Cloud computing: considerazioni ed altri aspetti (legali)

Da qualche tempo si fa un gran parlare di cloud computing, soprattutto oltreoceano, dove le tendenze in materia di information technology, generalmente, si delineano e diffondono per prime.

Il termine fa riferimento ad uno sviluppo ed utilizzo delle tecnologie dell'informazione basato su Internet e, da qui, la metafora dell'immagine della nuvola (cloud) impiegata nei diagrammi per indicare, appunto, la rete.

Non si tratta, per la verità, di un idea innovativa ma di una rivisitazione di concetti, forse un pò datati, tecnologicamente parlando, come, ad esempio, quelli del network computing, degli application service provider, del software-as-a-service, ecc...

I vantaggi del cloud computing

Al di là delle immancabili discussioni che precedono o accompagnano spesso l'adozione di una determinata tecnologia, questo modello presenta delle caratteristiche che lo rendono appetibile da più punti di vista:

• le capacità di archiviazione ed elaborazione delle informazioni vengono fornite sotto forma di servizio online accessibile, in quanto tale, anche a chi è privo delle conoscenze, dell'esperienza e delle capacità necessarie per il controllo e la gestione di una infrastruttura IT
• il risparmio sui costi di acquisto dell'hardware, delle licenze software e di supporto
• la mancanza di oneri di gestione della infrastruttura
• la grande flessibilità che permette di creare applicazioni di capacity-on-demand, soprattutto in combinazione con la tecnologia della virtualizzazione, in grado di supportare in modo efficiente data center o nuove linee di business

Considerati questi vantaggi, la tecnologia potrebbe suscitare l'interesse delle startup e delle piccole e medie imprese, normalmente alle prese con problemi di budget e con la mancanza, al loro interno, di figure in possesso delle competenze tecnologiche adeguate.

Gli aspetti legali

La perdita di controllo, a causa della centralizzazione delle architetture hardware e software di data storage e processing, pone però alcune questioni di natura legale, di non facile risoluzione.

Cominciamo con la privacy, ovviamente: l'obbligo, da parte di chi tratta dati personali, di esercitare su questi ultimi uno stretto controllo e di adottare idonee e preventive misure di protezione non si concilia affatto con la gestione da parte di terzi della infrastruttura nella quale gli stessi dati sono memorizzati.

Visto che la responsabilità del titolare permane, anche nel caso in cui i dati siano gestiti  e conservati presso un fornitore di servizi, nel contratto sarà necessario prevedere, a carico di quest'ultimo - probabilmente in qualità di responsabile esterno - l'obbligo di attenersi alle misure di sicurezza individuate.

Inoltre non è da sottovalutare il fatto che il mantenimento dei dati su server esterni possa comportare una violazione del divieto di trasferimento verso paesi, fuori dell'Unione Europea, il cui quadro normativo non assicura adeguati livelli di tutela.

Si tratta di un rischio tutt'altro che remoto, considerato che i fornitori di servizio possono adottare meccanismi di storage ridondanti, distribuiti in posti geograficamente distanti, per far fronte alle inevitabili esigenze di disaster recovery.

Ulteriori esigenze potrebbero poi avere origine nella necessità di garantire la sicurezza di tutti gli altri dati, diversi da quelli personali, e la conformità (compliance) a standard e normative, anche di settore o regolamentari.

Per tutti questi aspetti è ovvio che il contratto assume un ruolo essenziale: è quindi fondamentale è che i rapporti tra le parti risultino inquadrati sulla base di clausole molto dettagliate concernenti:

• tutte le condizioni che regolano la fruizione del servizio/i (modalità di accesso, strumenti, controlli, durata degli accordi, pagamenti, garanzie, eccezioni, obblighi specifici, ecc...)
• i livelli di servizio (Service Level Agreement) per la cui erogazione vi dovrebbe essere una garanzia di conformità a parametri di funzionamento, quantitativi e qualitativi, ben definiti e compatibili con le varie esigenze

Un ultimo aspetto, infine, è quello relativo alla difficoltà di identificare, a priori, l'autorità giudiziaria competente a decidere in materia di eventuali controversie od illeciti, anche penali, derivanti dal contratto od attinenti alla sua esecuzione.

Photo credit: Lucretious

Semplificazione privacy: vantaggi e svantaggi di autocertificazione e dps

Ancora sul tema della semplificazione in materia di privacy per evidenziare alcuni aspetti, relativi alla sostituzione dell'obbligo del dps con l'autocertificazione, che possono essere fonte di perplessità o di pericolosa sottovalutazione nell'applicazione della normativa.

L'autocertificazione, innanzitutto, non è un obbligo ma una facoltà la cui applicazione è rimessa alla discrezionalità del soggetto, persona fisica o giuridica, titolare dei dati.

L'esercizio di questa facoltà implica, tuttavia, una attività di accertamento diretta a verificare che:

1. la tipologia dei dati sensibili trattati sia soltanto quella prevista dalla legge
2. i dati sensibili trattati siano riferibili esclusivamente ai soggetti indicati
3. i dati sensibili trattati siano protetti da misure di sicurezza

Per quanto riguarda le prime due verifiche, l'accertamento deve condurre, in sostanza, alle seguenti conclusioni:

• non esiste alcuna documentazione concernente dati sensibili diversi da quelli relativi allo stato di salute o malattia oppure all'adesione ad organizzazioni sindacali
• nessun documento concernente lo stato di malattia o salute deve riportare informazioni di natura diagnostica
• i dati sensibili devono essere riferiti o riferibili ai soli dipendenti e collaboratori, anche a progetto, del titolare

La casistica documentale da esaminare può essere molto ampia, a seconda del contesto di riferimento, ma è comunque consigliabile un impegno particolare nella identificazione di tutti i possibili trattamenti.

A questo proposito alcuni dei documenti nei quali possono "nascondersi", più spesso, dati di natura sensibile non ammessi al beneficio della semplificazione sono i curriculum vitae (informazioni su attività politica o adesione a particolari fedi religiose, ecc...) e gli altri atti concernenti la gestione del personale (permessi per attività politica o manifestazioni religiose, aspettativa per cariche politiche, documentazione sanitaria recante l'indicazione di una diagnosi, particolari accorgimenti alimentari nella fruizione del servizio mensa, ecc... ).

Se supportata da una adeguata fase di verifica dei presupposti, la semplificazione può comportare una riduzione delle spese, mentre, in caso contrario, questa riduzione rischia di essere vanificata dall'assunzione di responsabilità, anche di tipo penale, connesse con l'autocertificazione stessa.

Altra questione di una certa importanza è poi quella connessa alla scomparsa del documento programmatico sulla sicurezza ed ai conseguenti vantaggi che esso offre.

Al di là delle inevitabili tendenze a fare di tale adempimento un atto puramente burocratico o uno sterile esercizio di copia ed incolla, il dps costituisce, infatti, una evidenza documentale dell'approccio adottato dal titolare per garantire la sicurezza dei dati trattati, sia in termini di analisi dei rischi che di identificazione, pianificazione ed attuazione delle misure di protezione.

Esso svolge una funzione utilissima, non soltanto a livello organizzativo, ma anche in caso di controlli ed in un contesto difensivo derivante da eventuali controversie.

Ovviamente l'adozione dell'autocertificazione determina una rinuncia a tali vantaggi che va ponderata attentamente, anche perchè la mancata redazione ed aggiornamento del documento non implica, altresì, una esenzione dall'obbligo di protezione dei dati, essendo il titolare tenuto a proteggerli in modo specifico mediante idonee e preventive misure di sicurezza di cui deve dichiarare l'attuazione in fase di autocertificazione.

Ebook: privacy, marketing ed attività promozionali

Ho appena terminato la preparazione di un ebook dal titolo

La tutela della privacy nelle attività di marketing e promozionali

La pianificazione e la realizzazione di efficaci strategie di marketing richiede, sempre più, dei flussi informativi articolati, spesso basati su dati di natura personale.

L'interdipendenza creatasi tra marketing, tecnologia ed informazioni è ormai tale che la problematica della tutela dei dati personali sta assumendo in tale contesto una rilevanza significativa, come si evince del resto dalla corposa normativa vigente e dai sempre più numerosi provvedimenti ed interventi operati dall'autorità garante della privacy.

Nel mondo odierno, dominato dal business e dalle tecnologie, per poter vendere con successo non è più sufficiente essere "online", dotarsi delle tecnologie più giuste ed aver sviluppato una propria strategia, ma occorre anche adottare un approccio più consapevole dei vincoli e dei presupposti richiesti dalla legge.

In mancanza di tale approccio ci si espone soltanto a rischi che possono minare non soltanto la credibilità e l'immagine di qualsiasi azienda ma la stessa possibilità di fare business.

Da queste premesse scaturisce, perciò, l'idea di questo volume, frutto della osservazione della realtà e di esperienze professionali, il cui scopo è quello di offrire una analisi sintetica ma abbastanza comprensiva dei complessi rapporti esistenti tra gli obblighi imposti dalla normativa a tutela della privacy (D.Lgs. 196/2003) e le attività di marketing e promozionali, specie se realizzate con l'ausilio delle tecnologie di comunicazione elettronica.

Il libro prevede ovviamente anche una parte generale, dedicata all'inquadramento dei principali obblighi e requisiti di liceità del trattamento dei dati, insieme con la trattazione di fenomeni più specifici, come quelli concernenti il bluetooth advertising, il marketing comportamentale, il marketing geografico ed i servizi basati sulla localizzazione (LBS o Location Based Services)

Alla fine è inclusa inoltre una appendice normativa con il testo degli articoli del codice della privacy e dei provvedimenti dell'autorità garante richiamati.

L'ebook è disponibile per il download gratuito su lulu.

Corso online (gratuito) su direct marketing e privacy