Alcune settimane fa la Confederazione ha reso noto di aver assegnato a quattro ditte USA e a una ditta cinese gli appalti per la fornitura di servizi di cloud pubblico.
Nella sua Guida per l'esame dell'ammissibilit\u00e0 della comunicazione di dati all'estero, l'IFPDT prevede che debbano essere previste misure organizzative e tecniche per impedire l'accesso ai dati personali da parte delle autorit\u00e0 in determinati Paesi target come gli USA e la Cina, qualora le garanzie svizzere in materia di diritti fondamentali non siano date in tali Paesi. Ci\u00f2 \u00e8 conforme anche al diritto vigente, indipendentemente dal fatto che i dati personali registrati nel cloud pubblico siano ordinari o particolarmente degni di protezione.
1. Invero non esistono strumenti tecnici ampiamente diffusi e comprovati in grado di impedire l'accesso ai dati personali da parte di autorit\u00e0 qualora non si intenda limitare la prestazione di servizi a una pura archiviazione. Il Consiglio federale prevede tuttavia che i dati personali nel cloud pubblico siano elaborati dalle ditte che hanno ottenuto lappalto per la gestione di un cloud pubblico? In caso affermativo, esso suppone che la memorizzazione e l'elaborazione di dati personali all'estero sia possibile anche senza particolari misure tecniche volte a impedire efficacemente l'accesso da parte di autorit\u00e0?
2. Una misura organizzativa volta a impedire l'accesso ai dati da parte delle autorit\u00e0 allestero consiste nell'attribuire la gestione di servizi di cloud non a ditte con sede in Paesi non sicuri bens\u00ec, in forma fiduciaria, a ditte con sede in Paesi sicuri (SEE, Svizzera). Come valuta il Consiglio federale questo modello?
3. Nel raccogliere le offerte, il Consiglio federale si \u00e8 riservato i diritti di audit richiesti dalla legge? Come si presentano concretamente tali diritti?
4. Quali modalit\u00e0 concrete di applicazione prevede il Consiglio federale per la gestione del cloud pubblico?
5. Qual \u00e8 la composizione dell'importo degli appalti assegnati pari a 110 milioni di franchi sull'arco di 5 anni?
6. L'esercizio di centri di calcolo comporta un ingente dispendio energetico. Nellattribuire i compiti la Confederazione terr\u00e0 anche conto delleventualit\u00e0 che i centri funzioneranno mediante le energie rinnovabili? Questo aspetto \u00e8 gi\u00e0 stato considerato al momento del bando di concorso? Se no, perch\u00e9?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"1. In caso di elaborazione di dati in cloud pubblici devono essere prese, se necessario, misure tecniche, organizzative e giuridiche sulla base dell'analisi dei rischi e del bisogno di protezione (p. es. crittografia dei dati e anonimizzazione o pseudonimizzazione dei dati personali). Il trattamento dei dati sicuro evolve inoltre con grande rapidit\u00e0, ad esempio nell'ambito dell'informatica confidenziale (Confidential Computing), che consente il trattamento di dati sensibili in processori protetti.
2. Un modello di gestione fiduciaria sarebbe senz'altro ipotizzabile qualora non comporti peggioramenti rilevanti nella funzionalit\u00e0, nella rapidit\u00e0 d'innovazione e nei costi. ll Consiglio federale non ha finora esaminato questo modello in modo approfondito.
3. Nel caso in cui l'elaborazione di dati personali sia affidata a terzi, il mandante deve assicurarsi che essi garantiscano la sicurezza dei dati (art. 10a cpv 2 LPD). I requisiti che ne conseguono, in particolare le misure tecniche e organizzative, sono convenuti contrattualmente e possono includere certificazioni (p. es. ISO27001) o l'obbligo di svolgere audit (p. es. SOC-2 tipo II). Nel bando di concorso era previsto l'obbligo da parte degli offerenti di fornire la prova di disporre di tali certificati e risultati di audit. Requisiti pi\u00f9 estesi saranno integrati nei contratti quadro, che devono ancora essere allestiti.
4. Attualmente nei cloud pubblici sono utilizzati, ad esempio, servizi per la pubblicazione e la messa a disposizione di materiale cartografico da parte di swisstopo mediante applicazioni e su Internet.
In futuro sar\u00e0 stabilito caso per caso quali applicazioni verranno gestite nei cloud pubblici, verificando di volta in volta se le condizioni richieste sono soddisfatte, in particolare sul piano giuridico. Va considerato che rinomati fornitori propongono viepi\u00f9 i loro programmi standard unicamente a partire da cloud pubblici. L'acquisto di prestazioni di cloud pubblici diviene pertanto una condizione necessaria affinch\u00e9 l'Amministrazione federale possa utilizzare questi programmi standard.
5. L'importo di aggiudicazione di 110 milioni di franchi (con plafonamento dei costi) \u00e8 stato calcolato in funzione dei valori empirici riguardanti servizi precedentemente acquistati in cloud pubblici esterni e cloud privati interni, nonch\u00e9 di stime dei dipartimenti e della Cancelleria federale e di una maggiorazione del 10 per cento per l'eventuale fabbisogno dell'Amministrazione federale decentralizzata. \u00c8 previsto un periodo di 5 anni. Tutti i servizi sono opzionali. Non vi \u00e8 alcun obbligo di acquisto.
6. Questo punto non \u00e8 stato considerato nel bando di concorso. Numerosi fornitori di cloud pubblici si sono posti l'obiettivo di far funzionare i loro centri di calcolo interamente con energie rinnovabili entro il 2025. Fra essi figurano anche coloro cui sono stati assegnati gli appalti.
Risposta del Consiglio federale.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1637107200000)\/","SubmittedBy":"Andrey Gerhard","BusinessStatus":229,"BusinessStatusText":"Liquidato","BusinessStatusDate":"\/Date(1695973598000)\/","ResponsibleDepartment":10,"ResponsibleDepartmentName":"Cancelleria federale","ResponsibleDepartmentAbbreviation":"CaF","IsLeadingDepartment":true,"Tags":"4|15|34|66|1236","Category":null,"Modified":"\/Date(1745523301360)\/","SubmissionDate":"\/Date(1631750400000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Consiglio nazionale","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5111,"SubmissionLegislativePeriod":51,"FirstCouncil1":1,"FirstCouncil1Name":"Consiglio nazionale","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politica nazionale|Economia|Media e comunicazione|Energia|Diritti umani"}}