Articolo a cura di: Redazione - Studio Legale Calvello
Affidare a un fornitore cloud la conservazione dei documenti, la gestione del personale, i dati dei clienti o le informazioni contenute nei software aziendali comporta precise responsabilità in materia di protezione dei dati personali. La scelta di un servizio cloud non può basarsi soltanto sul prezzo, sulle funzionalità o sulle garanzie commerciali del provider. L’azienda deve verificare come vengono trattati i dati, chi può accedervi, dove sono conservati e quali misure di sicurezza vengono effettivamente adottate.
Il problema si presenta sia quando si acquista un nuovo servizio sia quando l’impresa utilizza da anni piattaforme esterne senza averne mai esaminato la documentazione privacy. Un contratto incompleto, l’impiego di subfornitori non autorizzati o il trasferimento di dati verso Paesi terzi senza adeguate garanzie possono esporre l’azienda a contestazioni e responsabilità. Una verifica legale e organizzativa del fornitore cloud permette di individuare le carenze contrattuali e le misure da adottare prima che si verifichi un incidente o una contestazione.
Perché l’azienda deve verificare la conformità GDPR del fornitore cloud
Quando un’impresa utilizza un gestionale online, una piattaforma per le risorse umane, un servizio di archiviazione documentale o un sistema di backup esterno, può affidare a soggetti terzi il trattamento di una quantità considerevole di dati personali. Tra questi possono rientrare informazioni anagrafiche dei clienti, documenti contrattuali, dati dei dipendenti, informazioni economiche e, in determinate attività, dati appartenenti a categorie particolari ai sensi dell’articolo 9 del Regolamento (UE) 2016/679.
Il fatto che tali informazioni siano conservate sui server di un soggetto esterno non trasferisce automaticamente al fornitore le responsabilità dell’azienda titolare del trattamento. Quest’ultima deve rispettare il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR e, quando il provider opera come responsabile del trattamento, scegliere un soggetto che presenti garanzie sufficienti ai sensi dell’articolo 28.
La verifica non può quindi esaurirsi nell’accettazione delle condizioni generali di servizio o nella presenza di una dichiarazione di conformità GDPR sul sito del provider. Occorre accertare quali trattamenti vengono eseguiti per conto dell’azienda, quali soggetti vi partecipano e se le misure dichiarate sono adeguate rispetto alla natura dei dati e ai rischi concretamente prevedibili.
Un errore frequente consiste nel ritenere che un servizio particolarmente diffuso, come Microsoft 365, Google Workspace o una piattaforma SaaS utilizzata da numerose imprese, sia automaticamente conforme per qualsiasi utilizzo aziendale. Anche quando il fornitore dispone di certificazioni di sicurezza e di una documentazione contrattuale articolata, l’impresa deve verificare la configurazione del servizio, le condizioni applicabili e le proprie modalità di trattamento. La conformità dipende anche dalle scelte effettuate dal cliente, dai permessi concessi agli utenti e dalle funzionalità effettivamente attivate.
Particolare attenzione richiedono i servizi acquistati direttamente dai singoli reparti aziendali senza coinvolgere chi si occupa della privacy o della sicurezza informatica. Un responsabile commerciale potrebbe attivare un CRM online, mentre l’ufficio HR potrebbe utilizzare una piattaforma esterna per gestire presenze, buste paga o candidature. Se questi strumenti non vengono censiti e valutati, l’azienda rischia di non conoscere tutti i soggetti che trattano i dati per suo conto.
Per affrontare correttamente il problema occorre partire dalla ricognizione dei servizi utilizzati e verificare, per ciascuno, le finalità del trattamento, le categorie di dati coinvolte, i ruoli privacy e le condizioni contrattuali. Questa attività deve coordinarsi con gli obblighi generali di adeguamento GDPR aziendale, senza limitarsi a un controllo formale della documentazione.
Quali documenti, contratti e garanzie controllare prima di affidare i dati a un cloud provider
La prima verifica riguarda il ruolo assunto dal fornitore. Quando il provider tratta dati personali per conto dell’impresa e secondo le sue istruzioni, opera normalmente come responsabile del trattamento. In questa situazione è necessario un contratto o altro atto giuridico vincolante conforme all’articolo 28 del GDPR. Non è sufficiente una generica clausola nella quale il fornitore dichiara di rispettare la normativa privacy.
Il contratto deve disciplinare concretamente l’oggetto e la durata del trattamento, la sua natura e le sue finalità, le categorie di interessati e di dati personali, nonché gli obblighi e i diritti del titolare. Deve prevedere, tra l’altro, il trattamento secondo istruzioni documentate, gli obblighi di riservatezza, le misure di sicurezza, le condizioni per il ricorso ai subresponsabili e l’assistenza al titolare nell’adempimento dei propri obblighi.
Uno dei controlli più delicati riguarda il Data Processing Agreement (DPA), spesso predisposto unilateralmente dal fornitore e accettato attraverso procedure online. Prima dell’adesione è opportuno esaminare se le clausole soddisfano effettivamente i requisiti normativi, se rinviano a documenti esterni modificabili dal provider e quali possibilità di controllo vengono riconosciute all’azienda cliente.
La distinzione tra titolare e responsabile del trattamento non dipende esclusivamente dalla denominazione utilizzata nel contratto. Alcuni fornitori possono operare come responsabili per determinate attività e come titolari autonomi per altri trattamenti, quando ne determinano autonomamente finalità e mezzi essenziali. Per questo motivo occorre valutare le operazioni effettivamente svolte, anche alla luce delle differenze tra titolare, responsabile e soggetti autorizzati al trattamento.
Un ulteriore controllo riguarda i subfornitori. Le piattaforme cloud possono utilizzare altre società per hosting, assistenza tecnica, manutenzione, infrastrutture informatiche e servizi complementari. L’articolo 28 richiede che il ricorso a ulteriori responsabili sia autorizzato dal titolare, mediante autorizzazione specifica oppure generale scritta. Nel secondo caso, il responsabile deve informare il titolare delle modifiche previste, consentendogli di opporsi.
L’impresa dovrebbe quindi verificare l’elenco dei subresponsabili, le attività affidate, le localizzazioni rilevanti e le modalità con cui vengono comunicate eventuali sostituzioni. Una catena di fornitori poco trasparente rende difficile ricostruire chi possa accedere ai dati e verificare l’effettiva applicazione delle garanzie contrattuali.
Particolare attenzione merita la localizzazione dei dati. La presenza di server nell’Unione europea non esclude, da sola, che si verifichino trasferimenti internazionali: possono assumere rilievo anche gli accessi ai dati effettuati da soggetti stabiliti in Paesi terzi. Quando ricorrono i presupposti di un trasferimento ai sensi del capo V del GDPR, occorre individuare il relativo strumento giuridico, come una decisione di adeguatezza applicabile oppure le clausole contrattuali standard accompagnate, quando necessario, da ulteriori verifiche e misure.
Per i fornitori statunitensi deve essere controllata l’eventuale applicabilità del quadro di adeguatezza UE-USA, verificando che il destinatario rientri effettivamente tra le organizzazioni certificate e che il trattamento sia coperto dalla certificazione. Non è corretto presumere che qualsiasi servizio offerto da una società americana sia automaticamente legittimo o, al contrario, vietato.
La valutazione deve comprendere anche le misure tecniche e organizzative adottate dal provider: cifratura, gestione delle credenziali, autenticazione multifattore, controllo degli accessi privilegiati, segregazione dei dati, registrazione delle operazioni, backup e procedure di ripristino. L’articolo 32 del GDPR richiede misure adeguate al rischio, non un insieme identico di strumenti per tutte le aziende.
Le certificazioni come ISO/IEC 27001 e gli eventuali rapporti di audit indipendenti possono costituire elementi utili, ma non sostituiscono la valutazione delle condizioni effettive del servizio. Occorre verificare l’ambito della certificazione, i sistemi coperti e la pertinenza delle garanzie rispetto ai trattamenti affidati.
Infine, il contratto dovrebbe disciplinare con chiarezza la gestione degli incidenti di sicurezza, l’assistenza in caso di violazione dei dati personali, la restituzione o cancellazione delle informazioni alla cessazione del servizio e la possibilità di ottenere le informazioni necessarie per dimostrare il rispetto degli obblighi dell’articolo 28. La possibilità di recuperare i dati e verificare la loro cancellazione al termine del rapporto è un aspetto da esaminare prima della firma, non soltanto quando l’azienda decide di cambiare fornitore.
Quali controlli deve effettuare l’azienda durante l’utilizzo del servizio cloud e quali rischi corre
La verifica del fornitore cloud non termina con la sottoscrizione del contratto. L’azienda deve mantenere un controllo proporzionato sui trattamenti affidati all’esterno, soprattutto quando cambiano le funzionalità del servizio, vengono introdotti nuovi subfornitori oppure aumenta la quantità o la sensibilità dei dati personali gestiti. Un provider valutato correttamente al momento dell’acquisto potrebbe non offrire più garanzie adeguate rispetto all’utilizzo successivo.
Il primo aspetto riguarda la documentazione interna. L’impresa deve verificare che i trattamenti effettuati attraverso il cloud siano correttamente rappresentati nel registro delle attività di trattamento, quando previsto dall’articolo 30 del GDPR, e che le informative descrivano in maniera adeguata le operazioni svolte. L’introduzione di un nuovo software può comportare modifiche alle categorie di dati trattati, ai destinatari, ai tempi di conservazione o ai trasferimenti internazionali. In queste situazioni può essere necessario aggiornare la documentazione, secondo le modalità approfondite nel nostro articolo dedicato al registro dei trattamenti e ai suoi aggiornamenti.
Un secondo controllo riguarda l’effettiva configurazione del servizio. Anche un fornitore dotato di misure di sicurezza adeguate può essere utilizzato impropriamente dall’azienda. Permessi eccessivamente estesi, account condivisi, credenziali non più necessarie, accessi mantenuti dopo la cessazione di un rapporto di lavoro o documenti resi disponibili a soggetti non autorizzati possono determinare esposizioni indebite dei dati. Occorre quindi distinguere le responsabilità contrattuali del provider dalle attività di configurazione, amministrazione e controllo che rimangono in capo all’impresa.
Particolare attenzione deve essere riservata ai servizi che trattano dati dei dipendenti, informazioni sanitarie o altre categorie particolari di dati personali. In presenza di trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche, l’articolo 35 del GDPR richiede una valutazione d’impatto sulla protezione dei dati. La DPIA non è automaticamente obbligatoria per qualsiasi servizio cloud, ma deve essere valutata considerando la natura, l’ambito, il contesto e le finalità del trattamento, oltre alle tecnologie utilizzate e ai rischi per gli interessati.
Quando l’impresa dispone di un Responsabile della protezione dei dati (DPO o RPD), questo deve essere coinvolto tempestivamente e adeguatamente nelle questioni relative alla protezione dei dati personali, secondo quanto previsto dall’articolo 38 del GDPR. Il DPO può fornire consulenza sui rischi connessi all’esternalizzazione, esaminare le garanzie offerte dal provider e sorvegliare il rispetto della normativa. La sua presenza, però, non sostituisce le decisioni e le responsabilità del titolare del trattamento. Anche per questo motivo, nell’ambito di un audit privacy svolto dal DPO, la verifica dei fornitori informatici può costituire una parte delle attività di controllo.
Un profilo particolarmente delicato riguarda gli incidenti di sicurezza. Se il fornitore subisce un attacco informatico, perde dati personali oppure rileva un accesso non autorizzato, deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, quando opera come responsabile del trattamento. L’azienda deve quindi valutare l’incidente, documentarlo e stabilire se ricorrono i presupposti per la notifica al Garante Privacy e per l’eventuale comunicazione agli interessati. Il termine di 72 ore previsto dall’articolo 33 del GDPR riguarda, nei casi soggetti a notifica, il momento in cui il titolare viene a conoscenza della violazione.
Per questo motivo è necessario verificare preventivamente che il contratto preveda modalità di comunicazione degli incidenti e obblighi di collaborazione compatibili con i tempi imposti dalla normativa. Se il provider comunica informazioni incomplete o con ritardo, l’azienda potrebbe incontrare difficoltà nel ricostruire l’accaduto e nel valutare tempestivamente i rischi. Abbiamo approfondito gli adempimenti specifici nell’articolo dedicato a cosa deve fare l’azienda quando un fornitore subisce un data breach.
Le conseguenze di una gestione inadeguata possono riguardare diversi profili. La mancanza di un accordo conforme all’articolo 28, l’assenza di garanzie sufficienti, misure di sicurezza inadeguate o trasferimenti internazionali effettuati in violazione del GDPR possono determinare contestazioni da parte dell’Autorità di controllo. Le eventuali sanzioni amministrative devono essere valutate secondo i presupposti e i criteri previsti dagli articoli 83 e 84 del Regolamento e dalla normativa nazionale applicabile. Possono inoltre emergere richieste risarcitorie, quando ricorrono le condizioni previste dall’articolo 82.
Non ogni incidente del fornitore comporta automaticamente una violazione imputabile all’azienda cliente. Occorre accertare quali obblighi spettavano ai singoli soggetti, quali misure erano state adottate, quali istruzioni erano state impartite e quale condotta abbia contribuito all’evento. La responsabilità non può essere attribuita sulla sola base della presenza di un rapporto contrattuale, ma deve essere esaminata alla luce delle disposizioni applicabili e delle circostanze concrete.
Quando emergono carenze, l’impresa deve valutare interventi proporzionati: richiesta di documentazione integrativa, revisione delle clausole contrattuali, limitazione degli accessi, modifica delle configurazioni, introduzione di misure supplementari oppure sostituzione del servizio quando le garanzie non risultano sufficienti. La verifica deve produrre decisioni documentate e concretamente attuabili, evitando che il controllo GDPR rimanga una semplice dichiarazione formale.
Esempio pratico: un’azienda utilizza più servizi cloud senza aver verificato i fornitori
Consideriamo il caso esemplificativo di una società che utilizza un gestionale commerciale, una piattaforma cloud per le risorse umane e un servizio esterno di archiviazione documentale. I software sono stati acquistati in momenti diversi dai rispettivi responsabili di reparto. L’azienda dispone delle fatture e delle condizioni generali di servizio, ma non ha raccolto sistematicamente gli accordi sul trattamento dei dati personali né verificato l’eventuale ricorso a subfornitori.
Durante una verifica della conformità GDPR emerge che uno dei provider consente accessi tecnici da Paesi terzi, mentre un altro ha modificato l’elenco dei subresponsabili senza che l’impresa abbia esaminato la comunicazione. Per il servizio HR, inoltre, non è stata documentata una valutazione specifica delle misure di sicurezza rispetto ai dati trattati.
In una situazione del genere, il nostro intervento professionale sarebbe diretto innanzitutto a ricostruire i trattamenti e i rapporti contrattuali, distinguendo le carenze documentali dai rischi effettivi. La verifica comprenderebbe l’esame dei DPA, delle garanzie relative ai trasferimenti internazionali e delle misure tecniche e organizzative, con particolare attenzione ai dati dei dipendenti e agli accessi da parte di soggetti esterni.
Sulla base degli elementi raccolti, potremmo assistere l’azienda nella richiesta di chiarimenti ai fornitori, nell’aggiornamento degli accordi e nella definizione delle misure correttive. Qualora un provider non fosse in grado di offrire garanzie sufficienti, sarebbe necessario valutare la limitazione del trattamento o il passaggio a un altro servizio, disciplinando anche la restituzione e la cancellazione dei dati. L’obiettivo sarebbe consentire alla direzione aziendale di assumere decisioni documentate sulla prosecuzione dei rapporti con i fornitori cloud.
Domande frequenti sui controlli GDPR dei fornitori cloud
Un’azienda può utilizzare un servizio cloud senza aver firmato un contratto GDPR con il fornitore?
Quando il fornitore tratta dati personali per conto dell’azienda in qualità di responsabile del trattamento, è necessario un contratto o altro atto giuridico vincolante conforme all’articolo 28 del GDPR. Non è indispensabile un documento firmato materialmente dalle parti: anche un accordo elettronico può essere valido, purché sia giuridicamente vincolante e contenga le clausole richieste. L’azienda deve verificare che il DPA sia effettivamente applicabile al servizio acquistato e conservarne la documentazione. Se il fornitore opera come titolare autonomo, occorre invece valutare il diverso rapporto giuridico e le relative responsabilità.
Se il fornitore cloud ha i server in Europa, l’azienda è automaticamente conforme al GDPR?
No. La localizzazione dei server nell’Unione europea non garantisce, da sola, la conformità del trattamento. Occorre verificare chi può accedere ai dati, se vengono utilizzati subfornitori stabiliti fuori dall’Unione, quali misure di sicurezza sono applicate e se esistono trasferimenti internazionali soggetti al capo V del GDPR. Devono inoltre essere controllate le condizioni contrattuali e le configurazioni adottate dall’azienda. La residenza europea dei dati è soltanto uno degli elementi della valutazione.
Il fornitore cloud può rifiutarsi di fornire informazioni sulle misure di sicurezza?
Quando opera come responsabile del trattamento, il fornitore deve mettere a disposizione del titolare le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dall’articolo 28 del GDPR e consentire le attività di verifica previste dalla disposizione. Questo non significa che debba necessariamente consegnare qualsiasi documento tecnico riservato o accettare qualunque modalità di ispezione richiesta dal cliente. Le verifiche possono essere organizzate anche attraverso documentazione tecnica, certificazioni pertinenti e rapporti di audit, purché le informazioni disponibili siano sufficienti rispetto agli obblighi applicabili. Se il provider non offre garanzie verificabili, l’azienda deve valutare se sia possibile proseguire legittimamente il rapporto.
Chi risponde se il fornitore cloud perde i dati personali dei clienti o dei dipendenti?
La responsabilità dipende dalle circostanze della violazione e dagli obblighi concretamente applicabili al titolare e al responsabile del trattamento. L’azienda deve dimostrare di aver adottato misure appropriate, comprese le verifiche richieste nella scelta e nella gestione del fornitore. Il provider risponde delle violazioni degli obblighi che gli sono direttamente imposti dal GDPR e delle eventuali condotte contrarie alle istruzioni lecite del titolare. L’articolo 82 disciplina inoltre le condizioni della responsabilità risarcitoria e i rapporti tra i soggetti coinvolti. La presenza di un contratto con il cloud provider non esonera automaticamente l’impresa dalle proprie responsabilità.
Quanto costa una verifica GDPR dei fornitori cloud aziendali?
Il costo dipende dal numero di servizi utilizzati, dalla complessità dei contratti, dalle categorie di dati personali trattati e dalla presenza di trasferimenti internazionali o di particolari rischi. Una verifica limitata al DPA di un singolo software richiede attività differenti rispetto a un audit che comprende più fornitori, subresponsabili, configurazioni di sicurezza e procedure aziendali. Per definire l’intervento occorre quindi esaminare la situazione concreta, individuare le verifiche necessarie e stabilire quali attività debbano essere comprese nell’incarico professionale.
Verifica GDPR dei fornitori cloud: richiedi una valutazione allo Studio Legale Calvello
Se la tua azienda utilizza servizi cloud senza averne verificato i contratti privacy, sta valutando un nuovo fornitore oppure ha individuato carenze nella gestione dei dati personali affidati all’esterno, possiamo assisterti nell’esame degli obblighi GDPR e delle responsabilità connesse.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella verifica degli accordi con i responsabili del trattamento, nella valutazione delle garanzie offerte dai fornitori, nell’individuazione delle criticità e nella definizione degli interventi di adeguamento necessari. Ogni valutazione deve considerare i servizi effettivamente utilizzati, i dati trattati e i rischi specifici dell’organizzazione.
Per verificare la conformità GDPR dei tuoi fornitori cloud e valutare le eventuali misure correttive, richiedi una valutazione attraverso il modulo dedicato alla consulenza privacy e GDPR per aziende. Esamineremo la richiesta per individuare le esigenze dell’impresa e le possibili modalità di assistenza professionale.
