Conservazione dei dati in Svizzera: data center, regioni e certificati

I dati hanno bisogno di un luogo fisico

Ciò che accade su smartphone e laptop sembra immateriale. In realtà, ogni messaggio e ogni video si basano su processi fisici: tensioni elettriche, stati magnetici e onde radio. Questi processi richiedono un luogo. Cellulari e laptop non hanno spazio, batteria o potenza di calcolo sufficienti e per questo li esternalizzano.

Chi visita un sito web lo recupera da un server; chi effettua una ricerca la avvia su questi computer; chi salva dati nel cloud li carica su un server in un data center. Il data center Wankdorf di Swisscom a Berna consente la funzione di replay di sette giorni di Swisscom TV e gestisce l'e-banking di decine di banche.

Con la diffusione di strumenti di IA come ChatGPT, la domanda di potenza di calcolo è ulteriormente aumentata: l'IA ne richiede una quantità multipla e le aziende la utilizzano per l'analisi dei dati, le previsioni di tendenze, le raccomandazioni personalizzate o la pubblicità. Le aziende possono affittare spazi nei data center e utilizzare una parte dei server; in Svizzera lo stanno facendo sempre più Google, Amazon e Microsoft. Microsoft ha annunciato che investirà 400 milioni di dollari USA nei data center svizzeri per il cloud e l'IA.

Perché la Svizzera è considerata una piazza dati

Il concetto operativo del centro tecnologico di Laufenburg, che dovrebbe ospitare il primo data center per l'IA della Svizzera, cita tre fattori: Neutralità, stabilità politica e legge sulla protezione dei dati. Nella stessa direzione puntano la reputazione della Svizzera per la rigorosa protezione dei dati, la stabilità politica, la disponibilità di energia verde, il basso rischio sismico e Zurigo come hub emergente per l'IA.

Con oltre 13 data center per milione di abitanti, la Svizzera si annovera tra i Paesi con la densità più alta. Nel nostro Paese ci sono circa 120 data center, di cui circa 20 sono attualmente in costruzione. Questa densità dimostra l'attrattiva della piazza, ma non funge da classifica: non dice nulla sul fatto che un singolo fornitore soddisfi i requisiti per una specifica conservazione dei dati.

Data center in Svizzera a confronto con altri Paesi

Vantaggi e rischi della sede dei server in Svizzera

Top 3 fattori per la sede di un data center in Svizzera

Regioni: rete elettrica, superficie e limiti spaziali

Le reti elettriche sono ben sviluppate, soprattutto nelle aree urbane. Nelle regioni periferiche può diventare più impegnativo, poiché l'infrastruttura di rete non è ancora sviluppata nella stessa misura. Adrian Altenburger della Scuola universitaria professionale di Lucerna osserva: «Nonostante la densità regionale di data center ad alta intensità energetica, la Svizzera non è ancora al punto in cui si dovrebbe limitare la costruzione di nuovi data center.» Al momento non si profila alcun sovraccarico della rete.

Altenburger non esclude in futuro un moratorio come quello della Grande Dublino, dove è stato imposto un blocco per i nuovi data center fino al 2028. L'Irlanda, tuttavia, parte da un livello diverso: i data center irlandesi nel 2023 hanno consumato quasi il 21 percento dell'intera elettricità irlandese. Cifre di questo tipo descrivono un possibile scenario futuro, non una previsione per la Svizzera.

Il consumo di elettricità cresce con la domanda

Secondo uno studio della Scuola universitaria professionale di Lucerna commissionato dall'Ufficio federale dell'energia, nel 2019 i data center in Svizzera hanno consumato circa 2,1 terawattora di elettricità, pari a circa il 3,6 percento del consumo nazionale. L'autore dello studio, Adrian Altenburger, stima in un'intervista a SRF che la loro quota oggi si aggiri già tra il sei e l'otto percento e che, a fronte di un consumo nazionale di elettricità costantemente stabile in futuro, potrebbe crescere fino al 15 percento entro il 2030. Sarebbe più di quanto abbia consumato l'intero Canton Zurigo nel 2023.

Così, la forte crescita della domanda si scontra con una rete le cui capacità e le cui valutazioni per l'ulteriore espansione sono descritte nella sezione sulle regioni. Decisiva non è la quantità a livello nazionale, ma dove si concentra il carico e se il collegamento in loco è sufficiente.

Consumo di elettricità e conservazione dei dati in Svizzera

Cosa protegge fisicamente e tecnicamente un data center

Secondo Fabasoft, i data center nella regione DACH sono tra i più sicuri al mondo. Come misure di protezione, l'azienda cita sistemi di sorveglianza, controlli di accesso, autenticazione a due fattori, firewall e tecnologie antincendio all'avanguardia. Una progettazione tecnica ridondante e sedi distribuite geograficamente garantiscono un'elevata sicurezza contro i guasti e disponibilità, inclusa una rapida ripristino in caso di interruzioni.

La crittografia più avanzata protegge i dati durante la trasmissione e lo stoccaggio. Rigorosi controlli di accesso consentono l'ingresso solo a personale autorizzato, riducendo il rischio di perdita di dati e di accessi non autorizzati.

Chi può accedere ai dati dall'esterno dell'azienda

Nel marzo 2018, gli Stati Uniti hanno approvato il US CLOUD (Clarifying Lawful Overseas Use of Data) Act. Esso consente alle autorità statunitensi di accedere ai dati delle aziende americane, indipendentemente da dove questi siano effettivamente memorizzati. In un mondo interconnesso, ciò facilita le indagini penali globali, ma è in forte contraddizione con le normative europee e svizzere sulla protezione dei dati.

Ne consegue, per la scelta del fornitore, che le organizzazioni che trattano dati particolarmente degni di protezione, come i dati personali o informazioni riservate sull'azienda, devono tenerne accuratamente conto nella selezione dei fornitori di software, secondo Fabasoft. La sola ubicazione dei server in Svizzera non è sufficiente se il fornitore è soggetto al diritto americano. Prima dell'assegnazione, è quindi necessario chiarire chi è il proprietario dell'infrastruttura, quale società stipula il contratto, sotto quale ordinamento giuridico rientra una società madre e quali impegni prende il fornitore riguardo alla consegna dei dati.

Criteri importanti per la selezione di un fornitore cloud in Svizzera

Certificati come orientamento

Le aziende e le organizzazioni pubbliche attribuiscono grande importanza alla trasparenza e alla conformità nella gestione delle loro informazioni e documenti riservati; gli standard di protezione dei dati in vigore in Svizzera e nell'Unione Europea rendono questa regione una sede ideale per lo stoccaggio e l'elaborazione di dati sensibili. Le certificazioni dovrebbero rendere verificabile questa fiducia, anziché limitarsi ad affermarla.

Uno standard consolidato per i sistemi di gestione della sicurezza delle informazioni è la ISO 27001. La certificazione attesta che un fornitore gestisce un sistema di gestione della sicurezza documentato e lo fa verificare regolarmente; tuttavia, non copre ogni aspetto rilevante per un incarico specifico: il luogo in cui si trovano i dati, quali subappaltatori sono coinvolti, quali termini di conservazione e cancellazione si applicano e quali diritti di accesso hanno i singoli dipendenti. Queste informazioni devono rientrare nel contratto e nell'informativa sulla privacy del fornitore: un certificato non sostituisce questa verifica della specifica conservazione dei dati.

Conservazione dei dati in un rapporto di mandato: un esempio pratico

Con il servizio di prenotazione API di funky-web-box, il fornitore elabora i dati per conto dei propri clienti, ad esempio i ristoranti. La responsabilità giuridica per i dati dei loro ospiti rimane in capo ai clienti; il fornitore agisce come incaricato del trattamento ai sensi dell'art. 9 della Legge federale sulla protezione dei dati (LPD). Il trattamento avviene esclusivamente allo scopo di eseguire il contratto tra l'ospite e il ristorante; come base giuridica, il fornitore cita l'art. 6 LPD.

Per una prenotazione vengono rilevati tre tipi di dati: i dati di prenotazione con nome e indirizzo e-mail e/o numero di telefono dell'ospite, metadati come l'orario della prenotazione e il numero di persone, nonché dati di registro tecnici. I dati di registro vengono rilevati temporaneamente solo in caso di errore tecnico e possono contenere, per la durata dell'analisi, l'indirizzo IP completo, l'orario esatto e i dettagli tecnici dell'errore; vengono cancellati automaticamente dopo al massimo 7 giorni. I dati di prenotazione vengono cancellati automaticamente dopo 6 mesi, un termine che serve alla tracciabilità in caso di richieste di supporto e alla sicurezza del sistema.

I dati di prenotazione vengono trasmessi al rispettivo gestore del ristorante per l'evasione. Per il funzionamento tecnico, il fornitore si avvale del provider di hosting Hosttech; i dati vengono elaborati esclusivamente nei suoi data center in Svizzera. Non avviene alcuna trasmissione ad altri terzi come i social media o le reti pubblicitarie e tutte le trasmissioni di dati, in particolare le chiamate API, sono crittografate. Chi esamina un tale rapporto di mandato può dedurre da questo esempio quali informazioni deve fornire un fornitore: ruolo e base giuridica, categorie di dati, termini di conservazione e cancellazione, subappaltatori e ubicazione dei server.

Elaborazione dei dati di prenotazione in un rapporto di mandato