte.
La regolazione del cloud tra Unione europea e Italia
Nel contesto di un ordinamento giuridico che tende ad una sempre maggiore omogeneità e coordinamento, anche a livello sovranazionale, è solo nei tempi recenti che il legislatore ha manifestato effettivo interesse nei confronti del cloud.
Dall’Agenda digitale europea all’iniziativa per il cloud
Già con l’introduzione della “Agenda digitale europea”14 prima, e con una successiva Comunicazione15 dopo, la Commissione europea aveva espressamente richiamato l’Unione a «rispondere alle sfide poste dalle tecnologie avanzate», individuando nel cloud «un potenziale importante in termini di occupazione, produttività […] oltre che un potenziale di risparmio per tutti i settori».
A livello di settore, invece, il “Gruppo di lavoro articolo 29” (“WP29”), in tema di privacy, aveva, nel medesimo periodo, pubblicato uno specifico parere con cui, pur evidenziando i vantaggi connessi alla tecnologia cloud e le connesse criticità, ne individuava le direttrici da seguire, ossia la sicurezza, la trasparenza e la certezza giuridica16.
Con maggior forza, la Commissione europea espressamente chiedeva alle istituzioni e agli stati membri di rafforzare l’uso del cloud17 anche mediante offerte di carattere pubblico*.*
Tuttavia, nell’ambito dei provvedimenti emanati dalla Commissione europea, si segnala come, a seguito dei primi atti di indirizzo, questa abbia successivamente dato impulso ad una vera e propria “iniziativa europea per il cloud computing”, per consentire all’Europa «di mantenere la sua posizione all’interno dell’economia basata sui dati»18, ponendo le basi per la creazione di una vera e propria “infrastruttura europea per la condivisione dei dati” che, solo oggi, inizia a trovare elementi di concretezza e iniziative congiunte dei diversi Stati19.
Tuttavia, pur se il supporto proveniente da parte delle istituzioni europee è stato fino ad oggi ampio, anche dal punto di vista finanziario, attualmente non esiste ancora una vera e propria fonte normativa relativa al cloud. Esistono invece un insieme di diversi principi e riferimenti normativi, diretti o indiretti, rinvenibili in molteplici testi di legge.
Più di recente e nel solco dell’iniziativa denominata “Decennio digitale dell’Ue”20, il legislatore europeo ha rafforzato la propria attenzione in tema di cloud, formalizzando l’intenzione di elaborare un corpus normativo dedicato, sotto forma di un regolamento dell’UE sul cloud computing, ancora però non disponibile.
Data Act, DSA e governance europea dei dati
Principi fondamentali si rinvengono, oltre che nel Reg. Ue 679/2016 (GDPR), centrale ove si consideri il tema del trattamento dei dati personali, anche nel “Data Act”21 che individua nel cloud uno strumento, e nei cloud providers una categoria di destinatari della normativa, volto a consentire l’interoperabilità, il trasferimento e la portabilità dei dati22.
Assai rilevante è l’inquadramento funzionale che il “Digital Service Act”23 delinea dell’archiviazione in cloud: il “DSA”, nel garantire maggiore trasparenza e liceità rispetto ai servizi e ai contenuti forniti in rete dai c.d. “prestatori di servizi di intermediazione”, prevede che, in via generale, i fornitori di servizi cloud, così come i c.d. fornitori di servizi di memorizzazione di servizi web (c.d. hosting provider), non siano considerabili come piattaforme di intermediazione di servizi online quando svolgono solo funzione di memorizzazione, oppure quando la fornitura di contenuti specifici diretti al pubblico costituisca caratteristica marginale del servizio; ugualmente prevede il “Data Governance Act” (DGA)24.
Particolarmente importante, inoltre, è la considerazione che il legislatore europeo propone dei servizi cloud, quando li ricomprende tra quei servizi che hanno «migliorato la disponibilità, l’efficienza, la velocità, l’affidabilità, la capacità e la sicurezza dei sistemi per la trasmissione, la reperibilità e la memorizzazione di dati online, portando a un ecosistema online sempre più complesso»25.
Sicurezza, certificazione e protezione dei dati nel cloud
Proprio perché nella visione del legislatore europeo il cloud costituisce e costituirà un tassello fondamentale per l’infrastruttura digitale dell’Unione europea, nella misura fino ad ora delineata e sia che si tratti di dati personali o non personali, con il “Cybersecurity Act”26 il legislatore ha previsto che la Commissione europea possa chiedere all’ENISA (l’Agenzia dell’Unione europea per la cibersicurezza) di istituire, come del resto è stato fatto, un sistema di certificazione europeo per la sicurezza dei sistemi cloud (l’European Cybersecurity Certification Scheme for Cloud Services – EUCS) 27.
Inoltre, pur non trattandosi di una normativa cogente, rilevante per gli operatori di settore è stata l’emanazione, da parte dell’EDPB28 di un codice di condotta specificamente dedicato al rispetto della normativa privacy, ossia il codice “CISPE” (Cloud Infrastructure Services Providers in Europe), con il fine di uniformare gli standard di protezione dei dati personali adottati dai fornitori di servizi cloud a livello europeo.
Infine, proviene sempre dall’EDPB l’insieme di indicazioni recentemente emanate al fine di consentire la migliore gestione da parte dei titolari del trattamento del rapporto con i fornitori di servizi cloud, alla luce delle evidenze raccolte dalle autorità di controllo29.
Il cloud della Pubblica amministrazione italiana
Anche a livello nazionale, ad oggi, non è possibile rinvenire fonti di carattere generale in tema di cloud, pur essendo possibile rintracciarne alcuni frammentati riferimenti normativi. Ad esempio l’art. 68 CAD prevede che le pubbliche amministrazioni, nella preliminare analisi comparativa relativa all’acquisto di prodotti informatici, debbano valutare che i software siano fruibili in modalità cloud computing.
Con la L.17 dicembre 2012, n. 22130, invece, era stato demandato ad Agid il compito di censire e predisporre le regole tecniche per l’identificazione dei data base considerati critici, tra quelli di interesse nazionale, con il fine di consolidare le infrastrutture digitali delle PA ed ottenere maggiori livelli di efficienza, di sicurezza e di rapidità nell’erogazione dei servizi ai cittadini e alle imprese, a favore di centri selezionati mediante un modello di archiviazione in cloud.
Nell’intento di bilanciare tali istanze di sviluppo e di utilizzo delle tecnologie cloud con la tutela degli utenti/interessati coinvolti, il Garante della protezione dei dati personali italiano era invece inizialmente intervenuto con un documento recante indicazioni volte ad indirizzarne un uso consapevole31, attraverso un «primo quadro di cautele». Ancora, con un apposito vademecum32, il Garante aveva evidenziato come la tecnologia cloud, rendendo i servizi informatici più accessibili e facili da gestire, porti con sé anche delle criticità, quali il rischio di una subdola perdita di controllo sui dati, con conseguenti rischi che riguardano anche la loro sicurezza.
Con un successivo regolamento33, nell’ambito degli interventi parte della “Strategia Cloud della Pa”, Agid ha poi delineato le caratteristiche che il cloud utilizzato dalle pubbliche amministrazioni deve rispettare, quali requisiti di base di qualità, di sicurezza, di performance e di scalabilità, di interoperabilità, di portabilità, prevedendo che «le amministrazioni […] migrano […] i dati e servizi digitali verso le infrastrutture digitali» conformi ai criteri dalla stessa delineati.
Attualmente, invece, la gestione dei processi di qualificazione del cloud della PA, attraverso la “Strategia cloud Italia”34, è divenuta competenza dell’Agenzia per la Cybersicurezza Nazionale (ACN)35, la quale, distinguendo le classi36 di servizio sulla base del rischio e delle conseguenze derivanti da una possibile compromissione, regola il processo di migrazione dei servizi stessi al cloud, nonché ne definisce le modalità, le tempistiche della qualificazione dei servizi e delle infrastrutture di servizi cloud per la Pubblica Amministrazione37, anche attraverso l’intervento e le competenze assegnate al Polo Strategico Nazionale (PSN)38.
Ancora più recente, infine, è la redazione del “Regolamento per le infrastrutture digitali e per i servizi cloud della PA”, predisposto dall’Agenzia per la cybersicurezza nazionale: con il nuovo regolamento si è in particolare inteso stabilire i livelli minimi di sicurezza per le pubbliche amministrazioni, di capacità elaborativa, di risparmio energetico e affidabilità delle infrastrutture digitali e delle infrastrutture dei servizi cloud, individuando i termini e le modalità di migrazione.
Cloud provider e dipendenza tecnologica dell’Europa
In tale contesto occorre prestare particolare attenzione al ruolo rivestito dai cloud providers, ossia quei soggetti, pubblici o privati, che forniscono servizi cloud e che appartengono alla categoria degli “Internet service providers”39, ossia soggetti che forniscono accesso alla rete Internet, quale strumento che, chiaramente, è essenziale per il funzionamento del cloud.
I fornitori di servizi cloud, così come in generale i fornitori dei servizi di accesso ad Internet, svolgono quindi oggi una funzione caratterizzata da implicazioni che riguardano non solo aspetti rilevanti da un punto di vista privatistico – quindi in relazione al rapporto tra l’utente-consumatore e il fornitore – ma, invece, sempre più rilevanti, anche da un punto di vista pubblicistico, dovrebbe dirsi “di rilevanza pubblica”, dato che tali soggetti mettono a disposizione, attraverso vere e proprie infrastrutture di rete, l’accesso a servizi fondamentali, sia per lo svolgimento di attività di interesse pubblico sia per la tutela e l’esercizio di diritti fondamentali della persona.
Contratti, squilibri e potere dei cloud provider
Nel concreto, ciò è poi possibile in virtù dell’esistenza di un rapporto negoziale40 ai sensi della “Direttiva sul commercio elettronico”41, così come recepita nell’ordinamento interno dal D. Lgs. n. 70/2003.
Mediante un contratto, le parti delineano gli elementi essenziali di tale rapporto, quale strumento, come è stato efficacemente evidenziato42, particolarmente adatto a regolare il fenomeno del cloud, in quanto fenomeno dotato di spiccate peculiarità, tanto da aver rivestito sino ad oggi non solo la funzione di “normazione” privata ma anche quella, implicitamente assegnatagli per via della mancanza di una effettiva disciplina ordinamentale, di delineazione e “regolazione”, mediante standardizzazione, degli aspetti fondamentali relativi alla materia.
Tuttavia, proprio dall’uso dello strumento contrattuale, nonché dalle peculiarità soggettive e oggettive (la fornitura del servizio cloud) del rapporto, sono derivate non poche conseguenze in merito alla sostanziale regolazione dei servizi cloud, in termini di frammentazione e sbilanciamento dei diversi interessi coinvolti.
Il contenuto regolatorio, invece, deriva dalla congiunta applicazione di diversificate fonti normative, quali la disciplina generale dei contratti, la normativa a tutela dei consumatori – qualora una delle parti sia riconducibile a tale qualificazione soggettiva -, la normativa generale in tema di protezione dei dati personali e di cybersicurezza.
Tuttavia, proprio la mancanza di regole di carattere pubblicistico ha dato maggiore “libertà” di scelta ai cloud providers che, forti della posizione dominante ricoperta, hanno potuto imporre unilateralmente le proprie condizioni, mediante un’auto regolazione non sempre soddisfacente e bilanciata rispetto ai diversi interessi coinvolti, in specie in termini di trasparenza, protezione dei dati e cybersicurezza. Ne è derivato, a fronte del grande potere acquisito da tali soggetti, il raggiungimento di una posizione dominante difficilmente conciliabile con la necessità degli Stati, in particolare quelli membri dell’Unione europea, di imporre standard giuridici di riferimento, tanto da determinare, al contrario, una vera e propria situazione di dipendenza tecnologica, con conseguente limitata sovranità digitale.
Dal progetto Gaia-X al Cloud and AI Development Act
A fronte di quanto sin qui delineato e rispetto ad una dipendenza sempre più marcata da fornitori situati al di fuori dell’Ue, in particolare negli Stati Uniti o in Cina, l’Unione europea ha manifestato l’intenzione di sviluppare un proprio ambiente cloud sicuro, adottando, in tempi diversi, due approcci differenti e in corso di evoluzione.
Gaia-X e il modello di cloud europeo federato
In primis, rientra nel novero delle tappe percorse il progetto di sviluppo di un “cloud europeo”, avanzato dall’associazione “Gaia-X”43 e presentato al Digital Summit 2019 di Dortmund, come tappa del “Decennio Digitale europeo”, di cui sono stati promotori la Francia e la Germania. Questo progetto, considerato apripista in materia, è stato configurato come liberamente partecipabile da parte dei rappresentanti dei diversi governi degli Stati membri, delle istituzioni (nazionali ed europee), dai rappresentanti accademici e dai players del settore, con lo scopo di addivenire ad un framework di cloud sovrano e comune all’interno dell’Unione europea.
Ciò, mediante la definizione di regole comuni, tecniche e giuridiche, condivise, in materia di trattamento dei dati, sviluppo di standard per gli operatori e gli utenti dell’Ue e, infine, la promozione di elementi tesi a garantire l’indipendenza e l’autonomia rispetto alle giurisdizioni e ai fornitori extra Ue, senza però ambire alla creazione di una vera e propria infrastruttura europea proprietaria.
EOSC e la condivisione dei dati della ricerca
Sulla medesima scia, il “Cloud europeo per la scienza aperta (EOSC)” ha rappresentato un’iniziativa nata dalle istituzioni europee e specificamente ideata nell’ambito del settore della ricerca scientifica, teso alla condivisione e alla valorizzazione dei dati. Il progetto della Commissione europea, che ha preso effettivamente inizio44 con la costituzione dell’associazione internazionale senza fini di lucro “EOSC”, prevede, in maniera non dissimile rispetto alla struttura di Gaia-X, la federazione delle migliori soluzioni adottate o sviluppate dai partecipanti al progetto al fine di rafforzare lo “Spazio Europeo della Ricerca (SER)”45. Anche tale progetto rappresenta chiaramente l’approccio inizialmente seguito dall’Ue.
Cloud and AI Development Act: capacità e autonomia dell’Ue
Diversamente, invece, un nuovo impulso è stato dato con il “Cloud and AI Development Act” di cui si è detto inizialmente: in particolare, con tale atto è stato evidenziato come la limitata capacità dei data center dell’Unione rappresenti una minaccia significativa alla sua capacità di trarre vantaggio dalla trasformazione digitale e di adottare soluzioni basate sull’intelligenza artificiale, nonché determini una marcata dipendenza da un numero limitato di fornitori di paesi terzi, talché, a fronte di uno sviluppo del cloud in Ue, i fornitori Ue sono in diminuzione, ove la quota di mercato dei fornitori dell’Unione europea è scesa dal 29% nel 2017 al 15% nel 2022, rimanendo invariata ad oggi.
Con la proposta di suddetto Regolamento, l’Unione intende quindi assicurare un’infrastruttura cloud Ue che garantisca propria autonomia e sicurezza, mediante datacenter situati all’interno del territorio unionale, in grado di supportare anche i carichi di lavoro legati all’intelligenza artificiale, senza quindi dover ricorrere a soggetti extra Ue. A tal riguardo, risulta rilevante quanto previsto nel Titolo IV della proposta di Regolamento ove viene istituito un quadro di riferimento dell’Unione in materia di sovranità nel settore del cloud computing, mediante la previsione di differenti livelli di garanzia, i cui criteri sono definiti nell’allegato II, che i fornitori di servizi di cloud computing devono soddisfare per poter essere “riconosciuti”, mediante apposita procedura, e fornire i propri servizi di cloud computing a soggetti dell’Unione e a enti del settore pubblico.
Dalla lettura di tali disposizioni è possibile anzitutto comprendere come l’intenzione del legislatore rimanga sempre quella di avvalersi di fornitori terzi e non di costruire una vera e propria infrastruttura proprietaria, situati, tuttavia, all’interno dell’Ue, ed eccezionalmente, in Paesi considerati “adeguati” ai sensi del GDPR. Diversamente rispetto al passato, invece, l’atto utilizzato, quindi quello del Regolamento, seppure in versione di proposta, evidenzia un cambio di passo del legislatore che, da iniziative caratterizzate dall’adesione volontaria è invece passato alla previsione di condizioni vincolanti in via generale.
La Federazione EuroCloud per il settore pubblico
Inoltre, al fine di rafforzare le garanzie in ambito pubblico, viene istituita la “Federazione europea per il cloud del settore pubblico” (la «Federazione EuroCloud»), alla quale, qui su base volontaria, possono partecipare entità dell’Unione e organismi del settore pubblico, con il fine di facilitare la condivisione dei servizi cloud nel settore pubblico.
Il cloud come infrastruttura della sovranità digitale europea
L’analisi del fenomeno del cloud computing e dei suoi sviluppi ha consentito di fare maggiore chiarezza sulle principali conseguenze giuridiche che ne risultano connesse.
Anzitutto, è stato chiarito come non si tratti di una vera e propria tecnologia, quanto di differenti modalità di fruizione di servizi e contenuti digitali, i quali, quando erogati in modalità cloud, non trovano più la loro collocazione all’interno di spazi materiali disponibili all’utente ma, invece, in spazi, anche essi fisici, ma messi a disposizioni dai “cloud providers” e da remoto.
Un’infrastruttura essenziale per diritti e servizi
Il cloud computing è oggi considerato “la terza fase di Internet” e come tale deve essere analizzato, quindi quale strumento indispensabile per garantire l’accesso a molte delle tecnologie digitali, alle informazioni e ai servizi, anche essi essenziali, che tramite il cloud vengono veicolati.
Ne è consapevole anche il legislatore, europeo e nazionale, il quale, dall’analisi degli atti che si è avuto modo di illustrare, considera la tecnologia cloud come una delle tecnologie essenziali, rispetto alla quale, a fronte degli interessi giuridicamente rilevanti coinvolti, risulta fondamentale garantire pieno controllo, anche attraverso una governance che tenda ad imporre la sovranità digitale europea nel settore e la predisposizione di un’infrastruttura unionale.
Il nodo della disciplina specifica e della governance
Tuttavia, si rileva ancora ad oggi la mancanza di una normativa specifica sul cloud, che sia trasversale e detti i principi fondamentali, così come è avvenuto ad esempio con la recente emanazione del Regolamento “AI Act” in tema di intelligenza artificiale, fenomeno che, come si è visto, risulta essere strettamente legato proprio al cloud: del resto, anche il nuovo pacchetto di proposte normative non sembra avere lo stesso fine quanto, invece, quello specifico di stabilire una governance europea sull’infrastruttura cloud.
Pur mancando una normativa di settore si assiste, quindi, allo sviluppo di una vera e propria infrastruttura cloud europea (e nazionale), non proprietaria, la quale consentirebbe, in presenza di provider affidabili, ed ugualmente efficienti rispetto ai leader del settore extraeuropei, non solo di garantire la concorrenza dell’Ue nel settore del cloud e di tutte quelle tecnologie che lo presuppongono (come l’intelligenza artificiale) ma anche, attraverso un effettivo controllo sul loro operato, di garantire il pieno rispetto delle normative che rilevano in materia e la tutela dei diritti trasversalmente coinvolti.
Bibliografia su cloud computing e sovranità digitale
Albertini L., I contratti di accesso ad Internet, in Giust. Civ., 2/1997;
Alpini A., La sovranità digitale europea, in Tigor, 2/2022;
Battelli E., Il contratto di accesso ad Internet, in MediaLaws, 1/2021;
Bocchini R., Il contratto di accesso ad Internet, in Dir. inf., 3/2002;
Campagnoli M.N., Il cloud computing: vantaggi e problematicità, in Rivista di filosofia del diritto, 1/2016;
Capuozzo V., Tacente A., Sovranità digitale e libertà di espressione online nella dimensione europea e convenzionale, in federalismi.it, 6/2026;
Cimino I.P., I contratti degli Internet providers e per i data services on line, in Cassano G., Cimino I.P. (a cura di), Diritto dell’Internet e delle nuove tecnologie telematiche, Cedam, Padova, 2009;
De Vivo M.C., Cloud computing. Il contesto giuridico e le aziende di fronte ad un fenomeno controverso, in JLIS, 2/2015;
Glorioso A., Viktov V., Accesso ad Internet e contratti di connettività business to consumer di quattordici fornitori italiani, in Dir. inf., 1/2009;
Iannuzzi A., La governance europea dei dati nella contesa per la sovranità digitale: un ponte verso la regolazione dell’intelligenza artificiale, in SPPC, 209/2021;
La Diega G.N., Il cloud computing. Alla ricerca del diritto perduto nel web 3.0, in Europa e diritto privato, 2/2014;
Lucarelli Tonini L.M., Il diritto alla “deindicizzazione” quale corollario del diritto all’oblio: il ruolo dello sviluppo tecnologico nell’ottica del rafforzamento della tutela dei dati personali, in Rivista di diritto dell’Impresa, 3/2022;
Mangiameli S., La sovranità digitale, in Dirittifondamentali.it, 3/2023;
Mantelero A., Processi in outsourcing informatico e cloud computing: la gestione dei dati personali ed aziendali, in Dir. Inf., 4-5/2010;
Migliardi M., Podestà R., Cloud computing. Evoluzionario e rivoluzionario, in Mondo Digitale, 33/2010;
Napolitano G., Il partenariato pubblico-privato per la realizzazione del Polo strategico nazionale, in Giornale dir. amm., 6/2021;
Nelson M.R., Computer science. Building an Open Cloud, in Science, 26.6.2009;
Proietti M., Venanzoni A., La sovranità digitale tra sicurezza nazionale e ordine costituzionale, Pacini Giuridica, 2023;
Rifkin J., L’era dell’accesso. La rivoluzione della new economy, Mondadori, Milano, 2000;
Santaniello M., Sovranità digitale e diritti fondamentali: un modello europeo di Internet governance, in Inf. e Dir.,1/2022;
Smorto G., Il ruolo della comparazione giuridica della contesa per la sovranità digitale, in DPCE online, 1/2023.
Note su cloud computing e sovranità digitale
L’EOSC era riconosciuta dal Consiglio dell’Unione europea tra le 20 azioni dell’agenda politica 2022-2024 dello Spazio Europeo della Ricerca (SER) e ha il fine specifico di approfondire le pratiche di scienza aperta in Europa. ↩
∗ Lorenzo Maria Lucarelli Tonini – Assegnista di Ricerca, Università Roma Tre. ↩
A riguardo v. V. Capuozzo, A. Tacente, Sovranità digitale e libertà di espressione online nella dimensione europea e convenzionale, in federalismi.it, 6/2026, 16 ss.; S. Mangiameli, La sovranità digitale, in Dirittifondamentali.it, 3/2023, 279 ss.; G. Smorto, Il ruolo della comparazione giuridica della contesa per la sovranità digitale, in DPCE online, 1/2023, 339 ss.; M. Proietti, A. Venanzoni, La sovranità digitale tra sicurezza nazionale e ordine costituzionale, Pacini Giuridica, 2023; M. Santaniello, Sovranità digitale e diritti fondamentali: un modello europeo di Internet governance, in Inf. e Dir.,1/2022, 47 ss.; A. Alpini, La sovranità digitale europea, in Tigor, 2/2022, 144 ss.; A. Iannuzzi, La governance europea dei dati nella contesa per la sovranità digitale: un ponte verso la regolazione dell’intelligenza artificiale, in SPPC, 209/2021, 31 ss. ↩
Si fa riferimento, oltre che al risalente Reg. Ue 679/2016 (GDPR), ai più recenti: “Digital Serice Act” (DSA – Reg. Ue 2022/2065); “Data Governance Act” (DGA – Reg. Ue 2022/868); “Data Act” (DA – Reg. Ue 2023/2854); “Ai Act” (Reg. Ue 2024/1689). ↩
Proposta di Regolamento europeo che istituisce un quadro di misure volte a rafforzare l’ecosistema europeo del cloud e dell’intelligenza artificiale (Legge sullo sviluppo del cloud e dell’intelligenza artificiale) – COM(2026) 502 final, Brussels, 3.6.2026. ↩
COM(2025) 165 final, Brussels, 9.4.2025 . ↩
M.R. Nelson, Computer science. Building an Open Cloud, in Science, 26.6.2009, 1656. ↩
Sottolinea tale aspetto J. Rifkin, L’era dell’accesso. La rivoluzione della new economy, Mondadori, Milano, 2000, 5 ss. ↩
Si tratta di un modello di erogazione di beni e servizi molto vicino a quello ormai utilizzato rispetto a beni essenziali quali l’acqua o l’energia elettrica, come evidenziato da M.N. Campagnoli, Il cloud computing: vantaggi e problematicità, in Rivista di filosofia del diritto, 1/2016, 111. ↩
Sul punto M. Migliardi, R. Podestà, Cloud computing. Evoluzionario e rivoluzionario, in Mondo Digitale, 33/2010, 23. ↩
Sottolinea tale aspetto G.N. La Diega, Il cloud computing. Alla ricerca del diritto perduto nel web 3.0, in Europa e diritto privato, 2/2014, 638. ↩
National Institute of Standards and Technology – U.S. Department of Commerce, The NIST Definition of Cloud Computing, Special Publication 800-145, Settembre 2011.
La medesima definizione è accettata anche dall’ENISA (l’European Union Agency for Network and Information Security o Agenzia Europea sulla Sicurezza Informatica) e, a livello nazionale, da DigitPA, oggi Agid, nelle Raccomandazioni e proposte sull’utilizzo del cloud computing nella pubblica amministrazione, 28 giugno 2012 ↩
In una risalente Comunicazione della Commissione europea il cloud veniva definito come un sistema per la «archiviazione, l’elaborazione e l’uso di dati su computer remoti – grazie al quale – […] gli utenti hanno a disposizione una potenza di elaborazione quasi illimitata, non sono tenuti ad investire grandi capitali per soddisfare le proprie esigenze e possono accedere ai loro dati ovunque sia disponibile una connessione Internet». Si veda Com. 27-9-2012, Sfruttare il potenziale del cloud computing in Europa, COM(2012)529 final. ↩
Approfondisce il rapporto tra utilizzo del cloud e l’esternalizzazione dei servizi, A. Mantelero, Processi in outsourcing informatico e cloud computing: la gestione dei dati personali ed aziendali, in Dir. Inf., 4-5/2010, 674-675. ↩
“Comunicazione della Commissione al Parlamento, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle Regioni – Un’agenda digitale europea” (COM(2010)245). ↩
“Comunicazione della Commissione al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle Regioni – Un quadro coerente per rafforzare la fiducia nel mercato unico digitale del commercio elettronico e dei servizi on-line” (2012 COM(2011) 942 final). ↩
Working Group Art. 29, Parere 05/2012 sul cloud computing, 1 luglio 2012. ↩
“Comunicazione al Parlamento Europeo, al Consiglio, al Comitato Economico e Sociale Europeo e al Comitato delle Regioni – Sfruttare il potenziale del cloud computing in Europa” (COM (2012) 529 del 27 settembre 2012). ↩
“Comunicazione al Parlamento Europeo, al Consiglio, al Comitato Economico e Sociale Europeo e al Comitato delle Regioni – Iniziativa europea per il cloud computing – Costruire un’economia competitiva dei dati e della conoscenza in Europa” (COM(2016) 178 final). ↩
Con la sottoscrizione della “Declaration Building the next generation cloud for businesses and the public sector in the EU” del 15 ottobre 2020, i 27 Paesi firmatari hanno concordato «di agire in modo decisivo, in stretta collaborazione con la Commissione, per raggiungere la diffusione della fornitura di cloud di nuova generazione per le imprese dell’UE, garantendo un elevato grado di sovranità digitale e dei dati dell’UE». ↩
Pubblicato con la “Decisione (UE) 2022/2481 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, che istituisce il programma strategico per il decennio digitale 2030”. ↩
“Regolamento del Parlamento europeo e del Consiglio riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo e che modifica il regolamento (UE) 2017/2394 e la direttiva (UE) 2020/1828 (regolamento sui dati)”, entrato in vigore l’11 gennaio 2024. ↩
Ad esempio, art. 29 del “Data Act”, rubricato «Interoperabilità per i servizi di trattamento dei dati». ↩
“Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali e che modifica la direttiva 2000/31/CE (regolamento sui servizi digitali)”, entrato in vigore il 17 febbraio 2024. ↩
“Regolamento (UE) 2022/868 del Parlamento europeo e del Consiglio del 30 maggio 2022 relativo alla governance europea dei dati e che modifica il regolamento (UE) 2018/1724 (Regolamento sulla governance dei dati)”, entrato in vigore il 23 giugno 2022. ↩
Considerando n. 28 del DSA. ↩
Regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio del 17 aprile 2019. ↩
Tale sistema di certificazione, attiene specificamente al rispetto di norme e principi tecnici in tema di sicurezza informatica e non, invece, al rispetto dei principi previsti dal GDPR. ↩
Il Codice, proposto dai maggiori rappresentanti dei servizi cloud in Europa, è stato approvato dalla CNIL, l’Autorità francese per la protezione dei dati personali e poi dall’European Data Protection Board, con l’Opinion n. 17/21 del 19.05.2021. ↩
EDPB, 2022 Coordinated Enforcement Action – Use of cloud-based services by the public sector, 17 gennaio 2023. ↩
Art. 2-bis del decreto legge 18 ottobre 2012, n. 179 recante “Ulteriori misure urgenti per la crescita del Paese”. ↩
Autorità garante per la protezione dei dati personali – Cloud computing: indicazioni per l’utilizzazione consapevole dei servizi. ↩
Autorità garante per la protezione dei dati personali – Cloud computing. Proteggere I dati per non cadere dalle nuvole, doc. web 1894499. ↩
Si fa riferimento al “Regolamento recante i livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture digitali per la Pa e le caratteristiche di qualità, sicurezza, performance e scalabilità, portabilità dei servizi cloud per la pubblica amministrazione, le modalità di migrazione nonché le modalità di qualificazione dei servizi cloud per la pubblica amministrazione”, emanato con Determinazione n. 620/2021, in applicazione dell’articolo 33-septies, comma 4, del decreto legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221. ↩
La nuova Strategia prevede tre linee di sviluppo, che vanno dalla classificazione dei servizi e dei dati alla classificazione dei servizi cloud fino alle funzioni assegnate al Polo Strategico Nazionale. ↩
Ciò a seguito dell’emanazione del Decreto direttoriale n. 29 del 2 gennaio 2023. ↩
Si veda il “Modello per la predisposizione dell’elenco e della classificazione dei dati e dei servizi della pubblica amministrazione”, di cui alla Determinazione ACN n. 306 del 18 gennaio 2022. ↩
Si rimanda al Decreto Direttoriale dell’ACN n. 29 del 2 gennaio 2023. ↩
Il Polo Strategico Nazionale è stato creato dal Dipartimento per la trasformazione digitale della Presidenza del Consiglio con il Decreto 47/2021 dal Dipartimento per la trasformazione Digitale ed è costituito da diversi datacenters dislocati sul territorio nazionale ove le pubbliche amministrazioni possono migrare e gestire in cloud i propri dati e servizi.
A riguardo, si rimanda a G. Napolitano, Il partenariato pubblico-privato per la realizzazione del Polo strategico nazionale, in Giornale dir. amm., 6/2021, 705. ↩
Sia consentito rinviare sul tema a L.M. Lucarelli Tonini, Il diritto alla “deindicizzazione” quale corollario del diritto all’oblio: il ruolo dello sviluppo tecnologico nell’ottica del rafforzamento della tutela dei dati personali, in Rivista di diritto dell’Impresa, 3/2022, 681-696. ↩
Sul contratto di accesso ad Internet si veda: E. Battelli, Il contratto di accesso ad Internet, in MediaLaws, 1/2021, 129 ss.; A. Glorioso, V. Viktov, Accesso ad Internet e contratti di connettività business to consumer di quattordici fornitori italiani, in Dir. inf., 1/2009, 101 ss.; I.P. Cimino, I contratti degli Internet providers e per i data services on line, in G. Cassano e I.P. Cimino (a cura di), Diritto dell’Internet e delle nuove tecnologie telematiche, Cedam, Padova, 2009; R. Bocchini, Il contratto di accesso ad Internet, in Dir. inf., 3/2002, 471 ss.; L. Albertini, I contratti di accesso ad Internet, in Giust. Civ., 2/1997, 102 ss. ↩
Direttiva 2000/31/Ce del Parlamento europeo e del Consiglio dell’8 giugno 2000 relativa a taluni aspetti giuridici dei servizi della società dell’informazione, in particolare il commercio elettronico, nel mercato interno («Direttiva sul commercio elettronico»). ↩
M.C. De Vivo, Cloud computing. Il contesto giuridico e le aziende di fronte ad un fenomeno controverso, in JLIS, 2/2015, 95. ↩
“Gaia-X” è un’associazione creata con il fine di elaborare protocolli comuni per i propri membri, con l’ulteriore obiettivo di stabilire sul mercato, indirettamente anche extraeuropeo, standard di riferimento caratterizzati da garanzie per gli utenti in materia di qualità, sicurezza ed efficienza dei servizi cloud. ↩
L’associazione EOSC è stata creata nel luglio 2020. Attualmente, EOSC si trova nella fase di attuazione (2021-2030) finalizzata all’effettiva creazione del “Cloud europeo per la scienza aperta”, attraverso un maggiore coinvolgimento nelle attività di sviluppo, ricerca e coinvestimento di tutti i soggetti partecipanti. ↩
Partecipa alla community