Gli adempimenti normativi in caso di servizi. Relatore Avv. Valentina Frediani

Transcript

1 Gli adempimenti normativi in caso di servizi esternalizzati Relatore Avv. Valentina Frediani

2 I soggetti giuridici coinvolti Fornitore di servizi Offre servizi (server virtuali, storage, applicazioni complete) generalmente secondo un modello "pay-per-use" Cliente amministratore Sceglie e configura i servizi offerti dal fornitore, generalmente offrendo un valore aggiunto come ad esempio le applicazioni software Cliente finale Utilizza i servizi opportunamente configurati dal cliente amministratore

3 Ai vantaggi economici corrispondono difficoltà giuridiche? POTENZIALI VANTAGGI Ambiente ritagliato su misura Riduzione dei costi Maggiore flessibilità Disponibilità in tempi rapidi Tariffazione proporzionale al consumo DIFFICOLTA GIURIDICHE Sicurezza Giurisdizione competente Problemi legati al trattamento dati personali Dubbi profili contrattuali Difficile imputazione delle responsabilità

4 Cloud computing e privacy Utilizzare il cloud computing per memorizzare dei dati personali espone l'utente a potenziali problemi di violazione della privacy. I dati pervengono in possesso dell'azienda e possono esposti al comportamento arbitrario della stessa. Potenziali rischi di: indagini di mercato o di profilazione dell'utente

5 Il trasferimento dei dati all estero Accedere ai servizi Cloud spesso significa trasferire i propri dati fuori dai confini nazionali Nel merito il Codice Privacy prevede 2 eventualità: - Trasferimenti effettuati all interno dell UE (art. 42) - Trasferimenti effettuati verso Paesi Terzi (art )

6 Art. 42. Trasferimenti all'interno dell'unione europea Le disposizioni del presente codice non possono essere applicate in modo tale da restringere o vietare la libera circolazione dei dati personali fra gli Stati membri dell'unione europea, fatta salva l'adozione, in conformità allo stesso codice, di eventuali provvedimenti in caso di trasferimenti di dati effettuati al fine di eludere le medesime disposizioni.

7 Art. 43. Trasferimenti consentiti in Paesi terzi Il trasferimento anche temporaneo fuori del territorio dello Stato, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento, se diretto verso un Paese non appartenente all'unione europea è consentito quando: a) l'interessato ha manifestato il proprio consenso espresso o, se si tratta di dati sensibili, in forma scritta; b) è necessario per l'esecuzione di obblighi derivanti da un contratto c) è necessario per la salvaguardia di un interesse pubblico d) è necessario per la salvaguardia della vita o dell'incolumità fisica di un terzo e) è necessario ai fini dello svolgimento delle investigazioni difensive f) è effettuato in accoglimento di una richiesta di accesso ai documenti amministrativi g) è necessario per esclusivi scopi scientifici o statistici, ovvero per esclusivi scopi storici h) il trattamento concerne dati riguardanti persone giuridiche, enti o associazioni.

8 Art. 45. Trasferimenti vietati Fuori dei casi di cui agli articoli 43 e 44, il trasferimento anche temporaneo fuori del territorio dello Stato, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento, diretto verso un Paese non appartenente all'unione europea, è vietato quando l'ordinamento del Paese di destinazione o di transito dei dati non assicura un livello di tutela delle persone adeguato.

9 Il provvedimento in materia di ADS Adempimenti di tipo legale: nomina, integrazione dps, informativa dipendenti, elenco nominativo a.d.s. esterni Adempimenti di tipo informatico: loggatura, descrizione eventi di accesso, conservazione minimo sei mesi

10 Ed in ambito di conservazione sostitutiva? Quali requisiti necessari? solidità tecnologica e di servizio nel tempo; accesso dei dati, in entrata ed in uscita, in forma criptata; applicare il cloud in reti privati e non reti pubbliche; nominare un responsabile della conservazione sostitutiva che sia anche un esperto informatico; redigere uno SLA di riferimento adeguato; effettuare periodicamente e come indicato dalla normativa vigente, copie di backup anche al di fuori del cloud computing

11 Suggerimenti giuridici! Definizione contenuti contrattuali non arbitraria Individuazione del Responsabile in ambito privacy e della conservazione qualora il servizio abbia ad oggetto dati in conservazione sostitutiva Verifica delle misure di sicurezza apportate Integrazione dei documenti privacy interni all Utente Finale

12 Avv. Valentina Frediani