Perché il luogo di esercizio conta
Una ricerca di dati personali legge i contenuti. Una risposta a una richiesta di accesso raccoglie tutti i dati di una persona. Un sistema di coordinamento delle cancellazioni conosce tutti i sistemi e le loro dipendenze. Se un software di questo tipo funziona presso il fornitore, questi diventa responsabile del trattamento (art. 9 LPD, art. 28 GDPR) – spesso con conservazione dei dati all'estero (art. 16 LPD).
Nei settori regolamentati si aggiungono le prescrizioni delle autorità di vigilanza, per esempio i requisiti della FINMA in materia di esternalizzazioni per banche e assicurazioni. Gli enti pubblici sono inoltre soggetti alle leggi cantonali sulla protezione dei dati.
Software-as-a-Service o esercizio proprio – un confronto
| Criterio | Software-as-a-Service presso il fornitore | Esercizio proprio |
|---|---|---|
| Luogo dei dati | presso il fornitore | nel vostro ambiente |
| Trattamento su incarico | necessari contratto e controllo del fornitore | non necessario per il produttore; in caso di cloud o partner di esercizio vale il loro contratto |
| Comunicazione all'estero | a seconda del fornitore | nessuna aggiuntiva da parte del produttore; dipende dal vostro luogo di esercizio |
| Collegamento dei sistemi interni | via Internet | nella propria rete |
| Esercizio e aggiornamenti | a cura del fornitore | a cura del vostro reparto IT o del vostro gestore, con il supporto del produttore |
Che cosa conta nell'esercizio proprio
- Esercizio in container con strumenti standard diffusi invece di un'infrastruttura speciale.
- Accesso tramite il proprio provider di identità con single sign-on.
- Ruoli, approvazioni e audit, affinché resti tracciabile chi ha fatto che cosa.
- Nessun collegamento con il produttore senza la vostra approvazione – nessuna telemetria, nessun server di licenze.
- Funzionamento multi-mandante, quando più società o clienti devono restare separati.
- Aggiornamenti pianificabili che non compromettono l'attività quotidiana.
Per chi conta particolarmente
Per assicurazioni e casse pensioni con sistemi centrali cresciuti nel tempo, per banche sottoposte a vigilanza, per ospedali con dati dei pazienti, per la pubblica amministrazione e per i fornitori di servizi IT che lavorano per conto di più clienti. Hanno in comune una cosa: i dati personali non devono lasciare l'azienda.