Per effetto del combinato disposto tra il Regolamento ACN, il GDPR (Reg. UE 2016/679) e le norme italiane sulla responsabilità amministrativa e civile dei funzionari pubblici, si può affermare che l'acquisto di servizi cloud SaaS qualificati ACN diventa di fatto un obbligo per un'amministrazione che voglia evitare rischi legali, economici e di responsabilità personale.
Ecco perché:
1. Obblighi di sicurezza e protezione dei dati:
- il GDPR impone alle PA di adottare misure tecniche e organizzative adeguate per garantire la sicurezza dei dati personali. Un servizio cloud SaaS non qualificato potrebbe essere considerato non adeguato in caso di violazione della privacy;
- se una violazione dei dati si verifica perché l’amministrazione ha scelto un servizio non qualificato ACN, questa potrebbe essere ritenuta responsabile per omessa adozione di misure adeguate.
2. Responsabilità diretta dei funzionari:
- un dirigente/funzionario che autorizza l’acquisto di un servizio non qualificato senza giustificazione tecnica potrebbe essere chiamato a rispondere per danno erariale (Corte dei Conti) e per eventuali sanzioni del Garante Privacy;
- in caso di data breach, l’Ente potrebbe essere multato e il dirigente potrebbe subire un’azione di responsabilità per colpa grave.
3. Principio di precauzione e best practice:
- se esiste un catalogo ufficiale di servizi qualificati (quello di ACN), è evidente che un amministratore prudente e diligente non ha motivi validi per scegliere soluzioni non qualificate, esponendo l’ente a rischi;
- anche se non c’è un obbligo normativo tassativo, di fatto il rischio connesso all’uso di soluzioni non qualificate rende l’uso di soluzioni ACN la scelta obbligata per evitare problemi futuri.
Quindi, anche se non esiste una legge che impone esplicitamente alle PA di acquistare solo servizi qualificati ACN, il contesto normativo rende questa scelta di fatto obbligatoria per chi voglia evitare rischi, responsabilità e potenziali sanzioni.
Una PA che acquista un servizio non qualificato si espone a:
• Violazioni del GDPR
• Sanzioni del Garante Privacy
• Danno erariale (Corte dei Conti)
• Responsabilità civile e amministrativa dei funzionari.
Chi sceglie un servizio non qualificato si assume un rischio difficilmente giustificabile, mentre chi sceglie un SaaS qualificato ACN si tutela da responsabilità e garantisce una maggiore sicurezza dei dati.
Per approfondimenti contattateci all'indirizzo email: sge@sge-partners.it o al numero unico 02 82197 646.