Categoria: Privacy

Il 10 giugno 2021 il Garante per la protezione dei dati personali ha pubblicato le “Linee guida cookie e altri strumenti di tracciamento“. Oltre a ribadire la premessa generale secondo la quale l’espressione del consenso da parte dell’utente è necessaria per i cookie o altri sistemi finalizzati alla profilazione e non per i sistemi che sono solo strumentali al funzionamento del sito, ha aggiunto alcune precisazioni e una proposta operativa.

Il testo delle linee guida è stato pubblicato in Gazzetta ufficiale il 9 luglio e prevede 6 mesi di tempo dalla pubblicazione perché i titolari di siti web si adeguino alle indicazioni. Quindi è opportuno iniziare a mettere a fuoco la situazione.

Come non gestire i cookie: le indicazioni delle linee guida del Garante

Il Garante parte da una serie di considerazioni che riguardano le pratiche diffuse e le analizza in relazione ai riferimenti di legge applicabili, arrivando a individuarne alcune che proprio non vanno e a porre basi certe su quel che si può o non si può fare.

Il concetto su cui si basano tutti i ragionamenti in materia di tracciamento degli utenti online è che per impostazione predefinita nessun cookie o altro strumento diverso da quelli tecnici deve essere posizionato all’interno del dispositivo dell’utente al momento del primo accesso a un sito web, né deve essere utilizzata alcuna altra tecnica attiva o passiva di tracciamento.

Detto questo, il Garante ha fatto alcune precisazioni rispetto all’utilizzo dei banner e alle modalità di espressione del consenso attualmente diffuse.

In merito al cosiddetto scroll down, cioè all’idea di utilizzare la consultazione di una pagina web da parte dell’utente come dimostrazione del suo consenso ad accettare eventuali strumenti di tracciamento, l’autorità è netta nel dire che non può funzionare così, che serve una soluzione capace di dimostrare la consapevolezza della scelta.

Per analogia, il Garante considera illecito vincolare l’utente a esprimere il proprio consenso intimandogli di abbandonare la pagina web in caso contrario, pratica nota come cookie wall, perché non rispetta il requisito di libertà previsto per l’espressione del consenso. L’unica eccezione ammissibile sarebbe il caso in cui il titolare del sito offrisse all’interessato l’accesso a un contenuto o a un servizio equivalenti, senza necessità di installazione e uso di cookie o altri strumenti di tracciamento.

Infine, il Garante afferma che la continua riproposizione del banner di consenso a utenti che lo hanno già negato in precedenza può lederne la libertà di scelta volendo indurli a rilasciare il consenso. Il banner può essere riproposto se cambiano le condizioni di trattamento dei dati, se il titolare non può avere garanzia del fatto che i cookie siano già stati installati sul terminale dell’utente (ex. se l’utente decide di cancellarli) e se sono trascorsi almeno 6 mesi dalla presentazione del banner.

Che cosa bisogna fare in pratica?

Il Garante non si è limitato a dire quel che non si deve fare sulla base dell’analisi delle pratiche più diffuse, ma ha formulato una proposta operativa ricca di dettagli.

Ne parlerò nella prossima SVnews!

La considerazione conclusiva delle linee guida è però che, trattandosi di un tema di interesse sempre più diffuso, tutti i soggetti coinvolti dovrebbero contribuire alla definizione di una codifica standardizzata relativamente a

• tipologia dei comandi
• colori
• funzioni

da implementare all’interno dei siti web per consentire la più ampia uniformità di gestione dei cookie e dei sistema di tracciamento, “a tutto vantaggio della trasparenza, della chiarezza e dunque anche della migliore conformità alle regole“. Se e quando questo coordinamento si realizzerà e produrrà uno standard definito, non è possibile saperlo, quindi è il caso che ciascuno inizi ad attivarsi per mettere in campo soluzioni conformi alle linee guida, eventualmente con il supporto dei tecnici che gestiscono per suo conto il sito web.

Prima perché è entrato in vigore il GDPR imponendo di aggiornare la gestione della privacy in azienda, poi perché l’emergenza Covid ha sollevato nuovi problemi in materia di trattamento dei dati personali, poi perché si sono adottati nuovi servizi digitali che cambiano le tipologie di trattamento dei dati… Insomma, il consulente per la privacy è sempre in azienda e chiede sempre di fare qualcosa in più! Non c’è un’alternativa?

Il ruolo del consulente privacy

Se quello che viene chiamato “consulente privacy” in realtà è il Data Protection Officer (DPO), il fatto che sia presente e operativo in azienda è un bene, cioè è un ottimo segnale di professionalità: si sta facendo carico delle sue responsabilità, il che significa che sta tutelando la realtà per la quale opera.

Un secondo caso al quale riconoscere del merito è quello dei consulenti privacy che proposto all’impresa di effettuare delle attività di verifica periodica (o audit) per accertare che le procedure definite vengano rispettate e, in caso negativo, intervenire per sistemare la situazione prima che diventi fonte di problemi. Per quanto fastidiose possano risultare le attività di verifica, hanno il vantaggio di riuscire a tenere sotto controllo la situazione e di far fronte in tempi brevi alle modifiche richieste dalla variazione dell’attività o della normativa.

C’è anche un terzo caso degno di nota: il consulente privacy che non è riuscito a convincere il cliente della necessità di verifiche periodiche, ma che comunque si prende la briga di aggiornarlo delle novità di cui dovrebbe tenere conto e fornisce assistenza nel caso in cui il cliente riconosca il valore della sua consulenza (o abbia paura di spiacevoli sanzioni).

Posso incaricare il personale aziendale di gestire la privacy?

Prima di tutto mettiamo in chiaro un aspetto: il personale aziendale gestisce sempre la privacy! In base al ruolo aziendale viene formato e incaricato per trattare i dati per conto del titolare. Non gestisce tutta la privacy, ma questo perché nessuno lo può fare.

Se quello che si vuole fare è incaricare un dipendente di svolgere l’incarico di DPO o le attività di verifica periodica, allora si deve mettere in conto di doverne verificare i requisiti di competenza e di indipendenza. Detto in altre parole, si deve valutare che la persona che si vuole incaricare:

1. abbia formazione ed esperienza adeguate rispetto alla realtà aziendale e che le mantenga nel tempo;
2. si trovi in una posizione che le consenta di disporre delle risorse (ex. tempo) per svolgere l’attività e abbia l’autorità per accedere ai dati e ai trattamenti.

Il problema vero, comunque, non è avere il consulente privacy sempre presente in azienda, ma essere convinti che la gestione della privacy sia qualcosa di cui ci si può occupare una volta e mai più.

La gestione dei dati personali sul lavoro si moltiplica e si complica per mano della tecnologia, lasciando al titolare del trattamento la responsabilità di valutare l’adeguatezza delle soluzioni tecnologiche adottate rispetto ai requisiti del GDPR. Questo può richiedere competenze specialistiche, a meno che i fornitori di servizi non scelgano di rendere la conformità al GDPR un loro requisito, come nel caso dei cloud provider europei che hanno proposto il Codice di condotta CISPE.

Cloud Infrastructure Services Providers in Europe

Una trentina di compagnie europee che forniscono servizi in cloud ( archiviazione, applicazioni, infrastruttura o piattaforma) si sono riunite in un’associazione senza fini di lucro con l’obiettivo di promuovere la comprensione, la conoscenza e l’utilizzo dei servizi in cloud, fondando così CISPE (Cloud Infrastructure Services Providers in Europe).

Tra le iniziative dell’associazione, la definizione di un codice di condotta che consenta ai provider di dimostrare la conformità ai requisiti del GDPR, e ai loro clienti di essere sereni rispetto alla sicurezza dei dati nel momento in cui li dovessero scegliere come fornitori.

Il Codice di condotta CISPE

Il 20 maggio scorso (2021) l’European Data Protection Board (EDPB), che comprende le Autorità europee per la protezione dei dati (ex. per l’Italia, il Garante per la protezione dei dati personali), ha espresso un parere favorevole rispetto al Codice di condotta CISPE.

Il Codice di condotta fornisce ai cloud provider metodi approvati dai soggetti controllori per dimostrare che le proprie procedure di gestione e conservazione dei dati sono conformi ai requisiti del GDPR. L’altra faccia della medaglia è che i clienti, scegliendo i provider che si dichiarano rispettosi del Codice di condotta CISPE, hanno garanzia di utilizzare infrastrutture cloud strettamente conformi alla normativa in materia di sicurezza dei dati.

I provider che dichiarano di rispettare il Codice di condotta CISPE, per esempio, garantiscono di accedere o utilizzare i dati del cliente solo per mantenere o fornire il servizio e non per scopi commerciali o pubblicitari, e che il trattamento dei dati avviene esclusivamente all’interno dell’Unione Europea.

Il rispetto del Codice di condotta non è autocertificato ma deriva dalla verifica effettuata da personale indipendente, accreditato dalle Autorità europee per la protezione dei dati.

Quindi, nella scelta di un cloud provider, puoi verificare se espone il marchio CISPE per valutare preventivamente in modo rapido la sua adeguatezza come tuo fornitore.

BYOD è l’acronimo dell’espressione inglese “bring your own device“, che letteralmente significa “porta il tuo dispositivo“. L’acronimo identifica l’utilizzo, sempre più diffuso, dei dispositivi digitali personali (smartphone, tablet e pc) per svolgere mansioni lavorative. Che sia desiderio del dipendente o che sia una richiesta del datore di lavoro, l’utilizzo dei dispositivi personali in ambito lavorativo è possibile se viene gestito correttamente in termini di accordi (il BYOD non deve comportare oneri economici a carico del lavoratore) e di tutela degli aspetti di protezione dei dati personali (privacy).

I rischi nella gestione dei dati personali

L’introduzione dei dispositivi personali comporta necessariamente un maggiore utilizzo per fini personali rispetto a quanto possa accadere nel caso di dispositivi forniti dal datore di lavoro. Per quanto concentrato sul lavoro un dipendente possa essere, l’utilizzo per finalità personali di un dispositivo digitale di proprietà si può considerare certo al di fuori dell’orario di lavoro, e magari anche da parte di familiari.

Il datore di lavoro potrebbe ritenere cautelativo, rispetto alla tutela dei dati che il lavoratore tratta per suo conto, attuare sistemi di scansione del dispositivo, per esempio per rilevare la presenza di malware; oppure potrebbe monitorare l’ubicazione e il traffico del dispositivo per prevenire la trasmissione di dati a terzi. Di fatto, però, queste attività potrebbero determinare l’accesso a tutti i dati del dispositivo, compresi quelli privati, o l’acquisizione di informazioni sulla vita privata e familiare del lavoratore, risultando non commisurate rispetto alla finalità di tutela dei dati di cui il datore di lavoro è titolare.

Come gestire correttamente il BYOD

Un riferimento utile per gestire i problemi di sicurezza dei dati in caso di ricorso al BYOD, sono le Linee Guida WP249 pubblicate a giungo 2017 dal Gruppo di lavoro Art.29 (un gruppo di lavoro indipendente che si è occupato di valutare le problematiche connesse alla protezione dei dati dati personali fino al 25 maggio 2018).

Le proposte operative comprendono tre aspetti.

1. L’attuazione di misure che consentano di distinguere l’uso privato da quello aziendale di un determinato dispositivo personale. Questo significa prima di tutto che i dati di interesse devono essere conservati in un “luogo dedicato” (ex. le cosiddette sandboxing, che conservano i dati in un’applicazione specifica). Ma un secondo aspetto riguarda la formazione del lavoratore che deve sapere che i dati relativi alla prestazione lavorativa non devono essere accessibili a terzi (conviventi, congiunti, conoscenti) e che non può memorizzarli in spazi virtuali diversi da quelli individuati dal datore di lavoro.
   
2. Il ricorso a sistemi sicuri di trasferimento dei dati tra il dispositivo del dipendente e la rete aziendale (ex. connessione VPN), con la doppia finalità di evitare di conservare i dati sul dispositivo personale e anche di garantire la sicurezza del dati trattati in tutte le fasi del trattamento, trasferimento compreso.
   
3. Il divieto per il datore di lavoro di richiedere o di autorizzare l’utilizzo di dispositivi personali nei casi in cui non sia possibile o sufficiente garantire la sicurezza dei dati o il rispetto della vita privata del dipendente attraverso l’adozione di misure specifiche, come quelle indicate ai punti precedenti.

La pratica del BYOD è quindi possibile, ma richiede al titolare del trattamento (il datore di lavoro) di valutare con cura le soluzioni di trasferimento, salvataggio e controllo prima di richiedere o autorizzare l’utilizzo di dispositivi personali per finalità lavorative.

La gestione dei dati sul lavoro si è ampliata e diversificata con il diffondersi delle tecnologie informatiche. La separazione tra sfera lavorativa e privata (extra lavorativa) di ciascuno è diventata più sottile ed è sempre meno scontata l’individuazione del luogo fisico di conservazione dei dati. Il titolare del trattamento deve però avere ben chiare tutte le forme e le caratteristiche del trattamento dei dati che mette in atto per poterlo gestire in modo adeguato e conforme. Anche quando si tratta di nuove forme di trattamento dati.

I profili social

Esaminare i profili social di candidati è un trattamento dati al pari di un eventuale screening periodico dei profili social dei propri dipendenti o collaboratori.

Queste attività devono essere gestite in primo luogo in termini di verifica della legittimità: il fatto che un profilo social sia pubblico non rende di per sé legittima la raccolta di dati o informazioni.

In particolare:

• i dati raccolti per valutare una possibile assunzione dovrebbero essere cancellati non appena si dovesse decidere di non formulare un’offerta effettiva o risulti evidente che il candidato non sia interessato al posto di lavoro;
• il titolare del trattamento deve essere in grado di dimostrare che la raccolta dati era finalizzata esclusivamente a verificare i requisiti previsti per lo specifico incarico, ma anche di avere informato preventivamente l’interessato di tale attività;
• la “richiesta di amicizia” di un datore di lavoro verso dipendenti, anche solo potenziali, non ha alcun fondamento giuridico;
• non è possibile vincolare i lavoratori all’utilizzo di un profilo social aziendale senza la possibilità che disponga anche di un profilo personale, e questo aspetto dovrebbe essere specificato nelle condizioni del contratto di lavoro.

Applicazioni per ufficio fornite in cloud

I casi più diffusi di applicazioni per ufficio fornite in cloud riguardano la gestione dei dati relativi alle risorse umane e applicativi utilizzabili interamente online. In molti casi queste applicazioni comportano il trasferimento internazionale dei dati trattati e di quelli relativi a chi utilizza le applicazioni.

Il titolare del trattamento deve verificare quale Stato sia interessato dal trasferimento e, nel caso di trasferimenti a un paese fuori dall’UE, deve verificare se questo garantisca un livello di protezione adeguato.

BYOD (Bring Your Own Device)

L’utilizzo di dispositivi personali per svolgere il proprio lavoro è divenuto più frequente con l’aumento del lavoro da remoto e con il crescente sviluppo tecnologico. In questi casi le misure tecniche da attuare al fine di garantire la protezione dei dati, e che il titolare del trattamento ha tutto l’interesse di mettere in atto e potenziare, rischiano di invadere la sfera privata.

Se il monitoraggio dell’ubicazione e del traffico dei dispositivi personali (Your Own Device) può essere considerato legittimo interesse del titolare, risulta illecita l’acquisizione di dati relativi alla vita privata. Pertanto il titolare deve adottare le misure adeguate per riuscire a distinguere tra uso privato e uso aziendale del dispositivo, eventualmente prevedendo la conservazione dei dati di lavoro in applicazioni specifiche.

---

La gestione privacy richiede tempo di analisi e scelte attente da parte di ogni titolare. Si tratta di un’attività in continua evoluzione, che deve fare i conti con le nuove forme di trattamento dati man mano che queste compaiono nello scenario lavorativo.

Per soddisfare la nostra e altrui richiesta di garanzie, il GDPR ha messo a carico del titolare del trattamento, e di altre figure con lui coinvolte nel trattamento dei dati, alcuni obblighi. Ecco perché, ogniqualvolta il titolare affidi il trattamento di un dato a partner o fornitori (responsabili esterni), egli è chiamato a verificare e acquisire garanzie ancora prima di affidare loro l’incarico, e a sottoscrivere il data processing agreement (DPA).

Quando si ha a che fare con un responsabile esterno?

Quando si verificano contemporaneamente queste 3 condizioni si ha a che fare con un responsabile esterno del trattamento:

1. si affidano a terzi servizi che comprendono il trattamento di dati;
2. il fornitore offre supporto strumentale e competenze e ha discrezionalità sulle modalità operative;
3. nonostante la discrezionalità operativa, non determina autonomamente le caratteristiche del trattamento dei dati.

Qualche esempio? I fornitori di servizi informatici, cloud, web, marketing, elaborazione paghe, servizi di hosting, consulenti ai quali si affidano incarichi di audit per analisi di gestione se finalizzati a sviluppi di strategie di business, aziende che gestiscono la videosorveglianza aziendale.

Non sono responsabili esterni le banche nella gestione dei servizi di incasso e pagamento, le figure di audit per il controllo dei libri contabili se effettuati sulla base di norme obbligatorie, organismi per attività di certificazione di sistemi di gestione, il medico competente e gli organismi di vigilanza 231.

Valutare il responsabile esterno in base alle garanzie

Il responsabile esterno deve essere valutato dal titolare in termini di garanzie che è in grado di fornire in materia di tutela dei dati personali che gli vengono affidati.

La prima fase è precontrattuale: si tratta di valutare la competenza in merito alle misure organizzative e tecniche di sicurezza a tutela dei dati, a prescindere dalla competenza settoriale, richiedendo gli elementi utili a verificare e dimostrare la sua compliance in tema di protezione dei dati.

Una volta affidato l’incarico, la valutazione deve essere gestita con verifiche periodiche.

Il data processing agreement

Secondo il GDPR, il rapporto tra titolare e responsabile deve essere oggetto di un contratto o di altro atto giuridico a norma del diritto dell’Unione o degli Stati membri. Questo atto deve vincolare il responsabile del trattamento al titolare e definire:

• la materia disciplinata;
• la durata del trattamento;
• natura e finalità del trattamento;
• il tipo di dati personali e le categorie di interessati;
• gli obblighi e i diritti del titolare del trattamento.

Tale atto vien chiamato anche data processing agreement (DPA). La sua assenza espone a sanzione sia il titolare sia il responsabile, che si troverebbe a trattare dati illecitamente.

La pratica e le clausole standard dell’Autorità danese

Sarebbe opportuno che il responsabile e il titolare “componessero” un atto sottoponendo ognuno le proprie garanzie per l’esecuzione dei trattamenti. Nella pratica si assiste a una presentazione unilaterale del documento da parte del titolare al responsabile esterno, solo per non rimarne privi.

In tale contesto, l’autorità di controllo danese ha predisposto delle clausole contrattuali standard che, sottoposte alla valutazione dello European Data Protection Board, sono state integrate e rese un modello utilizzabile da tutti i titolari del trattamento verso i responsabili esterni.

Lo standard è costituito da un documento contrattuale e quattro appendici (allegati).

La parte contrattuale definisce i vincoli che regolano il rapporto tra titolare e responsabile esterno, dettagliando le previsioni dell’art. 28 del GDPR, in particolare la suddivisione degli obblighi tra le due parti in causa.

Le quattro appendici contengono informazioni di dettaglio.

1. L’Appendice A descrive i dati oggetto di trattamento, le finalità, la natura e la durata del trattamento, le categorie di interessati, la lista dei sub-responsabili. I sub-responsabili sono i soggetti a cui il responsabile, previa autorizzazione generale o puntuale del titolare, può a sua volta affidare parte dei trattamenti da svolgere.
2. L’Appendice B contiene l’elenco dei sub-responsabili autorizzati.
3. L’Appendice C contiene le istruzioni relative all’uso dei dati personali fornite dal titolare del trattamento al responsabile
4. L’Appendice D è lo spazio per ulteriori clausole.

Se un responsabile non può proseguire l’incarico?

L’Autorità danese ha previsto tale eventualità, attribuendo al titolare la facoltà di richiedere direttamente ai sub-responsabili l’esecuzione del contratto stipulato con il responsabile o la cancellazione o restituzione dei dati personali trattati.

Nella notte tra il 9 e il 10 marzo 2021 un rogo è divampato all’interno di una stanza del data center SBG2, uno dei data center più grandi d’Europa di proprietà della OVH, azienda francese di web hosting. Si stima che più di un milione di siti e servizi siano stati coinvolti nell’incidente di Strasburgo; pur trovandosi geograficamente distanti, molte aziende, anche italiane, sono state coinvolte. Fortunatamente il rogo non ha causato vittime, ma i conti si fanno comunque, con danni materiali e immateriali arrecati ai clienti che avevano affidato i propri dati ai server ospitati negli edifici distrutti.

Il fondatore di OVH, Octave Klaba, ha comunicato tramite Twitter alla propria clientela di prevedere il restart dei data center SBG1 e SBG4, oltre che del network, entro lunedì 15 marzo, e quello del data center SBG3 entro venerdì 19 marzo, definendo il piano di recupero per le prossime due settimane e offrendo supporto ai clienti danneggiati.

L’incidente mette in luce la vulnerabilità di ogni sistema di salvataggio dei dati e l’importanza di identificare gli imprevisti e mitigarli, con azioni preventive e strategiche di recupero. Per quanto si possa considerare improbabile un evento simile, non si può pensare che non venga calcolato: qualsiasi insediamento ne tiene conto già in fase progettuale, prevedendo misure preventive ed elaborando piani di emergenza per contenerne i danni; le misure di prevenzione incendi sono parte integrante di ogni attività, si predispongono estintori e idranti in caso serva intervenire.

Ma siamo altrettanto preparati a contenere i danni in caso di perdita o distruzione di dati?

L’approccio preventivo e protettivo da parte di ogni titolare del trattamento dati, come lo stesso Regolamento Europeo UE 2016/679 richiede, risiede anche nella scelta di un cloud provider conforme. Già in fase contrattuale è necessario acquisire ogni garanzia che vi siano misure atte a trattare in sicurezza i dati e che, in caso di “incidenti”, l’organizzazione a cui ci affidiamo abbia previsto strategie idonee in grado di mitigarne l’impatto negativo. Tali garanzie soddisfano il principio dell’accountability (responsabilità) che nell’ambito del trattamento dei dati coinvolge tutti i soggetti coinvolti. Nel caso in cui il titolare affidi il trattamento di dati a un terzo esterno indentificandolo come responsabile al trattamento, come può essere il caso dei servizi hosting, cloud e provider, dovrà valutarne attentamente l’affidabilità a tutela dei dati degli interessati di cui intende affidargli il trattamento.

Va ricordato inoltre che, in caso di eventi simili, vi è il coinvolgimento in un data breach, ovvero la violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. Quanto accaduto alla OVH costituisce a tutti gli effetti una situazione di data breach e, in quanto tale, è soggetta alla notifica all’autorità di controllo entro 72 ore dal momento in cui il titolare ne viene a conoscenza. Nel caso in cui tale violazione comporti un rischio elevato per i diritti delle persone, necessita anche la comunicazione a tutti gli interessati coinvolti. La OVH, pertanto, si trova a dover gestire le reazioni dei clienti per il disservizio e risponderà all’autorità di controllo in merito alle misure adottate per dimostrare la conformità al Regolamento Europeo.

Oltre ogni adempimento imposto, il management aziendale si deve fondare sul buon senso. Non è certamente la dimensione aziendale a fare la differenza, anche piccole e medie imprese ormai si basano su dati che viaggiano in rete, e non possono permettersi di non prevedere un adeguato disaster recovery plan, una procedura che descriva azioni finalizzate a fronteggiare tempestivamente emergenze, quali eventi naturali di seria gravità (terremoti, alluvioni), incendi, attacchi informatici (cybercrime), furti e rapine, incidenti causati da errori umani, malfunzionamenti e danni di natura informatica.

Quando succede qualcosa di imprevisto questo prende il sopravvento su tutto il resto, stravolgendo piani, progetti e priorità. Tempi di inattività e la perdita dei dati costano cari e possono mettere a serio rischio l’esistenza stessa delle aziende, con riflessi negativi sull’affidabilità e la reputazione.

Quali verifiche vanno effettuate prima di affidare i dati a un cloud o a un gestore di servizi in rete?

In diversi punti il GDPR lascia intendere che il titolare del trattamento deve definire delle procedure per rispondere ai requisiti di protezione dei dati personali. L’unico caso, però, in cui il testo di legge parla esplicitamente di “procedura” è all’articolo sulla sicurezza del trattamento. L’art. 32 del GDPR, al comma 1 lettera d), richiede al titolare di definire una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative. Di che cosa si tratta?

Che cosa non è la procedura dell’art. 32 del GDPR

La procedura di valutazione dell’efficacia non è né la verifica della conformità normativa né l’attività di controllo prevista dall’art. 39 a carico del DPO. Non ha quindi come obiettivo quello di verificare che il trattamento dei dati avvenga nel rispetto dei requisiti di legge e non è un’attività riservata alle sole realtà che dispongano, per scelta o per obbligo, del DPO.

Questa procedura non ha nemmeno a che vedere con l’aggiornamento del registro dei trattamenti o dell’analisi dei rischi, e non equivale all’esecuzione di verifiche / audit regolari.

A che cosa serve la procedura dell’art. 32 del GDPR?

Si tratta di un obbligo che si applica al titolare del trattamento (o al responsabile) e ha come obiettivo quello di testare, verificare e valutare l’efficacia delle misure definite dall’organizzazione. Questo significa che:

1. la procedura deve essere in grado di dimostrare che le misure tecniche e organizzative consentono di raggiungere l’obiettivo di protezione dei dati personali trattati dall’organizzazione;
2. il titolare ha la possibilità di fare un bilanciamento (valutazione) delle misure rispetto agli interessi e al rischio che deve gestire, per cui la procedura serve per valutare se non siano troppo rigide o dispendiose le misure in atto o se, al contrario, non sia opportuno un loro rafforzamento;
3. l’attività di test, verifica e valutazione deve essere effettuata con regolarità. Questa regolarità deve essere definita in funzione dell’esposizione al rischio connesso al trattamento dei dati, con una frequenza crescente al crescere dell’esposizione. Tenendo presente che quest’ultima cresce sia in funzione della tipologia e della quantità di dati trattati, sia in funzione della variabilità del contesto interno o esterno (ex. rapidità con cui è necessario apportare modiche tecnologiche o documentali).

In che cosa consiste questa procedura

Per chi ha famigliarità con i sistemi di gestione, può essere utile paragonare la procedura dell’art. 32 del GDPR all’attività di monitoraggio mediante indicatori di prestazione. Si tratta quindi di individuare degli aspetti che si ritengono essere capaci di rappresentare lo stato della situazione nel tempo, di avere in ogni istante il polso della situazione.

Gli indicatori sono valori numerici espressi in termini relativi ( percentuali) in modo che si possa valutare un dato evento in funzione della massa complessiva di dati/ eventi che si stanno considerando. Per ciascun indicatore vengono definiti dei valori di riferimento rispetto ai quali risulti possibile stabilire se la situazione procede in modo sostenibile o se si stanno registrando degli scostamenti potenzialmente problematici.

Ecco un esempio.

Un esempio di indicatore

La sicurezza informatica è un aspetto importante di ogni realtà aziendale. La scelta dei sistemi informatici è il primo passo per la protezione dei dati personali trattati digitalmente. Testarne, verificarne e valutarne l’efficacia significa in questo caso valutare quanti tentativi di hackeraggio il sistema è stato capace di rilevare, affrontare e impedire. Così facendo, oltre a dimostrare che il processo di gestione della privacy è effettivo, si può anche rilevare la causa di un’eventuale problema, distinguere tra problematiche strutturali (ex. in caso di incapacità del sistema di neutralizzare gli attacchi) e problematiche di investimento (ex. in caso di una spesa ingente rispetto al numero di attacchi registrati), aggiustando il tiro delle misure tecniche e organizzative messe in atto.

L’utilizzo di software con accessi da remoto o installati localmente (su postazioni di lavoro o server) e i servizi cloud rientrano tra le tipologie di trattamento di dati personali ormai tipici di ogni realtà aziendale. Forse per via del carattere di necessità per la quotidianità lavorativa, molte aziende tendono a sottovalutare il legame tra privacy e servizi informatici, complice anche l’impossibilità per l’utente di incidere realmente sulla modalità di gestione dei dati da parte dei fornitori di alcuni di questi servizi. Rispetto alla normativa privacy, però, i processi informatici devono essere considerati al pari di ogni trattamento dati e, quindi, valutati e gestiti.

Inventariare i trattamenti

Della necessità od opportunità di inventariare i trattamenti per poterne valutare i rischi in relazione alla sicurezza dei dati ho già parlato in precedenza. Oggi voglio sottolineare l’importanza di includere i servizi informatici nella propria analisi, inserendo tutti i dettagli opportuni per mettere a fuoco chi interviene nel trattamento e con quali responsabilità.

La gestione privacy e i software

I software installati localmente (on-premises) prevedono sul fronte privacy aziendale il coinvolgimento del fornitore e del cliente. In questo caso il fornitore si qualifica come responsabile esterno del trattamento e come tale deve essere incaricato dal titolare, prevedendo contrattualmente i relativi compiti e vincoli. Il titolare, invece, dovrà formare e incaricare il proprio personale all’uso corretto dello strumento informatico. In caso di uso illecito da parte del titolare o dei suoi incaricati, il fornitore non può essere considerato responsabile.

In relazione ai software on-premises bisogna fare attenzione all’eventuale distinzione tra il fornitore del software e l’organizzazione che fornisce assistenza all’impresa durante l’uso del prodotto. Se così fosse, si dovrà avere chiaro com’è stata definita la catena contrattuale per disciplinare i rapporti anche sul fronte privacy: se il rapporto contrattuale tra utente e assistenza è diretto , allora si dovrà provvedere alla nomina di un secondo responsabile esterno, altrimenti sarà il fornitore del software a dover vincolare “a cascata” il servizio di assistenza al rispetto della normativa in materia di trattamento dei dati personali.

Nel caso di software in cloud, oltre al fornitore, all’utente (titolare del trattamento) e all’eventuale servizio assistenza, può entrare in gioco un quarto soggetto, il gestore del data center (il soggetto titolare della struttura fisica che ospita il software in cloud). E qui passiamo al secondo capitolo di oggi, perché le aziende che offrono servizi in cloud non si qualificano come responsabili del trattamento.

La gestione privacy dei servizi cloud

Il responsabile del trattamento è un soggetto che tratta i dati per conto del titolare, cioè è una sorta di braccio operativo, che deve sottostare alle regole definite dal titolare, regole che devono rientrare tra i vincoli contrattuali per esplicita previsione di legge.

Considerato che il titolare del trattamento può influire poco o nulla sulle modalità di gestione di un cloud provider, questo finisce per qualificarsi come un autonomo titolare come accade per tutti i soggetti che, pur trattando dati per conto del titolare, lo fanno con forte o totale autonomia (ex. medico competente), al punto che le clausole contrattuali non sono definibili, e finisce per venire meno anche il carattere strumentale del rapporto con il titolare del trattamento.

Il titolare del trattamento non può né deve nominare il cloud provider come titolare, ma può tracciarne la funzione all’interno del registro dei trattamenti. Inoltre il titolare non deve dimenticarsi che resta a suo carico la responsabilità di scegliere un soggetto adeguato, capace di fornire garanzie alla sicurezza dei dati personali trattati. Quindi dovrebbe verificarne periodicamente l’operato e, nel caso in cui rilevi violazioni, valutare di rivolgersi ad altri fornitori, capaci di offrire maggiori garanzie.

Ci sono figure che operano nell’ambito d’impresa che non è scontato inquadrare in termini di ruolo in materia di trattamento dei dati personali, al punto che il Garante, di sua iniziativa o su richiesta di associazioni di categoria, fornisce valutazioni volte alla loro corretta individuazione. Dopo la figura del medico competente, da considerare titolare autonomo del trattamento al pari dell’azienda per la quale svolge il proprio incarico, oggi parlo dell’Organismo di Vigilanza 231 (OdV 231).

Che cos’è l’OdV 231?

Con il decreto legislativo 231 del 2001, il legislatore ha individuato una serie di reati per i quali, oltre alla responsabilità della persona fisica che li ha commessi o che se ne assume la responsabilità per il ruolo che ricopre all’interno di una data organizzazione, è prevista la possibilità, in fase di giudizio, di coinvolgere la responsabilità dell’organizzazione (ente).

Allo stesso tempo, il decreto ha individuato la possibilità per l’organizzazione di dotarsi di un modello di organizzazione e gestione (Modello 231), ossia di un insieme di procedure che, se in possesso di specifiche caratteristiche e se attuato in modo efficace, può rappresentare uno strumento per dimostrare l’estraneità dell’ente dal reato e, quindi, escluderne la responsabilità.

Una delle caratteristiche del Modello 231 è quella di comprendere l’affidamento delle funzioni di vigilanza sull’efficacia e sull’attuazione delle procedure a una o più persone, con la formale costituzione dell’Organismo di Vigilanza.

Quale responsabilità per la privacy?

Il Garante per la protezione dei dati personali ha pubblicato in data 12 maggio 2020 un “parere sulla qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza previsti dall’art. 6, d.lgs. 8 giugno 2001, n. 231“.

La posizione del Garante è netta e sintetizzabile in 4 punti:

1. l’OdV 231, anche se dotato di potere d’iniziativa e controllo per svolgere la propria funzione in modo autonomo, non può essere considerato titolare del trattamento perché i suoi compiti non sono autodeterminati ma definiti dall’organo dirigente dell’organizzazione che lo ha incaricato e che ne definisce le modalità di funzionamento e le risorse a disposizione;
2. l’OdV 231 non può essere considerato nemmeno responsabile del trattamento in quanto eventuali sue omissioni non ricadono sull’organismo ma sull’organizzazione, laddove la normativa in materia di privacy prevede che il responsabile del trattamento abbia a proprio carico una serie di obblighi e sia direttamente responsabile in caso della loro inosservanza;
3. l’OdV 231 è parte dell’ente che, quale titolare del trattamento, deve designare i singoli membri dell’OdV come soggetti autorizzati al trattamento, che dovranno attenersi alle istruzioni del titolare;
4. le istruzioni che il titolare definisce per i membri dell’OdV 231 quali soggetti autorizzati non devono minarne l’autonomia e l’indipendenza rispetto agli organi societari, che sono requisiti necessari per lo svolgimento della funzione dell’OdV 231 ai sensi del decreto 231/01.

Quindi l’OdV 231 non ha un “incarico privacy” in senso collegiale, ma ciascuno dei suoi membri deve essere individuato come incaricato del trattamento.