Il Responsabile del Servizio, esaminato il quesito e tenuto conto dei dati e delle informazioni trasmesse, formula il seguente parere.

PARERE MOTIVATO

In relazione al quesito formulato, il PARERE dello scrivente servizio è nei termini che seguono.

• Google Form è uno dei servizi facenti parte della piattaforma di Google Workspace, presente su marketplace Agid.

• Ciò premesso, in considerazione dell'avvenuta verifica sulla sicurezza nel trattamento dei dati da parte di AGID, non si riscontrano ragioni evidenti per il mancato utilizzo degli stesso, ferma la necessità di una informativa sul trattamento dei dati che dia conto del ricorso a tale piattaforma.

• In caso di diverso pronunciamento da parte del Garante, della Privacy italiano lo scrivente servizio di supporto specialistico GDPR e DPO entri online si riserva di fornire tempestiva comunicazione.

MOTIVAZIONI

Le motivazioni del parere sono di seguito indicate (motivi di fatto e di diritto che sostengono la prospettata soluzione).

- PREMESSE DI FATTO

Dalla formulazione del quesito si deduce, in punto di fatto, quanto segue.

• Sul mercato degli strumenti per la produttività e la collaborazione, Google workspace rende disponibile anche Google forms.

• La pagina dedicata a Google forms (https://www.google.it/intl/it/forms/about/), alla sezione sicurezza, conformità e privacy, contiene le seguenti informazioni: "La sicurezza prima di tutto > usiamo misure di sicurezza leader del settore per tenere i tuoi dati al sicuro, incluse protezioni avanzate contro i malware. Inoltre, moduli é cloud native, per cui non servono più file locali e il rischio per i tuoi dispositivi si riduce al minimo. Crittografia dei dati in transito e at-rest > tutti i file caricati su Google drive o creati in moduli vengono criptati in transito e at-rest. Conformità per rispettare i requisiti normativi > I controlli di conformità, sicurezza e privacy dei nostri prodotti, incluso moduli, vengono regolarmente sottoposti a verifiche indipendenti. La privacy è nel nostro DNA. Moduli rispetta gli stessi impegni per la privacy e lo stesso livello di protezione dei dati degli altri servizi aziendali di Google cloud. Sei tu a controllare i tuoi dati. Non utilizziamo mai i tuoi contenuti di moduli a scopi pubblicitari. Non vendiamo mai le tue informazioni personali a terze parti".

Tale strumento è già utilizzato dalle pubbliche amministrazioni come ad esempio, dal Comune di Oggiono (che lo utilizza per consentire l'accesso al contributo Covid-19 e compilare la domanda utilizzando il link:

https://docs.google.com/forms/d/e/1FAIpQLSd33EkMgoFtNDqPGwW3Cq6nH0pQAgq_gYo4IjXmPckQLV71bA/viewform)

• Un gruppo di supporto all'assessorato alla cultura del Comune di Lugo di Vicenza vorrebbe attivare dei Google form per raccogliere dei dati relativamente alle iscrizioni degli utenti ad alcuni eventi culturali.

• Google Form viene messo a disposizione da Google ed i dati raccolti nei formulari possono venire localizzati anche in Data Center installati anche in paesi extra UE (Stati Uniti).

In relazione alle indicate premesse di fatto, veniva richiesto il parere allo scrivente Servizio di Protezione dati personali Entionline.

- PREMESSE DI DIRITTO

Dalla formulazione del quesito e dalle premesse di fatto, si deduce, in diritto, quanto segue. La materia oggetto del quesito risulta disciplinata dalle seguenti fonti normative e/o regolamentari e/o regolatorie e/ contrattuali.

• art. 4, par. 1, n. 1, del Regolamento (UE) 2016/679, secondo cui per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Inoltre, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”;

• art. 6, paragrafo 1, lett. e) e paragrafo 2 e 3 Reg. (UE) 2016/679; 2-ter del d.lgs. n. 196 del 30 giugno 2003 , secondo cui il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento”;

• art. 5 Reg. (UE) 679/2016 (Principi applicabili al trattamento di dati personali), secondo cui i dati personali devono essere: a) trattati con «liceità, correttezza e trasparenza»; b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità e adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati; c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);

• art. 26 e 28 Reg. (UE) 679/2016 relativi al Responsabile del trattamento

• circolari agid n. 2 e n.3 del 9 aprile 2018

• provvedimento prescrittivo garante nei confronti di Google inc. sulla conformità al codice dei trattamenti di dati personali effettuati ai sensi della nuova privacy policy - 10 luglio 2014

Dal quadro normativo in precedenza delineato si ricava, nel merito, quanto segue.

• Google forms è uno dei servizi facenti parte della piattaforma di Goolgle workspace di Google, che è disponibile sul marketplace di agid. il cloud marketplace di agid è la piattaforma che espone i servizi e le infrastrutture qualificate da agid secondo quanto disposto dalle circolari agid n. 2 e n.3 del 9 aprile 2018. all'interno del cloud marketplace è possibile visualizzare la scheda tecnica di ogni servizio che mette in evidenza le caratteristiche tecniche, il modello di costo e i livelli di servizio dichiarati dal fornitore in sede di qualificazione. a decorrere dal 1 aprile 2019, le amministrazioni pubbliche possono acquisire esclusivamente servizi iaas, paas e saas qualificati da agid e pubblicati nel cloud marketplace. ne consegue che Goolgle workspace e Google forms possono essere acquisiti ( o utilizzati nella versione gratuita). la sicurezza informatica nella gestione dei dati è quindi stata verificate ed approvata, sotto il profilo della sicurezza informatica, da agid.

• Google inoltre, già nel 2014, si è impegnata a conformare la propria privacy policy alle regole dettate dal garante con provvedimento prescrittivo in forza del qual:

• Google ha dovuto definire tempi certi di conservazione dei dati sulla base delle norme del codice privacy, sia per quanto riguarda quelli mantenuti sui sistemi cosiddetti "attivi", sia successivamente archiviati su sistemi di "back up". per quanto riguarda la cancellazione di dati personali, il garante ha imposto a Google che richieste provenienti dagli utenti che dispongono di un account (e sono quindi facilmente identificabili) siano soddisfatte al massimo entro due mesi se i dati sono conservati sui sistemi "attivi" ed entro sei mesi se i dati sono archiviati sui sistemi di back up. per quanto riguarda, invece, le richieste di cancellazione che interessano l´utilizzo del motore di ricerca, ha ritenuto opportuno attendere gli sviluppi applicativi della sentenza della corte di giustizia dell´unione europea sul diritto all´oblio.

  Ciò premesso, in considerazione dell'avvenuta verifica sulla sicurezza nel trattamento dei dati da parte di agid, lo scrivente servizio di protezione dei dati personali All privacy Entionline esprime parere favorevole all'utilizzo di tale strumento di produttività e di condivisione, ferma la necessità di una previa informativa sul trattamento dei dati, che dia conto del ricorso a tale piattaforma. si evidenzia, inoltre, la possibilità, in caso di stipula di un contratto per l'utilizzo di non gratuito business) di Google workspace, di poter selezionare la possibilità di gestire i dati solo su data center posizionato all'interno dell'ue. in tal caso verrebbero superate le criticità sopra esposte. tale modalità, tuttavia, deve essere direttamente verificata con dalle clausole contrattuali Google.

  CONCLUSIONI

In conclusione, il PARERE dello scrivente Servizio di protezione dei dati personali Entionline è formulato nei termini di cui sopra.

Cordiali saluti.