I contratti cloud: cosa chiedere, come scegliere

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "I contratti cloud: cosa chiedere, come scegliere"

Biaggio Gambino
8 anni fa
Visualizzazioni

1 I contratti cloud: cosa chiedere, come scegliere 28/09/12 avv. Cristina Franchi Via inferiore Treviso 1

fondono i livelli distributivi Il Cliente può scegliere, selezionando

2 Un mercato più maturo I servizi basati sul Cloud sono sempre più diffusi E cresciuto il numero degli operatori, si moltiplicano e si fondono i livelli distributivi Il Cliente può scegliere, selezionando anche in termini di proposte contrattuali Non tutti i contratti sono per adesione 2

3 Accordi internazionali e contratti locali Il Cloud è un fenomeno internazionale per natura Il suo sviluppo ha portato però all intervento di operatori nazionali con contratti regolati dal diritto nazionale Alcune caratteristiche strutturali sono tipiche di tutti i contratti cloud, la legge applicabile comporta però importanti differenze in tema di responsabilità 3

regolati dal diritto nazionale Alcune caratteristiche strutturali sono tipiche di tutti i

4 La struttura degli accordi Ordine SLA Il contratto (condizioni generali) Policies* (privacy, security, uso dei servizi) White papers* *possono essere parte integrante dei contratti! ATTENZIONE alla clausola sulla gerarchia delle fonti contrattuali 4

papers* *possono essere parte integrante dei contratti!

5 La qualifica dell accordo Appalto di servizi o contratto atipico? Obbligazione di mezzi o di risultato? Utilizzo di servizi sviluppati a priori per una pluralità indeterminata di utenti: implicazioni Importanza di vincoli contrattuali sulle modalità di esecuzione del servizio (privacy e sicurezza) La qualifica dell accordo nel suo insieme e gli impegni contenuti negli SLA 5

Utilizzo di servizi sviluppati a priori per una pluralità indeterminata di utenti:

6 Le parti dell accordo Cliente (pacchetto sicuro, assunzione limitata di responsabilità nei cfr utente finale) Utente finale -non sempre parte contrattuale- (facilità d uso e garanzie sulle privacy) Cloud broker (responsabilità non eccedenti a garanzie e valorizzazione del suo valore aggiunto) Fornitore del servizio di base 6

contrattuale- (facilità d uso e garanzie sulle privacy) Cloud broker

7 Cloud Broker Acquista per rivendere Acquista fornendo un valore aggiunto per l utilizzo del servizio (gestione dell accesso, identità, sicurezza) Integra diversi servizi, propri o di terzi Acquista per rivendere i propri servizi inevitabilmente associati a un servizio Cloud Seleziona per il Cliente servizi da fornitori diversi, cambiandoli nel tempo in funzione di disponibilità ed economicità 7

Acquista per rivendere i propri servizi inevitabilmente associati a un servizio Cloud Seleziona per

8 Qual è l oggetto del mio contratto? Strumenti tecnologici (IAAS/ PAAS) Componenti tecnologiche (HAAS) Funzioni amministrative (posta/ accesso esami medici) Diverse situazioni portano a differenti priorità sulla valutazione di rischi e quindi dei vincoli contrattuali 8

Funzioni amministrative (posta/ accesso esami medici) Diverse

9 Tipologia di dati e trattamenti Identificare quali dati sono trattati con il Cloud e per quali finalità dati strategici per l organizzazione dati operativi dati personali, e tra questi dati che richiedono misure specifiche (sensibili e giudiziari) Scegliere quali trattamenti affidare al Cloud 9

operativi dati personali, e tra questi dati che richiedono misure

10 Vincoli alla scelta Vincoli legali localizzazione dei dati personali applicazione di misure specifiche ai dati sensibili garanzie di sicurezza e riservatezza conformi a pre-esistenti impegni contrattuali. Vincoli tecnici interoperabilità con il sistema esistente. Vincoli pratici disponibilità reversibilità portabilità. 10

riservatezza conformi a pre-esistenti impegni contrattuali.

11 Priorità sui rischi Perdita di controllo sui dati personali (vincoli legali) operativi (disponibilità, reversibilità) dati strategici (sicurezza) Dipendenza tecnologica dal Fornitore Rischi della condivisione del server Continuità degli impegni contrattuali (catena di subcontraenti) Mancata o ritardata cancellazione dei dati Indisponibilità del servizio (o della rete) Messa in liquidazione o fallimento del Fornitore, acquisizione da parte di un terzo; cessazione unilaterale del servizio 11

contrattuali (catena di subcontraenti) Mancata o ritardata cancellazione dei dati Indisponibilità del servizio (o della

12 La valutazione I vincoli specifici per una certa organizzazione e le sue priorità per la minimizzazione dei rischi devono trovare risposta nella clausole contrattuali 12

13 Se il Cliente è una PA: vincoli giuridici Disciplina dei contratti pubblici Onere di motivazione (D.Lgs. N.163/2006) Studio di fattibilità Parere di congruità di DigitPA per i contratti economicamente rilevanti (D.Lgs.39/1993) Procedimento di aggiudicazione Analisi comparativa (D.Lgs. 82/2005) Legge applicabile e giurisdizione Monitoraggio sull esecuzione Possibilità di recesso 13

163/2006) Studio di fattibilità Parere di congruità di DigitPA per i contratti economicamente

14 Se il cliente è una PA: aspetti rilevanti Vincoli tecnici e contrattuali e criteri di economicità (e.g. interoperabilità -aggregazione della domanda- -variabilità di utilizzo-i costi di manutenzione delle applicazioni) Portabilità dei dati Territorialità del trattamento Facilità d uso e garanzie sulla privacy per i servizi agli utenti Legge applicabile e giurisdizione 14

interoperabilità -aggregazione della domanda- -variabilità di utilizzo-i costi di

15 Sicurezza Oggi si promettono condotte e non risultati Si possono esigere misure di sicurezza fisica e logica specifiche: organizzazione, controlli e sanzioni per garantire la sicurezza interna modalità di archiviazione specifiche e controllabili cifratura per l archiviazione e la comunicazione certificazioni ISO audit del Cliente delegabile a terzi competenti report del provider sulle violazioni ed evoluzione delle misure di sicurezza Essenziale la valutazione di un tecnico 15

controllabili cifratura per l archiviazione e la comunicazione certificazioni ISO audit del Cliente delegabile a terzi

16 Privacy e cancellazione dati Trasparenza sulla localizzazione del server Possibilità di scelta dell area geografica in cui risiede il server Garanzie tecniche di tutela dei dati all interno dell organizzazione del provider e di tutti i suoi subfornitori, verificabile anche con la tracciabilità delle operazioni Adesione al Safe Harbor Esistenza delle Model Clauses Impegno alla cancellazione dei dati Minimizzazione dei trattamenti: privacy e sicurezza Dovere di cooperazione con le Autorità Garanti 16

subfornitori, verificabile anche con la tracciabilità delle operazioni Adesione al Safe Harbor Esistenza delle Model Clauses

17 Continuità del servizio Verifica/ impegno di compatibilità con il SW esistente Verifica degli SLA mediante sistemi di monitoraggio e reportistica Gestione di eventi imprevedibili (backup, disaster recovery) Facoltà di recesso del Fornitore: preavviso? Obbligo di fornire alternative? Se l acquirente è anche intermediario, quali sono le responsabilità nei confronti del cliente finale? Il Cliente può chiedere all intermediario misure complementari a quelle del Fornitore per quanto riguarda sicurezza e continuità 17

preavviso? Obbligo di fornire alternative?

18 Portabilità, cessazione del contratto Verifica/ impegno sulle caratteristiche di portabilità e interoperabilità dei servizi (utilizzabili su piattaforme di fornitori diversi e ritrasferibili allo stesso Cliente) Specifici impegni del Fornitore per assicurare la possibilità del Cliente di ritrasferire dati e servizi all interno o ad altro Fornitore con modalità semplici e poco costose Accordi per il supporto tecnico nella fase di transizione 18

impegni del Fornitore per assicurare la possibilità del Cliente di ritrasferire dati e servizi all interno o ad

19 Caratteristiche tecniche dell accordo Limitazione di responsabilità Legge applicabile e risoluzione delle controversie 19

20 Legge applicabile e limitazione di responsabilità I contratti Cloud originari, di matrice americana, limitano estensivamente la responsabilità La legge italiana ammette le limitazioni solo per colpa lieve: quali conseguenze per il fornitore, intermediario e cliente Penali contrattuali per violazione di standard qualitativi Responsabilità e livello di sviluppo tecnologico Co-responsabilità e assicurazione 20

lieve: quali conseguenze per il fornitore, intermediario e cliente Penali contrattuali per violazione

Legge applicabile e risoluzione delle controversie La modalità di risoluzione delle controversie non deve essere troppo onerosa Il criterio di scelta del

21 Legge applicabile e risoluzione delle controversie La modalità di risoluzione delle controversie non deve essere troppo onerosa Il criterio di scelta del Cliente non deve essere la nazionalità del Fornitore ma la sua disponibilità ad adattare le proprie condizioni contrattuali al contesto in cui opera il Cliente 21

22 Assicurazione I danni di un disastro informatico nel mondo Cloud possono essere molto ingenti Sfuggono alla possibilità di controllo del Fornitore (almeno in parte) del Rivenditore e del Cliente ma non rientrano fra le cause di forza maggiore L assicurazione del Fornitore è un elemento di valutazione tenendo anche conto delle dimensioni Il Cliente deve valutare la possibilità di assicurarsi 22

Documenti analoghi

Profili giuridici del cloud in sanità: dalla digitalizzazione alla privacy

Profili giuridici del cloud in sanità: dalla digitalizzazione alla privacy Prof. Avv. Giusella Finocchiaro www.studiolegalefinocchiaro.it www.blogstudiolegalefinocchiaro.it Osservazioni preliminari Esternalizzazione: