{"id":1709,"date":"2021-10-04T10:00:38","date_gmt":"2021-10-04T08:00:38","guid":{"rendered":"https:\/\/www.jaera.it\/?p=1709"},"modified":"2023-03-03T14:46:35","modified_gmt":"2023-03-03T13:46:35","slug":"gdpr-e-aziende-informatiche","status":"publish","type":"post","link":"https:\/\/www.jaera.it\/blog\/gdpr-e-aziende-informatiche\/","title":{"rendered":"GDPR e aziende informatiche"},"content":{"rendered":"

GDPR e aziende informatiche devono fare un po’ pace e chiarirsi reciprocamente. \u00c8 importante da un lato per proteggere i propri clienti non rischiare di perderli in modo imprudente, ma anche per proteggere la propria azienda non rischiando di non avere un DPO quando invece \u00e8 necessario averlo<\/strong>.<\/p>\n

GDPR e aziende informatiche, un rapporto complesso<\/strong> e viziato da una serie di misunderstanding di fondo che rende complicata la situazione.<\/p>\n

Sono almeno tre i profili sotto i quali si sono create delle interpretazioni fantasiose della normativa. Vediamole insieme.<\/em><\/p>\n

Responsabile del trattamento (art.28<\/a>)<\/h3>\n

Iniziamo col dire chiaramente che le aziende che offrono servizi informatici, che siano assistenza tecnica o altro, entrano in contatto o potenzialmente possono farlo, con i dati dei clienti. Iniziamo a porre un punto fermo. Agiscono per conto<\/i> del loro cliente, trattano dati per conto di quello che \u00e8 pertanto il Titolare del trattamento dei dati personali. Questo li rende ai sensi dell’articolo 28 paragrafo 1 del GDPR Responsabili del trattamento.<\/p>\n

Qui si apre un tema di discussione mastodontico, convincere queste aziende (a meno che non siano enormi) a fornire informazioni circa la loro compliance sul GDPR \u00e8 impresa titanica che spesso porta i Titolari a rinunciare, spesso non tenendo in considerazione che rischiano sanzioni per incauta nomina o per omessa vigilanza. Insomma il Titolare deve nominare con cautela i propri responsabili ed essere certo che non stiano eludendo le richieste del Regolamento.<\/p>\n

Chi offre servizi informatici spesso ha accesso in modo anche solo potenziale ai dati personali, questo non lo rende di meno un responsabile del trattamento. Non lo esime da una serie di obblighi nei confronti dei suoi molti titolari del trattamento.<\/p>\n

Certo, questo comporta non poche complicazioni. <\/b>Immaginiamo chi offre assistenza informatica e si vede arrivare mille nomine a responsabile tutte differenti. Un vero delirio. Motivo per il quale occorre che le aziende di questo genere sappiano come affrontare queste criticit\u00e0<\/b>, siano formate a usare anche gli strumenti contrattuali a loro disposizione che ahim\u00e8 spesso sono carenti.<\/p>\n

Amministratore di Sistema (provv. 27 nov. 2008<\/a>)<\/h3>\n

Il dibattito su questo punto diventa rovente. Ho assistito a pi\u00f9 di un moto di ripulsa<\/strong> da parte di pi\u00f9 aziende che forniscono servizi di assistenza tecnica. Eppure il provvedimento del Garante per la protezione dei dati personali parla chiaro (sebbene di molto svuotato di significato dal GDPR stesso). Ma di fatto \u00e8 ancora in vigore e dice chiaro e tondo che<\/p>\n

si individuano generalmente, in ambito informatico, figure professionali finalizzate alla gestione e alla manutenzione di un impianto di elaborazione o di sue componenti. Ai fini del presente provvedimento vengono per\u00f2 considerate tali anche altre figure equiparabili dal punto di vista dei rischi relativi alla protezione dei dati, quali gli amministratori di basi di dati, gli amministratori di reti e di apparati di sicurezza e gli amministratori di sistemi software<\/em> complessi.<\/p><\/blockquote>\n

Dal mio punto di vista questa semplice definizione chiuderebbe la discussione, essendo talmente ampia da includere praticamente chiunque offra un servizio informatico minimamente evoluto. Nonostante questo, le aziende troppo spesso rifiutano la nomina – cui il titolare \u00e8 obbligato dal provvedimento del Garante – ponendo in seria difficolt\u00e0 i loro clienti.<\/p>\n

Ma questa nomina cosa implica?<\/strong> intanto che non posso prendere un ragazzino inesperto e nominarlo AdS, perch\u00e9:”<\/p>\n

L\u00b4attribuzione delle funzioni di amministratore di sistema deve avvenire previa valutazione dell\u00b4esperienza, della capacit\u00e0 e dell\u00b4affidabilit\u00e0 del soggetto designato<\/p><\/blockquote>\n

Qui \u00e8 il titolare a trovarsi in difficolt\u00e0, le nomine oltretutto sono fatte non all’impresa ma alla singola persona che fisicamente mette le mani sui sistemi informatici. Ed ecco quindi che molti piccoli si sfilano non firmando contratti e mantenendo un rapporto di tipo occasionale con il cliente.<\/p>\n

L’audit dell’AdS<\/h3>\n

La nomina ad Amministratore di Sistema non pone gravami <\/b>su chi la riceve in quanto come poco sopra accennavamo \u00e8 il regolamento ad avere la parte del leone e quindi il tecnico nominato AdS verr\u00e0 sempre dopo l’azienda per la quale lavora nominata Responsabile. L’AdS continuer\u00e0 a fare il suo solito lavoro. Verr\u00e0 annualmente controllata la qualit\u00e0 del suo operato. L’Audit in merito andr\u00e0 a controllare una serie di aspetti tra i quali ad esempio:<\/p>\n