Opportunità e Contesto Normativo

Transcript

1 Opportunità e Contesto Normativo Avv. Oscar Paolo Legnani

2 Obiettivi dell intervento (1) INFORMATIVO/CONOSCITIVO GIURIDICO Affrontare, in termini meno tecnici possibili ma in modo completo, l ambito giuridico nel quale si colloca Cloud Computing (2) OPPORTUNITÀ Il CLOUD COMPUTING (applicazioni in CLOUD) può essere considerato una opportunità anche nel contesto normativo attuale?

3 EUROPA 2020 Strategia di Crescita UE a fronte crisi finanziaria 2008 Cloud Computing Expert Group Gruppo di esperti = delineare una Cloud Computing EU Vision (2009) The future of Cloud Computing gennaio 2010 Advances in Cloud maggio 2012 A roadmap for Advanced Cloud Tech dicembre 2012 AGENDA DIGITALE Una delle 7 iniziative faro, delineata nel maggio 2010 per sfruttare il potenziale dell ICT e favorire innovazione, crescita economica, progresso; Azioni: Mercato Unico Digitale, interoperabilità e standard, fiducia e sicurezza on line, accesso a Internet superveloce, ricerca e innovazione, miglioramento delle competenze, utilizzo intelligente tecnologia Strumenti: Commissari,Commissioni, Gruppi di lavoro, Paesi Membri, Parlamento Europeo, Bilancio periodico e Assemblea sul digitale annuali

4 Comunicazione del Sfruttare il potenziale del Cloud Computing in Europa =CLOUD COMPUTING STRATEGY Commissione UE - standardizzazione delle condizioni contrattuali - individuazione di codici di condotta - avvio di certificazioni per gli operatori - incremento sicurezza e privacy GRUPPO C-SIG-SLA GRUPPO C-SIG-CS GRUPPO C-SIG-CC Cloud Select Industry Group on Service Level Agreement = Cloud SLAs Standardisation Guidelines for Cloud Computing (giugno 2014) Group on Certification Scheme Group on Code Conduct

5 PREVISIONI DI CRESCITA EU DICHIARATE POSSIBILI DALLA COMMISSIONE EU PIL previsto per % rispetto a quanto si potrebbe realizzare in assenza dello sfruttamento del CLOUD COMPUTING (ossia 250 miliardi di EUR contro i possibili 88) a condizione che si attuino le politiche (anche nazionali) a sostegno del CLOUD COMPUTING POSTI di LAVORO premesso quanto sopra, dal 2015 al 2020 si ipotizzano 2,5 mio posti di lavoro in più (3,8 mio di professionisti nel campo cloud anziché 1,3, in assenza di interventi)

6 Benefici economici ipotizzati per gli Enti o Utilizzo di Infrastrutture, SW e processi a costi inferiori o Personalizzazione del servizio o Outsourcing e pay per use = da costi fissi a costi variabili Indagine per conto della Commissione Europea, 2011 su organizzazioni (Enti ed Imprese) utilizzano servizi CLOUD 80% ridotto i costi generali del 10/20% 46% maggiore mobilità del lavoro 41% maggiore produttività 35% maggiore normazione e organizzazione 33% maggiori opportunità imprenditoriali 32% incremento dei mercati

7 IMPATTO SULLA TECNOLOGIA Hardware ottimizzato Ottimizzazione dei processi di - archiviazione dati - back up - data recovery - elaborazione Sviluppo di Software Alleggerimento dei Personal Device Dinamicità e personalizzazione dei servizi e delle infrastrutture New Web (2.0, 3.0 etc )

8 CLOUD COMPUTING può essere considerato una opportunità, anche nel contesto normativo esistente? Enti e Normativa EU dicono di Sì! Strategia formalizzata in ambito EU, da armonizzare nei singoli Paesi Coinvolge Progetti e Percorsi di medio periodo (2020) Gruppi di lavoro già avviati, con i primi risultati (SLA standardization) Riconosciuto e verificato (con studi e statistiche) in modo formale = maggiore competitività = maggiore sviluppo economico = più posti di lavoro

9 Profili strettamente giuridici del contratto CLOUD COMPUTING

10 Cloud Computing Non esiste una definizione normativa (vincolante) Non esiste neppure una definizione non vincolante ma (almeno) univoca

11 NIST - National Institute of Standards and Technology (USA) Il cloud computing è un modello per abilitare, tramite la rete, l accesso diffuso, agevole e a richiesta, ad un insieme condiviso e configurabile di risorse di elaborazione (ad esempio reti, server, memoria, applicazioni e servizi) che possono essere acquisite e rilasciate rapidamente e con minimo sforzo di gestione o di interazione con il fornitore di servizi. Questo modello cloud è composto da cinque caratteristiche essenziali, tre modalità di servizio e quattro modelli di distribuzione. Self-service su richiesta Ampio accesso in rete Condivisione delle risorse Elasticità rapida Servizio misurato SaaS PaaS IaaS Privato Comunitario Pubblico Ibrido

12 La definizione NIST non è completa perché i servizi di Cloud Computing sono in continuo divenire (es, XaaS) La definizione NIST non è giuridica ma per tecnici (difficoltà di interpretazione e adattamento alle normative esistenti) La definizione NIST non è condivisa da tutti a volte persino osteggiata : c è anche chi pensa che il CLOUD COMPUTING non sia un qualcosa di innovativo ed in espansione ma solo un fenomeno di marketing

13 CCBE - Consiglio degli Ordini Forensi d Europa Cloud computing è un termine generico che indica infrastrutture IT che implicano l archiviazione e l elaborazione in remoto di dati e programmi in data center di fornitori (provider) cloud o in data center interconnessi, nonché l accesso a servizi attraverso la rete web. La definizione NIST è richiamata solo per spiegarne i tecnicismi. Garante Privacy 2012 Con il termine cloud computing, o semplicemente cloud, ci si riferisce a un insieme di tecnologie e di modalità di fruizione di servizi informatici che favoriscono l utilizzo e l erogazione di software, la possibilità di conservare e di elaborare grandi quantità di informazioni via Internet. Il cloud offre, a seconda dei casi, il trasferimento della conservazione o dell elaborazione dei dati dai computer degli utenti ai sistemi del fornitore. Il cloud consente, inoltre, di usufruire di servizi complessi senza doversi necessariamente dotare né di computer e altri hardware avanzati, né di personale in grado di programmare o gestire il sistema. Tutto può essere demandato all esterno, in outsourcing, e a un costo potenzialmente limitato, in quanto le risorse informatiche necessarie per i servizi richiesti possono essere condivise con altri soggetti che hanno le stesse esigenze

14 In tutte le definizioni SERVIZI SW-HD-INFRASTRUTTURE ELABORAZIONE ESTERNA DATI

15 In tutte le definizioni SERVIZI = Contratto di appalto SW-HD-INFRASTRUTTURE = licenza, affitto/noleggio GESTIONE ESTERNA DATI = outsourcing

16 APPALTO LICENZA OUTSOURCING

17 Valutazione giuridica del contratto CLOUD ATIPICO MISTO BILATERALE CONTRAENTE COMPLESSO OGGETTO = non è previsto specificamente da nessuna norma = somministrazione/appalto+licenza+outsourcing = fruitore / fornitore = Fornitore utilizza sub-fornitori = Elaborazione DATI trasmessi/archiviati/elaborati/protetti/duplicati/

18 Principali NORME APPLICABILI al contratto di Cloud Computing Se non sottoposto a normativa straniera -Codice Civile appalto artt ; somministrazione artt ; d opera artt ; d opera intellettuale artt ) -Legge subfornitura (L. 192/1998 ) -Legge sul Diritto d Autore (L. 633/1941) -Codice della Proprietà Intellettuale (D.Lgs. 30/2005 e Reg. att. D.M. 33/2010) Se sottoposto a normativa straniera (per indicazione delle Parti in assenza, perché stipulato tra contraenti a Paesi diversi) - Norme del Paese di riferimento - Norme di diritto internazionale privato (L. 31 maggio 1995 n. 218) - Norme internazionali sulla giurisdizione e competenza, in difetto di indicazione delle parti -Norme di diritto interno e internazionale pubblico di Ordine Pubblico, anche dei paesi nei quali risiedono i dati oggetto di trattamento

19 segue Normative Privacy -Direttiva 95/46/CE - Codice Privacy D.Lgs. 196/2013 Testo Unico Art. 42 (Trasferimenti all interno dell Unione Europea) Art. 43 (Trasferimenti consentiti in Paesi Terzi) Art. 44 (Altri trasferimenti consentiti) Art. 45 (Divieto trasferimento se non nei casi in cui è espressamente previsto) - Proposta di nuovo Regolamento Comunitario (vincolante dall approvazione ) -Autorizzazioni specifiche delle Authority (Garante Privacy) -Norme di Ordine Pubblico del Paese dove risiedono i server che archiviano i dati In via residua - Prassi - Codici di condotta in sede di valutazione dell adempimento corretto e diligente

20 C o n t e n u t o del C O N T R A T T O Clausole Contrattuali ordinarie, non contrarie all ordine pubblico Clausole contrattuali vessatorie specificamente contrattate segue Le condizioni generali di contratto conosciute e richiamate, anche se non sottoscritte Gli Allegati richiamati nel contratto a far parte dello stesso, anche se non sottoscritti ma individuabili specificamente Le integrazioni manoscritte, dal contenuto diverso dal contratto standard

21 CLOUD COMPUTING possiede criticità giuridiche maggiori rispetto ad altri contratti? La maggior parte delle criticità sono -tipiche dei contratti tipici ai quali si avvicina (appalto, licenza SW, outsourcing) -tipiche dei contratti internazionali -comuni a quelle di tutti i contratti che prevedono trattamento dati (violazione della riservatezza, mancanza sicurezza, trasferimento non autorizzato) -tipiche dei rischi connessi alla proprietà intellettuale (Violazione copyright e brevettuale, plagio di know how, comportamento anticoncorrenziali) -tipiche dei contratti inerenti a nuove tecnologie

22 CRITICO = Ciò CHE di NUOVO SORTISCE DALLA NUOVA TECNOLOGIA (nuova modalità di esecuzione o unione processi tecnologici) (1) Moltiplicazione e ubicazione non unitaria dei SERVER = difficoltà di individuare la GIURISDIZIONE (Stato e la relativa Corte/Tribunale decida in modo vincolante una controversia). (2) Elevato numero di sub-fornitori coinvolti nel Cloud Computing rapporti giuridici, ubicazione e normativa non coincidenti con rapporto Fornitore/Fruitore = Troppi soggetti coinvolti e difficoltà INDIVIDUAZIONE del soggetto RESPONSABILE moltiplicarsi di parti nei contenziosi, tempistiche prolungate, difficoltà di controllo dell adempimento (non è solo il Provider che esegue), problemi di esecuzione delle sentenza

23 Fattori critici -Giurisdizione competente? -Chi è materialmente tenuto/può intervenire? -Luogo o modalità di esecuzione della sentenza? Generano definizioni come Fog computing Storm computing Definizioni errate generate dal timore della perdita di controllo dei dati (il fenomeno è già presente dati finanziari (Banche), dati fiscali (Commercialisti), dati sensibili (Avvocati) etc

24 Occorre un approccio più innovativo al fenomeno CLOUD COMPUTING inversione di visuale = non è la norma che tutela ma siamo noi che dobbiamo utilizzare correttamente INFORMAZIONI e STRUMENTI 1) tutela preventiva 2) centralità trattative

25 (1) Autotutela PREVENTIVA (da non confondere con l esercizio arbitrario della proprie ragioni) - CONSAPEVOLEZZA PROPRIA - conoscenza tecnica - conoscenza economica - valutazione rapporto rischi e opportunità - VALUTAZIONE del CLOUD PROVIDER in termini di - Certificazione - Standardizzazione contrattuale - Linee guida di comportamento - Best practice

26 (2) CENTRALITÀ delle TRATTATIVE Controbilanciare l esigenza del Cloud Provider di standardizzare blocchi di servizi e propone, per prassi, condizioni generali di contratto (altrettanto standard) o suoi modelli contrattuali = 1) Approcciare il Provider come si cercherebbe un Partner di lunga durata 2) Proporre clausole autonome, prevalenti sulle condizioni generali 3) Evidenziare l eventuale mancata aderenza del contratto a best practice, codici di condotta, certificazioni

27 CLOUD COMPUTING può essere considerato una opportunità, anche nel contesto normativo esistente? + Enti e Normativa EU dicono di SI! + Il quadro Giuridico non è in contrasto se si ha approccio innovativo consapevolezza (tecnica, economica, rischi e benefici) scelta attenta del Cloud Provider maggiore attenzione nelle trattative

28 Strumenti potenzialmente utili (Scelta Cloud Provider e Prevenzione) a)scheda di documentazione del Garante Privacy 2012 Cloud Computing: indicazioni per l utilizzo consapevole dei servizi b)documento del Gruppo C-SIG-SLA 2014 Cloud Select Industry Group on Service Level Agreement Cloud Service Level Agreement Standardisation Guidelines a)check LIST argomenti di verifica

29 CLOUD COMPUTING: indicazioni per l utilizzo consapevole dei servizi Garante Privacy (1) INNOVARE, GOVERNANDO I RISCHI (affidabilità del fornitore) accertare meccanismi di sicurezza del Provider accertare la filiera di sub-fornitori qualità di connettività alla Rete utenza multipla e conflitti o contrasti di interessi tra fruitori conservazione dei dati in luoghi geografici differenti (quali?) utilizzo di tecnologie proprie del Fornitore, non disponibili al fruitore, che compromettono la transizione dei dati informarsi sull aderenza degli accorgimenti assunti dal Fornitore con quelli indicati dal GARANTE in tema Privacy

30 CLOUD COMPUTING: indicazioni per l utilizzo consapevole dei servizi Garante Privacy (2) INDICAZIONI PER L UTILIZZO CONSAPEVOLE DEI SERVIZI CLOUD Ponderare prioritariamente rischi e benefici dei servizi offerti Effettuare una verifica in ordine all affidabilità del Fornitore Privilegiare i servizi che favoriscono la portabilità dei dati Assicurarsi la disponibilità dei dati in caso di necessità Selezionare i dati da inserire in cloud Non perdere di vista i dati Informarsi su dove risiedono, concretamente, i dati Attenzione a d alcune clausole contrattuali Verificare le politiche di persistenza dei dati legate alla loro conservazione Erigere e adottare cautele per tutelare al confidenzialità dei dati Formare adeguatamente il personale

31 SERVICE LEVEL AGREEMENT (SLA) Accordi che definiscono le metriche di servizio (qualità, tempistiche, quantità, modalità) Allegati tecnici, separati dal contratto ma facente parte integrante Stabiliscono in anticipo come verificare l adempimento del Cloud Provider Particolarmente importanti i c.d. SLA prestazionali che permettono di introdurre un sistema di alerting che segnali in tempo reale l esistenza di problemi - tempi di risposta - performance di rete - disponibilità delle componenti di sistema Service Level Management (progettazione e pianificazione dei processi, determinazione dei requisiti del servizio / target, misurazione di esecuzione, intervento di coordinamento e accordo problem solution, reporting, revisione, etc )

32 Service Level Agreement = COMUNICAZIONE tra CONTRAENTI PREVENZIONE dei CONFLITTI DOCUMENTO che EVOLVE nel TEMPO (dinamico) EUROPA (Cloud Select Industry Group on Service Level Agreement - giugno 2014) Cloud Service Level Agreement Standardisation Guidelines TERMINOLOGIA E METRICHE COMUNI non vincolanti ma di rifermento

33 CHECK LIST Alcuni elementi negativi per valutare un Cloud Provider (argomenti da valutare/contrattare) Il fornitore non si impegna a garantire un livello minimo di servizio, misurabile con chiarezza in base a parametri oggettivi (contenuto minimo SLA) Allegati tecnici non individuati univocamente Indicazione generica di soggetti terzi ai quali vengono trasferiti i dati per il trattamento Non si indicano i Paesi nei quali si trovano i server che tratteranno i dati Ci sono clausole limitative della responsabilità del Cloud Provider Mancata garanzia di non utilizzo di SW proprietari del Cloud Provider (come verranno restituiti i dati o trasferiti ad altri Cloud Provider) Nessuna o generica indicazione dell Assicurazione che garantisce il Cloud Provider Nessuna o generica indicazione e garanzia dei processi di Disaster Recovery Mancanza di garanzie sulle tematiche di protezione Intellectual Property Specifica indicazione di Foro esclusivamente competente e Legge applicabile (quali?)

34 CLOUD COMPUTING può essere considerato una opportunità, anche nel contesto normativo esistente? + Enti e Normativa EU dicono di SI! + Il quadro Giuridico non è in contrasto + Abbiamo STRUMENTI giuridici di verifica e approccio

35 CLOUD COMPUTING può essere considerato una opportunità, anche nel contesto normativo esistente!!! Il contesto normativo esistente può diventare FONTE di BUSINESS in ambito CLOUD COMPUTING = Contratto di rete di imprese (art. 3, co. 4 ter, D.L. 10 febbraio 2009, n. 5, convertito con L. 9 aprile 2009, n. 33) Cloud Computing = tecnologia di facilitazione operativa SMAU ottobre alle ore 14:00 "Cloud e Reti di Imprese, le opportunità delle tecnologie digitali per e nelle reti"

36 Avv. Oscar Paolo Legnani