Nel mese di giugno, ho sviluppato una lezione in favore di ABI Servizi dedicata a cloud, blockchain e smart contract con l’obiettivo di approfondire le implicazioni giuridiche e strategiche delle tecnologie che stanno trasformando attivamente processi, modelli di business e sistemi di governance nel mondo bancario e finanziario.
Ciò che ho sostenuto, pur trattando di standard e specificità legate al mondo finanziario da cui dipendono molti interessi di professionisti e cittadini, non si allontana molto da quello che sostengo e ripeto da tanto tempo in termini di digital compliance: garantirla non dipende dalle tecnologie impiegate, ma dal nostro grado di maturità e consapevolezza nell’usarle correttamente. Purtroppo, nel mondo del cloud e delle soluzioni software a esso abbinate (come i modelli di intelligenza artificiale generativa) gli ambiti di negoziazione sono fortemente sbilanciati. Le “trattative” spesso si limitano a selezionare diversi livelli di servizio, scegliendo quello più in linea (almeno teoricamente) alle nostre esigenze e alle tipologie di dati trattati.
Qualora non fosse possibile scegliere un vestito sartoriale, nei rapporti poco sinallagmatici con i provider IT occorre almeno fare attenzione a:
- Guardare bene gli SLA (Service Level Agreement) nelle varie offerte business concesse
- Verificare se il Cloud Provider ha aderito a qualche Codice di Condotta (e/o se è qualificato)
- Controllare le certificazioni ottenute
- Verificare l’attenzione generale alla “privacy” e le possibilità effettive di controllo
Come piccolo aiuto per orientarsi, propongo di seguito una sintetica, sebbene non esaustiva, “check list GDPR” per i contratti di servizi IT e cloud:
- Prima del contratto: Vendor Assessment documentato; verifica certificazioni fornitore (ISO 27001, SOC 2);
- DPA ex art. 28 GDPR firmato e allegato al contratto IT (non solo online click-through);
- Lista sub-responsabili dichiarata; diritto di opposizione e aggiornamento inserito nel DPA;
- Clausola di localizzazione dati: specificata la regione dei data center; se extra-UE, meccanismo di trasferimento adeguato (SCC, adeguatezza);
- Clausola di notifica breach: termine massimo dichiarato (es. 24-48 ore) per notifica al titolare;
- Clausola di audit: diritto del titolare a verifiche periodiche (dirette o con certificazioni terzi);
- Clausola di portabilità e cancellazione: formato di restituzione dati, termine per cancellazione certificata a fine contratto;
- Clausole SLA collegate ai requisiti GDPR (uptime, RTO, RPO, tempi di risposta);
- DPO coinvolto nella revisione e negoziazione del contratto e del DPA;
- Registro dei responsabili aggiornato con tutti i fornitori IT attivi.
Un fornitore che dovesse irrigidirsi su queste richieste mancanti, magari nelle condizioni generali e negli SLA da lui predisposti, dovrebbe allertarci e magari farci cambiare direzione, nell’interesse nostro e degli utenti del nostro servizio (i cui dati personali sono da noi trattati in quanto interessati al trattamento).
Chi deve operare queste scelte che ormai sono di necessaria custodia di diritti e libertà che ci riguardano tutti? Data Protection Officer, senz’altro, come visto nella check list, ma non isolatamente.
Occorre che si muovano in gruppi interdisciplinari di cui devono far parte i CISO (Chief Information Security Officer), i Manager della trasformazione digitale, i Responsabili della gestione e conservazione di documenti, di fascicoli e archivi digitali, e i vari Responsabili di progetti, oltre che i Legal, ovviamente. In una situazione così caotica che comporta la verifica combinata di diverse discipline normative potenzialmente applicabili, l’unico modo per garantire una vera compliance è dotarsi di bravi direttori d’orchestra in grado di sviluppare armonicamente melodie condivise con diversi strumenti a disposizione e un pentagramma non sempre lineare.
Ed è quindi indispensabile guardare lontano, oltre i rispettivi ambiti professionali, accogliendo sguardi di insieme, come facciamo da tempo con il Progetto culturale DIGEAT, un progetto dinamico, fortemente interdisciplinare, profondo e delicato, nato da una mia visione e realizzato con l’aiuto di un team coeso, validissimi autori e partner selezionati.
Ti invito a sfogliare i numeri disponibili sul nostro sito.
DIGEAT è anche web tv, un canale interattivo attraverso cui eventi online di rilievo, come quello tenutosi lo scorso 24 giugno, in collaborazione con lo Studio Legale Associato Lecis Cannella Grassi, “Magnifica Humanitas: la dottrina sociale della Chiesa e il diritto digitale”, un importantissimo evento dedicato a una riflessione interdisciplinare sull’impatto delle trasformazioni tecnologiche e digitali sulla dignità della persona umana, sul bene comune e sulla giustizia sociale.
E poi DIGEAT è anche un Festival dedicato a protezione dati, archivi digitali, IA e regole del futuro, che nella sua seconda edizione si terrà a Lecce dal 5 all’8 novembre, per cui ci auguriamo una copiosa e fruttifera partecipazione.
Grazie infinite per l’attenzione e a presto.
