Per i Decisori
Questa pagina raccoglie i dati essenziali e le raccomandazioni per chi opera nelle istituzioni, nel governo e nel parlamento. L'obiettivo è fornire gli strumenti per decisioni informate sulla sovranità digitale della Pubblica Amministrazione.
Enti PA monitorati
Dall'Indice delle Pubbliche Amministrazioni
PA su provider extra-UE
Provider soggetti a giurisdizione extra-UE
PA su provider italiani
Provider con sede in Italia
PA su provider UE
Provider UE non italiani
Ultimo aggiornamento dati: 2026-06-14 — copertura 97%. Fonte: MxMap.it.
Sovranità per categoria di ente
Quota di enti su provider soggetti a giurisdizione extra-UE (es. CLOUD Act), per categoria. Ordinate dalla più dipendente. Fonte: MxMap.it.
"Extra-UE" indica enti la cui posta è gestita da provider soggetti a normative non europee. Dato aggregato per categoria IPA — fonte MxMap.it su IndicePA.
Provider più diffusi nella PA
Per numero di enti serviti, con la relativa giurisdizione. Fonte: MxMap.it.
Italiano UE Extra-UE Sconosciuto
Il problema in sintesi
Domanda del relatore della commissione, senatore Dany Wattebled:
«Può garantire davanti alla nostra commissione, sotto giuramento, che i dati dei cittadini francesi affidati a Microsoft non saranno mai trasmessi, in seguito a un'ingiunzione del governo americano, senza l'accordo esplicito delle autorità francesi?»«No, non posso garantirlo, ma, ancora una volta, ciò non si è ancora mai verificato.»L'audizione si è svolta sotto giuramento, con il presidente della commissione che ha espressamente richiamato le pene penali per falsa testimonianza. La domanda riguardava i dati dei cittadini francesi, ma il meccanismo è identico per l'Italia: a determinare la giurisdizione è la nazionalità del fornitore, non quella del cliente. La differenza è che in Italia nessuno ha mai rivolto la domanda a Microsoft in sede parlamentare.
Anton Carniaux, Direttore degli Affari Pubblici e Legali di Microsoft France — audizione alla Commissione d'inchiesta del Senato francese sulla commessa pubblica, 10 giugno 2025 (ripresa nel rapporto del Senato n. 830 dell'8 luglio 2025). Resoconto del Senato · heise (EN)
Una via d'uscita esiste. La Francia esclude strutturalmente il CLOUD Act con la certificazione SecNumCloud 3.2, e Microsoft stessa gestisce già «national cloud» operati da aziende locali dove un governo l'ha preteso. Vedi Certificazioni e Sovranità.
Quando una PA italiana utilizza un servizio email gestito da un provider soggetto a giurisdizione extra-UE (ad esempio statunitense), le comunicazioni istituzionali — incluse quelle contenenti dati personali dei cittadini — possono essere accessibili ad autorità straniere in virtù di leggi come il CLOUD Act (USA, 2018), anche senza il consenso o la notifica dell'ente italiano.
La Corte di Giustizia dell'UE ha invalidato due volte gli accordi di trasferimento dati verso gli USA (Schrems I, 2015 e Schrems II, 2020) per insufficiente protezione. Il nuovo EU-US Data Privacy Framework (2023) è già oggetto di contestazioni. Le PA che affidano i dati a provider USA operano in un contesto giuridico instabile.
La concentrazione dei servizi digitali della PA su pochi grandi provider extra-europei crea una dipendenza strategica che espone il Paese a rischi in caso di tensioni geopolitiche, sanzioni, interruzioni di servizio o cambiamenti unilaterali delle condizioni contrattuali.
L'Italia ha firmato la Dichiarazione europea sulla sovranità digitale (2025) e si è dotata di una Strategia Cloud, ma la migrazione reale resta limitata: lo stesso Polo Strategico Nazionale si appoggia a hyperscaler statunitensi per i dati ordinari e critici, tutelando per legge solo quelli classificati "strategici". Inoltre è la nazionalità del fornitore — non la collocazione del dato — a determinare la giurisdizione. Il divario tra ciò che si dichiara e ciò che si costruisce è esattamente ciò che l'Osservatorio misura.
Il cloud di Stato e la sovranità
Il Polo Strategico Nazionale realizza un consolidamento reale e ingegneria di sicurezza reale. Non realizza la sovranità digitale, ed è presentato come se lo facesse.
- Nel suo stesso manuale utente, l'etichetta «sovranità del dato» è attribuita a una copia di backup periodica fuori sito.
- In 161 pagine di documenti contrattuali non compaiono né i termini né le clausole sostanziali di salvaguardia: CLOUD Act, extraterritoriale, nazionalità, controllo societario, articolo 48 GDPR, ordine di un paese terzo — tutte a zero.
- Le due misure tecniche su cui si fa affidamento — gestione delle chiavi in proprio e confidential computing — sono dichiarate insufficienti a questo scopo dall'agenzia francese che ha scritto lo standard europeo di sovranità.
- Nessuna offerta usata dal programma possiede una qualificazione di sovranità, e nessuna è in istruttoria. In Francia una è qualificata e un'altra è in istruttoria.
- Lo strumento che raggiungerebbe il fornitore è il requisito di gara — non il golden power, che per legge raggiunge solo entità italiane. Quel requisito non è mai stato scritto.
Consolidare migliaia di sale server sparse in data center presidiati è un guadagno reale di sicurezza fisica, continuità e gestione — qualunque software ci giri sopra. Cifratura, segmentazione e controllo degli accessi riducono rischi veri. Una critica che lo ignori non merita di essere fatta. L'obiezione è più stretta: quelle misure rispondono a una domanda di sicurezza, e la sovranità è una domanda giurisdizionale.
Sei misure, in ordine di praticabilità
Ognuna poggia su uno strumento che esiste già. Nessuna richiede di abbandonare i fornitori attuali.
- Pubblicare quale livello usa ciascuna amministrazione. Non costa nulla, e la sua assenza impedisce a chiunque — Parlamento compreso — di misurare l'esposizione.
- Usare la scadenza del 12 gennaio 2027, quando una legge europea già in vigore vieta di far pagare il costo di uscire da un cloud.
- Mappare e pubblicare la telemetria — quali componenti trasmettono fuori dal perimetro, e che cosa.
- Pretendere l'approvazione, non la visibilità, sulle modifiche di piattaforma, con quarantena e validazione prima del rilascio.
- Scrivere un requisito di sede, proprietà e amministrazione per la classificazione più alta. Non dev'essere il modello francese — ma dev'essere scritto.
- Aderire alla centrale d'acquisto europea, cosa che un ente locale può fare anche se il proprio Stato non aderisce — tenendo presente che il regolamento non è ancora in vigore.
Accettare un rischio residuo è una scelta politica legittima. Descrivere quel rischio come inesistente è un'altra cosa — ed è l'unica contro cui la nostra analisi argomenta. La documentazione completa, con le fonti primarie, le impronte di ogni file esaminato e il metodo per riprodurre ogni verifica, è nell'analisi dedicata.
Quadro normativo di riferimento
| Norma / Atto | Rilevanza |
|---|---|
| GDPR (Reg. UE 2016/679) | Vieta il trasferimento di dati personali verso paesi terzi senza garanzie adeguate (Capo V) |
| GDPR — artt. 48 e 115 | Vietano di dare seguito a ordini di autorità di paesi terzi (es. CLOUD Act) non fondati su accordi internazionali: conflitto diretto con la giurisdizione extra-UE, senza una via d'uscita pulita per il provider |
| Schrems II (CGUE C-311/18, 2020) | Ha invalidato il Privacy Shield UE-USA; impone valutazione caso per caso delle clausole contrattuali standard |
| CLOUD Act (USA, 2018) | Consente alle autorità USA di richiedere dati a provider americani anche se archiviati in UE |
| Audizione Senato francese (2025) | Microsoft (A. Carniaux) ammette in audizione di non poter garantire che i dati europei non vengano trasferiti al governo USA ai sensi del CLOUD Act — resoconto Senato, heise |
| Strategia Cloud Italia (2021) | Classifica i dati della PA in strategici, critici e ordinari; prevede migrazione verso infrastrutture qualificate |
| Regolamento ACN (cloud PA) | Definisce i requisiti per la qualificazione dei servizi cloud per la PA |
| CAD (D.Lgs. 82/2005) | Codice dell'Amministrazione Digitale — disciplina l'uso delle tecnologie nella PA |
| NIS2 (Dir. UE 2022/2555) | Impone requisiti di cybersecurity per soggetti essenziali e importanti, incluse PA |
Raccomandazioni di policy
Sulla base dei dati raccolti, l'Osservatorio formula le seguenti raccomandazioni:
Rendere obbligatorio per ogni ente PA la dichiarazione dei servizi digitali utilizzati (email, cloud, collaborazione) e della relativa giurisdizione. Integrare questa informazione nell'IndicePA per renderla pubblica e monitorabile.
Destinatari: AgID, Dipartimento Trasformazione Digitale
Inserire criteri di sovranità digitale (giurisdizione dei dati, localizzazione dei server, assenza di obblighi verso autorità extra-UE) come requisiti nelle convenzioni Consip per servizi email e cloud della PA.
Destinatari: Consip, MEF, AgID
Definire un piano nazionale con scadenze progressive per la migrazione dei servizi email della PA verso provider conformi ai requisiti di sovranità. Prevedere fondi dedicati — eventualmente dal PNRR o dai fondi per la cybersecurity — per supportare gli enti nella transizione.
Destinatari: Presidenza del Consiglio, Parlamento, ACN
Istituzionalizzare il monitoraggio della sovranità digitale della PA, rendendo i dati pubblici e aggiornati periodicamente. L'Osservatorio fornisce già questa funzione come iniziativa civica; le istituzioni possono adottarla, integrarla o affiancarla con iniziative proprie.
Destinatari: AgID, ACN, Parlamento
Proporre nelle sedi europee (Consiglio UE, Commissione) l'adozione di un framework comune per il monitoraggio della sovranità digitale delle PA in tutti gli stati membri, partendo dal modello italiano come caso studio.
Destinatari: MAECI, Rappresentanza permanente presso l'UE
Cosa puoi fare
Se sei un parlamentare
- Presenta un'interrogazione citando i dati dell'Osservatorio
- Proponi l'inserimento di requisiti di sovranità nella normativa
- Richiedi un'audizione in commissione sul tema
Se sei un dirigente PA
- Verifica la posizione del tuo ente nei dati dell'Osservatorio
- Avvia una valutazione interna sulla migrazione
- Richiedi fondi dedicati per la transizione
Se sei un regolatore
- Utilizza i dati per aggiornare le linee guida
- Avvia verifiche di conformità GDPR
- Inserisci requisiti di sovranità nelle convenzioni
Scarica i documenti di sintesi pensati per i decisori istituzionali:
Policy Brief
Sintesi di 2 pagine con numeri chiave e raccomandazioni per decisori politici.
Scarica PDFTechnical Brief
Analisi tecnico-normativa approfondita per AgID, ACN, Garante e uffici studi.
Scarica PDFPer ricevere i nuovi documenti appena disponibili, unisciti al canale Telegram.