Il GDPR in breve, per chi usa il cloud

Modulo 1: Perché un cloud europeo? · Tempo di lettura: 11 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di indicare i ruoli e gli obblighi previsti dal GDPR quando si utilizza un servizio cloud, e di spiegare perché Lei resta responsabile anche quando i dati si trovano presso terzi.

Concetti chiave: GDPR, dati personali, trattamento, titolare del trattamento, responsabile del trattamento, subresponsabile del trattamento, principi (art. 5), principio di responsabilizzazione (accountability), accordo sul trattamento dei dati (art. 28), sicurezza (art. 32), trasferimento (capo V), Garante per la protezione dei dati personali, sanzioni (art. 83)

Perché il GDPR riguarda proprio questo

Il GDPR (regolamento generale sulla protezione dei dati) è un regolamento europeo: Regolamento (UE) 2016/679. È direttamente applicabile dal 25 maggio 2018 in tutti i paesi dell'UE. Nei Paesi Bassi la vigilanza è esercitata dalla Autoriteit Persoonsgegevens (AP, l'autorità di controllo olandese); in ogni altro paese dell'UE esiste una propria autorità di controllo, come il Garante per la protezione dei dati personali.

Potrebbe pensare che il GDPR riguardi solo le grandi aziende con banche dati di clienti. Ma anche Bakkerij De Korrel vi rientra. Nella casella di posta ci sono ordini con nomi, indirizzi e numeri di telefono. Nelle cartelle online ci sono turni di lavoro, buste paga e la copia di un documento d'identità di un nuovo dipendente. Nel calendario ci sono nomi di clienti in corrispondenza degli appuntamenti di consegna. Si tratta tutti di dati personali: qualsiasi informazione riguardante una persona identificata o identificabile (art. 4, punto 1). E archiviare, inviare per email, condividere e cancellare sono tutte attività di trattamento (art. 4, punto 2).

Un'eccezione: ciò che fa in ambito puramente privato, come le Sue foto di famiglia, non rientra nel GDPR (la cosiddetta "eccezione domestica", art. 2, par. 2, lett. c). Non appena si tratta del Suo lavoro, della Sua azienda o della Sua associazione, il GDPR si applica.

Questa è una spiegazione, non una consulenza legale.

Tre ruoli: chi è chi?

Il punto più importante: la responsabilità non si trasferisce insieme ai dati. La panetteria resta titolare del trattamento, anche se i dati si trovano presso un servizio cloud. Se il servizio cloud fa delle promesse e qualcosa va storto, la panetteria deve comunque poter dimostrare di aver fatto una scelta ragionevole e di aver stabilito accordi adeguati. Questo è il cosiddetto principio di responsabilizzazione (accountability, art. 5, par. 2 e art. 24).

Attenzione: un servizio cloud non è sempre soltanto responsabile del trattamento. Se il fornitore utilizza i Suoi dati anche per finalità proprie, come lo sviluppo di prodotti, la pubblicità o l'addestramento di sistemi propri, allora per quella parte agisce come titolare del trattamento per conto proprio. È una delle cose che verifica nelle condizioni contrattuali e nell'accordo sul trattamento dei dati (lezione 9.2).

I principi rilevanti per il cloud

L'articolo 5 elenca i principi a cui ogni trattamento deve attenersi. Per la scelta di un servizio cloud, i più importanti sono i seguenti:

• Limitazione della finalità: i dati vanno usati solo per lo scopo per cui sono stati raccolti. Un servizio che usa i dati dei Suoi clienti per finalità proprie è in contrasto con questo principio.
• Minimizzazione dei dati: non conservare più dati del necessario. Un passaggio è un buon momento per fare pulizia (lezione 3.2).
• Limitazione della conservazione: non conservare i dati più a lungo del necessario. Pensi a vecchie lettere di candidatura rimaste in una casella di posta.
• Integrità e riservatezza: sicurezza adeguata contro perdita, furto e accesso non autorizzato. Questo principio è specificato nell'articolo 32: adotta misure proporzionate al rischio, come la cifratura, la gestione degli accessi, il ripristino in caso di guasto e test regolari.

Quattro obblighi che incontra durante un passaggio

1. Scegliere un responsabile del trattamento che offra garanzie sufficienti (art. 28, par. 1). Deve quindi verificare come il fornitore gestisce la sicurezza e dove tratta i dati. Lo farà nel modulo 2.
2. Stipulare un accordo sul trattamento dei dati (art. 28, par. 3). Questo deve contenere elementi obbligatori: cosa viene trattato, le istruzioni, la riservatezza, la sicurezza, i subresponsabili, l'assistenza in caso di violazioni dei dati e cosa succede ai dati quando interrompe il servizio. Lo tratteremo nella lezione 9.2.
3. Tenere un registro delle attività di trattamento (art. 30). Un elenco dei trattamenti che effettua: quali dati, per quale motivo, con chi sono condivisi, per quanto tempo sono conservati. Dopo un passaggio, aggiorna i destinatari e il luogo di archiviazione (lezione 9.3).
4. Rispettare le regole sul trasferimento al di fuori del SEE (capo V, articoli da 44 a 49). Se i dati vengono trasferiti verso un paese al di fuori dello Spazio economico europeo, ciò è consentito solo se quel paese garantisce un livello di protezione adeguato (una decisione di adeguatezza, art. 45) o con garanzie supplementari come le clausole contrattuali standard (art. 46). Se ne occupa la lezione 1.4.

Cosa succede se qualcosa va storto?

In caso di violazione dei dati personali (data breach) (ad esempio un account violato che contiene dati di clienti), il titolare del trattamento deve notificarla all'autorità di controllo entro 72 ore, a meno che sia improbabile che comporti un rischio (art. 33). Il responsabile del trattamento deve informare il titolare "senza ingiustificato ritardo" (art. 33, par. 2). Per questo un buon accordo sul trattamento dei dati stabilisce con quale rapidità il fornitore La avvisa.

L'autorità di controllo può irrogare sanzioni. Il massimo per le violazioni più gravi è di 20 milioni di euro o il 4% del fatturato annuo mondiale, se superiore (art. 83, par. 5). Per le piccole organizzazioni la sanzione raramente è il rischio maggiore. Il rischio reale è il danno per clienti e dipendenti, e la fiducia che si perde.

Perché questo riguarda la scelta del Suo cloud

Il GDPR non vieta l'uso di servizi cloud statunitensi. Tuttavia deve poter spiegare perché la Sua scelta è responsabile: quali dati, quali rischi, quali accordi. Più i dati sono sensibili (salute, minori, finanze, fascicoli del personale), più questa valutazione pesa. Per una panetteria la situazione è semplice; per uno studio di fisioterapia o una scuola pesa molto di più. Un servizio stabilito nel SEE, che tratta i dati nel SEE e non ha subresponsabili al di fuori del SEE, rende questa valutazione molto più semplice, perché le regole sul trasferimento non entrano in gioco.

Nella pratica: come si presenta presso un fornitore

Un fornitore utilizzato in ambito professionale dovrebbe disporre di un accordo sul trattamento dei dati e di un elenco di subresponsabili. Presso WebOké, nelle domande frequenti della guida di Nextcloud, è indicato che si stipula un accordo sul trattamento dei dati se si utilizza Nextcloud in ambito professionale e vi si archiviano dati personali di terzi. Presso altri fornitori trova solitamente qualcosa di simile sotto "Accordo sul trattamento dei dati", "Data Processing Agreement (DPA)" oppure nei documenti legali in fondo al sito web.

Riepilogo

• Anche una piccola organizzazione tratta dati personali nella posta, nel calendario e nei file, e rientra quindi nel GDPR.
• Lei è titolare del trattamento; il servizio cloud è responsabile del trattamento; i suoi fornitori sono subresponsabili del trattamento.
• La responsabilità non si trasferisce: deve scegliere un responsabile del trattamento con garanzie sufficienti e poterlo dimostrare.
• Articoli importanti: 5 (principi), 28 (responsabile del trattamento e accordo sul trattamento dei dati), 30 (registro), 32 (sicurezza), 33 (violazione dei dati entro 72 ore), da 44 a 49 (trasferimento).
• I dati che restano all'interno del SEE semplificano la valutazione, perché le regole sul trasferimento non si applicano.

Quiz

Esercizio

Esercizio E1.2: I Suoi ruoli e dati. Crei un breve elenco dei dati personali che la Sua organizzazione conserva nel cloud (posta, calendario, file, chat). Indichi per ogni tipologia chi è titolare del trattamento, chi è responsabile del trattamento, ed eventuali dati sensibili presenti.

Per approfondire

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori il funzionamento è simile.

• Guida a Nextcloud 15.13: Domande frequenti su sicurezza e privacy
• Guida a Nextcloud 3.1: In che modo WebOké protegge il Suo Nextcloud?
• Regolamento (UE) 2016/679 (GDPR), articoli 4, 5, 24, 28, 30, 32, 33, da 44 a 49 e 83, su EUR-Lex
• Autoriteit Persoonsgegevens (l'autorità di controllo olandese), sezioni "Accordo sul trattamento dei dati" e "Notifica di una violazione dei dati": https://www.autoriteitpersoonsgegevens.nl