Cloud nella PA, c’è poca trasparenza nei rapporti con i service provider: i problemi da affrontare

A distanza di un anno dall’avvio della prima indagine coordinata sull’utilizzo del cloud nella PA, l’EDPB ha adottato un report dove vengono resi noti i risultati di questa prima azione di applicazione coordinata del GDPR.

Il report ha sollevato non poche criticità in relazione alle concrete modalità di utilizzo della tecnologia cloud nel settore pubblico ed è stato oggetto anche di diversi provvedimenti delle autorità garanti e dell’EDPB medesimo, sotto forma di linee guida e pareri non vincolanti.

In Italia, le principali criticità che analizzeremo più avanti sono relative a una mancata trasparenza nei rapporti tra i Content Service Provider (CSP) e la PA.

All’indagine, lo ricordiamo, hanno preso parte 22 Autorità di controllo, incluso il Garante Privacy Europeo (EDPS). Tra le autorità di controllo interessate vi era anche il Garante Privacy italiano, facente parte del c.d. CEF (acronimo di Coordinated Enforcement Framework, in italiano “Quadro di attuazione coordinata”), protocollo adottato dall’EDPB nel mese di ottobre 2020 proprio al fine di potenziare tutte le attività di enforcement e cooperazione fra le autorità di controllo.

La costituzione del CEF rappresentava un’azione chiave del Comitato europeo per i disavanzi eccessivi nell’ambito della complessiva strategia 2021-2023, unitamente alla creazione di un gruppo di esperti volti a dare sostegno alle autorità. Così facendo, sarebbe stato possibile semplificare l’applicazione della normativa sulla tutela dei dati personali e favorire la cooperazione efficace tra le autorità di vigilanza sul territorio europeo.

Data protection day, la tutela dei dati baluardo di libertà al tempo delle guerre e delle innovazioni: ecco perché

Il contenuto del report dell’EDPB

All’interno del report, in line generale, l’EDPB sottolinea la necessità che gli enti pubblici agiscano nel pieno rispetto del regolamento generale sulla protezione dei dati. A tal scopo, sono incluse nel medesimo report una serie di raccomandazioni per le organizzazioni del settore pubblico da applicare quando utilizzano prodotti o servizi basati sul cloud. Tra queste rientrano, in particolare:

1. lo svolgimento di una DPIA;
2. la verifica che i ruoli delle parti coinvolte siano determinati in modo chiaro ed inequivocabile;
3. la verifica che il fornitore del servizio di cloud (CSP, Cloud Service Provider) agisca solo per conto e secondo le istruzioni documentate dell’ente pubblico, individuando eventuali trattamenti in cui il CSP agisce da titolare;
4. la promozione del coinvolgimento del DPO;
5. lo svolgimento di una revisione periodica per valutare se il trattamento viene ancora eseguito in conformità con la DPIA, almeno quando si verifica una modifica del rischio rappresentato dalle operazioni di trattamento;
6. l’adeguamento delle procedure di gara per assicurarsi che siano previsti già a monte tutti i requisiti necessari per garantire la conformità con il GDPR;
7. l’analisi delle normative dei paesi terzi che potrebbero applicarsi al CSP;
8. la verifica delle condizioni alle quali l’ente pubblico è autorizzato ad effettuare/può contribuire agli audit, ivi comprese ispezioni condotte dall’ente pubblico stesso o da un altro revisore incaricato dal controllore.

In relazione, in particolare, alla DPIA, si rileva che “se la DPIA è richiesta e non è stata eseguita prima del trattamento come richiesto dall’art 35 GDPR, ferma restando la valutazione della responsabilità dell’ente pubblico, la DPIA dovrebbe essere eseguita “ex post” il prima possibile, e le misure tecniche e organizzative individuate dovrebbe essere implementato”.

Inoltre, “una valutazione del rischio dovrebbe essere almeno intrapresa, anche se una DPIA non è legalmente richiesta dal GDPR, al fine di rispettare gli articoli 24 e 32 del GDPR. Il responsabile del trattamento dovrebbe, se del caso, fornire assistenza per la valutazione del rischio, dato che potrebbe trovarsi in una posizione migliore per determinare almeno alcune delle misure organizzative e tecniche. Dovrebbero essere selezionati solo i CSP che offrono garanzie sufficienti”.

Viene anche reso disponibile un elenco delle azioni già intraprese dalle autorità di protezione dei dati nel campo del cloud computing.

Andrea Jelinek, presidente del comitato europeo per la protezione dei dati, ha dichiarato, relativamente a quanto emerso dal report, che “Il quadro coordinato di applicazione (CEF) sperimenta metodi di collaborazione più profondi tra le autorità di protezione dei dati per ottenere una migliore efficienza e coerenza. In tutta Europa, le organizzazioni del settore pubblico si stanno rivolgendo ai servizi cloud e incontrano difficoltà nell’ottenere servizi e prodotti conformi al GDPR. I dati personali trattati dai servizi pubblici devono essere trattati con la massima cura, soprattutto se trattati da terzi. La relazione dell’EDPB CEF 2022 fornisce un utile parametro per questo e confido che diventerà un importante punto di riferimento per gli enti pubblici che cercano di reperire servizi cloud conformi al GDPR”.

I risultati dell’indagine in Italia

Sulla scorta delle verifiche condotte dall’autorità garante italiana, emerge come tra le principali criticità vi sia la mancata individuazione, nella fase precontrattuale, del ruolo del CSP. I servizi cloud, infatti, non vengono negoziati direttamente, ma tramite società italiane che agiscono come rivenditori: il ruolo di detti rivenditori non appare sempre chiaro dal punto di vista della protezione dei dati.

“In alcuni casi”, si legge, “anche laddove i rivenditori non svolgano alcun ruolo attivo nel trattamento dei dati personali in relazione alla fornitura dei servizi cloud, sono stati comunque designati come responsabili del trattamento”.

“Infatti, nel presupposto dell’assenza di un rapporto contrattuale diretto tra la PA e il CSP, i CSP richiedono alla PA di interagire con il reseller e di impegnare tutti gli obblighi di conformità nei confronti del reseller, mentre in pratica tutti i servizi e le attività di trattamento sono svolti direttamente dai CSP”, continua.

“In questi casi, è difficile per la PA fornire istruzioni complete all’effettivo responsabile e valutarne la conformità: i CSP spesso rifiutano di accettare di negoziare specifiche clausole nei contratti con la PA e di ricevere istruzioni dirette da queste. Queste difficoltà sembrano essere aggravate dall’uso diffuso di contratti modello in cui è chiaramente indicato che sono da considerarsi come istruzioni documentate del Cliente per il trattamento dei Dati Personali e che possono solo essere rispettati senza alcuna possibilità di negoziare modifiche specifiche”.

La corretta individuazione del responsabile del trattamento

Alcune parti interessate hanno lamentato, altresì, “il fatto che vi sono casi in cui hanno fornito istruzioni specifiche al rivenditore che funge da responsabile del trattamento (ad esempio, fornire informazioni sulle violazioni dei dati entro un determinato periodo di tempo), ma le stesse istruzioni non sono state imposte ai CSP perché della ridotta capacità negoziale clausole che, come detto, sono già contenute nel contratto/addendum informatico predisposto dal CSP”.

La nomina da parte del CSP dei sub-responsabili

Ugualmente critica è l’autorizzazione alla nomina, da parte del CSP, di sub-responsabili: le PA spesso sono informate dell’esistenza di detti soggetti solo tramite pagine web in cui sono elencati e solo in alcuni casi (ad esempio se le autorità pubbliche hanno indicato recapiti, come un indirizzo di posta elettronica) sono informati direttamente delle modifiche a tale elenco e quindi dei cambiamenti dei sub-responsabili.

“Nella maggior parte dei casi, la mancata opposizione a nuovi sub-responsabili è interpretata come un’autorizzazione e se la PA si oppone a un sub-responsabile, il consueto ricorso contrattuale è la cessazione dell’abbonamento al servizio in questione. Se il servizio fa parte di una suite, la PA deve disdire l’abbonamento all’intera suite”.

Poca trasparenza sulle categorie di dati raccolti dai CSP

La mancanza di trasparenza tra il CSP e la PA comporta, inoltre, anche che le parti interessate nazionali non siano pienamente consapevoli delle categorie di dati raccolti dal CSP per finalità proprie, con incremento dei rischi per gli interessati.

Scarsa trasparenza sul trasferimento di dati

Da ultimo, l’autorità Garante rileva che “in relazione alla consapevolezza del trasferimento, la circostanza che la regione europea sia specificata nella maggior parte dei casi come luogo per il trattamento dei dati personali da parte dei CSP sembrerebbe dare un’impressione errata che non stia avvenendo alcun trasferimento. Solo dopo le attività di indagine e alcune domande specifiche relative alle disposizioni incluse negli accordi/addendum sul trattamento dei dati in riferimento a possibili trasferimenti, alcune autorità pubbliche si sono rese conto che i dati a riposo sono solitamente archiviati nella regione selezionata, tuttavia potrebbero esserci casi in cui il CSP non può fornire un servizio dalla regione selezionata poiché deve trasferire dati a paesi terzi (ad esempio, in genere nel caso di servizi “24 ore su 24”); di conseguenza, l’unico modo per evitare il trasferimento di dati personali sarebbe quello di astenersi dall’utilizzare il servizio in questione”.

In generale, dunque, si osserva una mancanza di consapevolezza anche in detto contesto, aggravata dal fatto che le Standard Contractual Clauses redatte dai CSP in via unilaterale “non sono accompagnate da specifici allegati che descrivano gli specifici (possibili) trasferimenti in questione. Gli allegati alle SCC allegati ai contratti tipo dei CSP sottoscritti dalla PA sono sempre gli stessi e non contengono alcuna descrizione specifica dei (possibili) flussi di dati personali in relazione ai servizi cloud forniti alla PA di riferimento; infatti, la formulazione degli Allegati è la stessa di quella (generale) contenuta nei contratti tipo dei CSP”.

Inoltre, si legge, “principalmente a causa della mancanza di consapevolezza circa la possibile esistenza di trasferimenti di dati, generalmente la PA non effettua alcuna valutazione dell’impatto del trasferimento e, anche quando viene effettuata, non sempre copre tutti i possibili trasferimenti di dati e terzi paesi coinvolti. A questo proposito, alcune parti interessate hanno lamentato il fatto che sarebbe molto difficile valutare la legislazione di tutti i paesi terzi in cui possono essere stabiliti possibili responsabili del trattamento, in particolare laddove vi sia una mancanza di informazioni sui sub-incaricati che sono effettivamente coinvolti nei servizi forniti alla PA. La mancanza di consapevolezza sui trasferimenti di dati e la conseguente mancata valutazione dei Paesi terzi coinvolti nei possibili trasferimenti incidono anche sulla necessità di valutare se gli obblighi previsti negli specifici strumenti di trasferimento possano essere rispettati dai CSP laddove la legislazione del terzo paese può interferire con tali obblighi”.

Particolarmente complessa la verifica della conformità al GDPR

Alcuni enti, infine, hanno lamentato come i CSP non permettano lo svolgimento di alcuna attività di verifica e ispezione, rendendo particolarmente complessa la verifica della conformità al GDPR.

Sicurezza dei dati nel cloud, sfide e best practices per il 2023

Il contesto e lo scopo dell’indagine

Come affermato in premessa, l’iniziativa intrapresa dalle autorità di controllo si inserisce all’interno di un più generale obiettivo di enforcement perseguito dalle autorità di controllo europee d’intesa con le singole autorità garanti nazionali facenti parte dello Spazio Economico Europeo.

La necessità di intraprendere azioni coordinate e congiunte nasce, oltre che dal testo della normativa sulla tutela dei dati personali, dalla generale trasformazione digitale, enfatizzata dalla pandemia da COVID-19.

Come affermato dal Garante Privacy, detta trasformazione digitale ha “indotto molti soggetti pubblici, anche in Italia, a ricorrere a servizi cloud. Tuttavia, risulta spesso complesso per le pubbliche amministrazioni ottenere prodotti e servizi ICT che siano in linea con le norme UE sulla protezione dei dati”.

Non solo: secondo i dati EuroStat condivisi dall’EDPB all’avvio dell’indagine, la diffusione del cloud da parte delle imprese è raddoppiata in tutta l’UE negli ultimi 6 anni, con un incremento esponenziale dell’uso di detti sistemi anche nelle pubbliche amministrazioni. “Tuttavia, così facendo, gli organismi pubblici a livello nazionale e dell’UE possono incontrare difficoltà nell’ottenere prodotti e servizi delle tecnologie dell’informazione e della comunicazione conformi alle norme dell’UE in materia di protezione dei dati”.

In detto contesto, dunque, si colloca l’attuale indagine, volta a verificare l’effettivo rispetto da parte delle PA del GDPR e, attraverso orientamenti e azioni coordinati, alla promozione da parte delle autorità di vigilanza delle migliori prassi di utilizzo di detti sistemi, così da poter garantire un’adeguata protezione, a livello europeo, dei dati personali.

Come è stata condotta l’indagine dell’EDPB

L’indagine, inizialmente, doveva riguardare complessivamente più di 80 soggetti collocati in tutto lo Spazio Economico Europeo e operanti in diversi settori, tra cui, in particolare, la sanità pubblica, la finanza, la fiscalità, l’istruzione. All’interno dell’indagine rientravano anche le diverse istituzioni europee, le centrali di committenza e i fornitori di servizi ICT della pubblica amministrazione centrale e locale. Gli enti pubblici interessati, alla fine, sono stati circa 100.

Sulla base di un modello operativo previamente condiviso ed elaborato dalle autorità di controllo partecipanti, l’indagine è stata condotta su scala nazionale utilizzando differenti modalità, indicate sia dall’EPDB che dal Garante Privacy nazionale:

1. esercizi conoscitivi;
2. la somministrazione di un questionario, anche per comprendere se un’indagine formale sia o meno giustificata;
3. l’avvio di specifiche istruttorie o la prosecuzione di quelle già in corso, anche tramite la messa in atto di accertamenti ispettivi.

Compito delle autorità di vigilanza era, in particolare, quello di valutare le diverse sfide cui gli enti pubblici devono far fronte quando utilizzano servizi basati sul cloud per poter garantire la conformità al GDPR, con approfondita disamina delle procedure attuate e delle garanzie attuate nelle varie fasi di trattamento del dato (dall’acquisizione dello stesso all’utilizzo dei servizi cloud), delle problematiche connesse ai trasferimenti internazionali di dati (oggi particolarmente complesse alla luce della mancata conclusione di un accordo utile per il trasferimento dei dati fra l’UE e gli USA) e all’impiego di misure di sicurezza supplementari.

Oggetto di analisi doveva essere, inoltre, la regolazione dei rapporti fra titolari e responsabili del trattamento, oltre che la loro corretta individuazione.

Gli esiti delle indagini condotte sono stati poi aggregati ed esaminati, in maniera coordinata, dalle autorità europee coinvolte nel progetto, al fine di approfondire ulteriormente le diverse tematiche affrontate, decidere in merito ad azioni nazionali di vigilanza e di esecuzione, e permettere di rendere dei riscontri a livello europeo e non solo nazionale.

Le singole autorità, in ogni caso, potevano decidere di intraprendere eventuali interventi successivi, anche di carattere correttivo, per rimediare a riscontrate situazioni di mancata conformità.

Compito dell’EDPB era, a seguito di detta attività, quello di pubblicare una relazione sull’esito di tali analisi, entro la fine del 2022, confluita nel report oggetto di analisi.