Servizi cloud nelle PMI: contratti, ubicazione dei dati e accessi

Servizi cloud nelle PMI: perché contratti, ubicazione dei dati e accessi vanno di pari passo

Suisse Digital rileva che le piccole imprese utilizzano applicazioni Internet basate sul cloud o acquisiscono l'intero software aziendale dal cloud con una frequenza superiore alla media. Chi esternalizza in questa misura come PMI non trasferisce solo potenza di calcolo, ma anche dati personali, documenti e diritti di accesso a un fornitore.

Ne derivano tre aree di verifica interdipendenti: il contratto, che regola ruoli ed elaborazione; l'ubicazione dei dati, che determina il diritto applicabile e la vigilanza; e il controllo degli accessi, che stabilisce chi accede ai dati nella quotidianità operativa e cosa rimane tracciabile.

Le tre aree correlate sono il contratto cloud, l'ubicazione dei dati e il controllo degli accessi. Prima della firma vanno esaminate congiuntamente.

Un'ubicazione dei dati senza clausole contrattuali adeguate o un contratto senza un efficace controllo degli accessi lascia lacune che, in caso di incidente, non possono più essere colmate.

Come siano strutturati tali impianti contrattuali lo mostra uno sguardo agli schemi contrattuali standard dei grandi fornitori: l'AVV (accordo di trattamento dei dati per conto terzi) ne è parte integrante e viene fornito come addendum sulla protezione dei dati (Data Protection Addendum, DPA).

Per una PMI ciò significa che gli impegni pertinenti figurano in documenti standard voluminosi, da leggere e confrontare con i propri requisiti – non da spuntare come mera formalità.

Fatti sull'approvvigionamento cloud nelle PMI svizzere

Contratti: chiarire ruoli, categorie di dati e impegni di sicurezza

Innanzitutto va chiarito il ruolo. L'informativa sulla privacy del servizio cloud evidona indica quale titolare del trattamento la SimplyConnect GmbH, Schulstrasse 2b, 5426 Lengnau, Svizzera (UID CHE-160.031.708), con [email protected] come contatto per le richieste in materia di protezione dei dati.

Lo strumento contrattuale centrale è l'accordo di trattamento dei dati per conto terzi (AVV). L'art. 9 della LPD riv. parla di elaborazione per conto terzi, l'art. 28 del RGPD di trattamento per conto terzi. Non appena un prestatore di servizi elabora dati personali per conto della PMI, un AVV è obbligatorio – praticamente per ogni servizio cloud.

Una PMI media non ha uno, ma da cinque a quindici responsabili del trattamento per conto terzi. Casi tipici sono l'hosting, strumenti per newsletter come Brevo o Mailchimp, archiviazione cloud e suite per ufficio come Microsoft 365 o Google Workspace, software CRM e di contabilità nonché assistenza remota.

Presso i grandi fornitori l'AVV fa parte dello schema contrattuale standard. Microsoft lo fornisce come addendum sulla protezione dei dati (Data Protection Addendum, DPA). Il vostro compito è verificare che esista un AVV e archiviare la prova in modo ordinato.

L'AVV deve essere disponibile prima del primo flusso di dati. Esso regola, ai sensi dell'art. 28 cpv. 3 RGPD, l'oggetto e la durata, il tipo e la finalità del trattamento, le categorie di dati e le persone interessate, nonché le misure tecniche e organizzative.

La responsabilità resta presso la PMI. Secondo il documento breve n. 13 della CPS, il trattamento effettuato dal responsabile del trattamento per conto terzi è attribuito al titolare del trattamento. L'azienda non può liberarsi della responsabilità complessiva delegando l'incarico.

Nel caso di self-hosting su infrastruttura propria, il cliente è l'unico titolare del trattamento e gestore. Il fornitore è soltanto licenziante e non elabora i dati personali che si presentano; si applica il contratto di licenza software, non l'informativa sulla privacy.

Tali cambi di ruolo devono figurare espressamente nel contratto. Essi determinano chi risponde alle richieste di informazione e cancellazione, chi segnala una violazione dei dati personali e nei confronti di chi si rivolge una persona interessata.

In secondo luogo vanno elencate le categorie di dati elaborate. Per evidona si tratta di dati dell'account: nome, indirizzo e-mail professionale, ruolo, credenziali di accesso, fattori dell'autenticazione a più fattori e impostazioni linguistiche.

Si aggiungono i documenti caricati per la firma. Nell'ambiente di firma vengono rilevati i dati dei firmatari: nome, indirizzo e-mail come indicazione obbligatoria, in caso di invio di un codice monouso via SMS anche il numero di telefono. Vi rientrano anche i log tecnici di firma e OTP.

Anche la conservazione va regolamentata. Secondo questa informativa sulla privacy, i documenti caricati vengono conservati solo per breve tempo; il servizio non li archivia. Una PMI deve verificare questo impegno e confrontarlo con i propri obblighi di conservazione.

In terzo luogo vanno indicati il diritto applicabile e il quadro di sicurezza. La suddetta informativa sulla privacy dichiara applicabili la Legge federale sulla protezione dei dati (LPD riv.) e, ove pertinente, il RGPD.

Secondo questa informativa resta aperto se e come siano necessari e da nominare un consulente per la protezione dei dati ai sensi della LPD riv. nonché un rappresentante nell'UE o un responsabile della protezione dei dati ai sensi degli art. 27 e 37 del RGPD. Tali punti aperti vanno chiariti prima della firma.

Chi debba informare, segnalare e rispondere civilmente secondo quale diritto non è una questione di configurazione tecnica, bensì del testo contrattuale.

Ubicazione dei dati: Svizzera, UE o un data center all'estero

Il luogo in cui i dati vengono elaborati contribuisce a determinare quale quadro giuridico si applichi. Per il percorso tra la Svizzera e l'UE, l'informativa sulla privacy di evidona precisa che il trasferimento di dati personali è coperto dall'adeguatezza reciproca dei livelli di protezione dei dati.

Per i trasferimenti verso paesi terzi, un esempio di AVV menziona la decisione di adeguatezza della Commissione, le clausole contrattuali standard e codici di condotta approvati come possibili basi giuridiche. Ogni spostamento in un paese terzo richiede il previo consenso del committente e deve soddisfare l'art. 44 ss. del RGPD nonché la sezione 2 della LPD.

Un AVV può fissare concretamente l'ubicazione dei dati. Un esempio regola che la prestazione venga fornita esclusivamente in uno Stato membro dell'UE, in uno Stato contraente dello SEE o in Germania.

Per Microsoft 365 o Google Workspace come archiviazione cloud e suite per ufficio, l'AVV è disponibile in forma standardizzata. Microsoft pubblica il suo Data Protection Addendum centralmente.

Ciò facilita le configurazioni con data center nell'UE, ma non copre arbitrariamente paesi terzi. I data center fuori dalla Svizzera si presentano nella pratica e vanno esaminati prima dell'acquisto.

Ne derivano domande concrete al fornitore: in quali paesi si trovano i data center primari e di backup, e dove operano i subappaltatori (subprocessor)? Quale diritto e quale foro competente si applicano al contratto, e quale accesso delle autorità straniere deve concedere il fornitore? La cifratura e la gestione delle chiavi sono regolamentate in modo che la PMI mantenga il controllo sulle chiavi? Log e backup sono conservati nello stesso luogo dei dati produttivi?

L'ubicazione è anche una questione di dipendenza. Smart Cyber Compliance sottolinea che, oltre alle misure tecniche di protezione, sono necessarie strategie di sicurezza chiare, resilienza e sovranità digitale – associate a una minore dipendenza da singoli fornitori.

In pratica ciò significa: garantire contrattualmente formati di esportazione e restituzione dei dati alla fine del contratto, fissare termini e costi del rimpatrio e verificare se un cambio sia possibile entro un termine ragionevole. Una soluzione cloud da cui non si esce in modo ordinato vincola la PMI indipendentemente da quanto bene funzioni l'esercizio corrente.

Accessi: chi può fare cosa – e come diventa tracciabile?

Gli accessi iniziano dai ruoli. I dati dell'account comprendono, secondo l'informativa sulla privacy citata, indicazioni sull'organizzazione e sugli utenti autorizzati, il ruolo, nonché le credenziali di accesso e i fattori dell'autenticazione a più fattori. Una PMI dovrebbe quindi mettere per iscritto quali ruoli esistono nel servizio, quale ruolo vede quali funzioni e dati e come vengono revocati gli accessi quando qualcuno lascia l'azienda. L'autenticazione a più fattori fa parte dei dati dell'account ed è quindi oggetto del contratto, non una mera impostazione.

In secondo luogo, la registrazione dei log. Nei processi di firma, il servizio registra, secondo la propria descrizione, dati di log tecnici dell'evento di firma: orario, consegna e conferma del codice monouso (OTP) nonché indirizzo IP e informazioni sul dispositivo come lo User-Agent, che si generano al momento della firma. Se l'OTP viene inviato via SMS, si aggiunge il numero di telefono del firmatario. Per ogni ciclo di firma viene inoltre creato un pacchetto probatorio sigillato con marca temporale qualificata e checksum SHA-256.

Queste indicazioni costituiscono la prova effettiva per i processi di approvazione e firma. Prima dell'acquisto va quindi chiarito: quali eventi vengono registrati – solo gli accessi, anche i tentativi falliti, anche le modifiche dei diritti? Quanto tempo vengono conservati i log e chi in azienda può consultarli?

L'indirizzo IP e le informazioni sul dispositivo sono contenuti in un pacchetto probatorio, e la PMI può esportare autonomamente questo pacchetto e conservarlo in modo indipendente? Chi lascia aperte queste domande, in caso di controversia potrà sì riferirsi a un evento di firma, ma non potrà provare il percorso di accesso che vi ha condotto.

Monitoraggio e resilienza: tenere sotto controllo l'esercizio cloud

Secondo la definizione di Four Data, uno strumento di monitoraggio è una soluzione software che monitora, analizza e controlla componenti chiave di un sistema informatico o di un'infrastruttura in rete.

Raccoglie a intervalli regolari dati tecnici, li analizza automaticamente, genera avvisi in caso di anomalie e fornisce report sulle prestazioni tramite un'interfaccia visiva, spesso come dashboard. Four Data classifica tali strumenti in tre categorie principali: rete, sistema e applicazione.

Per una PMI ciò significa definire l'ambito di impiego prima della scelta – rete, sistemi, applicazioni o una combinazione – e stabilire le soglie oltre le quali viene generato un avviso.

L'utilità nasce solo quando gli avvisi raggiungono qualcuno. All'introduzione appartengono quindi risposte a tre domande: chi riceve gli avvisi al di fuori dell'orario lavorativo? In caso di quali anomalie si scala, per quali si registra soltanto? E quali report necessita la direzione per valutare regolarmente la disponibilità e gli incidenti di sicurezza?

I report costituiscono anche la base per verificare se i valori di disponibilità e sicurezza promessi nel contratto vengano rispettati.

Il monitoraggio si collega alla pianificazione dell'uscita. Smart Cyber Compliance indica come obiettivo strategie di sicurezza chiare, resilienza e sovranità digitale con minore dipendenza da singoli fornitori.

Chi osserva costantemente il proprio esercizio e conosce i servizi utilizzati può circoscrivere i guasti e preparare il cambio di fornitore. Entrambe le cose presuppongono che i dati di monitoraggio siano accessibili alla PMI stessa e non risiedano esclusivamente presso il fornitore.

Prima dell'introduzione: analisi dei rischi, competenze e domande di controllo

Primo passo: assicurare competenze e analisi dei rischi. Nel contesto di una valutazione d'impatto sulla protezione dei dati (VIPD) va chiarita la ripartizione delle competenze tra gli enti coinvolti.

La stessa logica vale nella PMI: chi assume la responsabilità per la soluzione cloud, chi per le questioni di protezione dei dati, chi per l'assistenza tecnica – e la ripartizione è messa per iscritto prima che i dati fluiscano?

Secondo passo: chiudere i punti giuridici aperti. Come esempio di tale procedura, l'informativa sulla privacy di evidona menziona i punti ancora da chiarire riguardo alla necessità e alla nomina di un consulente per la protezione dei dati ai sensi della LPD riv. nonché di un rappresentante nell'UE o di un responsabile della protezione dei dati ai sensi degli art. 27 e 37 del RGPD.

Una PMI dovrebbe condurre la stessa lista di controllo: diritto applicabile, foro competente, ruolo del fornitore, obblighi di rappresentanza, obblighi di notifica in caso di violazioni.

Terzo passo: esaminare categorie di dati e conservazione. Vanno elencati tutti i dati che si generano nel servizio – dati dell'account, documenti caricati, indicazioni sui firmatari, dati di log – e per ciascuna categoria finalità, durata di conservazione e modalità di cancellazione.

Dove viene promessa una conservazione breve – come per i documenti caricati che non vengono archiviati – va verificato se ciò sia compatibile con i propri obblighi di conservazione.

Quarto passo: riunire le tre aree di verifica e solo allora firmare. Contratto: ruoli, categorie di dati, impegni di sicurezza e conservazione, regolamentazione dell'uscita.

Ubicazione dei dati: paesi dei data center e dei subprocessor, base giuridica del trasferimento tra Svizzera e UE, accesso delle autorità straniere.

Accessi e monitoraggio: ruoli e autorizzazioni, autenticazione a più fattori e codici monouso, eventi registrati inclusi indirizzo IP e informazioni sul dispositivo, soglie di allarme e vie di escalation.

Quinto passo: verificare AVV e ubicazione dei dati. Esiste un AVV ai sensi dell'art. 9 LPD riv. rispettivamente art. 28 RGPD? I paesi dei data center e dei subprocessor sono nominati e, per i paesi terzi, sono concordate clausole contrattuali standard o una decisione di adeguatezza?

Se uno di questi punti resta senza risposta, diventa una condizione per la firma – e non un punto da chiarire in seguito.