I contratti cloud sono al centro di una rivoluzione legislativa. La possibilità di interrompere un rapporto con un fornitore di servizi informatici senza compromettere l’accesso ai dati aziendali rappresenta una delle questioni più rilevanti nella negoziazione dei contratti cloud. Le infrastrutture e gli ambienti di sviluppo vengono sempre più frequentemente affidati a operatori esterni, dai quali possono dipendere funzioni essenziali dell’organizzazione.
La dipendenza dal fornitore si ha anche quando il cliente dispone formalmente della facoltà di recedere o di non rinnovare il rapporto. la migrazione può risultare particolarmente complessa per l’assenza di formati esportabili, per la difficoltà di trasferire configurazioni e applicazioni oppure per i costi connessi all’uscita dall’infrastruttura. È il fenomeno comunemente definito vendor lock-in, nel quale gli ostacoli tecnici ed economici finiscono per limitare la libertà di scelta dell’impresa.
Su questo scenario è intervenuto ilRegolamento (UE) 2023/2854del Parlamento europeo e del Consiglio, del 13 dicembre 2023, noto come Data Act, applicabile, in via generale, dal 12 settembre 2025. Il Capo VI del Regolamento introduce una disciplina specifica del passaggio tra servizi di trattamento dei dati, imponendo obblighi ai fornitori e prescrivendo il contenuto di determinate clausole contrattuali.
L’obiettivo del presente contributo è esaminare gli effetti del Data Act sui contratti cloud econtratti SaaS, con particolare attenzione alla portabilità dei dati, alla cessazione del rapporto, ai costi di migrazione e alla predisposizione di un’adeguata exit strategy, ossia di una strategia contrattuale e organizzativa che consenta al cliente di cambiare fornitore in condizioni di continuità operativa e sicurezza.
Contratti cloud e Data Act: il quadro normativo europeo
IlData Actinterviene in generale sui rapporti tra clienti e fornitori di servizi informatici. In particolare, il Capo VI, agli artt. 23-31, contiene le regole destinate a rendere effettivo il passaggio da un servizio di trattamento dei dati a un altro. La disciplina deve essere letta congiuntamente alle disposizioni sull’interoperabilità, tra cui gli artt. 34 e 35.
Ai sensi dell’art. 2, punto 8), del Regolamento, per «servizio di trattamento dei dati» si intende, in sintesi, un servizio digitale che consente l’accesso di rete, su richiesta, a risorse informatiche condivise, configurabili, scalabili ed elastiche, rapidamente erogabili e rilasciabili con un limitato intervento gestionale. La definizione comprende, quando ne ricorrano i requisiti, le principali modalità di erogazione del cloud computing: Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) e Software-as-a-Service (SaaS).
La distinzione assume rilievo anche per le eccezioni. L’art. 31, par. 1, esclude l’applicazione di alcuni obblighi, tra i quali quelli relativi alle tariffe di passaggio e a determinati aspetti dell’equivalenza funzionale, per servizi sostanzialmente personalizzati per un singolo cliente o interamente sviluppati per le sue finalità, purché non offerti su vasta scala commerciale tramite il catalogo del fornitore. Il par. 2 esclude invece dall’intero Capo VI i servizi non destinati alla produzione, forniti per prova e valutazione per un periodo limitato. Il fornitore deve informare il potenziale cliente degli obblighi che non trovano applicazione.
Portabilità dei dati nei contratti cloud
Il principio centrale è enunciato dall’art. 23 del Data Act. I fornitori di servizi di trattamento dei dati devono adottare le misure prescritte dal Regolamento per consentire al cliente di passare a un diverso fornitore che offra lo stesso tipo di servizio, trasferire le proprie risorse verso un’infrastruttura informatica locale oppure, quando pertinente, utilizzare contemporaneamente più fornitori.
La disposizione impone, in particolare, di eliminare gli ostacoli precommerciali, commerciali, tecnici, contrattuali e organizzativi che impediscano la cessazione del rapporto dopo il periodo di preavviso e il completamento positivo del passaggio, la conclusione di un nuovo contratto o il trasferimento dei dati esportabili e delle risorse digitali. L’obbligo riguarda anche le situazioni nelle quali il cliente abbia beneficiato di un’offerta gratuita del servizio.
Occorre tuttavia distinguere la portabilità dalla perfetta sostituibilità di qualsiasi soluzione tecnologica. L’art. 2, punto 9), collega lo «stesso tipo di servizio» all’identità dell’obiettivo primario, del modello di servizio e delle principali funzionalità. L’equivalenza funzionale, definita dal punto 37), si riferisce a un livello minimo di funzionalità comparabile, non a un obbligo generale di riprodurre tutte le caratteristiche, personalizzazioni o prestazioni del servizio originario. Le responsabilità tecniche del fornitore devono essere ricostruite alla luce degli artt. 24 e 30.
Le clausole obbligatorie dei contratti cloud secondo il Data Act
L’art. 25 del Data Act incide direttamente sulla redazione dei contratti cloud. Il par. 1 stabilisce che i diritti del cliente e gli obblighi del fornitore relativi al passaggio debbano risultare chiaramente da un contratto scritto, messo a disposizione del cliente prima della sottoscrizione con modalità che ne consentano la conservazione e la riproduzione.
Il successivo par. 2 individua un contenuto contrattuale minimo. Il contratto deve consentire al cliente, su richiesta, di passare a un altro fornitore o di trasferire i dati e le risorse digitali esportabili verso un’infrastruttura locale. Deve inoltre disciplinare l’assistenza ragionevole prestata durante la migrazione, la diligenza richiesta per mantenere la continuità del servizio, l’informazione sui rischi noti e il mantenimento di un elevato livello di sicurezza nel trasferimento e nella successiva conservazione dei dati.
Una previsione particolarmente significativa è contenuta nell’art. 25, par. 2, lett. b), che impone al fornitore di sostenere la strategia di uscita del cliente, mettendo a disposizione le informazioni pertinenti. Il contratto deve poi specificare le ipotesi nelle quali si considera risolto, il termine massimo di preavviso per l’avvio del passaggio, le categorie di dati e risorse trasferibili, le eventuali esclusioni giustificate dalla protezione dei segreti commerciali, il periodo di recupero dei dati, le modalità di cancellazione e le tariffe di passaggio eventualmente applicabili.
Il par. 3 richiede altresì clausole che consentano al cliente di comunicare la scelta tra il passaggio a un nuovo fornitore, la migrazione verso un’infrastruttura locale e la cancellazione dei dati e delle risorse digitali esportabili. La regolamentazione della cessazione deve pertanto essere coerente con le concrete modalità operative attraverso cui il cliente intende abbandonare il servizio.
Nel predisporre un contratto cloud, non è dunque sufficiente utilizzare una clausola generica secondo cui, alla scadenza, il cliente potrà ottenere «i propri dati». È necessario definire con precisione l’oggetto delle prestazioni di uscita e i relativi termini, anche attraverso un allegato tecnico. Vengono inoltre in rilievo gli obblighi di trasparenza dell’art. 28, riguardanti le informazioni da pubblicare sul sito del fornitore in materia di giurisdizione dell’infrastruttura e di protezione dall’accesso governativo internazionale illecito ai dati non personali, con indicazione nel contratto delle relative pagine web.
Recesso dai contratti cloud: termini, migrazione e recupero dei dati
La disciplina del passaggio nei contratti cloud deve essere distinta dalle ordinarie previsioni sulla durata e sulla cessazione del contratto. L’art. 25, par. 2, lett. d), fissa in due mesi il termine massimo di preavviso per l’avvio del processo di passaggio. Una volta decorso tale termine, il Regolamento prevede, in via ordinaria, un periodo transitorio massimo obbligatorio di trenta giorni di calendario, durante il quale il contratto di servizio rimane applicabile.
Il limite dei trenta giorni incontra una specifica eccezione. Qualora sia tecnicamente impossibile rispettarlo, l’art. 25, par. 4, prescrive che il fornitore ne informi il cliente entro quattordici giorni lavorativi dalla richiesta di passaggio, motivi l’impossibilità e indichi un periodo transitorio alternativo non superiore a sette mesi, assicurando la continuità del servizio. Il par. 5 riconosce inoltre al cliente il diritto di prorogare una volta il periodo transitorio per una durata che ritenga maggiormente appropriata alle proprie esigenze.
Conclusa la transizione, i contratti cloud devono assicurare un periodo di almeno trenta giorni di calendario per il recupero dei dati, ai sensi dell’art. 25, par. 2, lett. g). La successiva cancellazione delle informazioni e delle risorse digitali esportabili generate dal cliente, o che lo riguardano direttamente, deve essere disciplinata alle condizioni previste dalla lett. h), tenendo conto del completamento positivo del passaggio e degli eventuali periodi più lunghi concordati.
Tali termini non devono essere confusi con un diritto incondizionato a interrompere in qualsiasi momento un rapporto a durata determinata senza conseguenze economiche. Il passaggio, la risoluzione del contratto e le eventuali obbligazioni già maturate costituiscono profili giuridici collegati, ma distinti, che devono essere coordinati nella negoziazione delle clausole di recesso e di cessazione.
Quali dati devono essere restituiti dal fornitore cloud?
Un tema decisivo nella revisione dei contratti cloud riguarda l’esatta individuazione dei dati che il cliente ha diritto di trasferire. L’art. 2, punto 38), del Data Act definisce i «dati esportabili», ai fini degli artt. 23-31 e 35, come i dati di input e di output, inclusi i metadati, generati o cogenerati direttamente o indirettamente dall’utilizzo del servizio da parte del cliente. Sono invece esclusi gli elementi o dati protetti da diritti di proprietà intellettuale o che costituiscono segreti commerciali del fornitore o di terzi.
La nozione deve essere coordinata con quella di «risorse digitali», di cui all’art. 2, punto 32), che comprende gli elementi in formato digitale, incluse le applicazioni, sui quali il cliente dispone di un diritto d’uso indipendente dal rapporto contrattuale con il provider di origine. In questa prospettiva, la portabilità può riguardare non soltanto file o archivi, ma anche determinate configurazioni e componenti digitali, ove sussistano i relativi presupposti giuridici.
Sul piano operativo, i contratti cloud dovrebbero descrivere preventivamente le categorie di dati esportabili, i formati di consegna e le informazioni necessarie a renderli effettivamente utilizzabili presso il nuovo fornitore. La mera restituzione di un archivio tecnicamente illeggibile o privo delle informazioni indispensabili per ricostruirne la struttura rischierebbe di vanificare la funzione della portabilità. La verifica deve, naturalmente, tener conto delle caratteristiche del servizio e dei limiti legittimamente derivanti dai diritti di terzi.
Interoperabilità e continuità operativa: gli obblighi dei fornitori cloud
La portabilità effettiva dipende anche dalla possibilità di utilizzare i dati esportati in un ambiente tecnologico diverso. L’art. 30 del Data Act disciplina gli aspetti tecnici del passaggio con obblighi differenziati in ragione del tipo di servizio.
Per i servizi limitati a risorse infrastrutturali, come server, reti e risorse virtuali, il par. 1 richiede al fornitore originario di adottare tutte le misure ragionevoli in suo potere affinché il cliente possa raggiungere, dopo la migrazione verso un servizio dello stesso tipo, l’equivalenza funzionale. La prestazione comprende, secondo le circostanze, capacità, informazioni, documentazione, assistenza tecnica e strumenti necessari a facilitare il processo.
Contratti cloud e costi di migrazione: cosa cambia dal 12 gennaio 2027?
Uno dei principali ostacoli al cambiamento del fornitore è rappresentato dai costi di uscita. L’art. 29 del Data Act introduce, a tale riguardo, un meccanismo di abolizione graduale delle «tariffe di passaggio», intese secondo la definizione dell’art. 2, punto 36), come gli importi richiesti per le operazioni che il Regolamento impone ai fini del trasferimento verso un altro fornitore o un’infrastruttura locale, comprese le tariffe di uscita dei dati, ma con esclusione delle spese ordinarie di servizio e delle penali per cessazione anticipata.
Nel periodo compreso tra l’11 gennaio 2024 e il 12 gennaio 2027, l’art. 29, parr. 2 e 3, consente soltanto tariffe di passaggio ridotte, che non possono superare i costi direttamente sostenuti dal provider per il pertinente processo di migrazione. A decorrere dal 12 gennaio 2027, il par. 1 stabilisce invece il divieto di imporre al cliente tariffe di passaggio per il trasferimento ad altri fornitori.
L’abolizione di tali tariffe non coincide, tuttavia, con la gratuità integrale di qualsiasi attività o prestazione collegata alla cessazione del rapporto. Restano concettualmente distinti il corrispettivo per i servizi ordinariamente erogati e le eventuali penali di cessazione anticipata, sulle quali incidono la disciplina applicabile e il contenuto del contratto. Il par. 4 dello stesso art. 29 impone, infatti, al fornitore di informare il potenziale cliente, prima della conclusione dell’accordo, delle tariffe ordinarie, delle penali di risoluzione anticipata eventualmente previste e delle tariffe di passaggio ridotte applicabili nel periodo transitorio.
Contratti cloud, Data Act e GDPR: il coordinamento degli obblighi
Quando il servizio cloud comporta il trattamento di dati personali, la disciplina del Data Act deve essere coordinata con ilRegolamento (UE) 2016/679 (GDPR).Le due normative perseguono finalità differenti: il Capo VI del Data Act regola il passaggio tra servizi di trattamento dei dati e gli obblighi dei relativi fornitori; il GDPR disciplina invece le condizioni di liceità e le garanzie del trattamento dei dati riferibili a persone fisiche.
In particolare, la portabilità prevista dagli artt. 23 e seguenti del Data Act non coincide con il diritto riconosciuto all’interessato dall’art. 20 GDPR. Quest’ultimo riguarda, entro i presupposti e i limiti previsti dalla disposizione, i dati personali che lo riguardano, mentre il Data Act prende in considerazione la posizione del cliente di un servizio cloud e può riguardare anche dati aziendali non personali.
Qualora il fornitore operi come responsabile del trattamento per conto del cliente, trova applicazione anche l’art. 28 GDPR. Il par. 3, lett. g), richiede che il contratto o altro atto giuridico vincolante preveda, al termine della prestazione, la cancellazione o restituzione dei dati personali, a scelta del titolare, e la cancellazione delle copie esistenti, salvo che il diritto dell’Unione o degli Stati membri ne imponga la conservazione. Le clausole di uscita del contratto cloud e quelle del Data Processing Agreement devono dunque essere rese reciprocamente coerenti.
La pianificazione della migrazione nei contratti cloud deve inoltre rispettare gli obblighi di sicurezza di cui all’art. 32 GDPR e, qualora siano coinvolti trasferimenti di dati personali verso Paesi terzi, le condizioni previste dagli artt. 44 e seguenti. Una exit strategy correttamente strutturata deve pertanto essere valutata anche alla luce dei ruoli privacy, dell’eventuale impiego di sub-responsabili e dell’ubicazione delle infrastrutture di destinazione.
Assistenza legale per contratti cloud e SaaS
L’adeguamento dei contratti cloud richiede una valutazione che tenga conto della tipologia di servizio, delle clausole sulla durata e sulla cessazione, degli obblighi di collaborazione, della disciplina economica e delle eventuali esigenze di continuità e protezione dei dati.
Il nostroStudio Legalepresta assistenza alle imprese nella predisposizione, negoziazione e revisione di contratti cloud e degli accordi relativi ai servizi digitali, con particolare attenzione alla conformità al Data Act.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.