Il 20 maggio è stato approvato dall’EDPB il primo codice di condotta transnazionale ai sensi degli artt. 40 e 41 GDPR. L’EU Cloud Code of Conduct (Eu Cloud CoC) rappresenta il primo codice di condotta avente un carattere ed un’applicazione – volontaria – che prescinde dai confini nazionali.
Il primo codice di condotta transnazionale: sul cloud
Il codice di condotta, redatto e promosso dall’Autorità privacy belga, ha lo scopo di aiutare i buyer IT nell’individuare servizi cloud che offrano adeguate garanzie in termini di sicurezza e, quindi, promuovere l’adozione di servizi o piattaforme fornite da cloud provider che si uniformano a queste “best practices” riconosciute da parte delle principali istituzioni comunitarie.
Codici di condotta, post GDPR: contenuti e benefici di questi strumenti di auto-regolamentazione
Seguendo la procedura descritta dall’art. 64 del GDPR, l’European Data Protection Board (EDPB) nella seduta plenaria di giovedì scorso ha espresso un parere positivo sul progetto di codice di condotta presentato dall’autorità belga, così dando il proprio nulla osta all’applicazione transnazionale del Codice. Il presidente dell’EDPB, Andrea Jelinek, ha dichiarato: “Accogliamo con favore gli sforzi compiuti per elaborare codici di condotta, i quali sono strumenti pratici, trasparenti e potenzialmente “cost-effective”, volti a garantire una maggiore coerenza all’interno di un determinato settore e promuovere la compliance nella protezione dei dati personali”.
Che dice il primo codice sul cloud: obblighi, requisiti
Il Codice copre tutte le categorie di offerte cloud – SaaS, IaaS, PaaS – e presenta una serie di requisiti e caratteristiche che i fornitori di servizi cloud devono soddisfare per dimostrare la loro capacità di conformarsi al GDPR. I Cloud Service Provider aderenti dovranno, ad esempio, dotarsi di un Information Security Management System secondo i canoni già previsti dalla normativa ISO 27001/27002 o di solidi sistemi di crittografia. Nell’EU Cloud CoC è presente una sezione sulla governance che disciplina le modalità di adesione, attuazione e controllo nell’applicazione del Codice.
Nel Codice è ben specificato che l’adesione al Codice non esime il Cloud Service Provider – o il fruitore – dal porre in essere gli adempimenti necessari per risultare compliant con il GDPR. Il Codice precisa, infatti, che sarà in ogni caso necessario sottoscrivere un contratto o una nomina a responsabile del trattamento (art. 28 GDPR) tra il CSP e il fruitore del servizio cloud, nel quale vengono compiutamente disciplinati gli oneri delle parti, ivi incluse le misure di sicurezza. Nelle parti iniziali del Codice si legge infatti: “The Customer remains responsible for complying with its obligations and duties under GDPR. Notably, the Customer remains responsible for verifying whether the CSP Cloud Services comply with the Customer’s obligations under the GDPR, especially noting Customer’s own compliance requirements”.
Il codice di Condotta specifica poi che l’adesione al CoC non si presta quale condizione per il trasferimento dei dati personali verso un Paese extra-UE. Anche in questo caso sarà necessario prevedere gli adempimenti “canonici” per poter trasferire i dati personali in un Paese extra-UE, attenendosi ai dettami del Regolamento (artt. 45 e ss.) ed alle recenti indicazioni dell’EDPB e della Corte di Giustizia UE.
L’EU Cloud CoC, in armonia con quanto previsto dall’art 28 GDPR, riconosce e garantisce un diritto di audit per il Consumatore, al quale il Cloud Service Provider è tenuto a fornire l’accesso – anche attraverso ispezioni – a tutte le informazioni necessarie per dimostrare la conformità con i requisiti normativi. In virtù del riparto di responsabilità previsto dal GDPR, il CSP dovrà cooperare in buona fede con il Consumatore affinché questo rispetti, in particolare, gli obblighi previsti dal Capo IV del GDPR.
L’EU Cloud CoC prevede l’obbligo per i Cloud Provider aderenti di nominare un punto di contatto privacy, nei casi in cui non sia stato nominato un Data Protection Officer (DPO). Il Point of Contact o il DPO, i quali possono entrambi essere una persona fisica o un team, dovranno essere disponibili per tutto il periodo di aderenza al CoC del CSP.
Il codice prevede al suo interno un organismo di monitoraggio indipendente, individuato nell’organizzazione Scope Europe, volto a garantire e vigilare sulla conformità dei soggetti aderenti a quanto statuito nel codice. L’organismo di monitoraggio è un organo previsto dal GDPR e che deve svolgere le sue funzioni in un regime di terzietà e trasparenza. Questo è chiamato a verificare i requisiti dei soggetti aderenti al codice mediante un assessment iniziale, delle valutazioni a cadenza annuale e delle verifiche ispettive. All’Organismo di Monitoraggio è altresì possibile presentare un reclamo, nel caso in cui si ravvedano delle irregolarità da parte dei soggetti aderenti.
L’importanza dei codici di condotta ex GDPR
I codici di condotta previsti dall’art. 40 del GDPR si prestano ad essere un utile strumento di ermeneutica ed armonizzazione normativa, offrendo agli operatori un sistema consolidato e certificato che permetta di comprovare gli sforzi nella tutela dei dati personali.
In un’architettura normativa imperniata sul principio di accountability, i Codici di Condotta rappresentano uno strumento di regolamentazione fondamentale, grazie ai quali è possibile dimostrare il rispetto degli obblighi della normativa e degli standard di sicurezza nel trattamento dei dati personali da parte dei Titolari e dei fornitori di cui essi si avvalgono (nel caso di specie, i Cloud Service Provider).
Molti importantissimi Cloud Provider, già impegnati come promotori del Codice stesso, hanno dichiarato di essere pronti ad uniformarsi ai principi ed ai dettami del Codice. Tra questi veri e propri “Over The Top” quali Microsoft, Oracle, IBM e Alibaba.
“Questo è un momento molto importante, perché è il primo strumento in Europa che non solo può dimostrare la conformità, ma anche fornire una prova di tale conformità per utenti e fornitori di cloud in tutta Europa. È anche molto importante perché è la prima volta che un organismo di controllo indipendente viene accreditato: è assolutamente unico. La combinazione di questi due fattori rende il Cloud Code of Conduct uno strumento unico e robusto per tutti gli utenti e fornitori di cloud in Europa“, ha dichiarato Agnieszka Bruyere, vice presidente di IBM Cloud EMEA.
