GDPR - Le risposte alle tue domande

GDPR (General Data Protection Regulation) significa letteralmente Regolamento Generale sulla Protezione dei Dati.

Tale denominazione fa riferimento al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati, nonché all’abrogazione della direttiva 95/46/CE.

La protezione dei dati personali è disciplinata da diversi testi normativi, di portata generale o più specifica.

• Livello internazionale: Convenzione n. 108 sulla protezione delle persone rispetto al trattamento automatizzato dei dati personali, un trattato vincolante a cui possono aderire tutti gli Stati.
• Livello europeo: Regolamento 2016/79 relativo alla protezione delle persone fisiche rispetto al trattamento dei dati personali e alla libera circolazione di tali dati (GDPR), nonché la Direttiva 2016/680 relativa alla protezione delle persone fisiche rispetto al trattamento dei dati da parte delle autorità competenti a fini di prevenzione, indagine, perseguimento dei reati e applicazione delle sanzioni penali.
• Livello nazionale: molti Paesi hanno adottato regolamenti nazionali relativi alla protezione dei dati personali, per esempio tutti i Paesi membri dell’Unione Europea.

La nozione di dato di carattere personale è definita dall'articolo 4 del GDPR come "(...)qualsiasi informazione riguardante una persona fisica identificata o identificabile (...) direttamente o indirettamente (...)".

In altre parole, un dato personale è un dato o un insieme di dati che consentono di identificare un individuo, con qualsiasi mezzo.

Un dato si considera indirettamente identificativo quando la sola lettura non consente a priori di identificare un individuo, ma ulteriori ricerche possono permettere di di farlo. È il caso, per esempio, di un indirizzo email.

Sì, entro certi limiti. Uno degli obblighi del titolare del trattamento dei dati è selezionare responsabili del trattamento che offrano garanzie sufficienti affinché i dati personali siano trattati nel rispetto della normativa vigente.
In altre parole, le garanzie offerte da OVH in qualità di responsabile del trattamento le consentono di adempiere a una parte degli obblighi del cliente. Tra queste garanzie rientrano, per esempio, le misure di sicurezza adottate, gli impegni assunti in materia di localizzazione del trattamento dei dati, etc.

Gli obblighi di un titolare del trattamento dei dati non si limitano tuttavia alla selezione di un provider conforme, ma vanno ben oltre l’ambito di intervento di OVH in qualità di responsabile del trattamento per i servizi IT. Il titolare del trattamento non può pertanto considerarsi pienamente conforme al GDPR per il solo fatto di aver scelto un responsabile del trattamento. È infatti tenuto a rispettare gli obblighi che gli competono, per esempio garantire il rispetto dei diritti delle persone o effettuare valutazioni di impatto sulla privacy.

In qualità di fornitore di servizi cloud, OVH assume il ruolo di responsabile del trattamento dei dati e, in quanto tale, si impegna a:

1. Non riutilizzare i dati ospitati sui propri servizi: OVH si impegna a trattare i dati personali del cliente esclusivamente per la corretta erogazione dei servizi offerti e secondo le sue istruzioni.
2. Permettere la reversibilità dei dati: in OVH, il 100% delle soluzioni cloud si basa su standard, tra cui diverse tecnologie open source. È quindi possibile recuperare facilmente i propri dati grazie alla reversibilità e l’interoperabilità.
3. Indicare con precisione dove sono archiviati e trattati i dati.
4. Garantire totale trasparenza riguardo al coinvolgimento di responsabili del trattamento dei dati.
5. Informare il cliente in caso di violazione dei dati.
6. Produrre una documentazione completa dei diversi servizi offerti: OVH si impegna a fornire ai clienti tutta la documentazione pertinente, quali la descrizione delle misure di sicurezza adottate per i servizi, un’attestazione relativa alla localizzazione dello storage dei dati, etc.
7. Garantire i nostri impegni a livello contrattuale: gli impegni dichiarati da OVH non sono solo semplici promesse, ma sono integrati contrattualmente nel nostro Data Processing Agreement (DPA). Questo documento costituisce un allegato ai nostri contratti ed è disponibile su richiesta per tutti i nostri clienti.

Quando viene selezionato un servizio che permette di archiviare contenuti, in particolare dati personali, la localizzazione o la zona geografica dei datacenter disponibili sono precisate sul nostro sito web. In caso di disponibilità di più localizzazioni o zone geografiche, è possibile effettuare la scelta al momento dell’ordine.

“Storage dei dati” non è però sinonimo di “trattamento dei dati”. Il GDPR stabilisce infatti regole applicabili in materia di “trattamento” e non di semplice “storage”. È quindi opportuno prestare particolare attenzione nell’utilizzo di questi due termini.

Quando viene selezionata una localizzazione di storage situata nell’Unione Europea, OVH garantisce che le informazioni non saranno trattate al di fuori dell’Unione europea o di qualsiasi altro Paese riconosciuto dalla Commissione Europea come dotato di un livello sufficiente di protezione dei dati sensibili (relativamente alla tutela della privacy, delle libertà e dei diritti fondamentali delle persone, nonché all’esercizio dei diritti corrispondenti [decisione di adeguatezza]). Ci impegniamo inoltre a non trattare mai i dati negli Stati Uniti.

OVH si impegna a trattare i dati personali del cliente esclusivamente per la corretta erogazione dei servizi offerti e secondo le sue istruzioni.

I dati ospitati dai clienti nell’ambito dei nostri servizi restano di loro proprietà.

OVH vieta qualsiasi tipo di rivendita dei dati o utilizzo a fini commerciali (come attività di profiling o direct marketing).

Affinché gli impegni di OVH possano consentire al cliente di adempiere a parte dei propri obblighi, questi devono essere formalizzati in un contratto o in altro atto giuridico con efficacia vincolante nei suoi confronti.

OVH assicura questa opponibilità in due modi:

• le Condizioni Generali di Servizio che disciplinano l'utilizzo di tutti i servizi OVH includono clausole relative alla protezione dei dati personali;
• il Data Processing Agreement (DPA) è interamente dedicato alle garanzie offerte da OVH in materia di trattamento dei dati di carattere personale.