I contratti cloud: cosa chiedere, come scegliere

Транскрипт

1 I contratti cloud: cosa chiedere, come scegliere 28/09/12 avv. Cristina Franchi Via inferiore Treviso 1

2 Un mercato più maturo I servizi basati sul Cloud sono sempre più diffusi E cresciuto il numero degli operatori, si moltiplicano e si fondono i livelli distributivi Il Cliente può scegliere, selezionando anche in termini di proposte contrattuali Non tutti i contratti sono per adesione 2

3 Accordi internazionali e contratti locali Il Cloud è un fenomeno internazionale per natura Il suo sviluppo ha portato però all intervento di operatori nazionali con contratti regolati dal diritto nazionale Alcune caratteristiche strutturali sono tipiche di tutti i contratti cloud, la legge applicabile comporta però importanti differenze in tema di responsabilità 3

4 La struttura degli accordi Ordine SLA Il contratto (condizioni generali) Policies* (privacy, security, uso dei servizi) White papers* *possono essere parte integrante dei contratti! ATTENZIONE alla clausola sulla gerarchia delle fonti contrattuali 4

5 La qualifica dell accordo Appalto di servizi o contratto atipico? Obbligazione di mezzi o di risultato? Utilizzo di servizi sviluppati a priori per una pluralità indeterminata di utenti: implicazioni Importanza di vincoli contrattuali sulle modalità di esecuzione del servizio (privacy e sicurezza) La qualifica dell accordo nel suo insieme e gli impegni contenuti negli SLA 5

6 Le parti dell accordo Cliente (pacchetto sicuro, assunzione limitata di responsabilità nei cfr utente finale) Utente finale -non sempre parte contrattuale- (facilità d uso e garanzie sulle privacy) Cloud broker (responsabilità non eccedenti a garanzie e valorizzazione del suo valore aggiunto) Fornitore del servizio di base 6

7 Cloud Broker Acquista per rivendere Acquista fornendo un valore aggiunto per l utilizzo del servizio (gestione dell accesso, identità, sicurezza) Integra diversi servizi, propri o di terzi Acquista per rivendere i propri servizi inevitabilmente associati a un servizio Cloud Seleziona per il Cliente servizi da fornitori diversi, cambiandoli nel tempo in funzione di disponibilità ed economicità 7

8 Qual è l oggetto del mio contratto? Strumenti tecnologici (IAAS/ PAAS) Componenti tecnologiche (HAAS) Funzioni amministrative (posta/ accesso esami medici) Diverse situazioni portano a differenti priorità sulla valutazione di rischi e quindi dei vincoli contrattuali 8

9 Tipologia di dati e trattamenti Identificare quali dati sono trattati con il Cloud e per quali finalità dati strategici per l organizzazione dati operativi dati personali, e tra questi dati che richiedono misure specifiche (sensibili e giudiziari) Scegliere quali trattamenti affidare al Cloud 9

10 Vincoli alla scelta Vincoli legali localizzazione dei dati personali applicazione di misure specifiche ai dati sensibili garanzie di sicurezza e riservatezza conformi a pre-esistenti impegni contrattuali. Vincoli tecnici interoperabilità con il sistema esistente. Vincoli pratici disponibilità reversibilità portabilità. 10

11 Priorità sui rischi Perdita di controllo sui dati personali (vincoli legali) operativi (disponibilità, reversibilità) dati strategici (sicurezza) Dipendenza tecnologica dal Fornitore Rischi della condivisione del server Continuità degli impegni contrattuali (catena di subcontraenti) Mancata o ritardata cancellazione dei dati Indisponibilità del servizio (o della rete) Messa in liquidazione o fallimento del Fornitore, acquisizione da parte di un terzo; cessazione unilaterale del servizio 11

12 La valutazione I vincoli specifici per una certa organizzazione e le sue priorità per la minimizzazione dei rischi devono trovare risposta nella clausole contrattuali 12

13 Se il Cliente è una PA: vincoli giuridici Disciplina dei contratti pubblici Onere di motivazione (D.Lgs. N.163/2006) Studio di fattibilità Parere di congruità di DigitPA per i contratti economicamente rilevanti (D.Lgs.39/1993) Procedimento di aggiudicazione Analisi comparativa (D.Lgs. 82/2005) Legge applicabile e giurisdizione Monitoraggio sull esecuzione Possibilità di recesso 13

14 Se il cliente è una PA: aspetti rilevanti Vincoli tecnici e contrattuali e criteri di economicità (e.g. interoperabilità -aggregazione della domanda- -variabilità di utilizzo-i costi di manutenzione delle applicazioni) Portabilità dei dati Territorialità del trattamento Facilità d uso e garanzie sulla privacy per i servizi agli utenti Legge applicabile e giurisdizione 14

15 Sicurezza Oggi si promettono condotte e non risultati Si possono esigere misure di sicurezza fisica e logica specifiche: organizzazione, controlli e sanzioni per garantire la sicurezza interna modalità di archiviazione specifiche e controllabili cifratura per l archiviazione e la comunicazione certificazioni ISO audit del Cliente delegabile a terzi competenti report del provider sulle violazioni ed evoluzione delle misure di sicurezza Essenziale la valutazione di un tecnico 15

16 Privacy e cancellazione dati Trasparenza sulla localizzazione del server Possibilità di scelta dell area geografica in cui risiede il server Garanzie tecniche di tutela dei dati all interno dell organizzazione del provider e di tutti i suoi subfornitori, verificabile anche con la tracciabilità delle operazioni Adesione al Safe Harbor Esistenza delle Model Clauses Impegno alla cancellazione dei dati Minimizzazione dei trattamenti: privacy e sicurezza Dovere di cooperazione con le Autorità Garanti 16

17 Continuità del servizio Verifica/ impegno di compatibilità con il SW esistente Verifica degli SLA mediante sistemi di monitoraggio e reportistica Gestione di eventi imprevedibili (backup, disaster recovery) Facoltà di recesso del Fornitore: preavviso? Obbligo di fornire alternative? Se l acquirente è anche intermediario, quali sono le responsabilità nei confronti del cliente finale? Il Cliente può chiedere all intermediario misure complementari a quelle del Fornitore per quanto riguarda sicurezza e continuità 17

18 Portabilità, cessazione del contratto Verifica/ impegno sulle caratteristiche di portabilità e interoperabilità dei servizi (utilizzabili su piattaforme di fornitori diversi e ritrasferibili allo stesso Cliente) Specifici impegni del Fornitore per assicurare la possibilità del Cliente di ritrasferire dati e servizi all interno o ad altro Fornitore con modalità semplici e poco costose Accordi per il supporto tecnico nella fase di transizione 18

19 Caratteristiche tecniche dell accordo Limitazione di responsabilità Legge applicabile e risoluzione delle controversie 19

20 Legge applicabile e limitazione di responsabilità I contratti Cloud originari, di matrice americana, limitano estensivamente la responsabilità La legge italiana ammette le limitazioni solo per colpa lieve: quali conseguenze per il fornitore, intermediario e cliente Penali contrattuali per violazione di standard qualitativi Responsabilità e livello di sviluppo tecnologico Co-responsabilità e assicurazione 20

21 Legge applicabile e risoluzione delle controversie La modalità di risoluzione delle controversie non deve essere troppo onerosa Il criterio di scelta del Cliente non deve essere la nazionalità del Fornitore ma la sua disponibilità ad adattare le proprie condizioni contrattuali al contesto in cui opera il Cliente 21

22 Assicurazione I danni di un disastro informatico nel mondo Cloud possono essere molto ingenti Sfuggono alla possibilità di controllo del Fornitore (almeno in parte) del Rivenditore e del Cliente ma non rientrano fra le cause di forza maggiore L assicurazione del Fornitore è un elemento di valutazione tenendo anche conto delle dimensioni Il Cliente deve valutare la possibilità di assicurarsi 22