Conformità GDPR per il cloud storage: guida alle best practices
Best practices per un cloud storage conforme al GDPR: crittografia, controlli di accesso, requisiti sulla posizione dei dati e criteri di valutazione dei fornitori.
Un cloud storage conforme al GDPR richiede cinque controlli a livelli: (1) cifratura a riposo con AES-256 e in transito con TLS 1.3, idealmente integrata dalla cifratura lato client per i dati sensibili; (2) un Accordo sul Trattamento dei Dati con il vendor che soddisfi l'Articolo 28(3); (3) residenza dei dati documentata — di solito UE/SEE per i dati personali europei — con trasparenza sui sub-responsabili; (4) controlli di accesso granulari con MFA, permessi basati sui ruoli e log di audit conservati per almeno sei mesi; (5) rilevamento delle violazioni in grado di rispettare la finestra di notifica di 72 ore dell'Articolo 33. Manca uno qualsiasi di questi livelli e il livello di archiviazione diventa il punto più debole del tuo stack di conformità.
Scegliere un provider conforme all'Articolo 28
Il mercato europeo dei DPA divide i provider in fasce ben definite. Gli hyperscaler (AWS, Azure, Google Cloud) offrono DPA completi e regioni europee, ma presentano esposizione al CLOUD Act. I provider sovrani europei (OVHcloud, Scaleway, Infomaniak, Hetzner, IONOS) evitano la giurisdizione statunitense e spesso detengono certificazioni C5, SecNumCloud o ISO 27001. I provider specializzati orientati alla privacy (Tresorit, Proton Drive, Internxt, Nextcloud in hosting) aggiungono un'architettura zero-knowledge. Scegli in base alla sensibilità dei dati: cartelle cliniche e dati difesa richiedono provider sovrani o zero-knowledge; i file aziendali comuni funzionano sugli hyperscaler con una configurazione adeguata.
Cifratura lato server versus cifratura lato client
La cifratura lato server — AWS S3 SSE-KMS, Azure Storage Service Encryption, chiavi gestite dal cliente in Google Cloud — protegge contro il furto fisico dei dischi, ma non contro i dipendenti del provider con accesso alle chiavi né contro la costrizione legale del provider. La cifratura lato client con chiavi che il provider non vede mai (XChaCha20-Poly1305 in Tresorit, AES-256-GCM con derivazione chiave PBKDF2-SHA-256 in HexaTransfer) garantisce la protezione zero-knowledge. Per i dati ad alta sensibilità ai sensi dell'Articolo 9 (salute, biometria, opinioni politiche), il lato client è il default conforme; il solo lato server è marginale.
Configurare AWS S3 per il GDPR
S3 non è conforme di default. Per i dati personali europei, imposta la regione del bucket su eu-central-1 (Francoforte), eu-west-1 (Irlanda), eu-west-3 (Parigi) o eu-south-1 (Milano). Abilita la cifratura predefinita con SSE-KMS usando una CMK gestita dal cliente con rotazione delle chiavi. Blocca l'accesso pubblico a livello di account. Usa Object Lock per l'archiviazione immutabile conforme dove la conservazione è obbligatoria per legge. Abilita i log di accesso S3 e AWS CloudTrail per l'audit. Usa endpoint VPC affinché il traffico non transiti mai su internet pubblico. Disabilita S3 Transfer Acceleration a meno che tu non possa dimostrare che le cache CDN di CloudFront rimangono nell'UE.
Equivalenti Azure e Google Cloud
Azure: scegli Europa occidentale (Amsterdam) o Europa settentrionale (Dublino), abilita la cifratura del servizio di archiviazione con chiavi gestite dal cliente tramite Key Vault, configura i Private Endpoint, imposta Azure Policy per negare le distribuzioni fuori dall'UE e abilita Microsoft Defender for Storage. Google Cloud: scegli europe-west1 (Belgio), europe-west3 (Francoforte) o europe-west9 (Parigi), abilita le Customer-Managed Encryption Key tramite Cloud KMS, usa i VPC Service Control per prevenire l'esfiltrazione e abilita Cloud Audit Logs. Entrambi gli hyperscaler pubblicano guide di configurazione specifiche per il GDPR; seguile alla lettera, non improvvisare.
Controlli di accesso ai sensi dell'Articolo 32(1)(b)
L'accesso basato sui ruoli è il punto di partenza. Ogni identità — umana o di servizio — deve avere il privilegio minimo limitato a un bucket, prefisso o cartella specifici. L'MFA è obbligatoria per l'accesso alla console e raccomandata per le chiavi API tramite session token. I flussi di gestione delle identità (joiner-mover-leaver) integrati con il tuo provider di identità (Okta, Azure AD, Google Workspace) prevengono gli accessi obsoleti. Le revisioni trimestrali degli accessi rilevano le derive dei permessi. Per i file altamente sensibili, l'accesso di emergenza con doppia approvazione e scadenza automatica dei privilegi elevati dopo 4-8 ore limita i danni in caso di compromissione di account amministrativi.
Policy di conservazione allineate allo scopo
L'Articolo 5(1)(e) (limitazione della conservazione) obbliga a eliminare i dati quando la finalità del trattamento si esaurisce. Il cloud storage rende allettante la conservazione indefinita — lo storage costa poco. Costruisci policy di ciclo di vita che applicano la conservazione vincolata allo scopo: 30 giorni per le drop-zone di trasferimento, 13 mesi per gli allegati del supporto clienti, 7 anni per le fatture (normativa fiscale), 10 anni per i referti medici in alcune giurisdizioni. Le regole S3 Lifecycle, Azure Blob Lifecycle Management e GCS Object Lifecycle automatizzano tutto questo. Combina con Object Lock per la conformità WORM dove la conservazione è imposta per legge.
Gestione delle chiavi di cifratura
Le chiavi sono il centro di gravità. Chi detiene la chiave detiene i dati. Ai sensi del GDPR, la custodia delle chiavi determina se il provider di archiviazione è un responsabile del trattamento (può decifrare) o semplicemente un conduit dei dati (detiene solo ciphertext). Usa archivi di chiavi supportati da HSM (AWS KMS, Azure Key Vault Managed HSM, Google Cloud HSM) per gli scenari gestiti dal server. Per il zero-knowledge, deriva le chiavi nel browser tramite Web Crypto API con PBKDF2 o Argon2id (crypto_pwhash di libsodium) e non trasmetterle mai. Ruota le chiavi annualmente o quando il personale con accesso lascia l'organizzazione. Documenta la custodia delle chiavi nel tuo RoPA ai sensi dell'Articolo 30.
Cifratura dei backup e residenza
I backup spesso compromettono la storia di residenza e cifratura. Un bucket in eu-central-1 con una regola di replica cross-region verso us-east-1 per "resilienza" ha appena spostato ogni file negli USA senza aggiornare il DPA. Controlla le configurazioni CRR e imposta le destinazioni all'interno del SEE — eu-west-1 (Irlanda) e eu-central-1 (Francoforte) si abbinano naturalmente. Cifra i backup con una chiave separata dall'archiviazione primaria, così la compromissione di una chiave non rivela entrambe le copie. Testa il ripristino trimestralmente; un backup non ripristinabile è peggio di nessun backup per scopi di DR.
Rilevamento delle violazioni che rispetta le 72 ore
Il termine di 72 ore dell'Articolo 33 inizia quando "vieni a conoscenza". Gli strumenti di rilevamento accorciano il divario tra violazione e consapevolezza. CloudTrail + GuardDuty su AWS, Microsoft Defender for Cloud su Azure e Security Command Center Premium su GCP segnalano tutti i pattern di accesso anomali — download massivi, accessi da nuove geografie, chiavi usate fuori dall'orario lavorativo. Indirizza gli alert a un SOC h24 o almeno a una rotazione di reperibilità. Per le organizzazioni più piccole, i servizi MDR (Arctic Wolf, Red Canary) colmano il divario. Documenta il playbook: chi notifica il Garante, chi redige il modulo dell'Articolo 33, chi comunica agli interessati ai sensi dell'Articolo 34.
Checklist di valutazione del vendor
Prima di firmare un contratto di cloud storage, esigi: (1) DPA conforme all'Articolo 28 che copra tutti e otto gli argomenti; (2) certificato ISO 27001 con dichiarazione di applicabilità; (3) report SOC 2 Type 2 (il Type 1 è insufficiente — attesta il design, non l'operatività); (4) impegno di residenza UE con data center nominati; (5) registro dei sub-responsabili con giurisdizioni; (6) termini di notifica delle violazioni pubblicati (≤24 ore preferibile); (7) documentazione della cifratura inclusa la gestione delle chiavi; (8) diritti di audit ai sensi dell'Articolo 28(3)(h). HexaTransfer pubblica tutti e otto nella sua trust page; alternative affidabili (Tresorit, Proton, Infomaniak) fanno lo stesso.
Tratta la trust page del vendor come un contratto — se è assente, il vendor non fa sul serio. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.
Invia file di grandi dimensioni in modo sicuro con crittografia end-to-end
Trasferisci file fino a 10 GB gratuitamente con crittografia end-to-end. Nessun account necessario. I tuoi file vengono crittografati nel browser prima del caricamento — nessun altro può leggerli.
Invia un file