Fornitori di servizi di cloud computing: obbligo di dichiarare l’esatta posizione dei server

E’ stato approvato dal Garante Privacy lo schema di "Linee-guida per il Disaster Recovery delle pubbliche amministrazioni" predisposto dall’Agenzia per l’Italia digitale (ex DigitPa), che accoglie le raccomandazioni e le condizioni per la messa in sicurezza dei dati fornite in una prima edizione di Linee guida dell’anno 2011.
In base a quanto contenuto nella guida, ogni pubblica amministrazione deve predisporre e aggiornare in modo periodico il piano di disaster recovery, ossia l’insieme delle attività necessarie per ripristinare le funzionalità di un sistema informatico nel suo complesso messo fuori uso da un evento improvviso che potrebbe comportare danni e perdite gravi per l’amministrazione.
In particolare, queste linee guida definiscono i tempi di conservazione dei backup in base al tipo di informazione trattata, stabilendo quando tali dati debbano essere cancellati. Le PA inoltre sono tenute ad assicurare la compatibilità tecnologica dei supporti, dei formati di registrazione, degli strumenti crittografici e degli apparati di lettura per tutta la durata di conservazione del dato.
Per i fornitori di servizi di cloud computing il Garante ha predisposto l’obbligo di dichiarare, in sede contrattuale, l’esatta localizzazione geografica dei server su cui sono conservstai i dati, in modo da permettere all’amministrazione di valutare un corretto livello di tutela dei dati personali, ai sensi della normativa UE sulla protezione dei dati personali.