Source: https://www.cybersecurity360.it/legal/privacy-dati-personali/aziende-fornitrici-di-software-fuori-dalla-ue-soluzioni-alle-problematiche-di-gdpr-compliance/
Timestamp: 2020-03-29 02:16:13+00:00
Document Index: 63795807

Matched Legal Cases: ['art. 25', 'art. 25', 'art. 3', 'art. 3', 'art. 3', 'art. 3', '§ 1', 'art. 3', '§ 2', 'art. 3', '§ 3', 'art. 25', 'art. 25', 'art. 24', 'art. 28', '§ 1', 'art. 3', 'art. 30', 'art. 4', 'art. 5', 'art. 27']

Aziende fornitrici di software fuori dalla UE, soluzioni alle problematiche di GDPR compliance - Cyber Security 360
Aziende fornitrici di software fuori dalla UE, soluzioni alle problematiche di GDPR compliance
Le aziende fornitrici di software fuori dalla UE si trovano a dover affrontare numerose questioni di GDPR compliance: ecco una guida ragionata per adempiere correttamente alla normativa in materia di protezione dei dati personali
L’articolo affronta, senza alcuna pretesa di completezza, alcuni profili del tema relativo alla GDPR compliance di aziende fornitrici di software fuori dal territorio dell’Unione europea (“UE”). L’economia dell’articolo non consente una disamina approfondita della questione.
Con l’entrata in vigore del GDPR, il soggetto che raccoglie ed elabora i dati personali di terzi assume, automaticamente, la veste di responsabile del trattamento dei dati personali, anche nel caso in cui essi siano trasmessi per la sola attività di assistenza, verifica o migrazione.
Pertanto, la software house che eroga anche servizi di assistenza sui prodotti software dalla stessa forniti va considerata responsabile del trattamento, a prescindere che i medesimi siano venduti nella modalità on premise o in cloud su piattaforme del produttore[1].
Con il termine on premise si intende la gestione accentrata delle risorse software dell’azienda, la quale decide di non dare in gestione a terzi le proprie risorse software, ma di mantenerle sotto lo stretto controllo dell’azienda stessa.
In particolare, la distinzione fondamentale è data dal modello distributivo che differenzia le diverse forme contrattuali: nel modello on premise, l’acquisto si configura come un acquisto di licenza. L’articolo tratta solo delle questioni di compliance al GDPR delle aziende che erogano prodotti e/o servizi software on premise.
Il presente articolo distingue il principio generale della privacy by design – il quale include una dimensione etica in linea con i princìpi e i valori espressi dalla Carta dei diritti fondamentali della UE – dagli obblighi giuridici nascenti dall’art. 25 GDPR[2].
Le locuzioni “data protection by design” e “data protection by default” vengono utilizzate per indicare gli obblighi giuridici nascenti dall’art. 25 GDPR. L’articolo conclude sostenendo l’applicabilità degli obblighi previsti dal GDPR in capo all’azienda fornitrice di software quando i prodotti e/o i servizi sono offerti fuori della UE.
Ambito di applicazione territoriale del GDPR
Software house quale responsabile del trattamento
L’erogazione di prodotti e/o servizi in modalità on premise
L’art. 3, il quale delimita l’ambito di applicazione territoriale del GDPR [3], definendo quali sono i trattamenti di dati personali assoggettati alla disciplina UE, rappresenta una evoluzione del diritto UE in materia di protezione dei dati personali rispetto all’intelaiatura fornita dalla direttiva 95/46/CE[4]. L’art. 3 dispone:
La suddetta norma rischia di essere compresa solo in parte senza la lettura congiunta dei seguenti Considerando:
(23): “Onde evitare che una persona fisica venga privata della protezione cui ha diritto in base al presente regolamento, è opportuno che questo disciplini il trattamento dei dati personali degli interessati che si trovano nell’Unione effettuato da un titolare del trattamento o da un responsabile del trattamento non stabilito nell’Unione, quando le attività di trattamento sono connesse all’offerta di beni o servizi a detti interessati indipendentemente dal fatto che vi sia un pagamento correlato. Per determinare se tale titolare o responsabile del trattamento stia offrendo beni o servizi agli interessati che si trovano nell’Unione, è opportuno verificare se risulta che il titolare o il responsabile del trattamento intenda fornire servizi agli interessati in uno o più Stati membri dell’Unione. Mentre la semplice accessibilità del sito web del titolare del trattamento, del responsabile del trattamento o di un intermediario nell’Unione, di un indirizzo di posta elettronica o di altre coordinate di contatto o l’impiego di una lingua abitualmente utilizzata nel paese terzo in cui il titolare del trattamento è stabilito sono insufficienti per accertare tale intenzione, fattori quali l’utilizzo di una lingua o di una moneta abitualmente utilizzata in uno o più Stati membri, con la possibilità di ordinare beni e servizi in tale altra lingua, o la menzione di clienti o utenti che si trovano nell’Unione possono evidenziare l’intenzione del titolare o del responsabile del trattamento di offrire beni o servizi agli interessati nell’Unione”;
(24): “È opportuno che anche il trattamento dei dati personali degli interessati che si trovano nell’Unione ad opera di un titolare del trattamento o di un responsabile del trattamento non stabilito nell’Unione sia soggetto al presente regolamento quando è riferito al monitoraggio del comportamento di detti interessati, nella misura in cui tale comportamento ha luogo all’interno dell’Unione. Per stabilire se un’attività di trattamento sia assimilabile al controllo del comportamento dell’interessato, è opportuno verificare se le persone fisiche sono tracciate su internet, compreso l’eventuale ricorso successivo a tecniche di trattamento dei dati personali che consistono nella profilazione della persona fisica, in particolare per adottare decisioni che la riguardano o analizzarne o prevederne le preferenze, i comportamenti e le posizioni personali”.
La predetta norma detta i criteri di collegamento, diretti e indiretti, che consentono l’applicazione del GDPR, estendendone al massimo i limiti. I criteri dettati dall’art. 3 GDPR sono essenzialmente due: il criterio dello stabilimento e il criterio del cosiddetto targeting. Segnatamente, il GDPR si applica al trattamento dei dati personali:
effettuato nell’àmbito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell’Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell’Unione (art. 3 § 1);
di interessati che si trovano nell’Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’Unione, quando le attività di trattamento riguardano:
il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione (art. 3 § 2).
Se ricorre uno dei due criteri suddetti, trova applicazione il GDPR al trattamento dei dati personali. Ai predetti due criteri di collegamento va aggiunto un terzo, marginale: il GDPR si applica altresì al trattamento dei dati personali effettuato da un titolare del trattamento che non è stabilito nell’Unione ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico (art. 3 § 3).
L’art. 25 GDPR definisce gli obblighi imposti dalla data protection by design e by default nel modo che segue:
1. Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’àmbito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.
L’art. 25 GDPR va letto congiuntamente con il precedente art. 24, il quale regola la responsabilità del titolare del trattamento così:
Sulla data protection by design e by default sono state già scritte molte pagine, alle quali si rinvia per una trattazione approfondita, che non è possibile in questa sede[5].
Il produttore di software non può essere considerato titolare (data controller) del trattamento di dati personali, non potendo esso definire le finalità per cui i dati sono trattati. Sul produttore di software incombono gli obblighi previsti per il responsabile del trattamento (data processor).
La figura del “responsabile del trattamento” (data processor) è delineata dall’art. 28 GDPR nel modo che segue:
su scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell’Unione o degli Stati membri preveda la conservazione dei dati;e
metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato. Con riguardo alla lettera h) del primo comma, il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, un’istruzione violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati.
Il soggetto che raccoglie ed elabora dati personali di terzi assume, automaticamente, la veste di responsabile del trattamento, come già accennato.
Premesso ciò, il produttore-responsabile del trattamento dei dati personali provvede ad apportare al prodotto e/o al servizio software erogato gli adattamenti e le modifiche necessari per la compliance al GDPR.
Tuttavia, incombe sull’acquirente-titolare del trattamento dei dati personali la verifica dell’effettiva compatibilità del prodotto e/o servizio software acquistato ai requisiti del GDPR. Il produttore che eroga anche assistenza sui prodotti software dallo stesso forniti va considerato responsabile del trattamento a prescindere dalle modalità di vendita (on premise o in cloud).
La software house è responsabile del trattamento (data processor) nei casi di erogazione dei prodotti e/o servizi in modalità on premise, qualora oltre alla licenza vengano erogati servizi di assistenza, di aggiornamento e di manutenzione, comprendenti, a titolo esemplificativo:
attività di migrazione dati finalizzata all’installazione e al collaudo del software;
servizi di assistenza e di aggiornamento che comportano (anche occasionalmente) l’accesso remoto ai dati del cliente;
analisi dei dati del cliente per verificare problematiche di carattere tecnico e per svolgere attività di manutenzione[6].
Dato che il § 1 dell’art. 3 determina l’àmbito di applicazione territoriale del GDPR facendo riferimento al criterio di collegamento dello stabilimento, per stabilire se un trattamento di dati personali ricade nella previsione della già menzionata norma è necessario precisare la nozione di stabilimento.
Ai sensi della norma predetta, qualsiasi trattamento di dati personali effettuato nell’àmbito delle attività dello stabilimento di un titolare del trattamento o di un responsabile del trattamento nella UE è assoggettato alla disciplina del GDPR, indipendentemente dal fatto che il trattamento sia effettuato all’interno della UE.
A tal fine, è determinante stabilire se il titolare o il responsabile ha uno stabilimento nella UE; è d’ausilio il Considerando (22), il quale recita:
Qualsiasi trattamento di dati personali effettuato nell’àmbito delle attività di uno stabilimento di un titolare del trattamento o responsabile del trattamento nel territorio dell’Unione dovrebbe essere conforme al presente regolamento, indipendentemente dal fatto che il trattamento avvenga all’interno dell’Unione. Lo stabilimento implica l’effettivo e reale svolgimento di attività nel quadro di un’organizzazione stabile. A tale riguardo, non è determinante la forma giuridica assunta, sia essa una succursale o una filiale dotata di personalità giuridica.
In conclusione, la software house stabilita in Ue quando fornisce prodotti e/o servizi on premise fuori della UE è tenuta al rispetto degli obblighi che il GDPR impone al responsabile del trattamento.
A titolo meramente esemplificativo, oltre a quanto già accennato in merito alla data protection by design e by default, l’art. 30 GDPR impone, fra l’altro, anche al responsabile del trattamento la tenuta di un Registro dei trattamenti (in forma scritta, anche in formato elettronico).
In sede negoziale, è possibile modulare – nei limiti consentiti dal GDPR e dalla normativa nazionale – gli obblighi derivanti dalla legislazione UE secondo le esigenze dell’azienda fornitrice[7].
Sui problemi del cloud alla luce del GDPR si rinvia a F. Pizzetti, GDPR e cloud: le sfide per la compliance delle aziende e il futuro dell’Europa, in AgendaDigitale.eu, 20 luglio 2018. ↑
Condividiamo, così, la distinzione già adottata da EDPS nella Preliminary Opinion On Privacy by Design, Opinion 5/2018, 31 maggio 2018, p. 1 ss. ↑
Il precedente immediato della norma è l’art. 4 dir. 95/46/CE, il quale dettava i criteri per individuare il diritto nazionale applicabile; nel nostro Paese, tale norma era stata recepita dall’art. 5 del Codice della privacy (oggi abrogato dall’art. 27 d.lgs n. 101/2018). Cfr. D. Reccia, Comm. sub Art. 3 in G.M. Riccio-G. Scorza-E. Belisario (cur.), GDPR e normativa privacy. Commentario, I ed., Milano, 2018, p. 19 ss. ↑
Cfr. EDPB, Guidelines 3/2018 on the Tettitorial Scope of the GDPR (Article 3), adopted on 16 November 2018, p. 3. ↑
Per una trattazione approfondita della data protection by design e by default, si rinvia a F. Santoro, Privacy by design e by default: un approccio concreto alla protezione dei dati, in Cybersecurity360.it, 1° marzo 2019; A. Praitano, Privacy by design e GDPR, soluzioni per proteggere i dati in azienda, in Cybersecurity360.it, 13 settembre 2018. ↑
Cfr. Assosoftware Data Protection Working Group, FAQ-Domande e Risposte sul GDPR. ↑
Cfr. R. Cintori, Aziende di servizi informatici e GDPR, il contratto per il responsabile del trattamento, in Cybersecurity360.it 24 luglio 2019. ↑