Conservare i dati in Europa non equivale a controllarli
La sovranità dei dati viene spesso trattata come una questione geografica. In pratica, si tratta di una questione di portata legale e di controllo operativo.
Eurojust, l’agenzia dell’UE che sostiene la cooperazione giudiziaria in materia penale, ha spiegato che la legge statunitense CLOUD ha reso esplicito che i fornitori di servizi statunitensi possono essere obbligati a conservare e produrre i dati che controllano, a prescindere dal luogo in cui tali dati sono archiviati.
In parole povere: L’hosting nell’UE non elimina automaticamente l’esposizione legale degli Stati Uniti quando il provider rimane soggetto alla giurisdizione degli Stati Uniti.
Per le organizzazioni che gestiscono i body-worn video, questa distinzione è importante. Questi sistemi spesso elaborano filmati sensibili, coinvolgono il pubblico in incidenti e si trovano in ambienti in cui la responsabilità e la catena di custodia sono importanti.
Il rischio diventa più grave quando:
- il fornitore è soggetto alla giurisdizione degli Stati Uniti a causa della proprietà, del controllo o di un legame operativo
- supporto o amministrazione possono accedere ai dati dall’esterno dello SEE (Spazio Economico Europeo)
- i subprocessori si trovano in paesi terzi, o i servizi chiave si affidano a entità non appartenenti al SEE
La sentenza Schrems II della CGUE ha sottolineato perché questo è importante. Il diritto dell’UE richiede una protezione sostanzialmente equivalente quando i dati personali sono esposti all’accesso di autorità pubbliche di paesi terzi.
Dove nasce la tensione: L’accesso legale degli Stati Uniti contro le norme di protezione dei dati dell’UE
Il GDPR non è la fonte del problema. Il vero problema è che la legge statunitense può obbligare alcuni fornitori a divulgare i dati sotto il loro controllo, mentre la legge sulla protezione dei dati dell’UE stabilisce limiti severi su quando i dati personali possono essere divulgati o trasferiti.
Questo crea una tensione diretta per le organizzazioni che gestiscono video sensibili indossati dal corpo. Anche se i dati sono archiviati nell’UE, l’esposizione a un fornitore soggetto alla giurisdizione degli Stati Uniti può comunque sollevare questioni di sovranità e conformità.
Il Comitato europeo per la protezione dei dati ha chiarito che un ordine di un governo straniero non crea automaticamente una base legale ai sensi del GDPR per la divulgazione o il trasferimento. In altre parole, ricevere un ordine non significa essere autorizzati a rispettarlo in base alla legge dell’UE.
Per i team legali e i responsabili degli acquisti, ciò significa che la valutazione dei fornitori deve andare oltre la sola posizione di stoccaggio.
Una lista di controllo per gli Affari legali e gli acquisti
Quando si valuta un fornitore, le domande chiave sono semplici:
- Chi è la controparte legale e quale giurisdizione la regola?
- Chi può accedere tecnicamente ai dati, compresa l’assistenza e la risposta agli incidenti?
- Qual è il processo documentato per le richieste dei paesi terzi, comprese le contestazioni, le notifiche e le relazioni sulla trasparenza?
- Chi controlla le chiavi di crittografia e il fornitore può accedervi?
Le Raccomandazioni EDPB 01/2020 spiegano anche perché possono essere necessarie misure supplementari, tra cui una forte crittografia e controlli organizzativi, quando gli strumenti di trasferimento da soli non garantiscono una protezione equivalente a quella dell’UE.
Cosa significa in pratica
Per molte organizzazioni, la lezione pratica è semplice: L’archiviazione dei dati nell’UE da sola non è sufficiente. Se i dati video sensibili possono ancora essere raggiunti attraverso la giurisdizione statunitense, la vera valutazione deve includere la struttura del provider, l’accesso operativo, i subprocessori e la governance.
Questo è particolarmente importante per la polizia, le forze dell’ordine, le ispezioni e altri contesti del settore pubblico in cui i filmati registrati possono contenere dati personali, prove o materiale legalmente sensibile.
Dove si inserisce ZEPCAM
Per le organizzazioni che vogliono ridurre la potenziale esposizione alla giurisdizione statunitense, una mitigazione più strutturale è quella di scegliere un fornitore di body-worn video la cui proprietà, il modello di hosting e l’assetto operativo siano progettati per minimizzare il più possibile tale esposizione.
ZEPCAM è un fornitore europeo di body-worn video con sede legale e operativa nei Paesi Bassi. Offre opzioni di implementazione in grado di supportare un maggiore controllo locale sui dati video sensibili, tra cui l’hosting gestito da ZEPCAM in alcune giurisdizioni e l’infrastruttura controllata dal cliente, dove applicabile. e installazione on-premise.
ZEPCAM evidenzia anche le certificazioni riconosciute per la sicurezza delle informazioni, la sicurezza del cloud e i controlli sulla privacy, tra cui ISO 27001, ISO 27017 e ISO 27018, laddove applicabili all’interno del suo modello di servizio.
Questo non elimina tutti gli obblighi di conformità, ma può aiutare le organizzazioni a ridurre l’esposizione legale e operativa rispetto ai modelli di provider che rimangono più strettamente legati alla giurisdizione extra-UE.
Pensiero finale
Se il body-worn video fa parte del tuo flusso di lavoro operativo o legale, la domanda giusta non è solo dove vengono archiviati i dati. La domanda più importante è chi può essere costretto ad accedervi.
È qui che la differenza tra stoccaggio e sovranità diventa molto reale.