Hosting offshore e GDPRIl regolamento La segue, non il rack.

La frase che questo mercato sbaglia

L'affermazione non viene quasi mai scritta apertamente, ed è così che sopravvive. Arriva come un'implicazione: i server sono offshore, l'azienda è offshore, quindi le norme europee sono rimaste da qualche parte alle Sue spalle. Legga il regolamento e l'implicazione crolla in una sola frase.

L'articolo 3 stabilisce a chi si applica il GDPR e non menziona mai dove si trovi l'hardware. Il paragrafo 1 afferma che il regolamento si applica al trattamento effettuato da un titolare o responsabile stabilito nell'Unione indipendentemente dal fatto che il trattamento avvenga o meno all'interno dell'Unione. Il paragrafo 2 procede nella direzione opposta: un'azienda priva di qualsiasi stabilimento nell'Unione resta comunque soggetta al regolamento quando offre beni o servizi a persone nell'Unione, o ne monitora il comportamento.

Non si tratta di una delusione, e vale la pena spiegare subito perché. Il motivo per spostare un server è che un tribunale di un paese non può dare ordini a un disco in un altro. Quel motivo resta intatto. Ciò che viaggia con la macchina è un obbligo di conformità, non un'esposizione legale, e le due cose vengono costantemente confuse perché entrambe vengono descritte con la parola “giurisdizione”.

A chi dei due si rivolge il regolamento

Due ruoli, definiti dall'articolo 4, separati da una sola domanda: chi ha deciso a cosa servissero i dati.

Quasi ogni discussione sull'hosting e il GDPR è in realtà una discussione su quella tabella. Un provider non può essere conforme al Suo posto, perché la maggior parte degli obblighi spetta al titolare e non può essere ceduta per contratto. Ciò che un provider può essere è un responsabile del trattamento che Lei è in grado di difendere di aver scelto, il che significa l'articolo 28 — un documento, non una sensazione.

L'articolo 28(3) elenca cosa deve contenere quel contratto, ed è un elenco abbastanza breve da poter confrontare con il Suo. Trattare solo su istruzioni documentate. Vincolare alla riservatezza chiunque abbia accesso ai dati. Adottare le misure di sicurezza dell'articolo 32. Non aggiungere alcun subresponsabile senza autorizzazione. Aiutarla a rispondere agli interessati. Assisterla in caso di violazioni e valutazioni. Cancellare o restituire tutto al termine. Fornirle ciò di cui ha bisogno per verificare tutto quanto.

Cosa conta come trasferimento

Il Capo V — articoli da 44 a 49 — disciplina l'invio di dati personali verso un paese terzo. Per paese terzo si intende qualsiasi luogo al di fuori dello Spazio economico europeo, che comprende i ventisette Stati membri più Islanda, Liechtenstein e Norvegia. Il GDPR è stato recepito nell'accordo SEE nel 2018, motivo per cui questi tre paesi si trovano all'interno del confine e non semplicemente nelle vicinanze.

L'articolo 44 enuncia il principio: un trasferimento può avvenire solo se il resto del capo è rispettato. Esistono poi tre vie, in ordine decrescente di facilità di applicazione.

L'ultima riga è dove finisce di solito la conformità improvvisata, e non regge. L'articolo 49 è scritto per l'occasionale e lo specifico. Ospitare il database di un cliente su un server per tre anni non è né l'uno né l'altro.

Le otto regioni, classificate secondo la definizione del Capo V

Questa è la parte a cui un'azienda di hosting può rispondere e un blog legale no, perché è un fatto relativo a un'infrastruttura specifica, non un principio generale. Le otto regioni di questa rete si suddividono in tre gruppi, e la distanza tra il primo gruppo e l'ultimo è di due documenti.

Quattro delle otto non sono affatto trasferimenti. Questo vale più della maggior parte di ciò che viene pubblicato su hosting offshore e conformità, ed è una frase che nessuno tra chi vende l'uno o l'altra ha interesse a pronunciare, perché rende il prodotto difficile superfluo per metà dell'infrastruttura.

La metà della domanda che non riguarda il rack

Dove si trova il disco decide se c'è un trasferimento. Con quale azienda Lei ha firmato decide chi lo detiene, e queste due cose si separano più spesso di quanto dovrebbero.

Un provider con rack a Francoforte e una società madre in California sta esportando i Suoi dati indipendentemente dal fatto che qualcosa attraversi o meno un cavo, perché il responsabile del trattamento è soggetto a una giurisdizione in grado di raggiungerlo. Non è una distinzione ipotetica. È il motivo per cui la struttura societaria di un host è un fatto rilevante per la protezione dei dati, non una curiosità.

L'assetto qui è di otto giurisdizioni e otto società distinte, indicate nella clausola 1 dei termini. Un server a Reykjavík è contrattualizzato con l'entità islandese, che si trova all'interno del SEE, motivo per cui la prima riga della tabella sopra dice ciò che dice. Se Lei sta leggendo la pagina di qualcun altro, questa è la domanda da porre: non dove si trova il server, ma quale società compare in fattura e dove si trova quella società.

Cosa Le chiede realmente l'articolo 46

Se Lei utilizza uno dei tre paesi terzi, il lavoro da fare è reale ma limitato, e non è cambiato molto dal 2021.

1. Metta per iscritto il trasferimento. Quali categorie di dati personali, su chi, verso quale entità, in quale paese, e in quale forma arrivano — leggibili, oppure cifrati con una chiave che Lei ha conservato.
2. Metta in atto lo strumento. In pratica significa le clausole contrattuali tipo adottate dalla Commissione nel giugno 2021, nel modulo corrispondente al rapporto in questione. Da titolare a responsabile è il Modulo Due, che è esattamente ciò che significa noleggiare un server.
3. Valuti la destinazione. Da quando la Corte di giustizia ha deciso il caso Schrems II nel luglio 2020, firmare le clausole non basta: occorre verificare se la legge del luogo in cui arrivano i dati consenta a un'autorità pubblica di accedervi in un modo a cui le clausole non possono resistere. Il Comitato europeo per la protezione dei dati ha pubblicato il metodo nel 2021, articolato in sei fasi.
4. Aggiunga tutto ciò che colma il divario individuato dalla valutazione, argomento della prossima sezione, perché in realtà esiste una sola misura in grado di colmarlo.
5. Vi apponga una data. La valutazione riguarda la legge di un paese, e la legge di un paese cambia senza avvisarLa. Farlo una volta non è conformità; un intervallo di revisione lo è.

La misura che colma davvero il divario

Le misure supplementari descritte dal Comitato risultano per lo più deludenti a un esame attento. Quelle contrattuali e organizzative non fermano uno Stato dotato del potere di imporsi, e il Comitato lo afferma chiaramente. Una sola misura tecnica regge all'analisi, ed è la stessa raccomandata ovunque altrove su questo sito per ragioni che non hanno nulla a che vedere con il GDPR.

Se i dati arrivano cifrati con una chiave che non lascia mai il Suo controllo, il responsabile del trattamento che li detiene non può produrre nulla di leggibile per nessuno — né per un tribunale, né per Lei, né per se stesso. Le raccomandazioni del Comitato considerano efficace, per i dati archiviati, una cifratura robusta con chiave conservata dall'esportatore, e considerano privo di misure applicabili il caso di un responsabile che necessiti dei dati in chiaro. Ed è la posizione onesta: non si può eliminare per contratto la possibilità che qualcuno riesca a leggere un disco.

La distinzione che conta nella pratica è tra archiviazione e trattamento. Uno storage a oggetti che contiene archivi cifrati è il caso semplice. Un database in esecuzione su una macchina virtuale è quello difficile, perché la chiave deve risiedere in memoria su un hardware che qualcun altro può toccare. Cosa può ancora leggere il Suo provider analizza esattamente dove cada quel confine, e non si conclude con una rassicurazione.

L'articolo 48, che punta nella direzione opposta

Il Capo V contiene un articolo che in questo mercato viene citato raramente e meriterebbe di esserlo di più. L'articolo 48 stabilisce che una sentenza di un tribunale, o una decisione di un'autorità amministrativa, di un paese terzo che imponga a un titolare o responsabile di divulgare dati personali può essere riconosciuta o resa esecutiva solo se fondata su un accordo internazionale — in pratica, un trattato di assistenza giudiziaria reciproca.

Letto come un'istruzione per un host, questo dice qualcosa di preciso: un ordine proveniente da un paese privo di giurisdizione non è, nel diritto europeo, un motivo per consegnare alcunché. Un provider che vi si conforma comunque non sta agendo con prudenza. Sta effettuando un trasferimento illecito e chiamandolo cooperazione.

Questa infrastruttura arriva alla stessa risposta dalla direzione opposta, e lo fa dal 2019, il che è verificabile e non solo affermabile: 164 richieste delle forze dell'ordine, 31 delle quali hanno prodotto qualcosa, nessun ordine bavaglio in ventinove trimestri pubblicati, e ciò che è stato fornito era un indirizzo email e un registro di importi. La guida alle forze dell'ordine fissa la soglia in una riga: un ordine da un tribunale competente sull'entità a cui è stato notificato.

Cosa non cambia, ovunque si trovi la macchina

Questa è la sezione che costa una vendita, quindi è quella che vale la pena leggere due volte. Ciascuno dei punti seguenti spetta a Lei in quanto titolare, e nessuna scelta di hosting li tocca.

Sei righe, una sola risposta. La parola che alimenta questa confusione è “giurisdizione”, che svolge due funzioni contemporaneamente: è la risposta a chi può costringere il disco, ed è la risposta a quali regole Lei segua. Spostare un server cambia la prima e lascia la seconda esattamente dov'era.

Cosa cambia davvero un confine

• Chi deve essere convinto. Un ordine deve provenire da un tribunale competente sull'azienda che detiene il disco, e otto aziende in otto paesi significano otto argomentazioni separate anziché una sola.
• Se una notifica abbia una qualche efficacia. Una notifica di rimozione è corrispondenza ovunque; in alcuni luoghi è corrispondenza a cui un host è obbligato a dare seguito, e offshore significa che non lo è. È l'argomento della guida DMCA.
• Cosa l'host può essere costretto a conservare. Gli obblighi di conservazione sono nazionali. La Romania ha annullato il proprio per due volte e nulla lo ha sostituito; Moldavia e Panama non ne impongono alcuno. Ciò che un provider non può essere obbligato a conservare, non può essere obbligato a produrlo.
• Se il trasferimento necessiti di uno strumento. Il che è l'argomento di questa pagina — ed è un costo burocratico, non un rischio.

Cosa non cambia

• Se il GDPR si applichi a Lei. Articolo 3, deciso da dove Lei è stabilito e dai dati di chi Lei detiene.
• Qualsiasi obbligo della tabella precedente. Registri, sicurezza, notifica delle violazioni, valutazioni, diritti degli interessati.
• I Suoi log. La macchina che Lei noleggia registra i visitatori secondo la Sua configurazione, sotto la Sua custodia, ed è a Lei che qualcuno scrive in merito — il che è una guida separata perché è un problema separato.
• Se Lei sia raggiungibile. Se Lei è stabilito nell'Unione, la Sua autorità di controllo non ha bisogno di raggiungere il server. Deve raggiungere Lei.

Un pomeriggio che risolve la questione

Nessuno dei punti seguenti richiede uno strumento da acquistare, e l'intera sequenza è più breve di quanto il mercato lasci intendere.

1. Decida innanzitutto se tratta o meno dati personali di persone nell'Unione. Se la risposta onesta è no — e per moltissimi progetti lo è — tutto quanto sopra è lettura di approfondimento e Lei ha finito.
2. Annoti con quale entità Lei ha un contratto per ciascuna regione che utilizza, e in quale paese si trova quell'entità. Non la regione: la società che compare in fattura.
3. Suddivida queste entità nei tre gruppi della tabella. All'interno del SEE, adeguato, nessuno dei due.
4. Per tutto ciò che rientra nel terzo gruppo, metta in atto le clausole del 2021 e rediga la valutazione della destinazione. Due documenti, una sola volta, per paese.
5. Verifichi cosa arriva effettivamente in quel luogo. Se la risposta è un archivio cifrato la cui chiave si trova sul Suo hardware, lo indichi nella valutazione, perché è questo il fatto che rende semplice tutto il resto.
6. Integri tutto questo nel Suo registro ai sensi dell'articolo 30, che è il documento richiesto per primo da un'autorità di controllo e quello che la maggior parte dei titolari scrive per ultimo.
7. Apponga una data di revisione alla valutazione e la lasci dove la prossima persona che se ne occuperà potrà trovarla.

Questo è l'intero esercizio, e non è in conflitto con nient'altro su questo sito — il che è proprio la frase che questa guida esiste per rendere disponibile. Scegliere una giurisdizione che protegga i Suoi dati e rispettare le regole che proteggono i Suoi utenti non sono decisioni opposte. Sono la stessa decisione letta dai suoi due estremi.

Le domande che vengono realmente poste

Ogni prezzo di questa struttura è pubblicato per intero, in un unico posto. Consulti l'intero catalogo