Microsoft, il caso Olanda riaccende l’allarme: i dati europei sono davvero al sicuro?
La promessa è sempre la stessa: i dati dei cittadini europei restano in Europa, custoditi nei data center del continente e protetti dalle rigide regole comunitarie. Ma il caso esploso nei Paesi Bassi rischia di demolire ancora una volta questa rassicurante narrazione.
Secondo un’inchiesta pubblicata dal settimanale olandese Vrij Nederland, Microsoft avrebbe condiviso con la Camera dei Rappresentanti degli Stati Uniti documenti contenenti i nomi di funzionari pubblici olandesi impegnati nell’attuazione del Digital Services Act (DSA), la normativa europea che impone alle grandi piattaforme online di contrastare con maggiore efficacia contenuti illegali, disinformazione, manipolazione informativa e abusi sessuali sui minori.
Le persone coinvolte lavorano presso due importanti autorità di regolazione dei Paesi Bassi: l’Autorità per i Consumatori e i Mercati (ACM) e l’Autorità olandese per la Protezione dei Dati (AP). Secondo quanto emerso, Microsoft avrebbe fornito email, verbali di riunioni e inviti contenenti informazioni riconducibili ai funzionari, senza oscurarne i nomi.
Quel DSA che non è mai piaciuto a Washington e alle Big Tech
La vicenda assume una particolare rilevanza politica perché riguarda direttamente l’applicazione del DSA, una delle normative simbolo della strategia europea per la regolazione delle piattaforme digitali. Negli Stati Uniti, soprattutto in alcuni ambienti politici conservatori, il Digital Services Act viene considerato una forma di censura mascherata da regolamentazione. Per questo motivo il lavoro delle autorità europee incaricate di applicarlo è finito sotto osservazione da parte di organismi e commissioni americane, ma anche dello stesso Presidente degli Stati Uniti, Donald Trump.
L’accusa rivolta a Microsoft è dunque particolarmente delicata: aver trasmesso documentazione relativa all’attività di funzionari pubblici europei impegnati nell’applicazione di una legge che Washington considera controversa, esponendoli potenzialmente a pressioni politiche o campagne di delegittimazione.
La questione ha provocato immediate reazioni all’Aia. La segretaria di Stato per l’Economia Digitale e la Sovranità Tecnologica, Willemijn Aerdts, ha definito la situazione “indesiderabile”, spiegando di aver affrontato il tema direttamente con l’ambasciatore statunitense nei Paesi Bassi.
Il messaggio inviato al governo americano è stato netto: eventuali divergenze sulle politiche europee dovrebbero essere affrontate tra istituzioni e non coinvolgere singoli funzionari pubblici.
Il vero nodo: il Cloud Act
Al di là del singolo episodio, il caso olandese mette in evidenza un problema molto più ampio e strutturale. Microsoft, come tutte le grandi aziende tecnologiche statunitensi, è soggetta al Cloud Act, la legge federale americana approvata nel 2018 che consente alle autorità statunitensi di richiedere dati detenuti da società americane indipendentemente dal luogo fisico in cui tali dati sono conservati.
È proprio questo il punto cruciale che troppo spesso sfugge nel dibattito pubblico. Per anni le Big Tech hanno rassicurato governi, imprese e cittadini europei sostenendo che la localizzazione dei dati in data center situati nell’Unione Europea rappresentasse una garanzia sufficiente per la loro protezione.
Al contrario, il Cloud Act dimostra che il vero elemento decisivo non è la posizione geografica dei server, ma la giurisdizione cui è sottoposto il fornitore del servizio. Se il provider è statunitense, può essere obbligato a consegnare dati alle autorità americane anche quando questi dati sono fisicamente archiviati in Europa.
In altre parole, il problema non è dove si trovano i dati, ma a chi deve rispondere legalmente chi li custodisce.
Una sfida diretta all’indipendenza digitale europea
Da anni l’Europa tenta di costruire una propria autonomia strategica nel settore digitale. Tuttavia, la dipendenza dalle infrastrutture cloud americane resta enorme.
Pubbliche amministrazioni, enti governativi, aziende strategiche e organizzazioni europee utilizzano quotidianamente servizi forniti da Microsoft, Google, Amazon e altri colossi statunitensi. Questo significa che una parte rilevante delle informazioni prodotte nel continente continua a essere potenzialmente accessibile a soggetti esterni all’ordinamento europeo.
Il caso olandese rappresenta quindi molto più di un incidente diplomatico. È l’ennesima dimostrazione concreta di una contraddizione che Bruxelles non è ancora riuscita a risolvere: da un lato l’Unione europea costruisce uno dei sistemi di tutela dei dati più avanzati al mondo, dal GDPR al Digital Services Act, dall’altro continua ad affidare una quota significativa delle proprie infrastrutture digitali a operatori che rispondono a legislazioni straniere.
Il rischio per cittadini e istituzioni
Se le informazioni relative a funzionari pubblici impegnati nell’applicazione delle leggi europee possono essere trasferite all’estero in virtù di una normativa straniera, la questione non riguarda soltanto la privacy individuale.
In gioco c’è la capacità delle istituzioni europee di esercitare pienamente la propria sovranità normativa senza interferenze esterne. Il rischio è duplice. Da una parte vi è una possibile violazione dei principi di protezione dei dati sanciti dal diritto europeo. Dall’altra emerge una vulnerabilità geopolitica che riguarda direttamente la sicurezza delle amministrazioni pubbliche, delle autorità indipendenti e, più in generale, dell’intero ecosistema istituzionale europeo.
Novità su Google, per aggiungere Key4Biz tra le tue fonti preferite, clicca qui
