Newsgroup: it.lavoro.informatica
Titolo: Vabe

Il governo inglese ha il software in Irlanda. AWS. Tutti.
 
Let that sink in.
 
  ngw

 Il governo inglese ha il software in Irlanda. AWS. Tutti.
 
Amen
 
 
---
Questa e-mail è stata controllata per individuare virus con Avast antivirus.
https://www.avast.com/antivirus
 
 

 Il governo inglese ha il software in Irlanda. AWS. Tutti.
 
Intendi su EU (Ireland)? (e` abbastanza comune che quella region ospiti software europeo)


già, europeo :-)


L'Europa e` un continente e l'UK ne fara` parte anche una volta uscita 
dall'UE.
 

 dall'UE.
 
per software e (soprattutto) dati non è questione geografica ma di 
legislazione: come si trattano i dati nell'ue si decide ai tavoli di 
bruxelles, dove l'uk ha deciso di non sedere. che poi ci piazzino quelli 
del governo è cosa abbastanza grottesca, l'ennesima di questa farsa.

 legislazione
 
La legislazione non c'entra assolutamente NIENTE con la decisione di usare una region o l'altra di AWS. Noi a lavoro, pur essendo l'azienda londinese, utilizziamo regions statunitensi.


eccome se c'entra. un server fisicamente negli usa è sotto la 
giurisdizione usa, che ha leggi in materia diverse da quelle, 
armonizzate, dell'ue. magari a voi frega niente ma per il gdpr la 
questione è ben rilevante e figuriamoci cosa vuol dire per un governo 
avere i dati non sotto la propria giurisdizione...

Il 04/10/19 20:28, rootkit ha scritto:

il gdpr fa riferimento al trattamento e conservazione dei dati dei 
cittadini europei indistintamente da dove questi dati si trovino.
 

 cittadini europei indistintamente da dove questi dati si trovino.
 
certamente. ma se tratti i tuoi dati al di fuori dell'ue sei, ad esempio, 
obbigato ad averne il consenso esplicito. cosa che può avere implicazioni 
non banali, specie se è un trattamento vincolante per l'erogazione di un 
servizio. 
non è un caso se dovendo andare sul cloud c'è fondamentale attenzione su 
questo punto.


Ovviamente non sono un esperto (tra l'altro dubito che qualsiasi 
informatico lo sia) ma cosi' ad occhio e croce se tu affidi i dati dei 
tuoi clienti ad aziende fuori dall'UE quelli non sono obbligati a 
rispettare il gdpr o altre norme europee (a meno di appositi contratti 
che comunque poi voglio vedere chi li fa rispettare). Questo anche senza 
contare l'eventuale brexit pseudoimminente, dopo la quale  se hai 
affidato dati di cittadini europei ad aziende inglesi queste potrebbero 
non sentirsi obbligate a trattarli secondo norme europee; per la verita'
sembrerebbe esserci anche il caso opposto cioe' quello di dati di 
cittadini non europei affidati ad aziende europee (sono obbligate a 
trattarli come quelli dei cittadini europei o no? E Se qualche azienda 
europea non britannica gestisce dati di cittadini inglesi, se a fine 
mese si verifica la brexit, poi questi dovranno essere trattati come 
quelli di cittadini europei o no?).
Se non ricordo male mi e' capitato varie volte (specialmente subito dopo 
l'obbligo dell'informativa sui cookie) di accedere a dei siti
che immagino essere sotto giurisdizione americana e visualizzare una 
pagina in cui si diceva (piu' o meno): " poiche' il tuo indirizzo IP ti 
qualifica come proveniente da uno stato europeo e a causa delle recenti 
normative dell'Unione Europea, alle quali noi non siamo in grado di 
adeguarci, la visione del nostro sito ti e' al momento preclusa".
 
Ciao,
Marco



Lavorando per il ministero inglese, il software che regola i movimenti dei loro carcerati deve seguire le leggi inglesi E quelle europee.
Se hai l'app UK hostata in USA devi seguire le leggi americane E inglesi, probabilmente le specifiche vengono valiate prima e questo e' trasparente agli sviluppatori.
Nel caso del GDPR lo devi seguire anche solo se c'e' la possibilita' di servire europei (
https://www.forbes.com/sites/forbestechcouncil/2017/12/04/yes-the-gdpr-will-affect-your-u-s-based-business/
), esattamente come le note leggi cinesi: se fai business con la Cina, devi rispettarne le leggi. Lavoravo per una piattaforma video in cui almeno il 70% del business era basato sull'essere compliant con la cina...
 
  ngw

 che comunque poi voglio vedere chi li fa rispettare).
 
no
 
se tu azienda del paese Inculandia fuori EU vuoi avere clienti (e quindi 
dati) EU, DEVI rispettare GDPR per quei clienti
 
se tu azienda del paese QUALSIASI (dentro o fuori EU) vuoi avere clienti 
EU e avvalerti di una azienda terze parti con sede in Inculandia fuori 
EU, l'azienda terze parti DEVE rispettare GDPR per quei clienti
 
e tutte la varie gradazioni dovute alle varie declinazioni che si 
possono avere con contratti di gestione dei dati cloud (questa immagine 
ti può dare un'idea di cosa sto parlando 
https://pbs.twimg.com/media/DfC5xbRW0AACiNa.png
)
 
se tu affitti solo l'hardware nudo/crudo in Inculandia e poi dal SO in 
su ci metti roba tua... o affitti tutti i servizi cloud fino all'ultima 
API è solo una questione di shift delle responsabilità e dei costi
 
ma il fatto di spostare o avere hardware e/o software in Inculandia 
fuori EU NON cancella il fatto di aderire a GDPR se ci sono di mezzo dati EU

 dati EU
 
però sei anche obbligato a rispettare le leggi di inculandia, essendo che 
hai spostato la roba nella loro giurisdizione. questo comporta proprio 
per il gdpr che tu devi *informare* l'utente che i suoi dati saranno in 
inculandia perché potrebbe non essere d'accordo e negarti il consenso al 
trattamento, con tutte le conseguenze del caso.

 trattamento, con tutte le conseguenze del caso.
 
Appunto, ma il discorso verteva sul fatto di uscire dall'EU, GDPR si no 
e via discorrendo.
Inculandia avrà le sue belle leggi ma se vuole fare business con dati e 
paesi sotto GDPR, queste belle leggi non possono "sovrascrivere" GDPR.
 
Nel caso di UK essendo prima (e ora, per qualche giorno) ancora in EU 
l'adempimento del GDPR deve essere implementato già. Quindi per la 
maggior parte dei casi non cambia proprio nulla. Poi quando escono 
possono anche dire "voi cittadini UK adesso potete fanculizzarvi tutti, 
GDPR non conta più per voi" (già lo fanno, per inciso, perché la privacy 
è a puttane da un bel dì) ma non per tutto il resto dell'Europa. In 
pratica, a meno di non voler agire con la mossa del granchio, non devono 
fare nulla. Devono continuare a fare quello che hanno fatto ( = 
avrebbero dovuto fare...) fino ad oggi.


Il GDPR può fare quello che vuole.
Immaginati di fai causa ad un'azienda americana dicendogli:
"il GDPR dice questo e quell'alltro". E se l'azienda e' grande
immaginati cosa dirà Trump del GDPR.
 
Ciao,
Marco.


 immaginati cosa dirà Trump del GDPR.
 
Tu il concetto di trattato internazionale non l'hai troppo chiaro vero?
 
Ciao
  Francesco

 dirà Trump del GDPR.
 
che diamine c'entra trump?
e comunque non segui l'attualità, so già risponderai che non t'interessa 
ma in questo caso mi chiedo che intervieni a fare. 


Forse te lo sei perso, ma non si occupa piu' di informatica da qualche anno.
 
  ngw

Il 18/10/19 10:09, Marcoxxx ha scritto:

Ciao
 
forse non l'ho hai notato, ma se tu hai un qualsiasi SN che sia FB, 
instagram, linkedin, whatsapp, twitter ecc
avrai sicuramente accettato il GDPR, il che sta a significare che questi 
colossi hanno accettato tale legge altrimenti non possono fare affari 
con quei dati.
 
dove non viene data notifica ad un cittadino europeo di come vengono 
utilizzati i suoi dati (farti "firmare/accettare" il GDPR) in caso di 
contenzioso, se tra UE (tu cittadino) ed il paese terzo ci sono dei 
trattati questi vanno a risolvere la controversia, in altri casi è più 
complicato ma si passa per organi sovrannazionalli.
 
certo che se tu utilizzi un servizio dove viene specificato che non 
rientra nel GDPR per i dati e tu accetti, non puoi fare certo causa 
successivamente, ma appunto deve essere chiaro nell'accettazione del 
servizio, altrimenti valgono i principi generali e di diritto del 
cittadino UE.
 


Lavorando per un colosso statunitense confermo tutto. 
E il corso sul trattamento dati GDPR compliant é obbligatorio per tutti gli impiegati, non solo quelli UE. Direi che sono pratiche di buon senso, peró é anche abbastanza logico che gli USA abbiano una propria normativa. Persino tutti i programmi che fanno trattamento dei dati devono essere GDPR compliant, indifferentemente .

 devono essere GDPR compliant, indifferentemente .
 
certo, a cose "normali" è così. ma i problemi di avere i dati in altre 
giurisdizioni non si presentano a cose normali.
 
faccio un esempio esplicativo e di attualità. se viene commesso un crimine 
per mezzo dei social network americani nei confronti di un cittadino 
europeo, l'unico modo che ha la magistratura per avere i dati necessari 
per l'indagine è chiedere una rogatoria, la quale a parte costi e tempi 
viene concessa solo se il reato contestato è tale anche negli usa. 
viceversa le autorità americane hanno pieno dominio su come ottenere 
queste informazioni. 
 
oppure: se tu hai un server negli usa e c'è il fondato sospetto che tu (o 
chi per te) stia facendo commercio con paesi sottoposti da loro ad 
embargo, non credo ci vadano tanto per il sottile nel pretendere che tu 
gli dia tutto quello che ti chiedono. cosa che non potrebbero fare se il 
server è in europa, dove magari non vi è divieto di commercio con quello 
stato.
 
ora è chiaro che gli usa non hanno una legislazione liberticida come 
d'altronde nemmeno l'europa, ma il tema delle diverse giurisdizioni è 
caldo e da non sottovalutare.

 stato.
Come sopra, pretendi in un contratto che i tuoi dati stiano in Europa. Puó sembrare complicato, magari é costoso ma é molto fattibile...


 Puó sembrare complicato, magari é costoso ma é molto fattibile...
 
esatto. infatti quando sei fornitore (di software, ad esempio, per restare 
in tema nostro) i clienti ti mandano il famoso questionario previsto dal 
gdpr dove fra l'altro ti chiedono se porti i dati fuori dall'ue: per 
molti clienti è irrilevante la risposta (sono domande "standard"), ma per 
altri è motivo per dire "non possiamo essere tuoi clienti". è anche vero 
che per i contratti in essere e per quei clienti che hanno questa esigenza 
la domanda l'hanno già fatta in fase di valutazione del fornitore a 
prescindere dal gdpr, ma va detto che con il gdpr è nato da una parte 
l'obbligo di informare e dall'altro di prenderne coscienza.
 


Quando trovi un genio del male del SW che ti fattura diverse centinaia di milioni di euro, il datacenter in Europa glielo esci. Credimi.
Ed appunto é come dici tu. Se non mi firmi col sangue che i dati stanno in Europa col cavolo che ti firmo il contratto di assistenza. E credimi, le licenze si possono pure regalare, l'assistenza no.

 di milioni di euro, il datacenter in Europa glielo esci. Credimi.
 
ti credo :-) anzi, al momento in cui devo scegliere (es. di fronte alla 
fatidica richiesta su che zona piazzare la macchina cloud) a scanso di 
equivoci scelgo l'ue. almeno finché il mio business prevalente non va 
altrove.