Cos'è la data residency e perché non è sovranità?

La data residency è il luogo fisico in cui i tuoi dati vengono conservati ed elaborati: la regione cloud, il data center, il Paese. È un attributo geografico, non giuridico, ed è qui che nasce la confusione più costosa del dibattito sulla sovranità: la residency stabilisce dove i dati risiedono, la sovranità riguarda chi può essere obbligato a consegnarli. Un data center europeo non cambia la giurisdizione di un provider extra-UE, esattamente come un contratto firmato all'estero non cambia la nazionalità dell'azienda che lo firma. Il paradosso pratico è che molte aziende scelgono la regione cloud giusta e poi ignorano dove finiscono backup, log applicativi e ticket di assistenza, che spesso viaggiano su percorsi tecnici diversi dal dato primario e restano fuori dal perimetro che credevano di aver protetto. Capire questa distinzione prima di firmare un contratto cloud evita di scoprire, in sede di audit o di richiesta di un'autorità straniera, che la protezione promessa copriva solo metà del problema.

Leggi anche: CLOUD Act · Legge USA che obbliga i provider americani a consegnare i dati su ordine delle autorità statunitensi, anche se conservati in Europa.

Quando le clausole di residency servono davvero

La residency non è marketing di per sé: ha usi legittimi e verificabili. Riduce la latenza per gli utenti vicini. Semplifica la posizione GDPR sui trasferimenti extra-UE: se i dati non escono dall'Unione, un intero strato di complessità viene meno. Soddisfa requisiti settoriali o contrattuali che chiedono esplicitamente dati in un certo Paese, e facilita audit e ispezioni. Attenzione però ai dettagli che il commerciale non menziona: backup, log, telemetria e flussi di supporto seguono spesso percorsi diversi dai dati primari. Una residency che copre il database ma non il ticket di assistenza con dentro l'estratto dei dati è una garanzia a metà: chiedi sempre la mappa completa dei flussi, non la posizione del dato principale.

Quando diventa marketing

Diventa marketing quando viene venduta come protezione dalla giurisdizione straniera. Il CLOUD Act segue il fornitore, non la posizione dei dati: se il tuo obiettivo è che nessuna autorità extra-UE possa ordinarne la consegna, la residency da sola non lo garantisce. Per quello servono chiavi gestite fuori dal cloud, provider sotto giurisdizione europea o architetture ibride. La domanda da fare non è "dove stanno i dati?" ma tre domande insieme: dove stanno, chi ha le chiavi, quale entità giuridica può ricevere un ordine di consegna. Se la risposta alla prima è ottima e le altre due restano vaghe, stai comprando geografia, non controllo. E prima di negoziare qualsiasi clausola devi sapere quali dati hai e dove passano: mappare questi flussi è un esercizio di data governance.