Preheader: “Sono nel cloud” descrive uno strumento, non il percorso dei dati.
Dove sono conservati i dati dello Studio?
Una risposta frequente è: “Nel cloud.”
Perfetto. Ma dove? E soprattutto: chi li tratta?
Dietro una piattaforma possono esserci più soggetti
Lo Studio acquista il servizio dalla società A. La società A utilizza l’infrastruttura della società B. B può affidarsi a servizi della società C. Alcune attività possono essere svolte da società appartenenti allo stesso gruppo in altri Paesi.
Questo non significa automaticamente che il servizio sia illecito. Significa che bisogna conoscere il percorso dei dati.
“I dati devono stare obbligatoriamente in Europa”?
Non è questa la regola.
Il GDPR disciplina i trasferimenti di dati personali verso Paesi terzi e organizzazioni internazionali attraverso il proprio Capo V.
A seconda dei casi, il trasferimento può poggiare, ad esempio, su una decisione di adeguatezza oppure su appropriate garanzie previste dal Regolamento.
Quindi la domanda corretta non è: “Il server è italiano?” ma: “Dove vengono trattati i dati e quali garanzie si applicano?”
Cosa chiedere al fornitore
Per ogni servizio cloud importante prova a verificare:
• dove vengono normalmente ospitati i dati;
• quali società intervengono nel servizio;
• quali sub-responsabili sono coinvolti;
• se avvengono trasferimenti verso Paesi extra SEE;
• quale meccanismo viene utilizzato quando il trasferimento è soggetto al Capo V del GDPR;
• come vengono gestiti backup e disaster recovery;
• cosa succede quando il contratto termina.
Non devi diventare un tecnico dei data center. Devi però sapere a chi hai affidato uno degli asset più importanti dello Studio.
Fai l’inventario cloud
Scrivi tutti i servizi utilizzati: posta elettronica, gestionale, archiviazione documentale, backup, condivisione file, CRM, software paghe, firma, videoconferenza.
Per quanti di questi conosci realmente il fornitore e le informazioni privacy contrattuali?
Vuoi fare insieme questa verifica?
Durante il nostro check gratuito dello Studio possiamo ricostruire i principali servizi utilizzati e individuare quelli che meritano un’analisi più approfondita.
Fonti e approfondimenti
Regolamento (UE) 2016/679 – artt. 28 e 44-49: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=it
Garante Privacy – Trasferimento di dati personali all’estero: https://www.garanteprivacy.it/temi/trasferimento-di-dati-all-estero
EDPB – International data transfers, guida per PMI: https://www.edpb.europa.eu/sme/be-compliant/international-data-transfers_en