Comitato europeo per la protezione dei dati: adempimenti contrattuali nell'uso di servizi basati sul cloud da parte del settore pubblico.

Importanti, perché di utilità pratica per la redazione dei contratti, le indicazioni contenute nella relazione che il Comitato europeo per la protezione dei dati ha pubblicato sull'uso di servizi basati sul cloud da parte del settore pubblico. In particolare, la relazione sottolinea un'attenzione particolare che le autorità pubbliche devono prestare nella fase precontrattuale relativa all'esecuzione di una valutazione d'impatto sulla protezione dei dati ("DPIA") da parte dei fornitori di servizi basati su cloud ("CSP") e al ruolo delle autorità pubbliche e dei CSP. Analogamente, la relazione prevede, per quanto riguarda i contratti stessi, che gli enti pubblici hanno mostrato scarsa conoscenza delle questioni pertinenti, compreso il modo di controllare i sub-responsabili del trattamento, e che le autorità pubbliche hanno affrontato sfide relative ai trasferimenti internazionali di dati. Di conseguenza, la relazione prevede che le autorità pubbliche e i fornitori di servizi cloud tengano conto al momento di concludere accordi, tra le altre cose:

1. l'esecuzione di DPIA;
2. la determinazione chiara e inequivocabile dei ruoli di ciascuna parte di un accordo;
3. garantire che i CSP agiscano solo per conto e secondo le istruzioni dell'autorità pubblica, oltre a individuare quando il CSP agisce in qualità di titolare del trattamento;
4. garantire che sia possibile un modo significativo per opporsi ai nuovi sub-responsabili;
5. cooperare con altre autorità pubbliche nei negoziati con i CSP;
6. effettuare una revisione per valutare se il trattamento viene eseguito in conformità con la DPIA;
7. identificare quali trasferimenti di dati possono avvenire nel contesto delle disposizioni di routine dei servizi e, in caso di trattamento dei dati personali per scopi commerciali propri dei CSP, garantire il rispetto delle disposizioni del capo V del regolamento generale sulla protezione dei dati (regolamento (UE) 2016/679) ("GDPR"); e
8. verificare le condizioni alle quali l'autorità pubblica è autorizzata a svolgere e può contribuire agli audit per garantirne l'esistenza.