Provvedimenti & mandati: cosa accade ai vostri dati dei moduli

Ogni azienda che gestisce moduli online con contenuti sensibili prima o poi si troverà davanti a una variante di questa domanda: cosa succede se un tribunale, un pubblico ministero, un'autorità fiscale o un governo straniero chiede al nostro fornitore di moduli di consegnare gli invii di un utente? La maggior parte delle aziende non ci pensa finché non accade. Entro allora, la scelta architetturale che determina la risposta — cosa ha effettivamente il fornitore e in che forma — è già stata presa anni prima, spesso senza che nessuno sul lato business abbia riconosciuto che fosse una scelta.

Questo articolo ripercorre com'è davvero fatto un procedimento legale contro un fornitore di moduli, cosa può o non può essere estratto per coercizione, come gli ordini transfrontalieri complicano il quadro e come un'architettura a conoscenza zero cambia radicalmente la risposta. Non è consulenza legale — vedi la nota in fondo — ma è una mappa sufficiente perché un DPO, un ufficio legale o un operatore attento alla privacy possa capire il terreno.

Cosa significa davvero «procedimento legale»

«Subpoena» è un termine statunitense; altrove il vocabolario cambia. In Svizzera un pubblico ministero può emettere un ordine di edizione (Editionsverfügung); un tribunale un mandato di perquisizione e sequestro; un'autorità fiscale un'ordinanza di informazione; un tribunale civile può imporre la produzione di documenti tramite ordini procedurali. Negli Stati UE esistono strumenti analoghi nei codici di procedura penale, civile e nelle leggi settoriali (antiriciclaggio, fiscale, telecomunicazioni). A livello UE, gli Ordini europei di indagine (OEI) e il nuovo regolamento e-Evidence creano meccanismi transfrontalieri. E gli Stati Uniti estendono la propria procedura all'estero tramite lo Stored Communications Act e il CLOUD Act.

La forma condivisa di questi strumenti è abbastanza coerente che un solo modello mentale ne copre la maggior parte:

• Un'autorità pubblica — tribunale, PM, regolatore, talvolta una parte civile — emette una richiesta formale al fornitore di moduli per dati specifici su uno specifico utente, account, modulo o insieme di invii
• La richiesta è sostenuta da un certo livello di procedura giudiziaria o quasi-giudiziaria; il fornitore non ha libertà illimitata di rifiutare, ma di solito ha motivi per contestare
• La richiesta include tipicamente un obbligo di non divulgazione che impedisce al fornitore di informare l'utente per un periodo definito
• Il fornitore produce ciò che ha, nella forma in cui lo ha. Un fornitore serio si oppone a richieste troppo ampie, chiede restringimenti ed esaurisce i propri strumenti di contestazione. Uno meno serio coopera con meno verifica
• Ciò che esce dalla porta è esattamente ciò che contenevano i sistemi del fornitore — né più né meno

Quest'ultimo punto è la frase più importante dell'articolo. Tutto il resto ne discende.

Cosa può effettivamente produrre il fornitore

Il fornitore può produrre solo ciò che è nei suoi sistemi. Per uno strumento SaaS tipico, è spesso molto: contenuto di ogni invio, metadati su chi ha inviato cosa e quando, indirizzi IP che hanno acceduto al modulo, ticket di supporto collegati all'account, log di audit amministrativi e talvolta le chiavi e la configurazione della crittografia a riposo applicata dal fornitore. Nulla di tutto ciò richiede di rompere un sistema crittografico — tutto è in un database che il personale del fornitore può interrogare.

Un fornitore a conoscenza zero, invece, si trova strutturalmente altrove. Se il fornitore non riceve mai testo in chiaro — perché ogni risposta e ogni allegato sono stati crittografati nel browser contro una chiave pubblica la cui privata non è mai presso di lui — il database contiene solo cifrato. Un ordine può essere notificato e ottemperato; ciò che esce è cifrato senza mezzi di decrittazione. La richiesta è soddisfatta formalmente; l'effetto operativo sulla riservatezza è drasticamente ridotto.

Procedure svizzere, UE e transfrontaliere

Procedura svizzera contro un fornitore svizzero

Quando un PM o tribunale svizzero notifica un ordine a un fornitore con sede in Svizzera, la procedura resta nel diritto svizzero. Le basi sono il CPP svizzero, il diritto fiscale e amministrativo e la procedura civile. I diritti di protezione dati ai sensi della nLPD continuano ad applicarsi; l'interessato può in alcuni casi essere informato dopo un termine statutario, nei limiti delle regole proprie dell'autorità. Il diritto svizzero riconosce categorie di privilegio (legale, medico, religioso) che limitano il sequestro. Un fornitore svizzero in buona fede esamina gli ordini per eccessiva ampiezza e invoca privilegi pertinenti.

Procedura UE contro un fornitore UE

Nell'UE, procedure penali, fiscali e civili degli Stati membri disciplinano la produzione coatta. Per indagini penali transfrontaliere, gli Ordini europei di indagine (OEI) consentono alle autorità di uno Stato membro di chiedere prove detenute in un altro. Il prossimo regolamento e-Evidence UE ((UE) 2023/1543) razionalizza ulteriormente le richieste transfrontaliere di prove elettroniche, inclusi ordini di produzione e conservazione diretti ai prestatori in altri Stati membri.

Portata USA all'estero: CLOUD Act

Il CLOUD Act statunitense (2018) estende esplicitamente la procedura USA ai dati detenuti da prestatori con sede USA ovunque siano memorizzati — UE e Svizzera inclusi. Un PM USA può notificare un mandato a un fornitore di moduli incorporato negli USA e imporre la produzione dei dati di un utente svizzero anche se i dati risiedono in un datacenter svizzero. Il CLOUD Act ha anche istituito un quadro di accordi esecutivi in cui talune autorità estere possono notificare direttamente richieste a fornitori USA; Regno Unito e Australia hanno tali accordi in vigore.

Implicazione pratica per un'azienda svizzera: se il vostro fornitore di moduli è incorporato negli USA o è una controllata a maggioranza USA, i dati sono nel raggio del CLOUD Act, indipendentemente da dove siano fisicamente conservati e dalla nazionalità dell'utente. Il diritto UE/CH di protezione dati non supera la giurisdizione USA su un fornitore USA; incide solo su ciò che il fornitore è autorizzato a fare sotto diritto UE/CH e se debba infrangere una legge per obbedire all'altra.

Svizzera ↔ giurisdizioni estere: assistenza giudiziaria

Un'autorità estera che voglia ottenere dati detenuti da un fornitore svizzero senza passare per il CLOUD Act (perché il fornitore non è di proprietà USA) ha essenzialmente una via: una richiesta di assistenza giudiziaria internazionale secondo l'AIMP (IRSG) o una convenzione di scambio di informazioni fiscali. Le autorità svizzere valutano la richiesta, in molti casi informano la persona interessata e solo allora impongono la produzione. Questo processo è più lento, più controllato e più tutelante dell'interessato rispetto a un mandato domestico diretto.

Cosa accade all'interessato

Quando una richiesta legale colpisce gli invii di un utente, l'utente tipicamente non sa nulla al momento della notifica. La maggior parte degli strumenti include un obbligo di non divulgazione che impedisce al fornitore di avvisare l'utente per un periodo definito, spesso prorogabile. Serve a preservare l'integrità delle indagini — ed è anche il motivo per cui «mi fido del mio fornitore perché me lo dica» non è di solito una postura difendibile: fornitori anche benintenzionati possono avere divieto legale di avvisare.

Terminata la finestra di non divulgazione, i fornitori con buone pratiche di privacy avvisano gli interessati. Alcuni pubblicano rapporti di trasparenza annuali con numeri aggregati. Il diritto svizzero e molti diritti UE richiedono nella maggior parte dei casi una qualche forma di avviso all'interessato, una volta cadute le esigenze di segretezza. Nulla di ciò protegge retroattivamente dati prodotti in chiaro durante la finestra.

Cosa cambia la conoscenza zero per l'utente

In un'architettura a conoscenza zero, il contenuto degli invii è protetto dalla produzione indipendentemente dalle pratiche di notifica del fornitore. Anche con finestra di non divulgazione aperta, anche se l'utente non lo scopre mai, anche se il fornitore coopera pienamente e prontamente: ciò che l'autorità riceve è cifrato. Per un utente a cui importi la riservatezza — whistleblower, paziente, cliente di uno studio legale, rifugiato politico — è la garanzia che conta, perché non dipende dal personale, dalle procedure o dalle risorse legali del fornitore.

Cosa la conoscenza zero non può fare

Essere onesti sui limiti conta; altrimenti l'argomento slitta nel marketing. La conoscenza zero ha proprietà precise e lacune precise.

• Non nasconde i metadati. ID modulo, timestamp, dimensioni dei payload e indirizzi IP registrati dal fornitore di hosting possono essere oggetto di procedura
• Non copre i dati a livello di account — e-mail del titolare del modulo, fatturazione, abbonamenti — salvo che il fornitore applichi controlli equivalenti anche a quei sistemi
• Non impedisce richieste prospettive. Un tribunale può imporre al fornitore di modificare un modulo per il futuro, di registrare campi aggiuntivi o di consegnare silenziosamente un nuovo payload al browser di un utente specifico. Le giurisdizioni variano sulla liceità, ma la crittografia dei dati passati non blocca ciò
• Non protegge contro la compromissione del detentore della chiave — se l'Access Code del titolare è esso stesso compromesso, intimato o ottenuto sotto coercizione, il cifrato può essere decrittato
• Non sostituisce l'opsec per utenti ad alto rischio. Un whistleblower che invia da un dispositivo di lavoro su una rete aziendale rimane identificabile tramite quel dispositivo e quella rete, indipendentemente dalla forza della crittografia del modulo

La formulazione onesta: l'architettura a conoscenza zero assicura che il fornitore non possa essere costretto a produrre contenuti di invio leggibili, perché non li possiede. È una protezione significativa e specifica. Non è uno scudo universale contro il potere statale.

Checklist: valutare la postura procedurale del vostro fornitore

Come si inserisce Schweizerform

Schweizerform è incorporato in Svizzera, ospita i payload di invio su infrastruttura svizzera e applica la crittografia end-to-end a conoscenza zero a ogni invio. Concretamente:

• Contenuto degli invii e file caricati sono crittografati nel browser del mittente prima di lasciare il dispositivo, con chiavi controllate solo dal titolare del modulo — noi non possiamo leggerli
• Una richiesta legale notificata a Schweizerform sul contenuto degli invii può essere evasa solo con cifrato; non deteniamo l'Access Code e non possiamo produrlo
• La giurisdizione societaria svizzera ci tiene fuori dalla portata del CLOUD Act; le autorità estere devono passare per l'assistenza giudiziaria e la revisione svizzera
• Pubblichiamo dichiarazioni chiare su cosa possiamo e non possiamo produrre in procedura e contestiamo ordini troppo ampi dove il diritto svizzero lo permette
• La conservazione dei metadati è minimizzata di default; ciò che conserviamo è documentato nella nostra politica di trattamento

Questo non fa di noi — né di alcun fornitore — una garanzia contro tutte le forme di potere statale. Significa che, sull'asse preciso «cosa esce dalla porta quando arriva un ordine», la nostra capacità di consegnare contenuti dei vostri utenti è limitata dalla crittografia, non dalla nostra buona volontà.

La conclusione

I procedimenti legali contro fornitori di moduli sono routine, silenziosi e quasi mai visibili agli utenti i cui dati sono coinvolti. Se quel procedimento termini con invii in chiaro che varcano la soglia di un ufficio del fornitore o con cifrato inutile è deciso non dal linguaggio della policy di privacy del fornitore, ma dalla sua architettura — e dalla giurisdizione che ha la via più breve per costringere quell'architettura.

Se ciò che i vostri utenti inviano è abbastanza sensibile da non volerlo vedere in un fascicolo, la domanda di valutazione non è se il vostro fornitore «tenga alla privacy». È se il fornitore possa fisicamente leggere l'invio e se si trovi in una giurisdizione in cui quella leggibilità sia a un solo ordine nazionale dalla consegna a un terzo. Tutto il resto discende da questi due fatti.