GDPR su dati in cloud delle pubbliche amministrazione

Sempre più di frequente sentiamo parlare del c.d. “cloud“, in effetti questo è uterine che è stato coniato a seguito della digitalizzazione della nostra vita quotidiana e che, in poche parole, ha la funzione di salvare i dati personali, anche sotto forma di immagini (si pensi al cloud dei dispositivi elettronici), in uno spazio virtuale. Per essere specifici, il termine cloud si riferisce a un’infrastruttura di servizi di archiviazione ed elaborazione dati basata su Internet. In altre parole, il cloud è costituito da una vasta rete di server remoti che consentono alle aziende e ai privati ​​di memorizzare, modificare e accedere ai propri dati attraverso Internet, anziché attraverso un dispositivo fisico. Il funzionamento del cloud non è complesso, questo si basa in sostanza sulla distribuzione di risorse di elaborazione e archiviazione in remoto. In questo modo, gli utenti, anche le Pubbliche Amministrazioni, possono utilizzare le risorse del cloud in modo flessibile, senza la necessità di investire in hardware costoso e mantenere una propria infrastruttura IT. Grazie al cloud, i clienti possono accedere ai propri dati e ai propri servizi ovunque si trovino, da qualsiasi dispositivo connesso a Internet.

Cosa è il Regolamento sulla protezione dei dati personali

Il problema della privacy sul cloud

Per quanto riguarda le disposizioni sulla privacy, il cloud solleva da parte degli esperti alcune preoccupazioni riguardo alla sicurezza dei dati e alla protezione della privacy. Dato che i dati dei clienti sono memorizzati in server remoti gestiti da terze parti, i clienti stessi devono fidarsi dei provider di servizi cloud per la sicurezza dei propri dati. Al fine di mettere un freno a siffatte preoccupazioni sulla sicurezza e sulla privacy, molte organizzazioni, come ad esempio le Pubbliche Amministrazioni, adottano politiche di sicurezza dei dati rigorose e cercano di mantenere un controllo diretto sui propri dati, anche quando sono memorizzati nel cloud. Ciò include la crittografia dei dati in transito ea riposo, l’implementazione di controlli di accesso e la valutazione dei provider di servizi cloud in base alla loro sicurezza. Invero, come ribadito nel paragrafo precedente, sono già moltissime le giurisdizioni che hanno introdotto leggi e regolamenti per proteggere la privacy dei dati memorizzati nel cloud. 

Chi l’organismo denominato EDPB

Appare utile chiarire, ai fini della completezza espositiva chi è l’EDPB. EDPB sta letteralmente per “European Data Protection Board“, e non è altro che l’organo consultivo dell’Unione Europea in materia di protezione dei dati personali. Una prima e breve analisi può essere compiuta sulla sua origine, invero l’European Data Protection Board è stato istituito ai sensi del Regolamento Generale sulla Protezione dei Dati dell’UE ed è composto dai rappresentanti delle autorità di protezione dei dati (APD) di tutti gli Stati membri dell’UE, della Norvegia, del Liechtenstein e dell’Islanda. L’EDPB si consiglia regolarmente per discutere questioni relative alla protezione dei dati personali e per fornire orientamenti e linee guida alle APD per garantire un’applicazione coerente del GDPR in tutta l’UE. Tra i vari compiti e funzioni dell’EDPB vi sono la promozione della cooperazione e del coordinamento tra le APD, l’adozione di linee guida e la consulenza alle istituzioni dell’UE e agli Stati membri in materia di protezione dei dati personali. Altresì, siffatto organizzazione Europea sulla protezione della privacy ha il potere di prendere decisioni vincolanti in caso di disaccordo tra l’APD su una questione specifica. 

Le preoccupazioni dell’European Data Protection Board in tema di privacy sul cloud

L’European Data Protection Board, ha espresso le sue preoccupazioni in merito al rispetto della privacy, e conseguentemente del GDPR rispetto al cloud nelle pubbliche amministrazioni. Inveri, secondo quelle che sono le indicazioni dell’EDPB, le amministrazioni pubbliche dovrebbero adottare misure di sicurezza appropriate per proteggere i dati personali dei cittadini quando vengono memorizzati o elaborati nel cloud. Queste misure dovrebbero includere l’adozione di procedure di sicurezza efficaci, la scelta di fornitori di servizi cloud affidabili e la gestione dei rischi associati all’utilizzo del cloud. Le raccomandazioni dell’organo europeo qui citato  sono volte a che le amministrazioni pubbliche effettuino una valutazione del rischio prima di utilizzare il cloud, al fine di identificare e mitigare eventuali rischi per la sicurezza dei dati. Questa valutazione dovrebbe tenere conto di fattori quali il tipo di dati che verranno memorizzati o elaborati nel cloud, il livello di accesso ai dati e la sicurezza del provider di servizi cloud. Altresì, viene raccomandato alle P.A. di adottare un approccio flessibile nell’utilizzo del cloud, in modo da poter garantire una protezione adeguata dei dati personali in base alle esigenze specifiche di ogni caso. Ad esempio, potrebbe essere opportuno utilizzare un cloud privato anziché un cloud pubblico per memorizzare dati particolarmente sensibili.