Parere del Garante n. 289 del 09/05/2024

Parere sullo schema di Regolamento per le infrastrutture digitali e per i servizi cloud per la pubblica amministrazione

Il Garante per la protezione dei dati personali esprime, il 9 maggio 2024, parere favorevole sullo schema di Regolamento da adottarsi dall’Agenzia per la cybersicurezza nazionale (ACN) ai sensi dell’art. 33-septies, comma 4, del d.l. 18 ottobre 2012, n. 179. Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR.

Quadro normativo di riferimento

Lo schema si inserisce nel quadro dell’art. 33-septies del d.l. 179/2012, che disciplina la razionalizzazione e il consolidamento dei CED della pubblica amministrazione e la migrazione verso infrastrutture ad alta affidabilità o verso soluzioni cloud. La norma demanda a un regolamento la fissazione dei livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità, nonché delle caratteristiche di qualità, sicurezza, performance, scalabilità, interoperabilità e portabilità dei servizi cloud. Il provvedimento richiama inoltre il d.lgs. 196/2003 e il regolamento AgID del 2021, sostituito dal nuovo schema.

Oggetto e struttura dello schema

Lo schema di regolamento disciplina:

• i livelli minimi di sicurezza e affidabilità delle infrastrutture digitali e cloud;
• le caratteristiche dei servizi cloud per la pubblica amministrazione;
• i termini e le modalità di migrazione dei dati e dei servizi digitali;
• il procedimento di qualificazione dei servizi cloud.

In particolare, gli articoli del regolamento sono organizzati in capi dedicati alla caratterizzazione e classificazione dei dati e dei servizi digitali, ai livelli minimi delle infrastrutture, alla migrazione e all’adeguamento delle infrastrutture e dei servizi cloud.

Profili di protezione dei dati personali

L’art. 22 dello schema contiene la disciplina specificamente rilevante in materia di protezione dei dati personali. Esso stabilisce che:

• le amministrazioni sono titolari del trattamento per le attività svolte nell’ambito delle infrastrutture digitali e dei servizi cloud;
• gli operatori di infrastrutture digitali, i fornitori di servizi cloud e gli altri soggetti coinvolti nelle attività di trattamento o di migrazione operano come responsabili del trattamento ai sensi dell’art. 28 GDPR;
• tali soggetti devono adottare misure tecniche e organizzative idonee a garantire una tempestiva e adeguata informazione alle amministrazioni in caso di violazione dei dati personali, in coerenza con l’art. 33, par. 2, GDPR;
• il ricorso ad altri responsabili del trattamento deve rispettare l’art. 28, parr. 2 e 4, GDPR e deve assicurare strumenti di controllo per le amministrazioni;
• i trasferimenti di dati personali al di fuori dello Spazio economico europeo devono avvenire nel rispetto delle istruzioni del titolare e delle garanzie previste dal capo V GDPR;
• l’ACN comunica al Garante le evidenze di possibili violazioni dei dati personali di cui venga a conoscenza, ferma restando la competenza del Garante per le violazioni delle disposizioni dell’articolo.

Valutazioni del Garante

Il Garante osserva che lo schema tiene conto delle considerazioni già formulate nel dicembre 2021 sul precedente schema di regolamento di competenza AgID e delle ulteriori osservazioni emerse nelle interlocuzioni informali con l’Ufficio. In particolare, viene apprezzato che il testo:

• chiarisca i ruoli di titolare e responsabile del trattamento;
• imponga misure adeguate per la gestione e la circolazione delle informazioni in caso di data breach;
• garantisca il controllo da parte delle amministrazioni sulle attività svolte dai responsabili e dagli eventuali sub-responsabili;
• assicuri il rispetto delle garanzie previste dal GDPR nei trasferimenti di dati personali verso Paesi terzi o organizzazioni internazionali.

Esito

Alla luce di tali elementi, il Garante ritiene lo schema conforme alle esigenze di protezione dei dati personali e formula un parere favorevole sul regolamento, da adottarsi dall’ACN.