Richieste di dati transfrontaliereUna richiesta deve diventare un ordine dove si trova il disco, altrimenti resta una lettera.

L'espressione che questo mercato usa e non spiega mai

Chi si informa abbastanza a lungo su questo settore incontra la stessa affermazione in due direzioni opposte. Una dice che un server all'estero è semplicemente fuori portata. L'altra dice che non importa nulla, perché i dati li otterranno comunque. Sono entrambe congetture, e la cosa su cui si sta congetturando ha un nome, una procedura, una coda e una traccia documentale.

Un investigatore in un paese che vuole registri detenuti da una società in un altro dispone di un numero ristretto di vie percorribili — cinque, a un conteggio generoso. Solo una di esse è il trattato che tutti nominano e nessuno descrive. Due sono più rapide del trattato e si basano su un criterio che non ha nulla a che vedere con dove si trovi l'hardware. E le vie più rapide di tutte non sono affatto diritto, ed è proprio questa la parte che, di fatto, chiude i siti web.

Le cinque vie oltre un confine

Si differenziano per chi viene notificato, chi è in grado di rifiutare, e se un giudice legga mai il fascicolo. All'incirca dalla più rapida in poi, il che è quasi l'inverso del peso che ciascuna porta con sé.

Tre delle cinque vie terminano con qualcuno del posto che notifica un atto locale, ed è questa la frase da portarsi via dalla tabella. Le altre due chiedono a una società di agire sulla base di un documento privo di forza nel luogo in cui quella società si trova. Se “offshore” significhi qualcosa, dipende quasi interamente da cosa un fornitore faccia di fronte a quelle due.

Cos'è davvero l'assistenza legale reciproca

Un MLAT è un trattato tra due Stati che si promettono reciproco aiuto in materia penale: prove, testimonianze, documenti, notificazione di atti. Ne esistono centinaia, quasi tutti bilaterali; i soli Stati Uniti sono parte di più di sessanta. Esistono perché un pubblico ministero non ha alcun potere all'estero e un ordine del tribunale è uno strumento interno. Il trattato non conferisce allo Stato richiedente una portata diretta. Gli conferisce una coda d'attesa.

La coda passa attraverso uffici designati chiamati autorità centrali, e una richiesta viene trasmessa dall'una all'altra anziché inviata direttamente da un punto all'altro. Negli Stati Uniti tale ufficio è l'Office of International Affairs, all'interno del Dipartimento di Giustizia; altrove è di solito il ministero della giustizia. La catena ha quasi ovunque la stessa forma:

1. Un investigatore redige la richiesta e la consegna alla propria autorità centrale, nella forma prevista dal trattato, indicando il reato e i registri desiderati.
2. Tale autorità verifica che la richiesta rientri nel trattato e la trasmette all'autorità centrale dello Stato richiesto. In questa fase le richieste vengono spesso respinte al mittente perché troppo vaghe, e capita a moltissime.
3. L'autorità ricevente la verifica rispetto alla legge del proprio paese e la consegna a un pubblico ministero locale o a un giudice istruttore.
4. Quel pubblico ministero richiede a un tribunale locale un ordine interno, esattamente come farebbe in un caso interno, sulla base del diritto interno.
5. Il tribunale concede o rifiuta. Se concede, un ordine interno viene notificato alla società — nel proprio paese, nella propria lingua, secondo la propria legge.
6. Tutto ciò che viene prodotto risale la stessa catena in senso inverso, con una coda propria a ogni passaggio.

Una rogatoria internazionale è lo stesso percorso senza nulla alla base: una richiesta da un tribunale di un paese a un tribunale di un altro, trasmessa per via diplomatica e concessa per cortesia internazionale anziché per obbligo. È ciò che si usa dove non esiste alcun trattato, ed è più lenta del meccanismo che già viene considerato lento.

I quattro filtri che una richiesta deve superare

Non sono formalità. È qui che avviene la selezione, e tre dei quattro filtri vengono applicati da persone che non hanno alcun interesse nell'indagine.

1. Doppia incriminabilità. La maggior parte dei trattati consente di rifiutare l'assistenza quando la condotta descritta non costituisce reato anche nello Stato richiesto. Un paese la cui legge non riconosce il reato non ha nulla da ordinare ai propri tribunali.
2. Specificità. La richiesta deve indicare ciò che si vuole con una precisione sufficiente perché un giudice locale possa firmarne l'ordine. “Tutto ciò che è associato a questo sito web” non è qualcosa per cui un tribunale in uno Stato di diritto emette un ordine.
3. Il diritto interno dello Stato richiesto. L'ordine che infine arriva è un ordine interno, e deve quindi soddisfare i requisiti interni — proporzionalità, protezione dei dati, e nell'Unione europea l'articolo 48 del GDPR, che rende una richiesta di un paese terzo riconoscibile solo se sostenuta da un accordo internazionale.
4. Il registro deve esistere. Nessun trattato obbliga una società a produrre qualcosa che non detiene, e nessun tribunale le ordina di ricostruirlo.

Il quarto filtro è l'unico su cui un cliente abbia una qualche influenza, ed è quindi l'unico per cui valga la pena spendere qualcosa. Tutto il resto di quell'elenco è la procedura di qualcun altro. Cosa contengano i registri è una decisione presa da un fornitore anni prima che la richiesta arrivi, e da Lei quando sceglie cosa la Sua stessa applicazione registri — il che è l'argomento di cosa registra il Suo sito sui lettori.

Perché richiede tutto questo tempo

Ogni passaggio di quella catena è una scrivania con un arretrato, e i ritardi si sommano anziché sovrapporsi. La cifra di solito citata per una richiesta di assistenza legale reciproca portata a termine è vicina a dieci mesi, e non proviene da questo settore: l'ha riportata nel 2013 lo stesso gruppo di revisione statunitense su intelligence e tecnologie della comunicazione, e la Commissione europea ha citato una cifra analoga mentre sosteneva le ragioni dello strumento descritto due sezioni più sotto. Da allora nulla lo ha reso in modo drastico più rapido.

Dieci mesi non sono né un tecnicismo né un motivo per rilassarsi, e trattarli come l'uno o l'altro è un errore. È un dato strutturale relativo a un processo che contiene sei code, ed è il motivo per cui esiste la richiesta di conservazione: uno strumento breve, inviato il primo giorno, che chiede che i registri esistenti oggi smettano di essere cancellati mentre il lento meccanismo procede. La conservazione è la parte che sfugge quando si ragiona in termini di tempistiche. Una richiesta che non produce nulla per un anno può comunque aver congelato qualcosa già il primo pomeriggio — se c'era qualcosa da congelare.

Il CLOUD Act riguarda la società, non il paese

Nel 2013 gli Stati Uniti hanno notificato a Microsoft un mandato per email conservate a Dublino. Microsoft ha sostenuto che un mandato interno non raggiungesse l'Irlanda. Il caso è arrivato fino alla Corte Suprema, e nel marzo 2018 il Congresso lo ha reso privo di oggetto approvando il CLOUD Act.

Ciò che l'Act ha fatto sta in una sola frase, ed è la frase che questo mercato avrebbe dovuto leggere. Ha modificato lo Stored Communications Act — 18 U.S.C. §2703 — per imporre a un fornitore soggetto alla giurisdizione statunitense di produrre i dati in suo possesso, custodia o controllo, indipendentemente dal fatto che tali dati siano conservati o meno all'interno degli Stati Uniti.

Ora la si legga per ciò che non dice. Non dice assolutamente nulla su dove si trovi il server. La posizione del disco ha smesso di essere la domanda; l'unica domanda che l'Act pone è se la società che lo detiene possa essere raggiunta da un tribunale statunitense. Una società statunitense con un data center a Francoforte vi rientra. Una società priva di presenza negli Stati Uniti ne resta fuori, e il disco che si trova in Virginia non cambierebbe le cose — per quello, gli Stati Uniti tornano nella coda descritta sopra.

L'Act ha aperto anche una seconda via: gli accordi esecutivi tra gli Stati Uniti e un governo straniero idoneo, in base ai quali le autorità di ciascuna parte possono notificare ordini direttamente ai fornitori dell'altra. Il Regno Unito ha firmato il primo nel 2019 ed è entrato in vigore nel 2022; l'Australia ha seguito. Questi accordi raggiungono i fornitori a portata dei governi firmatari e nessun altro, il che è lo stesso criterio di prima con un altro nome.

Cosa è cambiato in Europa nell'agosto 2026

L'Unione europea ha costruito una propria versione della via diretta, divenuta applicabile dal 18 agosto 2026 — abbastanza di recente perché la maggior parte delle pagine di questo mercato non si sia ancora aggiornata. Il Regolamento (UE) 2023/1543 istituisce l'ordine europeo di produzione e l'ordine europeo di conservazione: un'autorità di uno Stato membro può emettere un ordine e notificarlo direttamente a un fornitore di servizi che opera nell'Unione, senza passare per le autorità del secondo Stato come avviene invece con l'assistenza reciproca.

La sua compagna, la Direttiva (UE) 2023/1544, è la parte che la rende operativa. I fornitori che offrono servizi nell'Unione devono designare una sede o un rappresentante legale in uno Stato membro per ricevere questi ordini. Quella designazione è il punto di aggancio, ed è il criterio del CLOUD Act riscritto alla maniera europea: lo strumento raggiunge chiunque abbia accettato, operando in quel luogo, di essere raggiungibile.

L'ultima riga è quella citata in modo scorretto più spesso. La Convenzione di Budapest sulla criminalità informatica — trattato del Consiglio d'Europa ETS 185, aperto alla firma nel 2001 e oggi ratificato ben oltre i confini d'Europa — prevede la conservazione rapida all'articolo 29, l'assistenza reciproca per i dati conservati all'articolo 31, e all'articolo 35 impone a ogni parte di mantenere un punto di contatto raggiungibile ventiquattro ore su ventiquattro. L'articolo 32(b), quello che viene citato come un potere generale di accesso remoto, lo permette solo quando i dati sono pubblicamente disponibili oppure quando la persona legittimata a divulgarli acconsente. È una porta stretta, e non è una porta sul retro.

Le due vie che non passano mai da un giudice

Ecco la metà scomoda della risposta. Ogni via descritta sopra è lenta, formale e quantificabile — il rapporto alla fine di questa pagina le conta. Le vie che di fatto chiudono la maggior parte dei siti web non sono nulla di tutto questo, e chi ha seguito il meccanismo dei trattati fin qui di solito si sta preoccupando della cosa sbagliata.

• Il carrier upstream. Un fornitore affitta transito dai carrier e spazio fisico da una struttura. Un reclamo inviato a questi soggetti invece che al fornitore raggiunge una parte priva di qualunque rapporto con Lei, e che non ha nulla da perdere ad agire di conseguenza. A rispondere è invece un fornitore che possiede la relazione e che ha già rifiutato in passato.
• Il registrar. Un dominio è una licenza concessa da un registro nella propria giurisdizione, e un registro può sospendere un nome senza toccare affatto il server. La macchina continua a rispondere; semplicemente nulla si risolve più. È una superficie di attacco diversa, con una guida a sé.
• Il canale di pagamento. Un processore di carte può congelare un account a fronte di un reclamo, a proprio piacimento, senza alcuna procedura degna di questo nome e senza possibilità di ricorso. È gran parte del motivo per cui qui i pagamenti sono esclusivamente on-chain.
• Il servizio abusi. Un reclamo viene letto da una persona a una scrivania diversa, con tempi diversi, valutato rispetto a una politica aziendale anziché a una legge. Chi legge un reclamo su di Lei lo descrive dal di dentro.

Nessuna di queste è una richiesta di dati transfrontaliera, ed è esattamente per questo che trovano posto in una guida sulle richieste di dati transfrontaliere. La minaccia per cui le persone comprano hosting offshore spesso non è quella che poi le raggiunge davvero.

Leggere la struttura di un host alla luce di tutto questo

Tutto quanto sopra si riduce a una manciata di fatti verificabili su una società, e ciascuno di essi può essere accertato prima di spendere qualunque cifra.

1. Quale entità compare in fattura, e dove è registrata. Non la regione, non la bandiera sulla mappa: la società con cui si sta stipulando un contratto.
2. Un'unica entità, oppure una per ciascuna regione. Una singola società che opera in otto paesi è un solo convenuto con otto indirizzi, e un ordine contro di essa li raggiunge tutti.
3. Se qualcosa nel gruppo sia raggiungibile dalla giurisdizione a cui si sta pensando. Una capogruppo, una controllata, una sede, un conto bancario. È il criterio del CLOUD Act, e si applica molto più ampiamente di quanto faccia l'Act stesso.
4. Cosa dichiara di fare il fornitore di fronte a un ordine straniero. Per iscritto, con una tempistica, pubblicato prima ancora che gli servisse.
5. Cosa pubblica in seguito. Un conteggio di ciò che è arrivato, di ciò che ha superato la soglia legale, e di ciò che è stato effettivamente prodotto. Il terzo numero è quello che nessuno riesce a falsificare in modo convincente, perché è quello che risulterebbe imbarazzante.
6. Cosa esiste, prima ancora, per essere prodotto. L'ultima domanda, e alla fine l'unica che decide davvero qualcosa.

La struttura di questa infrastruttura è di otto regioni e otto società, ciascuna sul registro del proprio paese, ed è questa la ragione per cui un ordine ottenuto contro una di esse non è eseguibile contro un'altra senza ricominciare l'intero procedimento nel secondo paese. È un modo costoso di organizzare un'attività, ed è organizzata così soltanto per questo motivo; lo dicono i termini alla clausola 1, e l'elenco delle entità si trova sulla pagina Informazioni.

Come si presenta nei numeri

Questa infrastruttura pubblica ciò che arriva, per trimestre, e lo fa fin dalla sua apertura. Delle 164 richieste delle forze dell'ordine ricevute finora, 54 hanno superato la soglia legale — un ordine da un tribunale competente sull'entità a cui è stato notificato — e 31 hanno prodotto qualcosa.

La cifra su cui vale la pena soffermarsi è lo scarto. Centodieci richieste, due terzi di tutto ciò che è arrivato, non hanno mai superato la domanda al centro di questa intera guida: se a notificarle sia stato un tribunale in grado di raggiungere la società a cui sono state notificate. Non è un tasso di rifiuto, e non è insubordinazione. È la forma del problema, in un campione di una sola società.

La seconda cifra si trova all'altro estremo. Delle trentuno che hanno prodotto qualcosa, ciò che è stato prodotto è inventario — un indirizzo email associato a un account, una voce di un registro on-chain — e mai il contenuto di un disco. Non perché una linea sia stata difesa eroicamente, ma perché un registro mai creato non può essere consegnato a nessuno. Il rapporto completo si trova sulla pagina della trasparenza, e il processo che conta è descritto nella guida per le forze dell'ordine.

Le domande che vengono realmente poste

Ogni prezzo di questa struttura è pubblicato per intero, in un unico posto. Consulti l'intero catalogo