Elaborazione dei dati nel cloud: obblighi secondo la legge svizzera sulla protezione dei dati

Quando l'uso del cloud rientra nel diritto alla protezione dei dati

Tecnicamente, il cloud computing comprende la possibilità di ottenere applicazioni e software, capacità di archiviazione, strumenti di sviluppo, capacità di rete o potenza di calcolo da un fornitore di servizi cloud tramite una rete, ad esempio Internet, in base alle esigenze. Il Incaricato federale della protezione dei dati e della trasparenza (IFPDT) cita come esempi tipici gli strumenti per la collaborazione online tra dipendenti nonché gli strumenti di gestione online per gli indirizzi e-mail utilizzati nelle newsletter e nella consulenza clienti. Rientrano in questa categoria i sistemi CRM online, il caricamento di video su piattaforme di streaming e il salvataggio di file su un server accessibile via Internet.

L'utilizzo diventa rilevante ai sensi del diritto alla protezione dei dati solo quando vengono trasferiti dati personali nel cloud. Secondo la prassi consolidata, si configura un'elaborazione incaricata non appena un prestatore di servizi ha accesso ai dati personali o può elaborarli. Decisiva non è la denominazione del contratto, bensì il vincolo alle istruzioni: il fornitore non può decidere autonomamente sui mezzi e sulle finalità dell'elaborazione. Il fatto che un fornitore di servizi cloud offra i suoi servizi preconfigurati non cambia nulla al suo ruolo.

Il semplice utilizzo di un servizio cloud non costituisce quindi di per sé un'elaborazione incaricata. Gli obblighi di cui all'art. 9 LPD si applicano quando sono coinvolti dati personali e il fornitore li elabora vincolato alle istruzioni, ad esempio quando cartelle del personale, dati dei clienti o liste di contatti sono gestiti in un'applicazione cloud e il fornitore vi può accedere. Se nel cloud vengono elaborati esclusivamente dati che non sono dati personali, la questione dell'elaborazione incaricata non si pone.

Ruoli nel triangolo cliente, fornitore e persona interessata

Ai sensi dell'art. 5 LPD, il responsabile del trattamento è colui che decide sui parametri essenziali di un'elaborazione dei dati, ovvero sulle finalità e sui mezzi; egli è primariamente responsabile del rispetto della protezione dei dati. L'azienda che offre servizi cloud agisce generalmente come incaricato dell'elaborazione del cliente ai sensi dell'art. 9 LPD. Il cliente, a sua volta, può essere egli stesso responsabile del trattamento o – ad esempio come fornitore di servizi IT per terzi – agire a sua volta come incaricato dell'elaborazione; in questo ruolo deve soddisfare i requisiti stabiliti dal responsabile del trattamento per le sue elaborazioni dei dati.

L'esternalizzazione non fa scomparire la responsabilità: il cliente, in quanto responsabile del trattamento, risponde del fatto che le elaborazioni effettuate dal fornitore di servizi cloud per suo conto siano conformi alla protezione dei dati e che i diritti delle persone interessate non ne vengano pregiudicati. Le conseguenze in materia di responsabilità non sono solo teoriche: secondo l'ordinamento vigente nel diritto svizzero, le multe – diversamente dal RGPD – non sono inflitte all'azienda stessa, ma alle persone fisiche, con un importo massimo di 250'000 franchi.

Non ogni trasmissione di dati all'interno di un'azienda costituisce un'elaborazione incaricata. L'elaborazione dei dati all'interno della stessa persona giuridica – filiale, unità amministrativa, dipendenti – non costituisce fondamentalmente un'elaborazione da parte di un incaricato. Chi coinvolge strutture di gruppo, società figlie o prestatori di servizi esterni esce da questo ambito e deve determinare separatamente i ruoli per ciascun destinatario.

Responsabile del trattamento e incaricato dell'elaborazione: chi decide cosa

Gli obblighi del responsabile del trattamento ai sensi dell'art. 9 LPD

L'art. 9 cpv. 1 LPD consente il trasferimento a un incaricato dell'elaborazione solo se sussistono due condizioni cumulative: i dati devono essere elaborati così come potrebbe fare lo stesso responsabile del trattamento e nessun obbligo di segreto legale o contrattuale deve vietare il trasferimento. Il primo punto richiede un vincolo alle istruzioni – l'incaricato dell'elaborazione elabora i dati trasmessi esclusivamente secondo le istruzioni del committente – e inoltre una regolamentazione su come queste istruzioni vengono trasmesse. Il secondo punto riguarda costellazioni in cui i dati sono soggetti a obblighi di segreto legali o contrattuali, come il segreto professionale, bancario o d'ufficio; in questi casi occorre verificare preventivamente se l'esternalizzazione di tali dati violi l'obbligo di segreto del responsabile del trattamento.

L'art. 9 cpv. 2 LPD esige che il responsabile del trattamento si accerti in particolare che l'incaricato dell'elaborazione possa garantire la sicurezza dei dati. L'IFPDT riassume la situazione degli obblighi come segue: il responsabile del trattamento deve scegliere il suo incaricato dell'elaborazione con diligenza, istruirlo adeguatamente e, se necessario, sorvegliarlo; analogamente alla responsabilità del principale ex art. 55 CO, deve prevenire le violazioni della LPD. Praticamente, ciò richiede una documentazione che dimostri tre aspetti: la verifica che ha portato alla scelta, le istruzioni impartite insieme alla modalità di trasmissione e i controlli effettuati.

L'incaricato dell'elaborazione può a sua volta far valere gli stessi motivi di giustificazione del responsabile del trattamento (art. 9 cpv. 4 LPD). Questo aiuta a verificare se una concreta elaborazione sia ammissibile, ma non esonera il responsabile del trattamento dai suoi obblighi di tutela.

Presupposti e obblighi ai sensi dell'art. 9 LPD

Trasmissione ulteriore a sub-incaricati

Ai sensi dell'art. 9 cpv. 3 LPD, l'incaricato dell'elaborazione può trasferire l'elaborazione a terzi solo con previa autorizzazione del responsabile del trattamento. La riserva di autorizzazione non è meramente dichiaratoria: senza previo consenso, la trasmissione ulteriore non è ammessa e il responsabile del trattamento perde il controllo sulla catena dei prestatori di servizi.

I servizi cloud vengono forniti come soluzioni standardizzate. L'art. 9 cpv. 3 LPD richiede un'autorizzazione preventiva. Nella pratica, occorre regolamentare come il responsabile del trattamento conceda questa autorizzazione e come garantisca che anche le modifiche nella catena dei prestatori di servizi rimangano coperte dall'autorizzazione. Inoltre, va regolamentata la catena di istruzioni: le istruzioni del responsabile del trattamento passano attraverso l'incaricato principale dell'elaborazione, che deve trasmetterle ai suoi sub-incaricati.

Il controllo include una panoramica aggiornata di quali ulteriori enti siano coinvolti nell'elaborazione – gestori di data center, organizzazioni di supporto, servizi di backup e monitoraggio, invio di e-mail o fatturazione. Ciascuno di questi enti deve figurare nell'elenco, indipendentemente dal fatto che venga coinvolto direttamente dal cliente o dal fornitore.

Sicurezza dei dati come questione centrale di verifica

Il punto di partenza è l'art. 8 LPD: il responsabile del trattamento garantisce la sicurezza dei dati mediante misure tecniche e organizzative.

In caso di esternalizzazione, si aggiunge l'art. 9 cpv. 2 LPD, che richiede l'accertamento della capacità dell'incaricato dell'elaborazione.

L'IFPDT concretizza questo aspetto stabilendo che il responsabile del trattamento non deve solo accertarsi, ma anche verificare le misure tecniche e organizzative adottate dall'incaricato dell'elaborazione per proteggere i suoi sistemi e i dati elaborati, e garantirle contrattualmente.

Va regolamentato anche il modo di procedere in caso di incidenti di sicurezza, poiché il fornitore deve segnalare le violazioni della sicurezza dei dati affinché il responsabile del trattamento possa adempiere al suo obbligo di notifica verso l'IFPDT ai sensi dell'art. 24 cpv. 1 LPD.

L'IFPDT ha aggiornato e ampliato la sua guida sulle misure tecniche e organizzative (MTO); tra le misure cita, ad esempio, il fissaggio dei computer in ufficio.

La guida non si riferisce solo alla garanzia della sicurezza dei dati ai sensi dell'art. 8 cpv. 1 LPD, ma alla gestione della protezione dei dati in generale ai sensi dell'art. 7 cpv. 1 LPD.

Secondo la propria presentazione, la guida dovrebbe aiutare a realizzare misure che garantiscano una protezione ottimale e adeguata dei dati personali e che corrispondano alle normative e agli standard attuali. La guida, tuttavia, non è vincolante. Lo stesso IFPDT precisa che non è un consulente legale, riporta le disposizioni della legge sulla protezione dei dati principalmente a scopo informativo e non intende né eseguirle né commentarle o precisarle; non costituisce una base per l'applicazione o l'interpretazione delle regole.

Nel dibattito specialistico si fa notare che alcuni punti della guida non corrispondono al diritto svizzero vigente in materia di protezione dei dati e che essa appare unilaterale in relazione al software cloud. Si segnala altresì che l'IFPDT, riguardo al principio di liceità, va oltre la situazione giuridica secondo la giurisprudenza Helsana+.

Sono invece considerati utili orientamenti il chiarimento sull'anonimizzazione – modificare i dati personali in modo irreversibile affinché non consentano più, senza sforzo sproporzionato, di risalire a una persona concreta – e la panoramica sul significato che possono avere ISO 27001 e altri standard.

Per la verifica, ciò significa che certificazioni e opere di riferimento come ISO 27001 sono un indizio e facilitano la scelta, ma non sostituiscono la valutazione delle circostanze concrete. Occorre verificare le misure effettivamente impiegate, le prove della loro efficacia, la regolamentazione della segnalazione degli incidenti al responsabile del trattamento e la questione se le misure siano adeguate al tipo e all'entità dei dati personali elaborati.

Comunicazione di dati all'estero per cloud transfrontalieri

Per la comunicazione di dati personali all'estero è necessario un livello di protezione dei dati riconosciuto nel paese di destinazione o garanzie come clausole contrattuali standard (art. 16 e 17 LPD). Se l'utilizzo di servizi cloud comporta una comunicazione di dati all'estero, occorre verificare prima della comunicazione se essa soddisfi i requisiti legali. Questa verifica deve essere effettuata prima della prima trasmissione e non successivamente, e deve essere ripetuta ad ogni modifica della catena dei prestatori di servizi.

La verifica rientra inoltre nell'informazione delle persone interessate: l'art. 19 LPD richiede, al momento della raccolta dei dati personali, un'informazione adeguata su chi elabora i dati, per quale scopo, a chi vengono comunicati e in quali paesi. Chi elabora dati personali in un cloud il cui gestore o sub-incaricato ha sede all'estero deve poter nominare questi paesi – il che presuppone un elenco aggiornato dei prestatori di servizi.

Le tipiche insidie non risiedono solo nella sede principale del fornitore. Occorre verificare il supporto fornito da team in altri paesi, i backup in un'altra regione, i sub-incaricati con sede propria all'estero nonché le possibilità di accesso da parte di società del gruppo o di servizi straniere ai dati. Ciascuno di questi accessi può costituire una comunicazione all'estero o una trasmissione ulteriore da autorizzare successivamente. Chi, come cliente, è egli stesso incaricato dell'elaborazione, deve inoltre rispettare le disposizioni del responsabile del trattamento riguardo alla comunicazione all'estero.

Punti di verifica per una comunicazione di dati all'estero

Cosa deve il fornitore – e cosa ne fa il cliente

L'incaricato dell'elaborazione deve adempiere ai suoi obblighi nei confronti del responsabile del trattamento. Concretamente, egli deve elaborare i dati esclusivamente secondo istruzioni, segnalare le violazioni della sicurezza dei dati al responsabile del trattamento – affinché quest'ultimo possa adempiere al suo obbligo di notifica verso l'IFPDT ai sensi dell'art. 24 cpv. 1 LPD – e astenersi dall'elaborare i dati per scopi propri. Se desidera utilizzare i dati per scopi propri, necessita di un proprio motivo di giustificazione; i motivi di giustificazione del responsabile del trattamento possono essere fatti valenti ai sensi dell'art. 9 cpv. 4 LPD, ma solo per l'elaborazione trasferita, non come lasciapassare per nuove finalità.

Dal lato del cliente, si è rivelato utile richiedere dalla contabilità un elenco di fatturazione per registrare i rapporti di elaborazione incaricata. Sulla base di questo elenco si può verificare quali prestatori di servizi elaborino effettivamente dati personali; con essi, se del caso, va stipulato un contratto di elaborazione incaricata. L'elenco costituisce anche la base per la valutazione delle catene dei prestatori di servizi e delle comunicazioni all'estero.

In un secondo passo, vanno fissati i ruoli per ciascun prestatore di servizi e verificati i contratti nonché le catene di istruzioni: chi impartisce istruzioni, attraverso quale canale, con quali termini e come vengono segnalate le modifiche dei sub-incaricati. Non si tratta di elaborazione incaricata se il prestatore di servizi gestisce i dati affidatigli in modo autonomo, se cioè il responsabile del trattamento gli lascia la configurazione contenuta – la decisione sui mezzi e sulle finalità dell'elaborazione dei dati – e non dispone né giuridicamente né di fatto di diritti di istruzione e controllo. Casi classici sono i servizi finanziari, fiscali e di consulenza; essi rientrano in una categoria propria nella panoramica, affinché non vengano gestiti erroneamente come elaborazione incaricata.

Dall'elenco di fatturazione alla panoramica dell'elaborazione incaricata