Giurisprudenza: Diritto dei Dati
Abstract: La recente approvazione del “Codice di condotta per il trattamento dei dati personali effettuato dalle imprese di sviluppo e produzione di software gestionale” ha introdotto importanti novità per le software house impiegate nel settore. I professionisti del dipartimento dati, privacy e IA di Villa&Associati ne commentano gli aspetti essenziali.
I Codici di Condotta nel contesto del GDPR
L’art. 40 del GDPR prevede la possibilità per le associazioni e gli altri organismi rappresentanti le categorie di titolari o responsabili del trattamento di elaborare codici di condotta volti alla definizione di regole e principi univoci per il trattamento di dati personali in contesti specifici.
Si tratta di strumenti di soft law che, similmente alle certificazioni previste dagli articoli 42 e 43 del GDPR, sono messi a disposizione dei soggetti obbligati al fine di dettare regole univoche in settori specifici e semplificare il processo di accountability.
Efficacia probatoria
Attraverso il codice di condotta, gli aderenti si sottopongono alle verifiche dell’Organismo di Monitoraggio individuato, ottenendo l’accesso a uno strumento di accountability prezioso.
Infatti, a norma degli articoli 24(3) e 28(5) del GDPR, i titolari e i responsabili del trattamento possono dimostrare il rispetto degli obblighi loro imposti tramite l’adesione proprio al suddetto codice di condotta.
Approvazione del Codice di Condotta per software gestionali
Dopo un iniziale periodo di stagnazione, sono stati recentemente approvati nella prima metà del 2024 due codici di condotta: segnatamente, quelli legati al settore delle agenzie per il lavoro e alle attività di telemarketing e teleselling.
Nel contesto di fermento che caratterizza la materia, è stato poi pubblicato nella Gazzetta Ufficiale n. 278 del 27/11/2024 il codice di condotta concernente i trattamenti di dati personali effettuati dalle imprese di sviluppo e produzione di software gestionali, che sarà oggetto del presente approfondimento.
Il codice è stato promosso da Assosoftware e ha lo scopo di definire le regole circa le modalità di trattamento dei dati personali in un settore delicato, che può comprendere il trattamento di dati personali riferiti ai dipendenti delle aziende clienti, in alcuni casi anche appartenenti a categorie particolari.
Principali regole per il trattamento dei dati personali
Al fine di analizzare le principali disposizioni del codice in oggetto, è utile prenderne in esame gli aspetti fondamentali, quali:
l’ambito di applicazione, che si estende non a tutti i software, ma alla specifica categoria dei gestionali;
i ruoli soggettivi privacy degli enti coinvolti nel trattamento dei dati, con particolare attenzione ai rapporti tra fornitore e utilizzatore;
le prescrizioni in termini di valutazione del rischio, negli aspetti riguardanti l’esecuzione di una valutazione d’impatto e misure di sicurezza adottabili.
Ambito di applicazione
Come anticipato, l’ambito di applicazione è limitato ai soli software gestionali, i quali sono definiti, ai sensi dell’art. 2.2, lett. b) del codice, come “i programmi di elaborazione elettronica che consentono ad aziende, professionisti e pubbliche amministrazioni di automatizzare, informatizzandoli, i processi di organizzazione e gestione delle rispettive attività”.
Ne consegue che la categoria del software gestionale è intesa in modo particolarmente esteso, in quanto vi possono rientrare tutti i software volti alla gestione delle attività operative. Rientrano, quindi, nel campo di applicazione tutti quegli applicativi che fanno riferimento a diverse funzioni aziendali e diversi settori, a condizione che siano accumunati dalla capacità di organizzare e automatizzare i processi interni.
Ruoli soggettivi privacy e filiera del dato
Ripartizione dei ruoli soggettivi tra sviluppatore e cliente
L’art. 4 del codice individua le operazioni di trattamento rispetto alle quali lo sviluppatore opera come responsabile del trattamento, distinguendo tra:
Attività in cloud: lo sviluppatore opera come responsabile del trattamento per tutte le attività eseguite su incarico del cliente (es. gestione server, archiviazione dati).
Attività on premise: il ruolo si configura solo per attività di assistenza (es. migrazione dati, aggiornamenti, esportazione database).
La distinzione deriva dal diverso funzionamento dei due ambienti, dove il cloud è gestito dallo sviluppatore (o da sub-responsabili), mentre l’on premise è gestito direttamente dall’utilizzatore.
Resta fermo l’obbligo di sottoscrivere un accordo sul trattamento dei dati personali, ai sensi dell’art. 6 del codice e dell’art. 28 del GDPR.
Il codice consente inoltre al produttore del software di predisporre condizioni generali sul trattamento dei dati per regolamentare in modo uniforme i servizi, soprattutto se rivolti a una pluralità di clienti.
Infine, l’art. 8 identifica le attività svolte dallo sviluppatore come autonomo titolare del trattamento, quali:
attività amministrative e contabili;
analisi statistiche (solo in forma aggregata, previa pseudonimizzazione o cifratura).
Sub-responsabili del trattamento
L’art. 7 disciplina il ricorso a sub-responsabili del trattamento da parte del fornitore. In particolare:
Devono essere individuate le categorie dei sub-responsabili nell’autorizzazione generale.
Deve essere reso disponibile, su richiesta, un elenco nominativo.
Ogni modifica va comunicata tempestivamente all’utilizzatore.
Il titolare del trattamento ha diritto a opporsi ai nuovi sub-responsabili. Se l’opposizione non viene risolta, l’utilizzatore può recedere dal contratto.
L’art. 7.6 regola l’ipotesi in cui i sub-responsabili impongano condizioni unilaterali: in questi casi lo sviluppatore ha obblighi di trasparenza e assistenza verso l’utilizzatore.
Questa disposizione tiene conto del ricorso a grandi provider (es. servizi cloud) conciliando esigenze tecniche e obblighi di controllo.
Valutazione del rischio e misure di sicurezza
Valutazione d’impatto e supporto al titolare
Il codice non impone allo sviluppatore l’obbligo di effettuare una valutazione d’impatto (DPIA), che resta in capo al titolare del trattamento.
Tuttavia, lo sviluppatore deve fornire supporto, ad esempio tramite:
certificazioni tecniche (es. ISO 27001);
documentazione tecnica di supporto.
Misure di sicurezza
L’elenco delle misure di sicurezza è contenuto negli Allegati A e B del codice. Tali misure sono distinte tra:
sviluppo del software;
esecuzione dei servizi on premise e in cloud.
L’individuazione di un elenco finito di misure rappresenta un compromesso tra certezza normativa e flessibilità, dando agli sviluppatori un quadro definito oltre il quale non si può derogare.
Adesione al Codice di Condotta
L’adesione è volontaria e richiede la presentazione di una domanda all’Organismo di Monitoraggio (OdM) costituito da Assosoftware.
L’OdM verifica:
regolarità della domanda;
conformità del software ai requisiti;
assenza di condizioni ostative.
La risposta deve arrivare entro 30 giorni e il diniego va motivato.
L’Allegato D prevede attività di monitoraggio periodico, con poteri ispettivi, richieste di informazioni e ispezioni (anche da remoto).
Adesione al Codice di Condotta
Il Codice di condotta analizzato rappresenta un importante tassello nel panorama della protezione dei dati personali. Un’ampia adesione al codice potrebbe consolidarlo come standard di settore, con impatti diretti sulla gestione contrattuale e sulla filiera del dato.
In un contesto normativo sempre più esigente e dinamico, l’adozione di strumenti come questo codice assume un ruolo centrale per aziende, sviluppatori e fornitori di software.
Articolo a cura di: Avv. Gabriele Ientile
Professionisti
