Quest’anno, all’interno dei molteplici intervenenti delle autorità di controllo europee nei confronti dei titolari del trattamento che si avvalgono dei vari servizi forniti dalle Big Tech statunitensi post Schrems II, l’attribuzione soggettiva del ruolo di responsabili del trattamento (data processor) di tali fornitori desta non pochi interrogativi.
Vero è che la Corte di Giustizia dell’Unione Europea e le Autorità Garanti hanno qualificato così tali fornitori. Eppure, nel caso FashionID del 2019, un’impresa di moda che operava online aveva inserito nel proprio sito Internet il plug-in social di Facebook, la stessa Corte considerava per tale circostanza il ricorrere della contitolarità con il gestore del social network.
La determinazione congiunta dei mezzi “all’origine delle operazioni di raccolta e di comunicazione mediante trasmissione dei dati personali dei visitatori del sito internet” era di per sé infatti sufficiente per qualificare una situazione in cui l’impresa che gestisce il sito web può essere considerata titolare “congiuntamente con la Facebook Ireland, delle operazioni di raccolta e di comunicazione mediante trasmissione dei dati personali dei visitatori del suo sito Internet.” Mutatis mutandis, in cosa differisce l’inserimento di uno strumento per il monitoraggio di un sito web, che consente la gestione di posta, o l’organizzazione di meeting ad esempio?
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Certo, la sentenza citata faceva riferimento al pre-GDPR, ma nulla di sostanziale è mutato nell’attribuzione dei ruoli di titolare e responsabile del trattamento e le Linee guida EDPB 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR non presentano soluzioni di discontinuità sugli elementi fondamentali.
Desta qualche perplessità però che il fornitore di servizi cloud venga identificato all’interno del documento come un responsabile del trattamento in modo tranchant, nonostante poco prima si rimarchi come “necessaria un’analisi caso per caso per stabilire il grado di influenza esercitata da ciascun soggetto nella determinazione delle finalità e dei mezzi del trattamento.”.
In una relazione naturalmente caratterizzata dalla presenza di clausole take-it-or-leave-it, pesanti asimmetrie informative e di poteri sul contratto stesso dalla proposta all’esecuzione alla sospensione o interruzione, il ruolo soggettivo di responsabile del trattamento è ben lungi dall’essere chiaro ed inequivocabile.
Insomma: ritenere ancora che non ci sia – né debba esserci – alcuna assunzione di responsabilità in veste di titolare del trattamento di alcuno di quei fornitori che si pongono sul livello dei cc.dd. GAFAM, ha l’amaro sapore di una proclamazione di fede o di abitudine.
Ma il diritto nella sua applicazione deve saper declinare tutele e garanzie e non può prescindere dal contesto, a maggior ragione quando gli scenari sono complessi e in evoluzione come negli orizzonti ampi del digitale.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cybercrime
Cybercrime
Cybercrime
Cultura
Vulnerabilità