Ubicazione dei dati e GDPR: cosa deve garantire un fornitore cloud

Perché l'ubicazione dei dati non è una questione solo tecnica

Consegnare dati a un cloud provider vuol dire affidarli a un terzo. Innocenzo Genna, autore con Eugenio Prosperetti della ricerca «La raggiungibilità giuridica dei dati», osserva: «affidare questi dati ad un cloud provider significa affidare il proprio universo, sia personale che professionale, ad un soggetto terzo».

Da lì in poi la sicurezza della gestione dipende dal contratto, ma anche dalle norme a cui il fornitore è soggetto e da cui non può sottrarsi.

In Italia il problema è concreto. Secondo i dati del Ministero dell'innovazione, il 60% dei servizi cloud usati nel Paese è fornito da imprese extraeuropee; il restante 40% si rivolge a un fornitore europeo.

Tre piani vanno tenuti distinti, anche se spesso vengono sovrapposti: dove si trovano fisicamente i data center; quale ordinamento disciplina il fornitore; chi può ottenere legalmente accesso ai dati.

Il terzo è la raggiungibilità giuridica del dato. Indica come e a quali condizioni il titolare dei dati, chi ha acquisito diritti su essi e persino terzi estranei possono accedere legalmente ai dati custoditi dal provider.

Capire prima di tutto a quali dati si applica il GDPR (e cosa resta fuori)

Il quadro europeo si regge su due testi da leggere insieme. Il Regolamento (UE) 2016/679 (GDPR) riguarda i dati personali; il Regolamento (UE) 2018/1807 riguarda la libera circolazione dei dati non personali.

I dati non personali si distinguono in base all'origine. Quelli che fin dall'inizio non si riferivano a una persona fisica identificata o identificabile sono, per esempio, i dati di sensori su macchine automatiche o sulle esigenze di manutenzione di macchine industriali. Altri erano dati personali e sono stati successivamente resi anonimi.

Nella maggior parte dei casi reali un insieme di dati contiene sia dati personali sia dati non personali. Sono gli insiemi misti, la maggioranza di quelli usati nell'economia dei dati. Derivano tipicamente da Internet delle cose, intelligenza artificiale e analisi di big data. Esempio classico: i documenti fiscali di un'impresa che indicano nome e numero di telefono dell'amministratore delegato.

La qualificazione dei dati precede la scelta del fornitore. Se un insieme sia stato adeguatamente anonimizzato dipende dalle condizioni del singolo caso. Va valutato considerando tutti i mezzi che il titolare del trattamento o un altro individuo possono ragionevolmente usare per identificare, direttamente o indirettamente, una persona.

Il Regolamento 2018/1807, inoltre, non limita la libertà contrattuale delle imprese. Consente loro di scegliere dove trattare i dati: la localizzazione è una scelta, non un vincolo imposto dalla norma.

Dati personali vs dati non personali: differenze chiave secondo il GDPR

Cosa deve garantire il fornitore sul trattamento: obblighi concreti, non dichiarazioni

I sette principi del GDPR diventano impegni verificabili nel contratto con il fornitore. Primo: liceità, equità e trasparenza. Secondo: limitazione di scopo. Terzo: minimizzazione dei dati. Quarto: accuratezza, con diritto dell'interessato a cancellazione o rettifica dei dati inesatti.

Quinto: limitazione della conservazione, con cancellazione quando lo scopo è raggiunto. Sesto: integrità e confidenzialità, cioè protezione da trattamenti illegali o non autorizzati, perdita accidentale, distruzione e danni. Settimo: responsabilità, con obbligo di dimostrare una tenuta accurata dei dati.

Una violazione dei dati non è solo una fuga di informazioni. Secondo la definizione richiamata dal G29, comprende la perdita di disponibilità dei dati personali, la compromissione della loro integrità e della loro confidenzialità. Può dunque consistere anche nella perdita definitiva dei dati.

I tempi sono fissati dalla norma. Il titolare deve notificare la violazione al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza; oltre quel termine la notifica va motivata. Il responsabile del trattamento, cioè di norma il fornitore cloud, deve informare tempestivamente il titolare: nel contratto va scritto come e in quanto tempo.

Da qui una lista di richieste concrete. Indicazione dei ruoli: chi è titolare, chi responsabile e per quali operazioni. Misure tecniche e organizzative per integrità e disponibilità. Procedura di gestione e notifica degli incidenti, compresa la perdita definitiva. Conservazione limitata e cancellazione su richiesta.

Servono anche le condizioni di uscita: modalità e tempi per riottenere i dati in un formato utilizzabile. Una garanzia valida solo finché dura il contratto non copre il rischio.

Procedura di notifica di una violazione dei dati personali secondo il GDPR

Accesso da parte di autorità straniere: la garanzia che nessun contratto può promettere da solo

È il punto più critico quando il fornitore non è UE. Nella ricerca «La raggiungibilità giuridica dei dati», promossa da DHH, Genna e Prosperetti scrivono: «occorre considerare la sorte che i dati affidati in cloud possano avere a fronte di provvedimenti coercitivi da parte di autorità governative o giudiziarie». Tali provvedimenti, aggiungono, «ne potrebbero sancire l'accesso, l'interdizione o financo la distruzione».

La bocciatura del Privacy Shield dimostra all'atto pratico che le sole garanzie contrattuali non bastano di fronte a programmi di sorveglianza governativa. Un accordo tra imprese, per quanto dettagliato, non neutralizza una norma a cui il fornitore è soggetto e da cui non può sottrarsi.

Per trasferire dati personali fuori dall'UE il fornitore deve indicare lo strumento usato. Il primo è la decisione di adeguatezza della Commissione europea: con essa i dati circolano verso il Paese terzo senza ulteriori garanzie. Per gli Stati Uniti vale solo per le organizzazioni commerciali che aderiscono all'EU-US Data Privacy Framework.

In alternativa servono garanzie contrattuali. Il 4 giugno 2021 la Commissione ha adottato le clausole contrattuali standard (SCC) modernizzate per i trasferimenti da titolari o responsabili nell'UE verso soggetti extra-UE. I gruppi possono usare le norme vincolanti d'impresa (BCR), approvate dall'autorità di protezione dei dati competente dopo il parere del Comitato europeo per la protezione dei dati.

La domanda da mettere per iscritto non è «i miei dati dove sono?», ma «quale ordinamento può imporre al fornitore di consegnarli, e cosa succede se accade?». Da qui le richieste operative: se il fornitore ha ricevuto richieste di accesso; se deve notificarle al cliente; se può contestarle e con quali limiti; quali tutele valgono per i dati non personali custoditi nello stesso insieme.

Cloud sovrano, localizzazione UE e qualificazione: cosa significano davvero

Il cloud sovrano è un'infrastruttura di conservazione e condivisione dei dati di diritto nazionale, con server gestiti localmente entro i confini nazionali e soggetta a regolamenti e normative vigenti nel territorio di pertinenza. Esistono diversi modelli, tra cui il cloud sovrano pubblico. Molti dei servizi cloud più diffusi sono gestiti da aziende americane private: Amazon Web Services, Microsoft Azure, Oracle Cloud. È questo a porre la questione della sovranità rispetto alle regole UE su privacy e protezione dei dati.

Per la pubblica amministrazione italiana il riferimento oggi è l'Agenzia per la cybersicurezza nazionale (ACN). Il suo Regolamento unico per le infrastrutture e i servizi cloud per la PA definisce le misure tecnico-organizzative e le modalità di qualificazione dei servizi cloud; dal 1 agosto 2024 è partito il regime ordinario.

Già il quadro di qualificazione del documento «Il Cloud della PA» chiedeva garanzie sulla privacy. Tra i requisiti del fornitore c'è quello di rendere noti gli adempimenti previsti dalla normativa europea e italiana in materia di protezione dei dati personali (requisito RCL2).

Localizzazione e ordinamento del fornitore restano due variabili distinte. Collocare i server nell'Unione europea incide su quale diritto si applica alla gestione dei server. Non basta da solo a valutare l'assetto giuridico del fornitore e dei soggetti che possono rivolgergli richieste di accesso.

Vantaggi e rischi del cloud sovrano in Italia

Come valutare un fornitore: le domande da mettere per iscritto

La scelta non può basarsi solo su prezzo o offerta tecnologica. Come osserva la ricerca sulla raggiungibilità giuridica, una decisione così rilevante deve considerare come i dati saranno custoditi e protetti da attacchi esterni. Deve anche considerare come saranno resi disponibili su richiesta e difesi da pretese di accesso di terzi, incluse autorità governative estere.

Domande da porre al fornitore e da documentare nella valutazione d'impatto sulla protezione dei dati e nel contratto. Dove sono i data center e chi ne è titolare. Quale ordinamento si applica al fornitore e ai subfornitori. Su quale base avviene un eventuale trasferimento extra-UE: decisione di adeguatezza, SCC o BCR.

Se e come il fornitore notifica al cliente le richieste di accesso ricevute da autorità e se può contestarle. Come e in quale formato restituisce i dati alla cessazione del contratto. Come tratta gli insiemi misti, dove dati personali e non personali convivono. Quali cautele aggiuntive valgono per i dati dei professionisti soggetti a regole di categoria.

Su quest'ultimo punto, le Linee guida sull'utilizzo dei servizi di cloud computing predisposte dal CCBE per gli Ordini forensi indicano una precauzione: scegliere provider adeguati, «meglio se Italiani». Suggeriscono inoltre di individuare fornitori che rispettino le garanzie minime delle stesse Linee guida. È un esempio utile di requisiti di categoria da replicare in altri settori regolamentati.

Domande chiave da porre al fornitore cloud prima del contratto