Il CLOUD Act, legge federale statunitense entrata in vigore alcuni anni fa, permette alle autorità americane di ottenere l'accesso a dati detenuti da società soggette alla giurisdizione statunitense, indipendentemente dalla localizzazione fisica dei server su cui quei dati sono conservati.
Questo significa che un'impresa europea che utilizza un fornitore cloud controllato da una società statunitense, anche se i dati sono fisicamente conservati in un data center in Europa, può vedere quei dati oggetto di una richiesta di accesso da parte delle autorità americane, secondo procedure previste dalla stessa legge americana.
La tensione con il quadro normativo europeo sulla protezione dei dati è evidente e non completamente risolta: il GDPR richiede basi giuridiche specifiche per il trasferimento di dati personali verso Paesi extra-UE, mentre il CLOUD Act crea un canale di accesso che può operare indipendentemente da queste garanzie procedurali europee.
Per le imprese che gestiscono dati particolarmente sensibili — informazioni sanitarie, dati relativi a infrastrutture critiche, informazioni strategiche aziendali — la scelta del fornitore cloud richiede quindi una valutazione esplicita di questo rischio, che va oltre la semplice verifica della localizzazione fisica dei server utilizzati.