Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
La collocazione dei file è un elemento importante, ma non esaurisce la verifica. Occorre individuare le entità che ricevono o possono accedere ai dati e le condizioni dei possibili trasferimenti, senza fermarsi all’etichetta «region europea».
La situazione.
Scenario illustrativo fittizio. Un’impresa sceglie un servizio di archiviazione che consente di selezionare un centro dati nell’Unione europea. Nel contratto, però, l’assistenza può essere fornita da un’altra società del gruppo stabilita fuori dallo SEE. Alcuni interventi consentono agli operatori di leggere documenti caricati dai dipendenti.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
La localizzazione dei dischi è distinta dall’identità e dal paese delle entità autorizzate all’accesso.
- 02
Va chiarito se i tecnici possano vedere dati in chiaro o soltanto informazioni rese effettivamente inaccessibili.
- 03
La qualificazione del trasferimento richiede l’esame dei rapporti fra esportatore e destinatario, non del solo indirizzo IP.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’analisi dei flussi deve distinguere archiviazione, supporto, telemetria e accessi amministrativi. Quando dati personali vengono comunicati o resi disponibili a un destinatario in un paese terzo, occorre verificare il quadro del capo V GDPR, insieme ai ruoli e agli obblighi ordinari. L’uso del cloud non è vietato in quanto tale; una sede europea dichiarata non basta a dimostrare che ogni trattamento resti nello SEE.
Gli strumenti applicabili dipendono dal destinatario e dalle circostanze: una decisione di adeguatezza va verificata per ambito e attualità; in altri casi possono servire garanzie appropriate e ulteriori valutazioni. Anche un trasferimento assistito da uno strumento valido deve rispettare minimizzazione, sicurezza, informativa e disciplina del responsabile. Il contratto va quindi letto come descrizione operativa del servizio, non come un attestato generale di conformità.
Cosa fare, in pratica.
- 01
Richiedere una mappa delle società coinvolte, dei luoghi di trattamento e dei tipi di accesso, distinguendo chi conserva i file da chi svolge assistenza tecnica.
- 02
Controllare il meccanismo del capo V applicato a ogni flusso rilevante, verificando destinatari effettivi e strumenti citati nelle condizioni, senza affidarsi a nomi commerciali del gruppo.
- 03
Valutare i permessi di supporto e la possibilità di limitarli, prevedendo autorizzazioni temporanee, tracciamento e accessi a contenuti ridotti quando tecnicamente praticabile.
- 04
Allineare accordo con il responsabile, misure di sicurezza, informazioni agli interessati e registro dei trattamenti alla configurazione che verrà realmente utilizzata.
- 05
Verificare come il fornitore comunica cambiamenti di localizzazione, società e subfornitori, assegnando un referente interno capace di riesaminare il servizio nel tempo.
L’errore da evitare.
Considerare il trasferimento risolto selezionando «Europa» nella console, senza analizzare assistenza e destinatari giuridicamente distinti.
Tre verifiche da portare con te.
- Archiviazione e assistenza mappate separatamente.
- Entità e strumento di trasferimento identificati.
- Cambiamenti del servizio soggetti a verifica interna.
Una scelta geografica nella console è un dato dell’analisi, non la conclusione. Il controllo deve seguire gli accessi reali e i soggetti coinvolti.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.