Dati degli impianti conservati nell'Unione europea: perché conta

Tenere i dati in Europa, su server nell'Unione europea e presso fornitori con sede nell'Unione, semplifica la gestione dei dati degli impianti. Per i dati personali evita i trasferimenti verso paesi terzi, che il GDPR ammette solo a determinate condizioni. Per i dati non personali, come le curve di un impianto di una società, il Data Act chiede ai fornitori cloud di proteggerli dall'accesso di autorità di paesi terzi in contrasto con il diritto dell'Unione.

Perché conta dove sono i dati degli impianti

I dati di un portafoglio di impianti non sono solo curve e registri: ci sono anagrafiche, POD, contratti, credenziali dei portali, a volte dati di persone fisiche. Dove sono conservati, e da chi, decide quali regole si applicano e quanto lavoro di verifica ti tocca.

Conviene guardare l'insieme, non solo il database principale: le copie di backup, i servizi di posta che inviano i report, l'assistenza tecnica che accede alla piattaforma. Ognuno di questi passaggi può portare i dati altrove, e va considerato quando valuti un fornitore. Le norme europee da conoscere sono tre:

Dati personali: cosa dice il GDPR sui trasferimenti

Se tra i dati ci sono dati personali, per esempio impianti di persone fisiche o nomi ed email di referenti, il GDPR stabilisce che un trasferimento verso un paese terzo può avvenire solo se titolare e responsabile del trattamento rispettano le condizioni del capo V. In sintesi:

• Decisione di adeguatezza (articolo 45): la Commissione ha deciso che il paese terzo garantisce un livello di protezione adeguato. Per gli Stati Uniti la decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023 riguarda le organizzazioni che figurano nell'elenco degli aderenti al quadro UE-USA per la protezione dei dati personali.
• Garanzie adeguate (articolo 46): per esempio le clausole tipo di protezione dei dati adottate dalla Commissione o le norme vincolanti d'impresa.
• Deroghe in specifiche situazioni (articolo 49), come il consenso esplicito dell'interessato.

Se i dati restano su server nell'Unione presso fornitori con sede nell'Unione, il tema dei trasferimenti verso paesi terzi non si pone per quel fornitore. Resta da verificare la catena: eventuali subfornitori, assistenza, copie di backup. Il quadro generale è nell'articolo su dati di misura e GDPR.

Dati non personali: cosa aggiunge il Data Act

Le curve di produzione di un impianto intestato a una società, di norma, non sono dati personali, quindi il capo V del GDPR non le copre. Il Data Act, all'articolo 32, chiede ai fornitori di servizi di trattamento dei dati di adottare misure tecniche, organizzative e giuridiche, contratti compresi, per impedire l'accesso governativo internazionale e di paesi terzi ai dati non personali detenuti nell'Unione, quando quell'accesso o trasferimento creerebbe un conflitto con il diritto dell'Unione o dello Stato membro.

Il regolamento precisa anche che le decisioni di tribunali o autorità di un paese terzo che obbligano un fornitore a trasferire questi dati sono riconosciute solo se basate su un accordo internazionale in vigore, come un trattato di mutua assistenza giudiziaria. Per gli altri diritti del Data Act, come il passaggio tra fornitori, vedi Data Act ed energia.

Bisogna tenere i dati in Italia?

Non è questo il punto. Il regolamento (UE) 2018/1807 vieta gli obblighi di localizzazione dei dati non personali all'interno dell'Unione, salvo che siano giustificati da motivi di sicurezza pubblica nel rispetto della proporzionalità. "In Europa", quindi, significa in uno qualsiasi degli Stati membri. Eventuali obblighi specifici del tuo settore o dei tuoi contratti vanno verificati con il tuo consulente.

Cosa chiedere al fornitore sui dati in Europa

1. In quale paese sono i server su cui girano la piattaforma e il database?
2. Il fornitore di hosting ha sede nell'Unione?
3. Dove sono conservate le copie di backup?
4. Ci sono subfornitori, anche per l'assistenza, che accedono ai dati da fuori dall'Unione?
5. Se c'è un trasferimento di dati personali, su quale base del capo V del GDPR avviene?
6. Cosa prevede il contratto per le richieste di accesso di autorità di paesi terzi?

Le stesse domande valgono per chi custodisce le credenziali dei tuoi portali: vedi sicurezza delle credenziali dei portali.

Per enerdata la risposta è scritta nelle domande frequenti del sito: i dati sono su server nell'Unione europea, presso fornitori di hosting con sede nell'Unione, e non sono trasferiti fuori dall'UE. Puoi esportarli in qualsiasi momento in Excel, CSV e zip. I servizi sono in telelettura contatori e portali e-distribuzione e GSE.

Domande frequenti

Si possono trasferire dati personali fuori dall'Unione?

Sì, ma solo alle condizioni del capo V del GDPR: decisione di adeguatezza, garanzie adeguate come le clausole tipo, o deroghe in situazioni specifiche.

Il GDPR protegge anche le curve di un impianto di una società?

Di norma no, perché non sono dati personali. Per i dati non personali detenuti nell'Unione il Data Act chiede ai fornitori cloud misure contro accessi illegittimi di paesi terzi.

I dati devono stare in Italia?

Il regolamento (UE) 2018/1807 vieta gli obblighi di localizzazione dei dati non personali all'interno dell'Unione, salvo motivi di sicurezza pubblica. Verifica con il tuo consulente eventuali obblighi specifici.

Cosa significa che un fornitore ha sede nell'Unione?

Che la società che ospita i dati è stabilita in uno Stato membro: insieme alla posizione dei server, è un'informazione da chiedere per iscritto.