4. 4 / 33
Alcuni considerano i dati come il petrolio
15B devices
worldwide
ed il petrolio inquina.
5. 5 / 33
Due delle problematiche principali
Sorveglianza di massa Capitalismo della sorveglianza
Antiterrorismo ma anche interessi nazionali
Echelon Affair docet
Real time bidding pubblicitario e prezzi personalizzati,
manipolazione economica e sociale
6. 6 / 33
Prendiamo la vostra privacy, seriamente
Ho inviato questo
Loro hanno aggiunto questo
E quando avrei fornito il mio consenso?
Tracciamento su ogni sito visitatoEmail come comunicazione privata?
13. 13 / 33
E ora di ridurre il trasferimento dei dati
?
14. 14 / 33
Premessa
IANAL!
(I Am Not A Lawyer!)
Sono un semplice cesellatore di bytes
Quanto segue deriva dalla lettura di documenti pubblici ufficiali presentati in modo estremamente
semplificato ma il cui messaggio di base pu嘆 essere confermato da chiunque investa un po di tempo per
leggere le fonti:
Sentenza C-311/18, FAQ di EDPB, Clausole Contrattuali Tipo, Modifiche della Commissione agli SCC,
Raccomandazioni misure aggiuntive EDPB, analisi pre-Schrems II, situazione post-Schrems II,
Risultato investigazione di EDPS su Microsoft
Naturalmente questo 竪 quello che tutti i DPO avrebbero dovuto fare!
15. 15 / 33
Lo dice la legge (e/o il RGPD)
Accordo tra EU/US invalidato
Leggi statunitensi violano i nostri diritti fondamentali
Clausole contrattuali standard non valide nel Cloud
Nessuna base legale valida disponibile
Pratiche commerciali ingannevoli
Contratti al limite della truffa
17. 17 / 33
Interpretazioni della sentenza Schrems II
Domanda*: Le clausole contrattuali standard violano gli articoli 7, 8 e 47 della Carta?
Risposta: Di per se, no.
Basandosi solo sullarticolo 149, ed ignorando il resto della sentenza, i Cloud provider
statunitensi cercano di convincere i clienti che con le nuove Clausole tutto 竪 a posto.
* semplificazione delle domande 7 e 11 e della risposta presente nella sentenza C-311/18
18. 18 / 33
Le clausole contrattuali sono validissime...
Ma non per Cloud provider statunitensi
Art. 168 I programmi di sorveglianza di massa negli stati uniti non garantiscono i diritti
fondamentali sanciti dalla Carta art. 7, 8 e 47
Art. 199 Includendo i motivi di cui sopra e lart 45 del RGPD invalida Privacy Shield
Art 141 ricorda lobbligo dellesportatore e dellimportatore di verificare se le normative locali
proteggono i diritti del singolo in modo equivalente alle norme presenti nello Stato membro
dellesportatore. Relativo a 2010/87/UE Clausola 1 e), 4 a) e 5 b)
Art 145 Limportatore dovrebbe notificare il titolare che non 竪 in grado di conformarsi con le
normative Europee ed il titolare dovrebbe interrompere il trattamento/trasferimento o
notificare il Garante se vuole continuare a farlo. 2010/87/UE Clausola 5 a) ed e)
Avete ricevuto notifiche in merito dal vostro Cloud provider?
Avete interrotto i trattamenti/trasferimenti o notificato il Garante?
19. 19 / 33
Una volta era facile invalidare gli SCC
Ma la Commissione Europea nel 2016 dopo Schrems I (Invalidazione Safe
Harbor) ha eliminato i punti dellarticolo 4 che avrebbero escluso luso degli
SCC ed hanno addossato la responsabilit sui titolari del trattamento.
20. 20 / 33
In termini ancora pi湛 semplici...
Come da FAQ dell EDPB:
Mi avvalgo di SCC con un importatore di dati negli Stati Uniti, cosa devo fare?
La Corte ha rilevato che la normativa degli Stati Uniti (Art. 702 della FISA ed EO 12333) non
garantisce un livello di protezione sostanzialmente equivalente.
Step da seguire per i titolari del trattamento:
1) Data Protection Impact Assessment
2) Implementazione misure aggiuntive adeguate per proteggere la privacy
3) Interrompere il trattamento/trasferimento dei dati o informare il Garante
Se il titolare del trattamento usa responsabili del trattamento statunitensi e/o loro
filiali Europee 竪 estremamente probabile che non siano conformi con il RGPD!
21. 21 / 33
Misure aggiuntive necessarie
Alcune raccomandazioni fornite da EDPB:
Crittografare i dati prima di effettuare il trasferimento (Caso 1)
La chiave di crittografia non deve essere resa disponibile al responsabile del trattamento
Esportazione dei dati in forma pseudonimizzata (Caso 2)
Limportatore non deve avere accesso a metodi o dati per ri-identificare gli interessati
Trasferimento in chiaro dei dati personali (Caso 6)
Nessuna soluzione idonea 竪 al momento disponibile
Se usate servizi come Microsoft 365 o G Suite dove i dati personali non sono crittografati alla
fonte state violando i diritti fondamentali degli interessati e non siete conformi con il RGPD...
22. 22 / 33
Stop!... lo dice chiaramente anche EDPB
Vi hanno promesso che comunque i dati rimangono in Europa?
La nota 22 a pagina 8 delle raccomandazioni ci ricorda:
Anche laccesso remoto da una nazione terza a dati localizzati
nellArea Economica Europea 竪 da considerarsi un trasferimento
e comunque se non 竪 scritto nel contratto non ha alcun valore.
23. 23 / 33
Un trattamento o un un trasferimento?
Come da FAQ di EDPB:
Mi avvalgo di un responsabile del trattamento che tratta dati per mio conto, essendo io il titolare del
trattamento. Come posso sapere se il mio responsabile del trattamento trasferisce i dati verso gli
Stati Uniti o un altro paese terzo?
Il contratto stipulato con il responsabile in conformit dell'articolo 28, paragrafo 3, del RGPD deve stabilire
se i trasferimenti siano o meno autorizzati (occorre tenere presente che costituisce un trasferimento anche
laccesso ai dati effettuato a partire da un paese terzo, ad esempio a fini amministrativi).
Occorre unautorizzazione anche per consentire a un responsabile di affidare a sub-responsabili del
trattamento il trasferimento di dati verso paesi terzi. necessaria particolare attenzione perch辿 numerose
soluzioni informatiche possono comportare il trasferimento di dati personali verso un paese terzo (ad
esempio, a fini di conservazione o manutenzione).
24. 24 / 33
Come continuare ad usare quelle piattaforme
Se volete continuare ad utilizzare piattaforme Cloud non conformi potete:
Chiedere il consenso informato agli interessati mettendoli al corrente del fatto che
verranno trasferiti e trattati da responsabili del trattamento che, a causa delle leggi a cui
sono soggetti, probabilmente violeranno i loro diritti fondamentali.
Notificare il Garante della vostra intenzione di continuare ad utilizzare tali piattaforme
Attendere che il Garante dia il benestare o confermi che dovete interrompere il
trattamento
Opzionalmente potete provare a convincere il Governo statunitense a non violare i diritti
fondamentali dei cittadini europei
25. 25 / 33
Avete per caso letto i contratti? Unesempio
Microsoft Online Services DPA:
Trasferimenti dei Dati (Pagina 10)
.Tenendo conto di tali misure di sicurezza, la Societ chiede a Microsoft di trasferire i Dati della
Societ e i Dati Personali negli Stati Uniti o in qualunque altro paese in cui Microsoft o gli Altri suoi
Responsabili del Trattamento sono presenti e di archiviare e trattare i Dati della Societ e i Dati Personali
per erogare i Servizi Online, fatto salvo quanto descritto in altri Articoli delle Condizioni dellAddendum.
Tutti i trasferimenti dei Dati della Societ e dei Dati Personali fuori dallUnione Europea, dallo Spazio
Economico Europeo, dal Regno Unito e dalla Svizzera per erogare i Servizi Online verranno disciplinati dalle
Clausole Contrattuali Tipo contenute nellAllegato 2.
Strano che in tanti continuino a dire che sono conformi perch辿 i dati sono sempre in Europa.
(anche ignorando che laccesso da paese terzo equivale ad un trasferimento)
Nota: solo per questioni di brevit presentiamo il caso di un provider ma simili problematiche contrattuali si
applicano a un gran numero di provider diversi.
26. 26 / 33
E se il titolare 竪 una scuola?
Microsoft Online Services DPA:
Istituti scolastici (Pagina 11)
.La Societ comprende che Microsoft potrebbe non avere a disposizione alcuna informazione di contatto
o avere solo informazioni limitate relativamente agli studenti della Societ e ai loro genitori. Di
conseguenza, la Societ avr la responsabilit di ottenere lautorizzazione dei genitori per leventuale
utilizzo del Servizio Online da parte degli utenti finali in conformit alla legge applicabile e di presentare
per conto di Microsoft agli studenti (o, nel caso di uno studente di et inferiore ai 18 anni e che non
frequenti un istituto di studi superiori, al genitore dello studente) leventuale ordine di comparizione in
tribunale o ordinanza legalmente emanata che richieda la divulgazione dei Dati della Societ in possesso di
Microsoft in conformit alla legge applicabile.
Quanti genitori hanno ricevuto una richiesta di autorizzazione o di consenso informato dove le
implicazioni relative al trattamento e trasferimento di dati sono state chiaramente(!) spiegate?
27. 27 / 33
Il titolare dichiara di essere il colpevole
Microsoft Online Services DPA:
Clausola 4. Obbligazioni dellesportatore (Pagina 21 SCC non valide)
Lesportatore dichiara e garantisce:
(a) che il trattamento, compreso il trasferimento, dei dati personali, 竪 stato e continuer a essere
effettuato in conformit a tutte le disposizioni pertinenti della normativa applicabile sulla
protezione dei dati personali (e, a seconda dei casi, 竪 stato comunicato alle autorit competenti dello
Stato Membro in cui ha sede lesportatore) e nel pieno rispetto delle disposizioni specifiche di quello Stato;
(f) che, qualora il trasferimento riguardi categorie particolari di dati, gli interessati sono stati o saranno
informati prima del trasferimento, o immediatamente dopo, che i dati che li riguardano potrebbero
essere trasmessi a un paese terzo che non garantisce una protezione adeguata ai sensi della Direttiva
95/46/CE;
Il titolare ha sicuramente fatto una DPIA, ha sicuramente valutato se il trattamento viene fatto
seguendo tutte le normative vigenti e naturalmente ha informato gli interessati che i loro dati
particolari/speciali verranno trasferiti dove non viene garantita una protezione adeguata. Vero?
28. 28 / 33
Anche EDPS concorda sui problemi contrattuali
29. 29 / 33
Anche i DPO non aiutano molto
Diverse risposte a richieste dimostrano:
Scarsa conoscenza del RGPD
Non al corrente di Schrems II
Non seguono raccomandazioni di EDPB
Non intendono disturbare lo status quo
Non formano il personale correttamente
30. 30 / 33
E ora di lavorare sulla Sovranit Digitale
Alcuni elementi di base
Sovranit tecnologica
Open Source
Public money, public code
Open Data per il bene pubblico
Interoperabilit per aprire il mercato (es. ODF)
31. 31 / 33
Ma cos狸 fan tutti e non ci sono alternative
Invece di dire che non potete farci nulla, iniziate ad implementare alternative
Gli strumenti necessari sono gi disponibiliGli strumenti necessari sono gi disponibili
32. Questopera 竪 distribuita con Licenza Creative Commons
Attribuzione/Condividi allo stesso modo 4.0 Internazionale.
Grazie!
Paolo Vecchi
Omnis Cloud (Luxembourg)
33. 33 / 33
About this presentation
Disclaimer:
The information included in this presentation may not be complete and could be misinterpreted as more information and explanation was provided during the event.
If you think some of the data is incorrect or depict your organisation in a way you don't like, we are happy to discuss your concerns at our next public event.
Images used are believed not to be covered by copyright or any restriction when used in public presentation. If you believe any of the content should not be used in this presentation
please let us know and we'll act on your request promptly.
Logos, names and trademarks are proprieties of their respective owners.
No computers or other electronic devices have been subjected to cruelties and/or the use of Microsoft products to create this presentation.
Presentation created with:
Broadcasted using:
Gimp Inkscape