Cloud e utilizzo dei dati nella PA: le condotte da seguire per la compliance GDPR

Lo scorso 18 gennaio, il Comitato europeo per la protezione dei dati (European Data Protection Board “Board” o EDPB) ha pubblicato il primo rapporto sui risultati dell’attività svolta dal Comitato per l’applicazione coordinata dei regolamenti (“Coordinated Enforcement Framework” o CEF), istituito nell’ottobre 2020, con l’obiettivo di semplificare l’applicazione delle norme e la cooperazione tra le autorità di vigilanza, in linea con la strategia dell’EDPB proposta per il periodo 2021-2023.

La relazione dell’EDPB si è concentrata sull’uso di servizi basati su cloud nel settore pubblico che sono stati oggetto dello studio e monitoraggio, insieme alla gestione dei dati nella pubblica amministrazione, nell’arco del 2022 da parte delle Autorità di vigilanza europee.

Data management, scopriamo come cambierà nel 2023

Cloud e utilizzo dei dati nella PA: il rapporto EDPB

Il documento del Board riunisce i risultati delle ricerche condotte dalle singole Autorità di vigilanza che hanno partecipato al CEF e ha evidenziato otto criticità sull’utilizzo del cloud nel settore di riferimento.

Le problematiche principali emerse dall’analisi svolta hanno riguardato:

1. la fase precontrattuale dei rapporti tra le parti e l’analisi dei ruoli dal punto di vista della data protection;
2. l’elaborazione di accordi strutturati e su misura in base alla tipologia di contratto oggetto dei servizi a favore della PA;
3. la procedura di analisi dei rischi elevati;
4. il processo di sub appalto dei fornitori e i trasferimenti dei dati al di fuori dello spazio economico europeo e la difficoltà di accesso alle informazioni da parte delle autorità in caso di service provider situati al di fuori dell’Europa;
5. la gestione dei dati telemetrici da parte dei cloud servicer (ad es. le informazioni relative all’uso delle infrastrutture, i tag, i profili di sicurezza nell’accesso ai sistemi e le statistiche relative agli utenti);
6. le attività di controllo periodico e audit in aree considerate a rischio per i diritti e le libertà degli interessati.

Oltre a individuare le problematiche di maggiore rilievo nell’impiego dei sistemi cloud, il rapporto include un elenco di punti di attenzione che gli enti pubblici dovrebbero valutare ogni volta che sottoscrivono degli accordi con i Cloud Service Provider (“CSP”).

Tra questi, particolare attenzione vene dedicata allo svolgimento di apposite valutazioni d’impatto (Data Protection Impact Assessment o DPIA), ai sensi dell’art. 35 GDPR, e al contenuto completo ed esaustivo degli accordi per il trattamento dei dati personali tra i soggetti coinvolti nelle operazioni di gestione dei dati mediante l’utilizzo di sistemi di rete.

Secondo L’EDPB, molte delle attività di business condotte nel settore pubblico, che utilizzano il cloud per il trattamento dei dati, possano comportare un rischio elevato per i diritti e le libertà degli interessati, poiché i meccanismi di raccolta e gestione delle informazioni prevendo spesso trattamenti – anche di natura particolare – massivi, che si traducono in un processo su larga scala.

In queste circostanze, l’Autorità ricorda il Regolamento (UE) 2016/679 impone ai titolari l’obbligo di effettuare una DPIA prima di iniziare la procedura stessa^[1].

Raccomandazioni dell’EDPB sul cloud nella PA

In questo contesto, l’EDPB ha ribadito la necessità che gli enti pubblici agiscano in piena conformità con il GDPR e ha formulato una serie di raccomandazioni all’interno del report, con l’obiettivo di garantire maggiore chiarezza e consentire un monitoraggio mirato a livello europeo, promuovendo prassi innovative attraverso un’interpretazione e un’azione coordinata della disciplina in materia di data protection.

In considerazione delle criticità rilevate, l’EDPB ha ricordato la necessità di verificare che:

1. i ruoli dei soggetti coinvolti siano determinati in modo chiaro e inequivocabile nell’ambito dell’accordo sottoscritto;
2. i dati personali siano determinati sempre in relazione alle finalità del trattamento;
3. il cloud service provider agisca sempre secondo le istruzioni impartite dall’ente pubblico operando in qualità di responsabile del trattamento;
4. l’ente abbia la possibilità concreta di opporsi a eventuali sub-responsabili del trattamento utilizzati nell’ambito della fornitura del servizio, qualora ritenga che non siano adeguati;
5. venga svolta una valutazione d’impatto ogni volta che le parti ravvisino rischi elevati per i diritti e le libertà degli interessati e sia garantito il monitoraggio e il controllo periodico dell’attività per valutare se il trattamento viene effettuato in conformità alla DPIA;
6. venga garantito il coinvolgimento effettivo del DPO;
7. la procedura di appalto sia conforme ai requisiti e alle previsioni normative di cui al GDPR;
8. siano individuati i trasferimenti che possono avvenire nel contesto della fornitura di servizi e quelli relativi al trattamento di dati personali per finalità commerciali proprie del CSP, in modo da garantire il rispetto delle disposizioni del Capo V del GDPR, anche individuando e adottando misure supplementari ove necessario;
9. venga condotta un’analisi preliminare della legislazione del Paese terzo in cui eventualmente opera il CSP, così da garantire la tutela dei diritti e l’accesso ai dati per i soggetti interessati;
10. sussistano condizioni specifiche che permettono all’ente pubblico di effettuare audit e controlli.

Cookie banner: le considerazioni della Task Force EDPB

Oltre al report sull’uso di servizi basati su cloud nel settore pubblico, l’EDPB ha approvato un rapporto sul lavoro svolto dalla Task Force Cookie Banner, creata per coordinare la risposta ai reclami relativi ai sistemi di attivazione dei cookie e di altri strumenti di tracciamento, presentati a varie autorità europee da parte della ONG NOYB^[2] nel corso di questo ultimo periodo.

L’obiettivo del gruppo di lavoro era di promuovere la cooperazione, la condivisione di informazioni e le migliori prassi tra le autorità di supervisione, al fine di garantire un approccio coerente alla gestione dei sistemi di tracciamento e dei cookie in tutto lo spazio economico europeo (“SEE”).

Come riportato dal comunicato del Board, nel documento è stato individuato un denominatore comune nell’interpretazione delle disposizioni applicabili della direttiva ePrivacy in linea anche coi principi fissati dal GDPR, relativo sia alle condizioni che legittimano il trattamento dei dati sia alle modalità di raccolta dei consensi.

Funzione ermeneutica del report di EDPB

Il documento presentato dalla Task Force è dunque il prodotto di una valutazione interpretativa della disciplina attuale sui cookie e sul trattamento dei dati raccolti tramite strumenti di tracciamento, in un contesto normativo e giuridico definito dalla stessa autorità “multilivello” e stratificato. Le raccomandazioni incluse nel report, tuttavia, non devono essere interpretate come un documento del tutto indipendente, frutto di un’autonomia decisionale vincolante e impositiva dell’organismo ma devono essere valutate come delle linee guida di approccio alla tematica di gestione dei cookie.

Proprio per questa ragione, le premesse del documento redatto dalla Task Force precisano che le valutazioni presentate nel report non pregiudicano l’attività di analisi che dovranno svolgere le autorità nell’ambito delle verifiche su ogni singolo reclamo.

Le considerazioni riportate nel report dovranno necessariamente essere combinate e coordinate con l’applicazione di ulteriori fattori e con le disposizioni nazionali derivanti dalla normativa dei singoli Stati membri che hanno recepito la Direttiva ePrivacy, nonché con ulteriori chiarimenti e orientamenti forniti dalle singole autorità nazionali competenti.

Raccomandazioni della Task Force sui cookie

Per stabilire se il tracciamento sia lecito occorre determinare se l’accesso ai dati e la memorizzazione delle informazioni attraverso le varie tecnologie di tracciamento presenti sul sito web del titolare avvenga in conformità all’articolo 5, paragrafo 3 della direttiva ePrivacy (e delle norme nazionali di attuazione) e se il successivo trattamento sia in linea coi principi del GDPR.

La struttura del banner

Quanto alla struttura dei banner, viene chiarito che i box che riportano la classificazione dei cookie mostrati sulla home page dei siti web, dovrebbero prevedere non solo dei pulsanti per la memorizzazione dei cookie e per la verifica di ulteriori opzioni di tracciamento, ma dovrebbero presentare anche un sistema chiaro per rifiutare tutti i cookie.

Secondo la Task Force, gran parte delle Autorità di supervisione ritiene che l’assenza di opzioni di rifiuto ai cookie non sia in linea con i requisiti del GDPR per garantire la libertà di espressione dell’utente e, quindi, un consenso valido^[3].

Allo stesso modo, l’adozione di un meccanismo di rifiuto al tracciamento mediante l’uso di un link, e non di un pulsante, come opzione presentata sulla homepage del sito al momento dell’accesso dell’utente viene ritenuto non conforme ai principi di trasparenza del trattamento.

“In order for a valid consent to be freely given, the taskforce members agreed that in any case a website owner must not design cookie banners in a way that gives users the impression that they have to give a consent to access the website content, nor that clearly pushes the user to give consent (one way could be on the contrary to allow the continuation of the navigation without cookies from the first level in particular for example)”^[4].

Il titolare del sito dovrebbe prevedere il rispetto dei principi di privacy by design fin dalla progettazione del proprio sistema di raccolta dati. Per questo, la Task Force non ammette l’utilizzo di banner cookie realizzati in maniera da imporre all’utente la prestazione del proprio consenso per accedere ai contenuti del sito.

Le condotte da evitare

Il report elenca anche una serie di condotte riscontrate dalle autorità di supervisione europee non trasparenti, che non costituiscono valide forme di consenso.

“The taskforce members agreed that the following examples do not lead to valid consents (nonexhaustive list):

1. the only alternative action offered (other than granting consent) consists of a link behind wording such as ‘refuse’ or ‘continue without accepting’ embedded in a paragraph of text in the cookie banner, in the absence of sufficient visual support to draw an average user’s attention to this alternative action;
2. the only alternative action offered (other than granting consent) consists of a link behind wording such as ‘refuse’ or ‘continue without accepting’ placed outside the cookie banner where the buttons to accept cookies are presented, in the absence of sufficient visual support to draw the users’ attention to this alternative action outside the frame”^[5].

La visualizzazione del banner

Quanto alla visualizzazione, i membri della Task Force sottolineano l’importanza della presentazione e dell’uso dei colori all’interno dei box di selezione dei cookie, chiarendo che per quanto non sia possibile prefissare uno standard generale per i banner, è possibile che in certi casi l’utente sia indotto a prestare un consenso involontario e palesemente fuorviante, a seconda dell’uso delle immagini, delle dimensioni dei flag e della scelta dei toni di colore e dei contrasti (es. nel caso in cui venga presentata un’opzione alternativa al consenso sotto forma di un pulsante in cui il contrasto tra il testo e lo sfondo del banner è minimo e il testo appare illeggibile per quasi tutti gli utenti).

La classificazione e la revoca del consenso

Circa la classificazione dei cookie, il documento chiarisce che esistono strumenti specifici che permettono di analizzare un sito web e creare un report che elenchi tutti i cookie inseriti durante la navigazione dell’utente sul sito.

La Task Force ha precisato però che gli unici strumenti attualmente disponibili non consentono di verificare la natura sostanziale dei cookie adottati e, per questo, possono fungere esclusivamente come supporto per le autorità competenti, che rimangono soggette ai chiarimenti e alle informazioni ulteriori che i titolari dei siti web devono garantire circa l’effettivo tracciamento dei dati.

Il report, infine, di occupa anche dell’istituto della revoca del consenso, evidenziando come alcuni dei siti presi in analisi non presentino un’icona visibile in tutte le pagine, permettendo agli interessati che stanno navigando di tornare alle impostazioni sulla privacy, dove possono revocare il proprio consenso.

“Website owners should put in place easily accessible solutions allowing users to withdraw their consent at any time, such as an icon (small hovering and permanently visible icon) or a link placed on a visible and standardized place. The ePrivacy Directive’s reference to consent in the GDPR includes both a reference to the definition of consent (article 4 of the GDPR) as well as to the conditions of it (article 7 of the GDPR). In addition to the requirements for the collection of consent to be valid in accordance with the GDPR and under Article 5(3) ePrivacy Directive, three additional cumulative conditions are mandatory (i) the possibility to withdraw consent, (ii) the ability to withdraw consent at any time, (iii) withdrawal of consent must be as easy as to give consent”^[6].

NOTE

1. Sul punto si richiama il contenuto dell’art. 35 del Regolamento (UE) 2016/679 che al paragrafo 1 prevede: “Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi”. ↑

2. NOYB – European Center for Digital Rights (acronimo di “none of your business”) è un’organizzazione senza scopo di lucro, fondata nel 2017 dall’attivista privacy Max Schrem, che ha sede a Vienna e si occupa di temi di data protection. ↑

3. Sulle caratteristiche del consenso, l’EDPB si era già espressa redigendo le Guidelines 05/2020 on consent under Regulation 2016/679, adottate il 4 maggio 2020. ↑

4. “Report of the work undertaken by the Cookie Banner Taskforce”, 18/01/2023, pag.5. ↑

5. “Report of the work undertaken by the Cookie Banner Taskforce”, 18/01/2023, pag.5. ↑

6. “Report of the work undertaken by the Cookie Banner Taskforce”, 18/01/2023, pag.8. ↑