Cloud computing. Aspetti legali.

Transcript

1 Via Tibullo Roma Tel (+39) o Fax (+39) Cloud computing. Aspetti legali. Dott.ssa Benedetta Valenti

2 P. 2 Cosa è il cloud computing. Come è ben noto ai numerosi fruitori della rete, il mondo IT è un ambito tanto complesso, quanto in continua evoluzione. Ad oggi la soluzione più in voga, per la gestione dei dati nelle imprese, risulta essere il cloud computing. Il motivo di una tale crescita non è un mistero. Infatti, il cloud sopperisce ai problemi cronici delle infrastrutture IT, ovvero, essenzialmente: costi di gestione elevati, utilizzo non efficiente delle risorse computazionali, consumo eccessivo di energia, inquinamento e mancanza di agilità dei servizi erogati, che non si muovono alla stessa velocità richiesta dal business d impresa. Ma esattamente cosa si intende per cloud? Con il termine cloud computing o semplicemente cloud, ci si riferisce ad un insieme di tecnologie e di modalità di fruizione di servizi informatici che favoriscono l utilizzo e l erogazione di software, la possibilità di conservare e di elaborare grandi quantità di informazioni via Internet. Il cloud offre, a seconda dei casi, il trasferimento dei dati dai computer degli utenti ai sistemi del fornitore, al fine della loro conservazione, o la loro elaborazione; in sostanza una gigantesca memoria centrale. Il cloud consente, inoltre, di usufruire di servizi complessi senza doversi necessariamente dotare né di computer e altri hardware avanzati, né, tantomeno, di personale in grado di programmare o gestire il sistema. Esistono differenti tipi di cloud (oltre alla suddivisione in Private, Public e Hybrid Cloud), che a macrolivelli possono essere sostanzialmente distinti in tre gruppi: Iaas, ovvero Infrastructure as a service, come Amazon EC2, in cui le risorse fornite sono normalmente VM (Virtual Machine) e risorse di un virtual datacenter (come ad esempio storage e networking), attraverso il quale vengono fornite anche funzioni di gestione. Paas, ovvero Platform as a service, nel quale la piattaforma su cui sviluppare le applicazioni prevede altresì un sistema operativo, nonché librerie, framework, linguaggi di programmazione e tutto quello che potrebbe servire a realizzare un applicazione multi-tiers (ovvero in più livelli). Una piattaforma di questo tipo è Microsoft Azure.

3 P. 3 Ed infine SaaS, o meglio Software as a service, per la quale viene fornita direttamente un applicazione e/o un servizio. Probabilmente quest ultima è quella di più largo utilizzo, come dimostrato dal numero di utenti di Microsoft Office 365 e Google Apps. Novità legislative Tuttavia, una tecnologia potenzialmente imponente ed innovativa come il cloud si trova ancora oggi, dopo diversi anni di collaudato utilizzo, alle prese con un classico problema giuridico. Infatti, Tecnologia e Normativa non si muovono alla stessa velocità. La tecnologia cloud procede molto più velocemente dell attività del legislatore. Infatti, manca ancora un quadro normativo aggiornato, non solo in tema di privacy, ma anche in ambito civilistico e penalistico, che abbia riguardo alle più recenti novità in ambito IT e che tuteli pienamente chi ne usufruisce. Alcune novità legislative per il settore delle telecomunicazioni, che avranno un indubbio impatto anche sul cloud, sono state introdotte dal cosiddetto Pacchetto Telecom, con decorrenza dal luglio In particolare le direttive 136/2009 e 140/2009, già recepite in Italia, hanno modificato la ormai obsoleta normativa italiana in materia di privacy delle comunicazioni elettroniche e di protezione dei dati personali. Fra le misure previste vi è anche l obbligo per le società telefoniche e gli Internet provider di notificare alle competenti Autorità nazionali e, in determinati casi, agli utenti, tutte le violazioni di sicurezza che comportino la distruzione, la perdita o la diffusione indebita di dati personali trattati nell ambito della fornitura del servizio. La vera novità, prevista per il 2014, è data, però, dall approvazione del nuovo Regolamento generale sulla protezione dei dati (Com def.) proposto dalla Commissione Europea. Il nuovo Regolamento introdurrà regole uniformi in Europa, da valere anche nei confronti di Stati terzi, e ciò dovrebbe contribuire a rendere meno complesso e rischioso l utilizzo dei servizi cloud, uno dei cui principali problemi attuali è rappresentato, appunto, dalla sicurezza. Una delle più incisive innovazioni di questa riforma riguarderà l estensione dell obbligo di notifica delle violazioni di sicurezza che riguardino dati personali a tutti i titolari del trattamento dei dati

4 P. 4 come, ad esempio, Istituti bancari ed assicurativi. Sarà attivato, dunque, un sistema automatico di allerta, in caso di furto di dati personali. Aspetti contrattuali Ma al di là delle attese modifiche normative che riguarderanno il cloud, molti aspetti critici (fra cui la sicurezza) possono essere affrontati e risolti, già da oggi, per mezzo di un contratto ben articolato. Il passaggio dai termini giuridici che usualmente si inseriscono nei contratti tradizionali, che hanno ad oggetto gli asset o le attività di una impresa (ad esempio i contratti di distribuzione o agenzia), ai termini giuridici che fanno riferimento al concetto as a service, dunque ad un servizio ad alta tecnologia informatica, risulta determinante per l evoluzione dei contratti che regolano questa materia. E necessario, a tal fine, prendere le distanze dall idea di detenzione fisica delle risorse e far spazio all idea di un controllo coordinato dei dati (o dei sistemi di gestione) tra l azienda ed il fornitore del servizio. E proprio in questo contesto che il contratto e l approntamento di specifiche clausole divengono fondamentali. Il contratto che regola il servizio cloud, dunque, assume notevole importanza e richiede stretta collaborazione fra le parti per regolamentare al meglio un rapporto continuativo. La qualità del contratto proposto è inoltre un importante indice della serietà dei fornitori di servizi cloud, in quanto questo tipo di contratti sono di norma ricchi di clausole vessatorie, con particolare riferimento alle limitazioni, se non addirittura alle più radicali esclusioni, di responsabilità. E essenziale, perciò, definire l architettura contrattuale del rapporto ed i ruoli dei vari soggetti coinvolti, per chiarirne i doveri ed i poteri collegati all applicazione della normativa vigente. I servizi cloud sono spesso regolati da modelli di contratto di tipo misto, che uniscono elementi riconducibili all appalto ad elementi tipici del contratto di licenza. La complessità delle tematiche contrattuali insita nel servizio di cloud porta, tuttavia, molto spesso, alla non autosufficienza del contratto, che necessita di una integrazione tecnica, costituita da allegati volti a definire le garanzie relative ai livelli di servizio, che però talvolta possono risultare di difficile lettura. Proprio questi parametri tecnici divengono essenziali nell area IT e, conseguentemente, si

5 P. 5 rende opportuno predisporre l atto con il quale le parti esprimono il loro accordo in merito (c.d. SLA, Service Level Agreement) nel modo più oggettivo possibile. Particolarmente importante è, poi, la regolamentazione della responsabilità nel caso di eventuali causazioni di danni o in caso di impossibilità di effettuazione di adempimenti (ad esempio in caso di ordine di esibizione di dati originali da parte delle Autorità), nella consapevolezza che, in ogni caso, nell ordinamento italiano, in base all art del Codice Civile, è nullo qualsiasi patto diretto ad escludere o limitare preventivamente la responsabilità del fornitore per dolo o colpa grave. Elemento chiave rappresenta, poi, il profilo relativo alla proprietà dei dati. E necessario, perciò, verificare che la proprietà dei dati rimanga all utente, e ciò mediante apposite clausole di riservatezza, salvaguardia e rivendicazione dei relativi diritti, anche di proprietà intellettuale. Al momento della stesura del contratto, risulta quindi utile stabilire procedure e modalità per la restituzione, all atto della cessazione del rapporto, dei dati e dei documenti di proprietà degli utenti e delle loro relative copie. Prospettive future L Europa, sempre più attenta alla sicurezza della rete, per mezzo della Commissione, ha indicato delle clausole contrattuali standard (o Model Clauses) ed ha prospettato la possibilità di effettuare una triangolazione contrattuale fra soggetti europei ed extraeuropei: in pratica, il cliente fruitore dei servizi cloud sottoscrive un contratto con la branch europea del fornitore degli stessi servizi, con obbligo della casa madre extraeuropea di conformarsi a tutte le clausole contrattuali standard. Le linee guida europee, se correttamente seguite, garantirebbero alle aziende la più puntuale ed efficace definizione delle responsabilità inerenti al trattamento dei dati, sia trasmessi che archiviati, travalicando anche i difficili confini digitali. Molto spesso, infatti, i fornitori di server hanno la loro sede fisica, e detengono i dati, nella loro forma originale, in Stati extraeuropei. La collocazione fisica del server, dunque, assurge ad aspetto fondamentale anche in relazione alla possibilità di ottenere l esecuzione dei provvedimenti ottenuti dal giudice italiano, oltre che sotto il profilo dell autonomia del fornitore rispetto all ingerenza dei pubblici poteri e al grado di democraticità di questi ultimi. Per quanto la normativa italiana ed internazionale non sia sufficientemente in linea con lo sviluppo digitale, lasciando spazio ad illeciti e cyber-crimini, un contratto di cloud sviluppato consapevolmente può coniugare benefici e tutela di una tecnologia ancora giovane.

6 P. 6 Dott.ssa Benedetta Valenti Per ulteriori informazioni contattare: Dott.ssa Valenti Tel (+39) benedetta.valenti@ssalex.com luca.salvi@ssalex.com