GDPR, articolo 25: la software house entra dal contratto
Una software house che vende un gestionale a una struttura sanitaria non è destinataria dell'articolo 25 del GDPR. Lo è il cliente. Al produttore l'obbligo arriva per un'altra strada.
L'articolo 25 del Reg. UE 2016/679 riguarda il titolare del trattamento. Al paragrafo 1 gli chiede misure tecniche e organizzative adeguate, sia quando definisce i mezzi del trattamento sia quando lo esegue. Al paragrafo 2 gli chiede di garantire che, per impostazione predefinita, siano trattati solo i dati necessari a ciascuna finalità. Il testo parla quindi di chi sceglie e usa il software, mentre chi lo scrive non compare.
Il produttore entra attraverso il considerando 78. Il regolamento chiede che i produttori di prodotti, servizi e applicazioni siano incoraggiati a tenere conto della protezione dei dati fin dalla progettazione, così che i titolari possano adempiere ai propri obblighi. Lo stesso considerando aggiunge che questi principi vanno considerati anche negli appalti pubblici.
Un considerando, però, non crea un obbligo diretto. Il contratto sì. Quando il titolare traduce l'articolo 25 in requisiti scritti nel capitolato di gara o nelle specifiche di fornitura, quei requisiti diventano condizioni che il fornitore deve rispettare. Se mancano nel prodotto, il problema diventa un inadempimento contrattuale.
Nei capitolati più recenti questi requisiti sono concreti. Si chiedono profili di accesso configurabili per ruolo e campi facoltativi quando il dato non serve. Si chiedono anche tempi di conservazione impostabili con cancellazione effettiva e registri degli accessi consultabili. "Per impostazione predefinita" significa che queste scelte sono già attive alla consegna. Rinviarle a una configurazione successiva sposta il problema sul cliente.
Per una software house la conseguenza è prima di tutto commerciale. Un prodotto che non permette al titolare di dimostrare la conformità all'articolo 25 può perdere punti nella valutazione tecnica di un'offerta. Il titolare, infatti, risponde di una scelta di mezzi che deve poter governare.
Le Linee guida 4/2019 dell'EDPB sull'articolo 25 si rivolgono anche ai produttori e trattano la protezione dei dati come un possibile elemento di differenziazione. Il punto resta sempre lo stesso: il produttore conta quanto il titolare riesce a chiedergli per iscritto.
Nelle gare ICT che avete letto di recente, i requisiti di protezione dei dati fin dalla progettazione erano scritti in modo verificabile, o si limitavano a richiamare il regolamento?