Pubblicato 16 giorni fa | da Vladimir Di Costanzo | in Internazionale

Data center, titolarità dei dati e finanziamento delle infrastrutture digitali; un’analisi giuridica comparata tra Stati Uniti e Italia

Abstract. Il presente contributo esamina, in prospettiva comparata, due profili giuridici centrali della disciplina dei data center: la titolarità dei dati che vi sono ospitati e trattati, e le modalità di finanziamento delle infrastrutture fisiche che li ospitano. Muovendo da un’opinione diffusa nel dibattito pubblico – secondo cui, negli Stati Uniti, i data center sarebbero finanziati dal governo federale – lo scritto ne verifica la fondatezza alla luce dei dati disponibili, per poi confrontare il modello statunitense, sostanzialmente privatistico, con quello italiano, nel quale convivono un segmento pubblico (il Polo Strategico Nazionale, finanziato anche con fondi del PNRR) e un mercato privato in rapida espansione, oggetto di una regolazione emergente e ancora incompleta.

Sommario: 1. Introduzione: il data center come infrastruttura critica e come «luogo»del dato – 2. La titolarità dei dati: un problema mal posto? – 2.1. Dati personali: dal consenso alla dimensione patrimoniale – 2.2. Dati non personali e dati generati dalle macchine: dal Data Governance Act al Data Act – 2.3. La posizione del gestore del data center: responsabile del trattamento, non proprietario – 2.4. Il modello statunitense: approccio settoriale e CLOUD Act – 3. Il finanziamento delle infrastrutture: chi paga i data center? – 3.1. Una premessa necessaria sul caso statunitense – 3.2. Il sostegno pubblico indiretto: incentivi fiscali e appalti federali – 3.3. Il modello italiano: il Polo Strategico Nazionale e i fondi del PNRR – 3.4. Una sintesi comparativa – 4. Sovranità digitale e sicurezza nazionale: il golden power sui data center – 5. Considerazioni conclusive

1. Introduzione: il data center come infrastruttura critica e come «luogo»del dato

Il data center è, ad un tempo, un bene immobile e industriale – un edificio dotato di impianti elettrici, di raffreddamento e di connettività – e il luogo fisico in cui si concentra la disponibilità tecnica di quantità crescenti di informazioni digitali. Questa duplice natura genera due ordini di questioni giuridiche distinte, spesso confuse nel dibattito pubblico: da un lato, chi sia titolare dei dati che transitano o sono conservati nell’infrastruttura; dall’altro, chi sostenga i costi di realizzazione e gestione dell’infrastruttura stessa, e con quali strumenti giuridici tali costi vengano allocati tra soggetti pubblici e privati. Il quesito posto – se, come accade negli Stati Uniti secondo una diffusa percezione, anche in Italia i data center siano finanziati dal governo – impone di verificare preliminarmente la correttezza della premessa statunitense, per poi ricostruire il modello italiano, che risulta strutturalmente diverso e più articolato. Il presente scritto procede pertanto in tre fasi: l’inquadramento del regime giuridico dei dati (§ 2); la ricostruzione dei modelli di finanziamento delle infrastrutture nei due ordinamenti (§ 3); infine, un cenno ai profili di sicurezza nazionale e sovranità digitale che sempre più condizionano l’uno e l’altro fenomeno (§ 4).

2. La titolarità dei dati: un problema mal posto?

2.1. Dati personali: dal consenso alla dimensione patrimoniale

Il Regolamento (UE) 2016/679 (GDPR) non attribuisce ai dati personali un regime di appartenenza in senso dominicale [1]. La disciplina europea individua piuttosto un «titolare del trattamento» – il soggetto che determina finalità e mezzi del trattamento – tenuto al rispetto di condizioni di liceità (consenso, esecuzione di un contratto, legittimo interesse, obbligo legale, e via seguendo) nei confronti dell’interessato, che a sua volta è titolare di un fascio di diritti (accesso, rettifica, cancellazione, portabilità) piuttosto che di un diritto di proprietà sul dato in quanto tale. In Italia tale disciplina è integrata dal Codice in materia di protezione dei dati personali, come novellato per adeguarlo al GDPR [2]. La dottrina privatistica italiana ha da tempo segnalato l’inadeguatezza delle categorie proprietarie tradizionali a descrivere il fenomeno: il dato, a differenza del bene materiale, è non rivale, riproducibile senza costi marginali significativi e suscettibile di utilizzi simultanei e sovrapposti da parte di più soggetti, il che rende problematico il ricorso alla nozione di dominio esclusivo propria della tradizione romanistica [3]. Convivono, nel dibattito, una tesi personalistica, che ricollega la tutela del dato ai diritti fondamentali della persona e ne esclude la piena patrimonializzazione, e una tesi favorevole al riconoscimento di un valore economico autonomo del dato, negoziabile e cedibile nei rapporti contrattuali, senza che ciò comporti una «cosificazione» della persona [4].

2.2. Dati non personali e dati generati dalle macchine: dal Data Governance Act al Data Act

Per i dati non personali, e in particolare per quelli generati dall’uso di prodotti connessi (IoT) e servizi digitali correlati, l’Unione europea ha costruito negli ultimi anni un quadro dedicato. Il Regolamento (UE) 2022/868 (Data Governance Act) promuove meccanismi di condivisione volontaria e di intermediazione dei dati [5]. Il Regolamento (UE) 2023/2854 (Data Act), applicabile dal 12 settembre 2025, riconosce agli utenti di prodotti connessi un diritto di accesso e di portabilità sui dati generati dal loro utilizzo, introduce ipotesi di accesso eccezionale da parte di enti pubblici, disciplina il passaggio tra fornitori di servizi di trattamento dei dati (cloud switching) e detta regole di interoperabilità e di tutela contro clausole contrattuali abusive [6]. Si tratta, tuttavia, di un diritto di accesso e utilizzo, non di un diritto reale sul dato: il legislatore europeo ha scelto una via mediana, che rafforza la posizione contrattuale dell’utente e dell’ente pubblico senza istituire una proprietà dei dati in senso tecnico [7].

2.3. La posizione del gestore del data center: responsabile del trattamento, non proprietario

Sul piano dei rapporti contrattuali, l’operatore che si limita a fornire l’infrastruttura fisica o i servizi di hosting e di cloud computing assume, di regola, la qualifica di responsabile del trattamento ai sensi dell’articolo 28 del GDPR, vincolato da un contratto di trattamento dati (data processing agreement) nei confronti del cliente-titolare, che resta l’unico soggetto legittimato a determinare finalità e modalità del trattamento. Ne consegue che il gestore del data center, per quanto detenga il controllo materiale sull’infrastruttura e sui supporti su cui i dati risiedono, non acquisisce alcuna posizione proprietaria sui dati stessi, ma solo doveri di custodia, sicurezza e riservatezza. In Italia, per i dati della pubblica amministrazione, tale distinzione è ulteriormente rafforzata dal Codice dell’amministrazione digitale, che impone alle amministrazioni di restare titolari dei propri dati e dei propri sistemi anche quando questi siano ospitati presso infrastrutture cloud esterne, comprese quelle del Polo Strategico Nazionale [8].

2.4. Il modello statunitense: approccio settoriale e CLOUD Act

Gli Stati Uniti non conoscono una legge federale generale sulla protezione dei dati personali paragonabile al GDPR, bensì un approccio settoriale (sanità, servizi finanziari, minori) integrato da normative statali, tra cui il California Consumer Privacy Act. Un profilo di particolare rilievo per i data center è rappresentato dal CLOUD Act del 2018, che consente alle autorità statunitensi di ottenere, tramite ordine giudiziario, dati detenuti da fornitori soggetti alla giurisdizione statunitense indipendentemente dal luogo in cui i server sono fisicamente collocati [9]. Tale extraterritorialità ha alimentato, in sede europea, un ampio dibattito sulla sovranità dei dati, culminato nella pronuncia della Corte di giustizia dell’Unione europea nel caso Schrems II, che ha invalidato il Privacy Shield in ragione dei poteri di sorveglianza delle autorità statunitensi, imponendo il ricorso a clausole contrattuali standard e a garanzie supplementari per i trasferimenti di dati personali verso gli Stati Uniti [10]. Il quadro è stato in seguito parzialmente ricomposto dalla decisione di adeguatezza della Commissione europea del luglio 2023 relativa al nuovo Data Privacy Framework UE-USA [11].

3. Il finanziamento delle infrastrutture: chi paga i data center?

3.1. Una premessa necessaria sul caso statunitense

Contrariamente a quanto talvolta si ritiene, la costruzione dei data center negli Stati Uniti non è, di regola, finanziata dal governo federale. Il mercato statunitense – che secondo le rilevazioni più recenti conta oltre cinquemila strutture ed è responsabile di circa il 45% delle strutture censite a livello mondiale, oltre che di più della metà della capacità hyperscale globale – è alimentato in misura preponderante da capitali privati [12]. Gli operatori hyperscale (Amazon, Microsoft, Google) investono direttamente ingenti risorse proprie o realizzano operazioni di sale-and-leaseback con operatori di colocation e REIT specializzati; a questi si affiancano consorzi di private equity, come quello guidato da BlackRock che nel 2024 ha rilevato Aligned Data Centers per circa 40 miliardi di dollari, e iniziative di scala ancora maggiore come il progetto Stargate, che prevede investimenti dichiarati fino a 500 miliardi di dollari da parte di OpenAI, Oracle e SoftBank [12]. Si tratta, in ogni caso, di operazioni di finanza privata e di finanza di progetto, non di spesa pubblica generale.

3.2. Il sostegno pubblico indiretto: incentivi fiscali e appalti federali

Ciò non significa che il settore pubblico statunitense sia estraneo al fenomeno, ma il suo ruolo si esplica attraverso strumenti diversi dal finanziamento diretto della costruzione. In primo luogo, numerosi Stati federati concedono esenzioni o abbattimenti dell’imposta sulle vendite e sulla proprietà immobiliare per attrarre sul proprio territorio i grandi campus hyperscale, con un impatto significativo sul costo effettivo dell’investimento pur senza comportare un esborso diretto di fondi pubblici. In secondo luogo, il governo federale opera come cliente e non come finanziatore: contratti quadro per servizi cloud destinati alla difesa e alla pubblica amministrazione, come il Joint Warfighting Cloud Capability del Dipartimento della Difesa, assegnato nel 2022 ad Amazon, Microsoft, Google e Oracle, comportano il pagamento di canoni per servizi resi, non il finanziamento della realizzazione fisica dei data center, che restano di proprietà dei fornitori. Il crescente peso energetico e sociale di queste infrastrutture ha peraltro alimentato iniziative legislative di segno opposto, come la proposta – presentata nel 2025 da alcuni parlamentari – di una moratoria nazionale sulla costruzione di nuovi data center dedicati all’intelligenza artificiale in assenza di regole federali più stringenti, a conferma della persistente assenza, negli Stati Uniti, di un intervento pubblico diretto e sistematico sul finanziamento di queste infrastrutture [13].

3.3. Il modello italiano: il Polo Strategico Nazionale e i fondi del PNRR

Il caso italiano presenta una struttura più articolata, in cui coesistono un segmento pubblico e uno privato. Il Polo Strategico Nazionale (PSN) costituisce il terzo pilastro della Strategia Cloud Italia ed è stato realizzato mediante una concessione di partenariato pubblico-privato aggiudicata, all’esito di una gara europea con base d’asta di 4,4 miliardi di euro, il 22 giugno 2022 alla società PSN S.p.A., partecipata da TIM, Leonardo, CDP Equity e Sogei [14]. Il progetto attua la Missione 1, Componente 1, Investimento 1.1 «Infrastrutture digitali» del PNRR, finanziato dall’Unione europea nell’ambito di NextGenerationEU, e persegue l’obiettivo di portare circa il 75% delle pubbliche amministrazioni italiane sul cloud entro il 2026 [15]. Il finanziamento del PSN riflette una struttura ibrida. Da un lato, i fondi del PNRR sono impiegati non tanto per la costruzione dei data center in sé, quanto per finanziare – tramite appositi avvisi pubblici, dotati ad esempio di 150 milioni di euro nel 2025 e successivamente di ulteriori 300 milioni – la migrazione delle amministrazioni centrali verso l’infrastruttura del PSN, sotto forma di voucher per la dismissione dei sistemi legacy . Dall’altro lato, la realizzazione e la gestione dell’infrastruttura sono state sostenute da un’operazione di project financing di oltre 200 milioni di euro, strutturata da un pool di banche (Intesa Sanpaolo, UniCredit, Cassa Depositi e Prestiti, Banco BPM e BPER), con una quota di 73 milioni erogata dalla Banca europea per gli investimenti (BEI) e sostenuta dal programma InvestEU [16]. Il modello italiano combina dunque una componente di sovvenzione pubblica europea, destinata a coprire i costi di migrazione delle amministrazioni, con una componente di debito privato e sovranazionale, destinata a finanziare l’infrastruttura fisica, i cui costi sono infine recuperati attraverso i canoni previsti dalla convenzione di concessione stipulata con le amministrazioni aderenti. I dati ospitati restano, in ogni caso, nella titolarità delle amministrazioni migranti, mentre PSN S.p.A. opera quale concessionario e responsabile del trattamento.

3.4. Una sintesi comparativa

Il confronto tra i due ordinamenti restituisce un quadro diverso da quello suggerito dal luogo comune da cui muove il presente scritto. Negli Stati Uniti il finanziamento dei data center è, nella sostanza, un fenomeno di capitale privato e di finanza di progetto, cui il settore pubblico partecipa in via indiretta, tramite incentivi fiscali statali e contratti di fornitura di servizi cloud che remunerano l’uso dell’infrastruttura, non la sua costruzione. In Italia convivono invece due segmenti distinti: un segmento pubblico, rappresentato dal Polo Strategico Nazionale, in cui sovvenzioni europee del PNRR e debito bancario/BEI concorrono a finanziare un’infrastruttura destinata specificamente alla pubblica amministrazione, e un segmento privato, strutturalmente analogo a quello statunitense ed europeo, oggi interessato da un processo di razionalizzazione normativa ancora in corso di completamento.

4. Sovranità digitale e sicurezza nazionale: il golden power sui data center

Sia il profilo della titolarità dei dati sia quello del finanziamento delle infrastrutture sono, infine, attraversati da un tema trasversale: la sicurezza nazionale e la sovranità digitale. In Italia, la disciplina dei poteri speciali del Governo (c.d. golden power), introdotta dal decreto-legge 15 marzo 2012, n. 21, è stata progressivamente estesa – da ultimo con il decreto-legge 8 aprile 2020, n. 23 (Decreto Liquidità) – a tutti i settori strategici individuati dal Regolamento (UE) 2019/452 sul controllo degli investimenti esteri diretti, tra cui leinfrastrutture critiche digitali, il cloud e le tecnologie 5G[18] [19][20][21]. In forza di tale disciplina, il Governo può imporre condizioni, prescrizioni o, nei casi più gravi, opporre un veto ad acquisizioni, contratti o operazioni societarie che coinvolgano soggetti extra-UE in relazione a infrastrutture digitali che ospitano dati e servizi critici, ivi compresi i data center. Questo apparato regolatorio si salda con le preoccupazioni, già richiamate al § 2.4, relative all’accesso extraterritoriale ai dati da parte delle autorità statunitensi ai sensi del CLOUD Act, e spiega la scelta italiana ed europea di qualificare come «sovrano» il cloud destinato alla pubblica amministrazione, riservandone la gestione a soggetti sottoposti al controllo azionario e regolatorio nazionale o unionale. La sicurezza energetica si aggiunge, più di recente, alla sicurezza informativa quale ulteriore ragione di intervento pubblico, come dimostra la scelta di qualificare i data center quali asset strategici anche sotto il profilo elettrico nell’ambito delle più recenti riforme in materia di autorizzazioni .

5. Considerazioni conclusive

L’indagine svolta consente due conclusioni. Sotto il profilo della titolarità dei dati, né l’ordinamento statunitense né quello italiano ed europeo riconoscono una proprietà dei dati in senso tecnico-dominicale: il diritto europeo costruisce, piuttosto, un sistema di responsabilità (titolare/responsabile del trattamento) per i dati personali e un sistema di diritti di accesso e utilizzo, non di proprietà, per i dati non personali generati da dispositivi connessi, mentre l’ordinamento statunitense, privo di una disciplina generale, affida la tutela a un mosaico di regole settoriali e contrattuali, temperato da un potere di accesso governativo di ampia portata extraterritoriale.

Sotto il profilo del finanziamento delle infrastrutture, l’assunto da cui muove il quesito iniziale merita una correzione: i data center statunitensi non sono, salvo eccezioni limitate e indirette, pagati dal governo federale, ma da capitali privati, spesso di dimensioni ormai comparabili a quelle di interi bilanci statali. L’Italia, per converso, presenta un modello più composito, nel quale l’intervento pubblico – tramite fondi europei del PNRR e il ricorso al partenariato pubblico-privato – si concentra sull’infrastruttura destinata alla pubblica amministrazione (il Polo Strategico Nazionale), mentre il mercato commerciale resta affidato a capitali privati, ora accompagnato da una regolazione emergente in materia di autorizzazioni e di sicurezza energetica e nazionale. Resta da vedere, nei prossimi mesi, se la conversione in legge delle nuove norme autorizzative e l’eventuale approvazione di una disciplina organica dei data center confermeranno questa traiettoria di progressiva, ma ancora incompleta, giuridificazione del settore.

Riferimenti bibliografici e normativi

[1] Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GDPR), in GUUE L 119 del 4 maggio 2016.

[2] Decreto legislativo 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali, come modificato dal Decreto legislativo 10 agosto 2018, n. 101, di adeguamento al Regolamento (UE) 2016/679.

[3] Zeno-Zencovich, V., «Dati, grandi dati, dati granulari e la nuova epistemologia del giurista», in Rivista di diritto dei media, n. 2/2018.

[4] Sul dibattito dottrinale relativo alla natura giuridica del dato e alla tesi patrimoniale/personalistica, cfr. i contributi raccolti in AA.VV., Il valore del dissenso. Riflessioni con Vincenzo Zeno-Zencovich, a cura di F. Cardarelli, T.E. Frosini, E. Poillot, G. Resta, S. Sica, A. Zoppini, Roma TrE-Press, Roma, 2023-2025, voll. I-III.

[5] Regolamento (UE) 2022/868 del Parlamento europeo e del Consiglio, del 30 maggio 2022, relativo alla governance europea dei dati (Data Governance Act), in GUUE L 152 del 3 giugno 2022.

[6] Regolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio, del 13 dicembre 2023, riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo (Data Act), in GUUE L, 22 dicembre 2023, applicabile dal 12 settembre 2025.

[7] Caldarola, C., «Accesso ai dati e Data Act: guida a obblighi, imprese e scadenze», in Agenda Digitale, 6 maggio 2026.

[8] Decreto legislativo 7 marzo 2005, n. 82, Codice dell’amministrazione digitale (CAD), e successive modificazioni.

[9] Clarifying Lawful Overseas Use of Data Act (CLOUD Act), Pub. L. 115-141, div. V, 132 Stat. 348 (2018), codificato in 18 U.S.C. § 2713.

[10] Corte di giustizia dell’Unione europea, 16 luglio 2020, causa C-311/18, Data Protection Commissioner c. Facebook Ireland Ltd e Maximillian Schrems (Schrems II).

[11] Commissione europea, Decisione di esecuzione del 10 luglio 2023 sull’adeguatezza della protezione dei dati personali nell’ambito del quadro UE-USA sulla privacy dei dati (EU- U.S. Data Privacy Framework).

[12] Synergy Research Group, dati citati in Corriere Comunicazioni, «Data center, le infrastrutture “big” superano le 1.000 unità», 29 aprile 2024; Cargoson, «Numero di data center per Paese», rilevazione Cloudscene aggiornata a novembre 2025 (Stati Uniti: 5.427 data center; iniziativa Stargate: 500 miliardi di dollari; acquisizione Aligned Data Centers da parte di un consorzio guidato da BlackRock: 40 miliardi di dollari).

[13] Sanders, B. – Ocasio-Cortez, A., Artificial Intelligence Data Center Moratorium Act, proposta legislativa presentata al Congresso degli Stati Uniti nel 2025; cfr. la ricostruzione in Key4biz, «Data center AI, la proposta di moratoria negli Stati Uniti».

[14] Presidenza del Consiglio dei Ministri, Dipartimento per la trasformazione digitale, Strategia Cloud Italia e documentazione relativa al Polo Strategico Nazionale, in cloud.italia.it e innovazione.gov.it; gara europea per la realizzazione e gestione del PSN aggiudicata il 22 giugno 2022 (base d’asta 4,4 miliardi di euro) a PSN S.p.A. (TIM, Leonardo, CDP Equity, Sogei).

[15] Piano Nazionale di Ripresa e Resilienza (PNRR), Missione 1, Componente 1, Investimento 1.1 «Infrastrutture digitali» – Polo Strategico Nazionale; Avvisi pubblici PNRR per la migrazione delle Pubbliche Amministrazioni Centrali verso il PSN (2023-2025), in padigitale2026.gov.it e innovazione.gov.it.

[16] Polo Strategico Nazionale S.p.A., Comunicato stampa relativo al finanziamento di oltre 200 milioni di euro concesso da un pool bancario (Intesa Sanpaolo, UniCredit, Cassa Depositi e Prestiti, Banco BPM, BPER) con il concorso della Banca europea per gli investimenti nell’ambito del programma InvestEU, 8 marzo 2024, in polostrategiconazionale.it.

[17] Marcellino, G. – Prosperetti, E., «Normativa data center in Italia, a che punto siamo: cosa dicono operatori e politici», in Agenda Digitale, 13 maggio 2025, agg. 4 agosto 2026; Oliverio, F., «Data center: l’Italia verso una normativa organica per un settore strategico» (sulla proposta di legge A.C. 1928), in Agenda Digitale, 8 maggio 2025; dati Terna sulla potenza installata del comparto data center ivi citati.

[18] Decreto-legge recante misure urgenti in materia energetica (c.d. Decreto Bollette), art. 8, in corso di conversione, che introduce un’autorizzazione unica per la realizzazione dei data center; cfr. la ricostruzione in 01net.it, «Data center in Italia tra semplificazione normativa e sfida energetica», e in Corriere Comunicazioni, «Energia, cyber e crisi globali: così cambia il ruolo dei data center».

[19] Decreto-legge 15 marzo 2012, n. 21, convertito con modificazioni dalla legge 11 maggio 2012, n. 56, recante norme in materia di poteri speciali sugli assetti societari nei settori della difesa e della sicurezza nazionale, nonché per le attività di rilevanza strategica nei settori dell’energia, dei trasporti e delle comunicazioni (c.d. golden power).

[20] Decreto-legge 8 aprile 2020, n. 23, convertito con modificazioni dalla legge 5 giugno 2020, n. 40 (c.d. Decreto Liquidità), che ha esteso l’ambito applicativo dei poteri speciali ai settori di cui all’articolo 4, paragrafo 1, del Regolamento (UE) 2019/452.

[21] Regolamento (UE) 2019/452 del Parlamento europeo e del Consiglio, del 19 marzo 2019, che istituisce un quadro per il controllo degli investimenti esteri diretti nell’Unione, in GUUE L 79 I del 21 marzo 2019.

Salvis Juribus – Rivista di informazione giuridica

Direttore responsabile Avv. Giacomo Romano

Listed in ROAD, con patrocinio UNESCO

Ufficio Redazione: redazione@salvisjuribus.it

Ufficio Risorse Umane: recruitment@salvisjuribus.it

Ufficio Commerciale: info@salvisjuribus.it

***

Metti una stella e seguici anche su Google News

Bio
Ultimi Post