"I nostri dati restano in Brasile" è una delle frasi più ripetute nei contratti tecnologici e raramente verificata nella pratica. L'affermazione sembra obiettiva: o i server sono qui o sono da qualche altra parte. Ma il concetto di residenza dei dati è tecnicamente più complesso dell’ubicazione fisica di un data center, e la differenza tra ciò che i contratti garantiscono e ciò che accade nell’infrastruttura è dove sorgono la maggior parte dei problemi di conformità.
Cosa significa realmente la residenza dei dati dal punto di vista tecnico
La residenza dei dati ha tre dimensioni distinte che raramente vengono trattate come separate. Il primo è dove vengono archiviati i dati inattivi: dove risiedono fisicamente file, record di database e oggetti di archiviazione. Il secondo è il luogo in cui vengono elaborati i dati: i server applicativi che eseguono query, trasformazioni e analisi potrebbero trovarsi in una posizione diversa da quella in cui si trovano i dati che manipolano. Il terzo, spesso trascurato, è dove risiedono i metadati: indici, log di accesso, dati di configurazione e log di controllo che descrivono i dati master.
La maggior parte degli accordi sulla residenza dei dati copre solo la prima dimensione. Un'azienda può far archiviare i dati di produzione nella regione del Brasile meridionale di un fornitore di servizi cloud e, allo stesso tempo, inviare automaticamente i registri di accesso a questi dati a una regione negli Stati Uniti, leggere repliche per le prestazioni create in altre regioni o pipeline di analisi che spostano i dati per l'elaborazione nell'infrastruttura globale.
Il trattamento dei dati è particolarmente problematico. Quando un utente in Brasile esegue una ricerca e la query viene inviata a un motore di ricerca globale distribuito, dove avviene questa elaborazione? Quando un modello di machine learning addestrato negli Stati Uniti fa inferenza sui dati brasiliani, dove risiedono i dati in quel momento? Le risposte dipendono dall'architettura specifica di ciascun sistema e raramente sono esplicitate nei contratti di servizio standard.
Come i grandi fornitori di servizi cloud affrontano l'argomento
AWS offre la regione sa-east-1 a San Paolo dal 2011, con un ampio catalogo di servizi disponibili a livello locale. La promessa di residenza dei dati di AWS è che i dati archiviati in una regione non vengono spostati al di fuori di essa senza un'azione esplicita da parte del cliente. Ciò riguarda l'archiviazione primaria, il database gestito e l'elaborazione. Cosa non è incluso automaticamente: i log di AWS CloudTrail possono essere configurati per l'invio a diverse regioni, il supporto tecnico AWS può essere fornito da ingegneri in altre regioni con accesso agli ambienti dei clienti e servizi globali come AWS IAM e Route 53 dispongono di un'infrastruttura di controllo che non è regionale.
Microsoft con Azure Brazil South a San Paolo offre garanzie simili per i servizi principali, ma con un catalogo più piccolo rispetto alle regioni più vecchie: alcuni servizi disponibili negli Stati Uniti o in Europa non sono disponibili nella regione brasiliana, il che potrebbe forzare architetture ibride che contraddicono i requisiti di residenza. Oracle Cloud con una regione a Vinhedo, San Paolo, è un'opzione rilevante soprattutto per i carichi di lavoro di Oracle Database con requisiti normativi.
Ciò che accomuna tutti i fornitori: i backup geografici sono una funzionalità che spesso richiede una configurazione esplicita per rimanere all'interno del paese. La replica automatica per garantire la durabilità dei dati può, per impostazione predefinita, distribuire copie tra regioni di paesi diversi. La verifica della configurazione di replica predefinita prima di presumere che i dati siano contenuti è responsabilità del cliente.
Le eccezioni che i contratti menzionano raramente
L'accesso al supporto è l'eccezione più significativa. Quando un'azienda apre un ticket di supporto tecnico con AWS, Azure o Google Cloud, il tecnico che risponde può trovarsi in qualsiasi parte del mondo e potrebbe richiedere l'accesso all'ambiente del cliente per diagnosticare il problema. I provider dispongono di controlli per limitare questo accesso, ma l'impostazione predefinita non è l'accesso zero. Il sistema AWS Nitro e Azure Customer Lockbox sono esempi di meccanismi che offrono ai clienti il controllo su quando e da chi è possibile accedere al loro ambiente, ma devono essere abilitati e compresi.
I registri di conformità e di controllo rappresentano un altro punto cieco frequente. Gli strumenti SIEM (Security Information and Event Management) e le piattaforme di monitoraggio che aggregano i registri di più regioni spesso hanno la propria infrastruttura di archiviazione in regioni in cui il servizio è più economico o ha maggiore capacità. Il cliente configura l'agente di riscossione nella regione brasiliana, ma i dati di registro finiscono per essere archiviati in un altro paese.
I servizi CDN e edge computing per definizione distribuiscono i dati vicino agli utenti a livello globale. Se un'azienda utilizza CloudFront, CDN di Azure o Fastly per distribuire contenuti, parti di tali contenuti, inclusi potenzialmente i dati utente memorizzati nella cache, potrebbero esistere temporaneamente su server in altri paesi. Per la maggior parte dei tipi di dati ciò è accettabile, ma per i dati personali sensibili richiede un'analisi specifica.
Cosa chiedere ai fornitori prima di firmare
La due diligence sulla residenza dei dati con i fornitori inizia con domande specifiche, non con la conferma che "i dati rimangono in Brasile". Le domande che contano sono: dove vengono archiviati i backup e le repliche per impostazione predefinita ed è possibile configurarli per rimanere in Brasile? Quali regioni vengono utilizzate per l'analisi e l'elaborazione dei dati di machine learning? Quali dipendenti hanno accesso tecnico all'ambiente e da dove operano? Dove vengono archiviati i registri di controllo? Esistono servizi di supporto, strumenti diagnostici o canali di telemetria che inviano dati a infrastrutture al di fuori del Brasile?
I fornitori che non riescono a rispondere a queste domande in modo accurato non hanno una residenza dei dati reale: hanno un marketing sulla residenza dei dati. La distinzione è importante perché incide direttamente sulla capacità di dimostrare la conformità in caso di controllo da parte dell'ANPD o da parte dei clienti che richiedono prove.
Una strategia pratica per chi ha bisogno di assicurarsi una residenza reale
Il primo passaggio è un inventario del flusso di dati: la mappatura della destinazione di ciascuna categoria di dati dopo essere entrata nell'ambiente. Non solo dove vengono inizialmente archiviati, ma anche dove fluiscono attraverso integrazioni, repliche, pipeline di analisi e strumenti di terze parti. Questa mappatura spesso rivela punti di uscita dei dati che non erano stati considerati nell'architettura originale.
Il secondo passaggio consiste nel rivedere le impostazioni predefinite per ciascun servizio in uso. I fornitori di servizi cloud spesso consentono di configurare la residenza dei dati su base granulare, ma le impostazioni predefinite sono ottimizzate per la disponibilità globale, non per la conformità locale. La differenza tra ciò che il servizio può fare e ciò per cui è configurato è il punto in cui la maggior parte dei progetti di residenza dei dati falliscono.
Il terzo passaggio, e quello più spesso ignorato, consiste nel creare un processo di verifica continua. Gli ambienti cloud cambiano. Vengono aggiunti nuovi servizi, le integrazioni vengono configurate da diversi team e le impostazioni di residenza dei dati possono essere modificate accidentalmente. Il monitoraggio automatico delle policy di localizzazione dei dati, disponibile tramite AWS Config, Azure Policy o strumenti CSPM, è ciò che trasforma la residenza dei dati da snapshot a garanzia sostenibile.
Leggi anche
- LGPD due anni dopo: cosa è veramente cambiato nelle aziende brasiliane
- Sovranità digitale: quando il luogo in cui vivono i tuoi dati diventa una decisione strategica
- LGPD nel 2026: cosa è cambiato, cosa non è stato ancora rispettato e cosa arriverà
- Conformità digitale: comparazione nella pratica
- LGPD nelle startup: strategie di compliance e protezione dei dati
- Conformità digitale: Guida alla conformità per i prodotti digitali