Continua il percorso di aggiornamento delle regole per la gestione delle infrastrutture digitali e dei servizi cloud della PA: il Garante privacy ha, infatti, dato parere favorevole allo schema di Regolamento che ACN ha predisposto di recente, al fine di sostituire quello di AgID, in proposito.
È uno schema che piace al nostro Garante poiché recepisce le indicazioni dal medesimo fornite in fase interlocutoria.
In pratica, la PA comanderà il cloud.
Ma vediamo meglio, anche alla luce di tutte le novità.
Indice degli argomenti
Servizi cloud PA: tutte le novità dello schema di Regolamento
Lo schema di Regolamento in parola tiene in considerazione tutte le indicazioni fornite dal Garante privacy. Tra le novità c’è un articolo ad hoc sull’applicazione corretta della normativa in materia di privacy, onde “assicurare il controllo, da parte delle Pubbliche Amministrazioni, su tutti i soggetti che intervengono nel trattamento dei dati”, scrive il GPDP nel provvedimento n. 289 del 9 maggio 2024.
Nella fattispecie, riconosce alle PA il ruolo di titolari del trattamento (art. 24 GDPR), a differenza degli operatori di infrastrutture digitali/fornitori di servizi cloud che sono invece e pacificamente responsabili del trattamento (art. 28 GDPR).
Nel complesso e in quest’ottica, non pare invece una novità l’obbligo per questi ultimi, di “adottare misure che garantiscano una tempestiva e adeguata informazione da parte delle amministrazioni in caso di data breach, considerata la mole e la delicatezza dei dati trattati (dati sulla salute, dati fiscali)”, dovendo altresì fornire (alle PA) “idonei strumenti di controllo delle attività di trattamento effettuate da eventuali sub responsabili”.
Ancora, in presenza di trasferimenti extra UE (SEE), i fornitori di servizi cloud quali responsabili del trattamento, saranno tenuti ad attenersi alle istruzioni delle PA in veste di titolari del trattamento, mettendo sì “a disposizione ogni informazione necessaria per valutare l’effettività delle misure adottate”.
Da ultimo, si tratta di uno (schema di) Regolamento che ben si inserisce all’interno della Strategia cloud Italia, che il Dipartimento per la trasformazione digitale e ACN hanno messo in campo, contenente tutti quegli “indirizzi per il percorso di migrazione verso il cloud di dati e servizi digitali della Pubblica Amministrazione, anche grazie al Polo Strategico Nazionale (PSN), quale infrastruttura cloud realizzata su impulso del governo”, come si legge specificatamente nella nota del 6 giugno 2024.
Servizi cloud PA: il parere del Garante sullo schema di regolamento
Poste in rilievo le novità, vediamo ora il parere nei suoi punti focali, analizzandolo nel suo complesso.
I punti cardine
Come abbiamo modo di leggere nel parere/provvedimento in trattazione, ecco che lo Schema di regolamento, testualmente:
- “stabilisce i livelli minimi di sicurezza per le pubbliche amministrazioni, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture digitali per le pubbliche amministrazioni e delle infrastrutture dei servizi cloud per le pubbliche amministrazioni” (lett. a));
- “definisce le caratteristiche di qualità, sicurezza, performance e scalabilità, interoperabilità, portabilità dei servizi cloud per le pubbliche amministrazioni” (lett. b));
- “individua i termini e le modalità con cui le amministrazioni devono effettuare le migrazioni. A tal fine stabilisce il processo e le modalità per la classificazione dei dati e dei servizi digitali” (lett. c))”.
In altri termini, se da un lato prima stabilisce quindi definisce e infine individua, dall’altro impone in ogni caso un certo livello di “sicurezza nelle modalità del procedimento di qualificazione dei servizi cloud per le PA” (lett. d)), stabilendo previamente come mettere in atto procedimenti di adeguamento di tutte quelle cd “infrastrutture digitali” per le PA.
La disciplina in generale
Sempre nel parere, emerge come lo schema di regolamento si occupi di:
- caratterizzare e classificare i dati dei servizi digitali della Pa (capo II, artt. 3-5);
- garantire “Livelli minimi delle infrastrutture digitali per le pubbliche amministrazioni, delle infrastrutture dei servizi cloud per le pubbliche amministrazioni e caratteristiche dei servizi cloud per le pubbliche amministrazioni” (capo III, artt. 6-8)”;
- consentire la “Migrazione dei dati e dei servizi digitali della pubblica amministrazione” (capo IV, artt. 9-11);
- adeguare le infrastrutture digitali pubbliche, e quelle per i servizi cloud, qualificandoli (capo V, artt. 12-21);
Il focus sulle questioni privacy
L’art. 22 dello Schema in questione, parrebbe dedicato nello specifico alla disciplina del trattamento dati personali, stabilendo espressamente che “1. Le amministrazioni sono titolari dei trattamenti di dati personali effettuati nell’ambito delle infrastrutture digitali per le pubbliche amministrazioni, delle infrastrutture dei servizi cloud per le pubbliche amministrazioni e dei servizi cloud per le pubbliche amministrazioni”.
È, dunque, indiscussa la qualificazione giuridica delle parti vedendo pacificamente le PA come titolari mentre i fornitori degli annessi servizi (cloud) dei responsabili ex art. 28 GDPR: quindi tertium non datur.
In punto di “misure [di sicurezza] tecniche e organizzative” queste, come di consueto debbono continuare a essere idonee a “garantire una tempestiva e adeguata informazione delle amministrazioni in caso di violazione dei dati personali”, ex art. 33, par. 2 GDPR.
Non solo, in caso di “altri responsabili del trattamento”, occorre prevedere “misure tecniche e organizzative” al fine di “fornire alle amministrazioni idonei strumenti di controllo delle attività di trattamento”.
Ancora, in caso di trasferimento dati personali extra UE, ecco che i responsabili del trattamento dovranno “attenersi alle istruzioni delle amministrazioni impartite ai sensi dell’articolo 28, paragrafo 3, lettera a)” mettendo a disposizione, come sopra anticipato tra le novità, tutte le informazioni necessarie al fine di valutare l’effettività delle misure più adeguate nonché appropriate al contesto.
Da ultimo, nel pieno rispetto delle reciproche competenze, il GPDP e ACN sono chiamate a collaborare, e in particolare quest’ultima dovrà comunicare al Garante “le evidenze di cui venga a conoscenza, relative a possibili violazioni dei dati personali”, il cd data breach.
Il regime ordinario
Dal primo luglio 2024, entrerà a pieno regime la qualificazione ordinaria grazie alla pubblicazione del nuovo Regolamento ACN relativo all’aggiornamento delle misure tecnico-organizzative e delle modalità di qualificazione di servizi e infrastrutture cloud.
La procedura di adeguamento per la PA
Le infrastrutture digitali ed i servizi cloud gestiti dalle PA cd “on premises” ovvero affidate a società in house, ovvero ancora per espressa previsione normativa, a società a controllo pubblico, devono ormai essere adeguate ai livelli minimi previsti, e così dal 18 gennaio di quest’anno 2024.
La qualificazione dei servizi cloud
Come noto, dal 19 gennaio 2023 la qualificazione dei servizi cloud per la PA diventa di competenza di ACN subentrando ad AgID. Senza addentrarci nei meandri dei decreti direttoriali emanati per tali fini, ci limitiamo a citare il Decreto Direttoriale n. 2927 – PDF del 30 gennaio 2024, che prevede la proroga al 30 giugno 2024 della fine del regime transitorio per la qualificazione delle infrastrutture e dei servizi cloud per le PA. Entro questa data ecco che, a inizio mese di giugno, arriva lo schema del nuovo Regolamento unico per le infrastrutture e i servizi cloud per la PA da parte della Commissione europea e del Garante per la protezione dei dati personali in parola, (secondo quanto previsto dalla Direttiva UE n. 2015/1535 del 9 settembre 2015 e dall’ art. 57 del regolamento UE n. 2016/679).
Servizi cloud PA: protezione dati e obblighi per i fornitori
Lo schema di decreto predisposto da ACN, dunque, se da un lato rispetta in toto le indicazioni che il GPDP aveva dettato al riguardo, dall’altro fa si che ci sia un pieno controllo da parte delle PA su tutti i soggetti che intervengono nella filiera del trattamento dati. In pratica, le PA faranno da sovrane nel cloud.
Quanto agli obblighi per i fornitori, il Garante ribadisce ancora una volta a chiare lettere che i Responsabili sono tenuti ad adottare misure che garantiscano una tempestiva e adeguata informazione, vista la delicatezza dei dati personali in questione (da quelli della salute ai finanziari ecc.), oltre alle già citate accortezze oltre che in tema di data breach anche in caso di trasferimento dati extra UE.
Servizi cloud PA: una strategia vincente
Lo schema di Regolamento analizzato fin qui, non rappresenta null’altro che un ennesimo tassello della “Strategia cloud Italia”, contenente gli indirizzi utili a quel percorso di “migrazione verso il cloud di dati e servizi digitali della Pubblica amministrazione”, in atto, anche grazie al Polo strategico nazionale, quale infrastruttura cloud governativa.
Proprio per tutelare la sicurezza dei dati nel cloud delle imprese e della Pa, il Polo Strategico Nazionale – PSN ha comunicato di aver adottato il modello di responsabilità condivisa per la sicurezza (Shared Security Responsibility Model – Ssrm). Si tratta di un framework che chiaramente tratteggia le responsabilità tra il provider di servizi cloud e l’utente finale.
Il tutto per raggiungere quell’obiettivo virtuoso che intende accompagnare oltre “il 70% delle nostre PA nella migrazione dei dati e degli applicativi verso il cloud entro il 2026” in modo coerente con gli obiettivi di cui al PNRR e annesse Missioni.
