Cos'è la residenza dei dati?

La residenza dei dati è la posizione geografica o fisica di dati. Può essere identificata dal paese o dalla regione che ospita i data center, i server o altre infrastrutture che elaborano e memorizzano i dati.

Pianificare e monitorare la residenza dei dati è un compito importante che contribuisce a garantire la conformità con le leggi di sicurezza dei dati e privacy dei dati in tutto il mondo. Poiché le leggi sulla protezione dei dati spesso variano a seconda della giurisdizione, la posizione geografica degli asset di dati di un'organizzazione può determinare quali requisiti legali si applicano.

I requisiti legali spaziano dalle norme sul consenso per la raccolta dei dati ai limiti di tempo per il data storage. Inoltre, alcuni paesi hanno requisiti di residenza dei dati per le organizzazioni che operano all'interno dei loro confini: impongono la localizzazione dei dati, ovvero che i dati risiedano in una posizione specifica, con trasferimenti di dati limitati o non consentiti.

Le aziende si affidano sempre più a soluzioni software per determinare e tracciare la residenza dei dati, al fine di garantire la conformità normativa. Tali soluzioni monitorano i flussi di dati tra diverse località, anche oltre i confini nazionali, per garantire che i dati non violino i requisiti normativi nelle varie destinazioni.

Per comprendere l'importanza della residenza dei dati oggi, è utile rivedere l'evoluzione sia del data storage che delle protezioni dei dati in tutto il mondo.

All'inizio degli anni 2000, le moderne infrastrutture cloud e i fornitori di servizi cloud hanno trasformato il panorama della gestione e del trattamento dei dati. L'accesso on-demand ai server remoti ha fatto sì che le aziende non fossero più limitate alle potenze di calcolo e storage disponibili on-premise. Rendendo invece possibile utilizzare al meglio i data center in diversi paesi gestiti da provider di cloud come Amazon Web Services (AWS), Microsoft Azure e Google Cloud.

Questa infrastruttura basata su cloud offre una rapida scalabilità e flessibilità, oltre a una latenza inferiore per casi d'uso come edge computing (dove le risorse di calcolo devono essere localizzate vicino al sito di creazione dei dati). Man mano che sempre più aziende incorporano workload AI, l'uso dei data center non farà che crescere, con una domanda di capacità del data center che si prevede quasi triplicherà entro il 2030, secondo una ricerca McKinsey del 2025.¹

Man mano che i progressi tecnologici hanno permesso alle aziende di raccogliere, elaborare e memorizzare una maggiore quantità di dati dei clienti, i governi hanno iniziato a elaborare leggi sulla privacy dei dati per proteggere i consumatori. L'Unione Europea è stata all'avanguardia nella disciplina della raccolta e della protezione dei dati, con la Direttiva sulla protezione dei dati del 1995 e poi con il Regolamento generale sulla protezione dei dati (GDPR), entrato in vigore nel 2018. Il GDPR stabilisce i requisiti per la protezione dei dati personali da parte delle organizzazioni e definisce i diritti dei residenti dell'UE, noti anche come "interessati", in merito alla raccolta, all'utilizzo e al possesso dei dati personali.

Paesi al di fuori dell'UE, come Australia, Brasile, Canada, Cina, India, Giappone, Sudafrica ed Emirati Arabi Uniti, hanno infine introdotto protezioni proprie dei dati. Oggi, quasi l'80% dei paesi ha leggi sulla privacy dei dati.²

In molti casi, gli sforzi di protezione dei dati dei legislatori includevano anche leggi sulla localizzazione dei dati, ovvero misure che impediscono alle organizzazioni di trasferire i dati al di fuori di una determinata regione e impongono loro di mantenere la residenza dei dati in tale regione. Oltre alle preoccupazioni riguardo ai diritti alla privacy, i sostenitori della localizzazione dei dati hanno citato preoccupazioni di sicurezza e cybersecurity: i dati sensibili conservati al di fuori del paese potrebbero essere più difficili da raggiungere per le agenzie di sicurezza di quel paese, potendo però essere potenzialmente vulnerabili alla sorveglianza straniera e alle violazioni dei dati da parte di sindacati criminali internazionali.

I requisiti di localizzazione vanno dal divieto totale dei trasferimenti transfrontalieri di dati personali (come in Russia) ai limiti al trasferimento di determinati tipi di dati, come i dati sanitari sensibili (come in Australia).³ Secondo McKinsey, tre quarti dei paesi hanno implementato regole di localizzazione dei dati.⁴

L'intersezione di queste tendenze (la crescita del cloud computing e lo sviluppo delle leggi sulla privacy dei dati e sulla localizzazione in diversi paesi) ha reso critico per le aziende sapere esattamente dove risiedono i propri dati in ogni momento. Oggi le organizzazioni hanno il compito di determinare se i loro ecosistemi dati in crescita, distribuiti nei data center di tutto il mondo, soddisfino i requisiti di conformità nelle giurisdizioni competenti. E determinare quali leggi si applicano a quali asset di dati significa accertare e monitorare la residenza dei dati regolamentati.

Residenza dei dati e sovranità dei dati sono termini distinti ma strettamente correlati. Mentre la residenza dei dati si riferisce alla specifica localizzazione dei dati, la sovranità dei dati è il principio secondo cui le nazioni hanno autorità legale e regolatoria sui dati generati o processati all'interno dei loro confini. In sostanza, la residenza dei dati è un concetto geografico, mentre la sovranità dei dati è un concetto legale.

La residenza dei dati è spesso fondamentale per determinare quali leggi sulla sovranità dei dati si applicano e, a seconda del flusso dei dati, sia la residenza che la sovranità dei dati possono estendersi a più di un paese.

Ad esempio, un'azienda con sede negli Stati Uniti deve conformarsi ai requisiti del GDPR se effettua la raccolta e lo storage di dati all'interno di uno Stato membro dell'UE. Perché in questo scenario, i dati avrebbero sede in quello Stato, il che significa che l'UE avrebbe la sovranità sui dati. Se quell'azienda trasferisse i dati per l'elaborazione da parte di un'app SaaS in Canada, i dati avrebbero anche la residenza in quel paese. Questo, a sua volta, estenderebbe la sovranità dei dati al Canada e probabilmente richiederebbe il rispetto del suo Personal Information Protection and Electronic Documents Act (PIPEDA).

Il panorama globale delle leggi e dei regolamenti relativi alla residenza e alla localizzazione dei dati è complesso e in evoluzione, con alcune regole più restrittive di altre. I ricercatori di McKinsey classificano le misure di localizzazione in quattro categorie.⁵

• Mandati che richiedono che i dati siano memorizzati e elaborati in una specifica regione geografica, il che richiede quindi alle aziende di costruire o utilizzare infrastrutture locali in tali giurisdizioni.
  
  
• Normative che consentono la replica dei dati al di fuori della regione geografica originale, richiedendo al contempo che una copia rimanga nella regione originale.
  
  
• Normative che richiedono alle organizzazioni di ottenere il consenso delle persone per trasferire i dati personali al di fuori della loro giurisdizione originale.
  
  
• Regolamenti che consentono trasferimenti di dati al di fuori della giurisdizione originale ma richiedono che vengano adottate misure per proteggere la privacy dei dati.

Giurisdizioni diverse possono avere requisiti differenti, alcuni dei quali si applicano solo a determinati tipi di dati sensibili.

Le aziende rischiano una serie di conseguenze se non riescono a monitorare e gestire la residenza dei dati nei loro storage dei dati.

Le imprese, specialmente quelle in settori regolamentati con flussi di dati transfrontalieri, stanno sfruttando software per tracciare la residenza dei dati e garantire la conformità normativa in diverse giurisdizioni. Il tipo di soluzione più comune è la gestione del livello di sicurezza dei dati (DSPM).

Le piattaforme DSPM individuano i dati e tracciano i flussi di dati tra risorse on-premise e cloud. Possono individuare e classificare dati sensibili e individuare i rischi di non conformità ai framework applicabili. In altre parole, un DSPM può avvisare le organizzazioni quando i dati memorizzati o processati in un determinato paese non vengono gestiti in conformità con le leggi di quel paese.

Molte soluzioni DSPM forniscono anche istruzioni di correzione per la risoluzione dei potenziali rischi, consentendo alle aziende di affrontare i problemi di residenza e sovranità dei dati prima che si trasformino in problemi costosi.