Il Cloud Computing

Nella contemporanea realtà sociale, ove attraverso le tecnologie informatiche si svolge l’attività sociale ed è diffusa l’essenza delle persone, merita particolare attenzione il fenomeno del cloud computing, che consiste, secondo la definizione del National Institute for Standards and Thecnology (NIST), in un insieme di servizi, accessibili on demand e in modalità self-service tramite internet, basati su risorse condivise e utilizzabili dinamicamente e efficacemente a fronte di limitate attività di gestione; una nuova forma di archiviazione, memorizzazione, elaborazione di dati in una piattaforma virtuale. Nel primo capitolo, si definisce il fenomeno de quo, se ne descrivono i modelli e le tipologie, evidenziandone i benefici e i rischi, oltre che i problemi giuridici ad esso legati. In particolare, riscontrato come i dati e il loro trattamento rappresentino l’oggetto dei servizi offerti dal sistema cloud, si rileva come di particolare importanza siano proprio quegli aspetti legati alla protezione dei dati personali degli utenti dei servizi cloud, chiarendo come sia necessaria, quanto preliminare, una politica di prevenzione, volta ad informare sui rischi. Aspetti questi messi in risalto dal Garante per la protezione dei dati personali che, a piú riprese, è intervenuto al fine di favorire un utilizzo consapevole e corretto del sistema cloud. Nel secondo capitolo, s’indaga il diritto alla riservatezza nell’attuale contesto dell’evoluzione tecnologica. Ripercorrendone la sua evoluzione, si chiarisce come il diritto in parola (che ha visto ampliarsi il proprio contenuto venendo a compendiarsi anche del diritto alla protezione dei dati personali) sulla scorta di quanto affermato dalla Corte di Giustizia dell’Unione europea, non è prerogativa assoluta, ma va considerato alla luce della sua funzione sociale. Si passano in rassegna alcune fondamentali pronunce della giurisprudenza europea (sentenze: Lindqvist, Costeja, Scherms) in tema di tutela della riservatezza in internet, evidenziandone i punti di contatto e di distanza con quella italiana, con un riferimento anche ad una recente sentenza del Tribunal Supremo spagnolo. Si constata, seppur nella diversità delle soluzioni offerte, come il conflitto tra i diversi interessi in gioco possa risolversi solo in ragione di un attento bilanciamento dei medesimi. Nel prosieguo, si analizza il Regolamento europeo 2016/679 (che sarà direttamente applicabile, in tutti gli Stati dell’Unione europea, a partire dal 25 maggio 2018), rilevandosi come esso rappresenti lo strumento atto a formalizzare il nuovo corso digitale della tutela dei dati personali, a livello comunitario e extracomunitario. In particolare, si analizzano le novità da esso introdotte e gli architravi su cui esso poggia tutto il sistema privacy. Si tenta, inoltre, di specificarne l’àmbito di applicazione territoriale, alla luce dei criteri enunciati nel suo articolo 3. Nel terzo capitolo, focalizzando l’attenzione sull’aspetto piú significativo della tecnologia in disamina (ossia la netta separazione tra titolarità dei dati e dei trattamenti e possesso e controllo degli stessi), la ricerca analizza il tema del «trattamento» dei dati personali alla luce dei Pareri dell’Autorità garante italiana ed europea (Gruppo Art. 29) e, in particolare, del recente Regolamento europeo 2016/679 e del Code of Conduct, 26 September 2016 del CISPE. Tematica che inevitabilmente interferisce con la tecnologia cloud, soprattutto oggi in un contesto in cui la portata della condivisione e della raccolta di dati personali è aumentata in modo significativo consentendo, tanto alle imprese private quanto alle autorità pubbliche, di utilizzare dati personali, come mai in precedenza, nello svolgimento delle loro attività. Ciò anche in considerazione del fatto che i servizi cloud consentono di «trattare» e «conservare» i dati su sistemi di server dislocati nelle diverse parti del pianeta, ove occorrerà verificare la sussistenza di un «livello di protezione adeguato», al fine di assicurare all’interessato una protezione «sostanzialmente equivalente» a quella garantita all’interno dell’Unione. All’uopo, sulla imprescindibile premessa per la quale è giocoforza necessario informare sui rischi, la ricerca si propone di chiarire, alla luce delle previsioni del Regolamento privacy 2016 e del Code of Conduct, 26 September 2016 del CISPE, questioni quali: la ripartizione di ruoli e obblighi tra cliente-titolare (rectius, secondo la terminologia inglese, controller) e provider fornitore-responsabile (rectius, secondo la terminologia inglese, processor); le omissioni informative del gestore del servizio e inconsapevolezza dell’utente; la conservazione dei dati in cloud computing e il trasferimento degli stessi verso un «Paese terzo» dopo le sentenze della Corte di Giustizia; la questione della portabilità dei propri dati su altro Csp (problema del c.d. «vendor lock-in»); la data breach notification e gli obblighi di protezione dei dati nella relazione cliente-fornitore. [a cura dell'Autore]