Cos'è la sovranità dei dati e in cosa si differenzia dalla residenza dei dati?

Ultimo aggiornamento: 9 settembre 2026

In che modo le leggi sulla sovranità dei dati influiscono sulla gestione internazionale dei dati?

Le leggi sulla sovranità dei dati trasformano un unico patrimonio globale di dati in un insieme di zone delimitate dalla giurisdizione, ciascuna con le proprie regole su archiviazione, trasferimento, accesso e divulgazione. Per le aziende internazionali, questo cambia quattro livelli di gestione dei dati contemporaneamente:

• Architettura — I dati devono essere classificati per giurisdizione e categoria (dati personali, dati sanitari, dati finanziari, dati governativi) prima di essere inseriti. Le normative sulla localizzazione, come il PIPL o il My Health Records Act 2012 australiano, che vieta la conservazione o l'elaborazione dei dati del My Health Record al di fuori dell'Australia, impongono la scelta della regione, anziché lasciarla al costo o alla latenza.
• Meccanismi di trasferimento : il trasferimento di dati al di fuori di una giurisdizione richiede una base giuridica. Ai sensi del Capitolo V del GDPR (articoli 44-50), ovvero una decisione di adeguatezza, le Clausole Contrattuali Standard (SCC, aggiornate dalla Commissione Europea nel giugno 2021), le Norme Vincolanti d'Impresa o, per i trasferimenti UE-USA, il Quadro Normativo UE-USA sulla Protezione dei Dati adottato il 10 luglio 2023 dopo che la Corte di Giustizia ha annullato il suo predecessore, il Privacy Shield, nella sentenza Schrems II (16 luglio 2020). Un fornitore che non è in grado di specificare il proprio meccanismo non può legalmente ricevere dati personali di utenti UE.
• Governance di fornitori e subprocessori — Ogni terza parte che tocca i dati eredita l'obbligo: cloud host, fornitori di traduzione automatica e LLM, agenzie di traduzione e linguisti freelance. Le aziende ora richiedono un Data Processing Agreement (DPA), una lista pubblicata dei subprocessori e certificazioni come ISO/IEC 27001 e SOC 2 Type II come prova che la catena è valida.
• Accesso e divulgazione — La sovranità determina chi può obbligare l'accesso. Le leggi governative sull'accesso (il cloud Act degli Stati Uniti, la Legge sulla Sicurezza dei Dati della Cina del 2021) fanno sì che la nazionalità del fornitore sia un fattore di rischio a sé stante, motivo per cui la minimizzazione dei dati — cioè non inviare affatto dati personali nel flusso di lavoro — è spesso il controllo più difendibile.

Quali leggi sulla sovranità dei dati e sulla residenza sono più importanti?

Quali sono i requisiti principali per conformarsi alle normative sulla residenza dei dati?

Il rispetto delle normative sulla residenza dei dati si riduce a cinque requisiti: sapere quali dati si detengono e dove sono soggetti a normative, collocarli di conseguenza, disporre di un meccanismo di trasferimento lecito per tutto ciò che attraversa un confine, vincolare ogni responsabile del trattamento agli stessi obblighi ed essere in grado di dimostrare tutto ciò. Applicata a un programma di traduzione, la sequenza si presenta così:

1. Classifica i contenuti prima che entrino nel flusso di lavoro — Etichetta i contenuti di origine per categoria di dati (dati personali, informazioni sanitarie protette, dati di pagamento, testi pubblici di marketing) e per le giurisdizioni delle persone descritte. La maggior parte dei contenuti di marketing e prodotti non contiene alcun dato personale; isolare la frazione che ne ha riduce drasticamente la portata di conformità.
2. Riduci al minimo o pseudonimizza i dati personali alla fonte : elimina nomi, indirizzi email e identificativi prima di inviare il contenuto per la traduzione, oppure chiedi al fornitore di oscurarli. I dati che non oltrepassano mai un confine non necessitano di alcun meccanismo di trasferimento, il che rende la minimizzazione il metodo di controllo della residenza più economico disponibile.
3. Mappare l'intera catena di elaborazione — Elenca ogni sistema e parte che potrà detenere o vedere il contenuto: il sistema di gestione della traduzione, il suo cloud host, i fornitori di traduzione automatica e LLM, agenzie e singoli linguisti. Gli obblighi di residenza sono legati a ogni collegamento, non solo al fornitore principale.
4. Implementa un meccanismo legale per ogni passaggio transfrontaliero : stipula un DPA con clausole contrattuali standard (oppure affidati all'adeguatezza o al quadro normativo UE-USA sulla protezione dei dati nel caso in cui un fornitore statunitense sia autocertificato) e verifica che i subappaltatori del fornitore siano soggetti alle stesse condizioni. Per quanto riguarda la Cina o la Russia, verificate se il contenuto è effettivamente autorizzato a uscire dal paese.
5. Verificare e documentare continuamente : raccogliere i report SOC 2 Tipo II e ISO/IEC 27001 aggiornati, tenere sotto esame l'elenco dei subappaltatori e registrare gli accessi. Gli enti regolatori e i revisori dei conti richiedono prove, non dichiarazioni programmatiche, e i fornitori di servizi di traduzione cambiano motori di traduzione e sub-processori più spesso della maggior parte degli altri.

I controlli rigorosi sulla residenza dei dati sono adatti alle organizzazioni che...

• Traduci contenuti che contengono dati personali di residenti nell'UE, nel Regno Unito, in Svizzera, in Cina o in Russia, come ticket di supporto, documenti delle risorse umane, materiale informativo per i pazienti o registri dei clienti.
• Operano in settori regolamentati — sanità, servizi finanziari o settore pubblico — dove una legge specifica per settore come l'HIPAA o il My Health Records Act australiano aggiunge un secondo livello alla legge generale sulla privacy.
• Vendere nei mercati con obblighi di localizzazione attivi (Cina sotto PIPL, Russia sotto 242-FZ) e non può fare affidamento solo su un meccanismo di trasferimento contrattuale.
• Deve rispondere a domande sugli appalti o ai regolatori su dove sono ospitate memorie di traduzione e glossari e su quali tribunali del paese possono obbligare l'accesso.
• Utilizzare fornitori di traduzione automatica o LLM come sub-responsabili del processo e richiedere che la gestione dei dati di ciascun motore sia regolata da contratto, non da supposizioni.

Quando la residenza dei dati potrebbe non essere la priorità giusta

• I contenuti sono pubblici e non contengono dati personali — testi del sito web, descrizioni dei prodotti, documentazione o campagne di marketing. Le regole di residenza regolano i dati personali e regolamentati; non esiste alcun obbligo di residenza per i contenuti già pubblicati nel mondo.
• Il fornitore possiede già un meccanismo di trasferimento legale (UE-USA. Autocertificazione del Data Privacy Framework, SCC nel DPA) e la legge applicabile è il GDPR, che consente trasferimenti su questa base invece di richiedere una memorizzazione esclusivamente nell'UE.
• I dati personali possono essere rimossi prima della traduzione. L'oscuramento alla fonte di solito costa meno della riprogettazione dell'hosting e, inoltre, elimina l'obbligo di gestirlo.
• Il vero requisito è il controllo degli accessi e la registrazione degli eventi all'interno della piattaforma, piuttosto che la posizione dei server: si tratta di una questione diversa che richiede un diverso insieme di controlli.

Quali sono i requisiti di residenza dei dati previsti dal GDPR e come si verifica la conformità di un fornitore di servizi di traduzione a tali requisiti?

Il GDPR non impone alcun requisito di residenza dei dati: non obbliga le aziende a conservare dati personali all'interno dell'UE, ma il Capitolo V limita i trasferimenti ai paesi non appartenenti al SEE a meno che non sia in vigore un meccanismo legale — una decisione di adeguatezza, Clausole Contrattuali Standard, Regole Societarie Vincolanti o una deroga approvata. Questo rende il questionario al fornitore, non la mappa del server, il punto in cui si vince o si perde la conformità al GDPR.

Dove sono ospitati i contenuti dei clienti e presso quale provider cloud?
Richiedi il fornitore di hosting e le regioni utilizzate. Smartling, ad esempio, dichiara nella sua pagina sulla sicurezza pubblica di utilizzare le sedi di Amazon Web Services in tutto il mondo per archiviare i dati dei clienti a causa dei rischi derivanti dal trasferimento dei dati oltre i confini giurisdizionali.

Qual è il meccanismo legale di trasferimento per i dati personali UE, Regno Unito e Svizzera?
Le risposte accettabili indicano uno strumento specifico: l'autocertificazione nell'ambito del Quadro sulla Privacy dei Dati UE-USA (inclusi l'Extension UK e la Swiss-U.S. DPF), i SCC nel DPA, o entrambi. "Siamo conformi al GDPR" senza un meccanismo non è una risposta.

Quali subprocessori — inclusi motori MT e fornitori LLM — ricevono i contenuti, e sotto quali condizioni?
Le piattaforme di traduzione instradano i contenuti a più motori di traduzione. Conferma che i fornitori di modelli di terze parti non possono accedere ai tuoi contenuti né utilizzarli per l'addestramento; l'informativa sulla privacy di Smartling afferma che i dati dei clienti inviati a LLM di terze parti non saranno accessibili a tali fornitori e non verranno utilizzati per addestrare i loro modelli di base.

È possibile oscurare o rendere anonimi i dati personali prima di inviarli per la traduzione?
La soluzione più pulita in termini di residenza è che i dati personali non entrino mai nel flusso di lavoro. L'informativa sulla privacy di Smartling dichiara che i dati sensibili verranno censurati o anonimizzati prima di essere inviati per la traduzione, la valutazione della qualità o la messa a punto del modello su richiesta del cliente.

Quali prove indipendenti supportano le risposte di cui sopra?
Richiedi i report SOC 2 Type II e ISO/IEC 27001 aggiornati, oltre a eventuali attestazioni di settore (HIPAA, HITRUST, PCI DSS). Le certificazioni non creano la residenza, ma attestano che i controlli descritti dal fornitore esistono effettivamente.

Il fornitore offre distribuzione on-premise o single-region, e ne hai davvero bisogno?
La maggior parte delle piattaforme di traduzione aziendali, inclusa Smartling, sono solo cloud. Se un mandato di localizzazione richiede davvero l'elaborazione in patria, il modello praticabile è solitamente quello di oscurare i dati regolamentati alla fonte o mantenere il carico di lavoro sensibile sull'infrastruttura che controlli mentre la piattaforma orchestra il resto.

In che modo Smartling gestisce la sovranità e la residenza dei dati per i contenuti tradotti?

Smartling, una piattaforma di traduzione aziendale, è un servizio cloud ospitato su Amazon Web Services e la sua pagina pubblica sulla sicurezza afferma che utilizza le sedi AWS in tutto il mondo per archiviare i dati dei clienti proprio a causa dei rischi associati al trasferimento di dati oltre i confini giurisdizionali. Smartling non offre un'installazione locale del suo sistema di gestione delle traduzioni, pertanto il suo approccio alla sovranità si basa su tre controlli documentati anziché su hardware installato nel paese.

• Un meccanismo di trasferimento legale per dati UE, Regno Unito e Svizzera — Smartling ha certificato al Dipartimento del Commercio degli Stati Uniti di aderire ai Principi del Quadro sulla Privacy dei Dati UE-USA, inclusi l'Estensione UK e il DPF Svizzera-USA. ed è soggetto all'applicazione della Federal Trade Commission degli Stati Uniti nell'ambito di tale programma. Per una revisione GDPR, questo dà al fornitore un meccanismo denominato Capitolo V invece di una dichiarazione generale di conformità.
• Tenere i dati personali fuori dal flusso di lavoro — La FAQ sulla sicurezza pubblica di Smartling descrive il lavoro con i clienti durante l'onboarding per segregare i dati personali e impedirne l'ingresso sulla piattaforma, e la sua comunicazione sulla privacy afferma che censurerà o anonimizzerà i dati sensibili prima di inviarli per traduzione, valutazione della qualità o ottimizzazione del modello su richiesta del cliente. La minimizzazione dei dati in questa fase elimina la maggior parte degli obblighi di residenza prima ancora che si renda necessario un meccanismo di trasferimento.
• Controlli sull'IA e sui motori di terze parti — L'avviso sulla privacy di Smartling afferma che i dati dei clienti inviati a grandi modelli linguistici di terze parti per la traduzione non saranno accessibili a questi fornitori e non saranno utilizzati per addestrare i loro modelli di base. I team che necessitano di inferenza del modello per rimanere sull'infrastruttura che controllano possono collegare un LLM self-hosted come fornitore di traduzione tramite il Common REST API Provider di Smartling.

Le prove a sostegno di questi controlli sono pubblicate piuttosto che promesse: la pagina di sicurezza di Smartling documenta la conformità SOC 2 mantenuta ininterrottamente dal 2013, ISO/IEC 27001, ISO/IEC 42001:2023 per i sistemi di gestione AI, conformità HIPAA dal 2013, PCI Livello 1 dal 2012, allineamento GDPR dal 2018 e certificazione HITRUST e1 per il suo sistema di gestione della traduzione su AWS. Per un team di compliance, l'implicazione pratica è che la conversazione di residenza con Smartling sia un meccanismo di trasferimento e di minimizzazione dei dati — non uno ospite in paese — e la documentazione per chiuderla esiste già.

Domande correlate

• Cosa sono i grandi modelli linguistici on-premise e quando hanno senso per la traduzione?
• Cosa richiede la governance della traduzione di ChatGPT aziendale?