Source: http://www.aspectosprofesionales.info/2015/10/cloud-computing-y-el-dia-que-se-declaro.html
Timestamp: 2018-03-18 15:39:47
Document Index: 407340507

Matched Legal Cases: ['Artículo 5', 'artículo 34', 'artículo 34', 'artículo 70', 'artículo 34', 'artículo 267']

Aspectos profesionales: Protección de Datos, Cloud Computing y Sistemas de Gestión.: Cloud Computing y el día que se declaró inválida la Decisión 2000/520/CE por el TJUE
Cloud Computing y el día que se declaró inválida la Decisión 2000/520/CE por el TJUE
Resumen: Existe el riesgo de que las agencias gubernamentales de los EE.UU. puedan tener acceso, a través de la aplicación de la Ley Patriota de los Estados Unidos y, en un futuro, mediante los que ahora son otros proyectos de ley, a la información personal de ciudadanos europeos cuando esa información se subcontrata a un prestador de servicios de Cloud en Norteamérica. Analizaremos esas leyes y las compararemos con las españolas equivalentes.
1. UBICACIÓN GEOGRÁFICA DE NUESTROS DATOS EN EL CLOUD
1.1. Transferencias Internacionales de Datos (TID) desde España
1.2. Aplicación de las TID al Cloud Computing
1.3. Principios de Puerto Seguro (SAFE HARBOR)
2. LEYES PROPIAS DE ESTADOS UNIDOS
2.1. USA Patriot Act
2.2. FISA Act 2012
2.3. CISPA / HR-3523
2.4. CISA / S-2588
3. LEYES EQUIVALENTES EN ESPAÑA
4. AFECTACIÓN AL CLOUD COMPUTING
5. EJEMPLO A PARTIR DE UNA DECLARACIÓN DE PRIVACIDAD
6. ¿QUÉ DEBE HACERSE AHORA CON LAS TID IMPLEMENTADAS HACIA USA?"
1. UBICACIÓN GEOGRÁFICA DE NUESTROS DATOS EN EL CLOUD.
Según en qué lugar del mundo esté ubicado nuestro servidor virtual en el CLOUD, cuando introduzcamos datos personales en él, podrá considerarse una cesión o bien una transferencia internacional de datos.
Las transferencias internacionales de datos, se regulan en los artículos 33 y 34 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), transposición de la Directiva europea 95/46/CE, y en el Título VI del Reglamento de desarrollo de la Ley Orgánica de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, (RLOPD).
Una transferencia internacional de datos, es un tratamiento de datos que supone una transmisión de los mismos fuera del territorio del EEE (Espacio Económico Europeo), bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero establecido en territorio europeo.
El Acuerdo EEE, por lo tanto, se aplica ahora a la UE de los 28 y a los 3 Estados miembros de la Asociación Europea de Libre Cambio (AELC): Islandia, Liechtenstein y Noruega. Suiza, aunque no forma parte del EEE, sigue siendo miembro de la AELC.
Una transferencia internacional de datos no excluye en ningún caso la aplicación de las disposiciones contenidas en la LOPD y en el RLOPD. Para que la transferencia internacional de datos pueda considerarse conforme a lo dispuesto en las citadas normas, será necesaria la autorización del Director de la AEPD (Agencia Española de Protección de Datos), salvo:
•Que los datos se transfieran a un país que ofrezca un nivel adecuado de protección.
•Que se trate de supuestos legalmente contemplados como excepción de requerir la autorización del Director.
Las entidades estadounidenses adheridas a los principios de “Puerto Seguro” (safe harbor), de acuerdo con la Decisión 2000/520/CE de la Comisión de 26 de julio de 2000. [Hasta el 6/10/2015 por STJUE, que la declara inválida].
Los supuestos que son excepciones a la necesidad de autorización del director de la AEPD, se regulan en el Art. 34 de la LOPD.
Las comunicaciones de datos en el EEE constituyen cesiones de datos a efectos de la aplicación de la LOPD, siendo equivalentes a las cesiones producidas entre empresas dentro del territorio español.
Para las comunicaciones de datos con el resto de países, necesitamos notificarlo, solicitar y esperar la autorización del Director de la AEPD.
De todo lo anteriormente expuesto se deduce que cuando contratamos servicios en el Cloud, si tratamos datos de carácter personal, es muy importante conocer o elegir en qué país está ubicado el CPD que albergará nuestros servidores virtuales y su almacenamiento correspondiente. Es imprescindible a efectos de cumplimiento con la LOPD y el RLOPD. Algunos prestadores de servicios de Cloud Computing, en su catálogo de aprovisionamiento lo primero que solicitan es en que CPD, de los diferentes que disponen, deseamos crear nuestro servidor virtual. Para cada CPD se indica claramente el país donde se encuentra ubicado.
Si elegimos un país del EEE, nuestra introducción de datos en el servidor no se considerará una transferencia internacional de datos. Se tratará únicamente de una cesión.
Además, en el tratamiento por cuenta de terceros, para que se considere que no hay una cesión de datos, debe intervenir la figura del Encargado del Tratamiento. Por tanto debe existir una relación jurídica que vincule al Responsable y al Encargado del Tratamiento, y que delimite de manera precisa, cuál será la actividad, en relación al tratamiento de datos personales, que realiza el Encargado por cuenta del Responsable del Tratamiento.
1.3 Principios de Puerto Seguro (SAFE HARBOR)
Es una realidad que muchas empresas prestadoras de servicios de Cloud Computing son estadounidenses. Por ello analizaremos con detalle éste acuerdo hoy declarado inválido.
Mediante la Decisión 2000/520/CE de la Comisión [1] de 26 de julio de 2000, se creó el acuerdo denominado Safe Harbor por el que se establecía una serie de principios en materia de protección de datos de carácter personal.
Hay que decir que ha durado 15 años ya que, el 6 de octubre de 2015, una STJUE en el asunto C-362/14 [2] [3] declara inválida la Decisión 2000/520 y, en consecuencia, los acuerdos de Safe Harbor (Puerto Seguro).
Se trataba de un programa de adscripción voluntaria, basado en la autorregulación, sin ningún control por parte del estado. En otras palabras, se trataba de una presunción de adecuación a la protección exigida en el ámbito de la UE.
Los principios de puerto seguro eran los siguientes:
Notice principle (Notificación): Las entidades adheridas tenían la obligación de informar de la utilización y finalidad de los datos de carácter personal.
Choice principle (Opción): Las entidades adheridas tenían la obligación de ofrecer la posibilidad de decidir si los datos de carácter personal podían ser o no cedidos a un tercero.
Onward transfer principle (Transferencia ulterior): Las entidades adheridas, antes de revelar información a terceros que no participaran en el programa de puerto seguro, debían aplicar los dos principios anteriores (Notificación y opción).
Security principle (Seguridad): Las entidades adheridas, que se encarhaban de recoger y almacenar datos de carácter personal, debían adoptar todas las precauciones que consideraran oportunas con el fin de evitar su pérdida, modificación o destrucción.
Data integrity principle (Integridad de los datos): Las entidades adheridas debían recoger únicamente datos pertinentes respecto a los fines previstos.
Access principle (Acceso): Las entidades adheridas reconocían el derecho de los interesados al conocimiento de los datos de carácter personal que tenían sobre ellos y pudieran así corregirlos, modificarlos o suprimirlos en caso de ser inexactos.
Enforcement principle (Aplicación): Las entidades adheridas incluían una vía de recurso para los interesados que se vean afectados por el incumplimiento de la normativa sobre TID de carácter personal entre EE.UU. y UE.
A priori puede parecer que los tres primeros principios (Notificación, opción y transferencia ulterior) eran garantía suficiente para que la exportación de datos personales desde España a cualquier prestador de servicios de Cloud, con matriz en EE.UU. y adherida a los principios de Safe Harbor, pudiera realizarse sin necesidad de autorización del Director de la AEPD. No obstante, surgen al menos dos riesgos a tener en cuenta:
El primer riesgo surge cuando la misma empresa, o grupo multinacional, dispone de CPDs distribuidos en diferentes países, algunos de ellos sin proporcionar un nivel adecuado o equiparable de protección. Si el prestador de servicios transfiere nuestros datos personales a esas otras ubicaciones puede no sentirse obligado por el tercer principio de Puerto Seguro (transferencia ulterior), que parece más orientado a terceras empresas que a diferentes ubicaciones del mismo grupo empresarial, pudiendo ir a parar los datos, sin saberlo, a un tercer país. Mientras que la mayoría de proveedores de Cloud Computing informan por medio de sus políticas de privacidad de su adhesión a los principios de Puerto Seguro, no todos suelen informar de la ubicación geográfica de los diferentes CPDs que disponen. Esta forma sigilosa de incumplir el deber de informar, siempre que se traten datos personales, es más común en los prestadores que proveen un modelo de entrega de servicios de Cloud basado en SaaS (Software como servicio).
El segundo riesgo, objeto de análisis en los apartado siguientes, se refiere a que en determinados países existan leyes que obliguen a los prestadores de servicios de Cloud a proporcionar la información que se le exija, incluso sin avisar al interesado, conculcando el segundo principio de puerto seguro (opción).
2. LEYES PROPIAS DE ESTADOS UNIDOS DE AMÉRICA
Hemos visto que para las empresas estadounidenses que prestan, por ejemplo, sus servicios de Cloud en CPDs ubicados en USA, existía la posibilidad de adherirse a los principios de “Puerto Seguro” (safe harbor), de acuerdo con la Decisión 2000/520/CE de la Comisión de 26 de julio de 2000, hoy invalidada por STJUE. Dicha adhesión únicamente servía para que pudiera considerarse dicho prestador de servicios de Cloud automáticamente, por la autoridad de control española (AEPD), como ubicado en un país que ofrece un nivel adecuado de protección, lo que permitía llevar datos de carácter personal al Cloud desde España, sin necesidad de esperar la autorización pertinente de la AEPD. Con notificárselo bastaba.
No obstante existía un riesgo cuando se almacenaban datos de carácter personal desde España en un CPD propiedad de un prestador de servicios en el Cloud, ubicado principalmente en USA y propiedad de una empresa, adscrita o no, a los principios de Puerto Seguro (Safe Harbor).
Existe la USA Patriot Act (Ley Patriota de los Estados Unidos), que es acrónimo de “Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism” (Unir y Fortalecer América al Proporcionar las Herramientas necesarias para Interceptar y Obstruir el Terrorismo). Esta ley fue sancionada por los Estados Unidos el 24 de octubre de 2001, a raíz de los ataques terroristas del 11 de septiembre de 2001. Las estipulaciones más restrictivas de derechos del Acta fueron inicialmente sancionadas como normas provisionales de emergencia hasta el 31 de diciembre de 2005. Con apenas modificaciones, fue sancionada por el Congreso norteamericano el 2 de marzo de 2006 y promulgada como ley por el presidente Bush el 9 de marzo del mismo año. [7]
Al leer la Ley Patriota de los Estados Unidos, resulta particularmente interesante observar que la orden emitida bajo esta Ley se puede entregar a cualquier ciudadano norteamericano, sin importar que resida en suelo norteamericano o en el extranjero. De hecho, no hay nada que impida que las autoridades norteamericanas obliguen a un ciudadano norteamericano, que reside temporalmente fuera de su país natal, a los efectos de obtener determinada información.
Bajo el Art. 215 de la Ley Patriota de los Estados Unidos, está prohibido para un particular, o una empresa que haya recibido esa orden Judicial, divulgar la existencia de esa orden bajo pena de sanción. Siguiendo esa lógica, el empleado ciudadano norteamericano que debe proporcionar determinados documentos a los que tiene acceso como parte de su relación laboral no puede ni siquiera informar a su empleador (ya se trate del CEO o del Consejo de Administración de la empresa).
Lo único que deben invocar las autoridades es el hecho de que la información a ser comunicada podría estar relacionada a una investigación en curso relativa a actividades terroristas o de inteligencia secreta; no es necesario demostrar la existencia de un nexo real, probatorio.
El domingo 30 de diciembre, la Secretaría de Prensa de la Casa Blanca emitió un escueto comunicado en el que informó: “El Presidente promulgó la ley H.R. 5949 o ‘Ley de Reautorización de Enmiendas a la ley FISA 2012, [8] [9] que amplía por cinco años el Título VII de la Ley de Vigilancia de Inteligencia Extranjera FISA (Foreign Intelligence Surveillance Act). Así, los polémicos poderes de vigilancia del gobierno fueron renovados hasta finales de 2017 permitiendo controlar las comunicaciones de los ciudadanos estadounidenses dentro y fuera del país.
La ley FISA es tan solo un ejemplo de cómo Estados Unidos ha adoptado un curso de acción que socava las expectativas no solo del derecho a la privacidad, sino también del derecho de no ser requisados o de que los bienes no sean incautados, en pro de la seguridad Nacional.
Dichas actuaciones no están sometidas a una orden judicial, sino que pueden estar sujetas únicamente a la decisión de uno o varios agentes del FBI, por ejemplo.
CISPA (Cyber Intelligence Sharing and Protection Act o HR-3523) es un proyecto de ley en los Estados Unidos que permite el intercambio de información de tráfico de Internet entre el gobierno de EE.UU. y empresas tecnológicas y de prestación de servicios como son las de telecomunicaciones y de Cloud Computing.
El objetivo declarado del proyecto es ayudar al Gobierno de los EE.UU. a investigar las amenazas y así poder garantizar la seguridad de las redes contra los ataques cibernéticos.
El 18 de Abril de 2013 la Cámara de Representantes USA le dió luz verde a CISPA, por 288 votos a favor, 127 en contra y 17 abstenciones, yendo camino del senado cuando la vetó el presidente tras las revelaciones de Edward Snowden.
El 10 de julio de 2014, la Cybersecurity Information Sharing Act (CISA) / S-2588, fue introducida en el Senado.
Se autodefine como “Para mejorar la ciberseguridad en los Estados Unidos a través de un mayor intercambio de información sobre amenazas de ciberseguridad, y para otros fines”. El senado ha aprobado el Proyecto de ley.
Los que opinan favorablemente consideran que la ley CISA promueve el intercambio de información entre individuos, compañías y el gobierno siempre que se realice de manera voluntaria, los datos sirvan para combatir el cibercrimen y éstos no incluyan información que revele la identidad de los internautas. Además, protege de posibles demandas a las compañías que decidan compartir esta información.
Por otro lado a los detractores les preocupa que la ley CISA no incluya las protecciones adecuadas para defender los derechos de privacidad de los estadounidenses y en realidad no vaya a tener ningún impacto notable sobre la Ciberseguridad.
En España no hay una ley específica tipo las americanas que se han analizado previamente, pero sí que están regulados los objetivos del CNI (Centro Nacional de Inteligencia) activo desde el año 2002, fecha en la que sustituye al antiguo CESID (Centro Superior de Información de la Defensa).
La ley que regula el CNI y que supone su creación es la LO 11/2002, de 6 de mayo. [4]
Si observamos el Artículo 5 “Actividades del Centro Nacional de Inteligencia”, leemos:
“5. Para el cumplimiento de sus funciones, el Centro Nacional de Inteligencia podrá llevar a cabo investigaciones de seguridad sobre personas o entidades en la forma prevista en esta Ley y en la Ley Orgánica reguladora del control judicial previo del Centro Nacional de Inteligencia. Para la realización de estas investigaciones podrá recabar de organismos e instituciones públicas y privadas la colaboración precisa”.
Por otra parte, toda la actividad del CNI estará regulada jurídicamente dentro del marco establecido por la Ley Orgánica 2/2002, de 6 de mayo, reguladora del control judicial previo del Centro Nacional de Inteligencia. [5]
Si se accede a dicha Ley, reguladora del control judicial previo del Centro Nacional de Inteligencia, en su artículo único se referencia que en los casos en los que se pueda afectar al secreto de las comunicaciones (art 18.2 de la Constitución Española) tenemos que, como se ha tratado con anterioridad, el CNI tiene la capacidad de actuar siempre y cuando exista una resolución judicial previa y favorable que así lo autorice.
Concretamente se cita en “EXPOSICIÓN DE MOTIVOS”:
“A estos efectos, esta Ley Orgánica, cuyo alcance resulta de una interpretación conjunta con la Ley reguladora del Centro Nacional de Inteligencia, determina tanto la forma de nombramiento de un Magistrado del Tribunal Supremo específicamente encargado del control judicial de las actividades del Centro Nacional de Inteligencia, como el procedimiento conforme al cual se acordará o no la autorización judicial necesaria para dichas actividades”.
Por tanto concluiré que las empresas de Cloud Computing que prestan servicios con localización de CPDs en el territorio Español, cooperan con las fuerzas de seguridad del Estado siempre que exista una orden judicial que así lo obligue.
Sin conocer a fondo la materialización de actuaciones, si consultamos la Ley Orgánica 2/2002, de 6 de mayo, vemos que la solicitud de autorización al Magistrado del TS por parte del CNI, deberá contener:
“a) Especificación de las medidas que se solicitan.
c) Identificación de la persona o personas [quiero entender físicas y/o Jurídicas] afectadas por las medidas, si fueren conocidas, y designación del lugar donde hayan de practicarse [en nuestro caso el CPD concreto de un CSP].
d) Duración de las medidas solicitadas, que no podrá exceder de veinticuatro horas en el caso de afección a la inviolabilidad del domicilio y tres meses para la intervención o interceptación de las comunicaciones postales, telegráficas, telefónicas o de cualquier otra índole, ambos plazos prorrogables por sucesivos períodos iguales en caso de necesidad. [En el caso de Cloud Computing se considera de otra índole, por lo que inicialmente la duración de las medidas será de hasta tres meses prorrogables]”.
Por tanto inicialmente el propietario de los datos ignorará que es motivo de actuaciones igual que ignoraría, obviamente, que le han intervenido el teléfono ya que su conocimiento podría incidir en la integridad de los datos y por tanto en la eficacia y confiabilidad del procedimiento abierto.
Si a raíz de las investigaciones se encuentran indicios razonables de la existencia de un delito, evidentemente se tendrá conocimiento de las actuaciones habidas para obtener pruebas catalogadas como evidencias digitales forenses dentro de la instrucción del sumario. Dichas evidencias se conservarán (cuidando la cadena de custodia para que no pierdan validez) al menos hasta la resolución judicial en última instancia (favorable o no), sin ya posibilidad de apelación.
El Secretario de Estado Director del Centro Nacional de Inteligencia ordenará la inmediata destrucción del material relativo a todas aquellas informaciones que, obtenidas mediante la autorización prevista en este artículo, no guarden relación con el objeto o fines de la misma.
Cuando hablamos de Llevar al Cloud Datos de Carácter Personal recabados de ciudadanos españoles, según la LOPD y el RLOPD el Responsable del Tratamiento (La empresa que contrata los servicios) incluirá un acuerdo de subcontratación suscrito con el Encargado del Tratamiento (La empresa que presta servicios de CLOUD). No es otra cosa que una obligación contractual dirigida a ésta tercera persona proveedora, tendiente a respetar las normas de confidencialidad elaboradas por la ley española. Sin embargo, una vez que la información personal está en manos de la tercera persona proveedora establecida en un país extranjero, la información está sujeta a las leyes de ese país. Si surgiera un conflicto entre la obligación de confidencialidad bajo contrato y la obligación legal de divulgar (como por ejemplo una citación judicial emitida bajo la Ley Patriota de los Estados Unidos), no existe objeción en el sentido de que para el proveedor de servicios Cloud, prevalecerá la ley del territorio.
En consecuencia, existe el riesgo de que las agencias gubernamentales de los EE.UU. puedan tener acceso, a través de la aplicación de la Ley Patriota de los Estados Unidos, a la información personal de ciudadanos españoles, cuando esa información se subcontrata a un proveedor de servicios en Norteamérica.
Así las cosas, una empresa ubicada en España que subcontrata la gestión de sus datos a los Estados Unidos, como mínimo debería informar a sus clientes que su información confidencial podría estar a disposición del gobierno de los Estados Unidos en virtud de una orden judicial de ese país.
Un reciente estudio de la Unión Europea titulado: 'Lucha contra la delincuencia cibernética y protección de la privacidad en la nube', asegura que el peligro real reside en el control de EE.UU. de la información almacenada en nubes públicas, que son precisamente propiedad de empresas de ese país. Según el informe, la legislación tiene "fuertes implicaciones para los derechos fundamentales de la UE", ya que permite a EE.UU. acceder legalmente a toda la información del Cloud sin previo aviso ni consulta.
NOTA DEL EDITOR: Protección de datos personales aparte, el hecho de que las empresas españolas que han externalizado sus datos en el Cloud a un CPD ubicado en España puedan sufrir, para una posible investigación, acceso a sus datos almacenados por parte del CNI no es grave dado que dicho organismo está al servicio del Estado Español y bajo control judicial.
Más preocupante sería que agencias federales norteamericanas, o de cualquier otro país, pudieran acceder a información de empresas españolas, que han ubicado sus datos en un prestador de Cloud, con su CPD en USA y que, bajo el amparo de una investigación de terrorismo, se encuentren con sus datos accedidos existiendo, por ejemplo, conflicto de intereses en ofertas para proyectos internacionales.
Concretando con un ejemplo, un proveedor de Norteamérica dentro de sus condiciones generales de contratación, a las que implícitamente se adhiere o suscribe quien utiliza sus servicios, establece cláusulas que vislumbran el efecto de verse obligado ante requerimientos gubernamentales, dejando la puerta abierta a “USA Patriot Act” en el texto, donde reconoce que podrían no notificarlo.
La DECLARACIÓN DE PRIVACIDAD de Microsoft [6] actualizada en fecha junio de 2015, como ejemplo, cita textualmente en el apartado de Divulgación de datos:
“(…) Microsoft no revelará Datos del cliente fuera de Microsoft, o sus filiales y empresas afiliadas, excepto (1) si usted lo solicita, (2) con el permiso de un usuario final, (3) como se describe aquí o en su(s) acuerdo(s), (4) en caso de que así lo requiera la legislación vigente.
Microsoft no revelará Datos del cliente a la policía a menos que así lo exija la ley. En caso de que los cuerpos y fuerzas de seguridad del estado se pongan en contacto con Microsoft a fin de solicitar Datos del cliente, Microsoft intentará instar a la autoridad competente a solicitarle los datos directamente a usted. Si nos vemos obligados a revelar Datos del cliente a la autoridad competente, Microsoft le notificará inmediatamente y le proporcionará una copia de la solicitud a menos que lo prohíba la legislación vigente (…)”.
Evidentemente la USA Patriot Act se aplica a cualquier proveedor de servicios en USA, aunque aquí cite a Microsoft como ejemplo.
NOTA DEL EDITOR. Puede consultarse en éste mismo Blog una (quizá demasiado breve) versión en video, que habla de gobierno, gestión y legislación, referidos al Cloud:
6. ¿QUÉ DEBE HACERSE AHORA CON LAS TID IMPLEMENTADAS HACIA USA?
En España, las Decisiones de la Comisión, referentes a protección de datos, y en concreto los acuerdos tipo “safe harbor”, se legitiman en base a la excepción que recoge el artículo 34.k LOPD: “Lo dispuesto en el artículo anterior [referente a la evaluación y autorización del Director de la AEPD] no será de aplicación: k) Cuando la transferencia tenga como destino un Estado miembro de la Unión Europea, o un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus competencias, haya declarado que garantiza un nivel de protección adecuado”.
También en base a la excepción que recoge el artículo 34.a LOPD: “Lo dispuesto en el artículo anterior [referente a la evaluación y autorización del Director de la AEPD] no será de aplicación: a) Cuando la transferencia internacional de datos de carácter personal resulte de la aplicación de tratados o convenios en los que sea parte España”. Evidentemente cualquier acuerdo USA-UE, siendo España miembro de pleno derecho de la UE, queda incluido en la disposición eximente anterior.
Una vez invalidada la Decisión 2000/520/CE conocida como “Safe harbor”, las empresas, dependiendo de la casuística concreta, deberán optar por diferentes soluciones que paso a detallar. Todo ello mientras USA y la UE no suscriban un nuevo acuerdo, confiemos mejor que el actual sometiendo a las empresas que lo suscriban en base a la autorregulación a criterios de inspección de tercera parte, que derive en una nueva Decisión de la Comisión.
Una primera solución, únicamente válida para grupos multinacionales que requieran transferir datos inter-grupo, es suscribir las Normas Corporativas Vinculantes (en inglés Binding Corporate Rules – BCR). [12] No obstante, cabe decir que es un proceso lento de tramitación aunque operativo para esta tipología de organizaciones. El artículo 70.4 RDLOPD dispone: “También podrá otorgarse la autorización para la transferencia internacional de datos en el seno de grupos multinacionales de empresas cuando hubiesen sido adoptados por los mismos normas o reglas internas en que consten las necesarias garantías de respeto a la protección de la vida privada y el derecho fundamental a la protección de datos de los afectados y se garantice asimismo el cumplimiento de los principios y el ejercicio de los derechos reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre, y el presente Reglamento. En este caso, para que proceda la autorización del Director de la Agencia Española de Protección de Datos será preciso que las normas o reglas resulten vinculantes para las empresas del Grupo y exigibles conforme al ordenamiento jurídico español. En todo caso, la autorización del Director de la Agencia Española de Protección de Datos implicará la exigibilidad de lo previsto en las normas o reglas internas tanto por la Agencia como por los afectados cuyos datos hubieran sido objeto de tratamiento”.
Una segunda solución es suscribir con el CSP prestador en USA cláusulas tipo [11], según la Decisión de la Comisión de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, y requerir del Director de la AEPD la correspondiente autorización para la TID.
Una tercera solución suele ser desproporcionada y muy difícil de cumplir, consistiendo en que el responsable recabe el consentimiento expreso a los afectados por la transferencia, según dispone el artículo 34.e de la LOPD: “Lo dispuesto en el artículo anterior [referente a la evaluación y autorización del Director de la AEPD] no será de aplicación: e) Cuando el afectado haya dado su consentimiento inequívoco a la transferencia prevista”. Para que el consentimiento sea inequívoco deberá ser previamente informado con todos los detalles sin omisión, indicando que sus datos personales están/estarán alojados en un CSP prestador de USA, país que ahora es considerado por la UE como que no cumple el nivel adecuado de protección de los datos personales. Si se solicita desde el principio, esta fórmula podría ser viable, pero hacerlo a posteriori la experiencia demuestra su escasa efectividad ya que, o lo autorizan absolutamente todos los afectados, o se continúa incumpliendo.
La cuarta solución es migrar los datos, especialmente los de naturaleza personal, a otro prestador de servicios de Cloud que garantice que estarán ubicados en un CPD en la Unión Europea. Pensemos que muchos CSP, incluso con matriz en USA, disponen de CPD en algún país del EEE. Si se opta por esta solución, se agradecerá haber previsto una cláusula de portabilidad de los datos. En este punto me gustaría manifestar mi desacuerdo con que se haya suprimido, hoy por hoy, del borrador de nuevo RGPD/UE el artículo que obligaba a los prestadores de Cloud Computing a garantizar la portabilidad de los datos. Si no se regula por vía reglamentaria europea, deberá suscribirse como cláusula contractual privada entre las partes (responsable y encargado) que obligue al CSP, para minimizar el riesgo. [13]
7. BIBLIOGRAGÍA CONSULTADA
- [1] Decisión 2000/520/CE de la Comisión. “sobre la adecuación conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de Estados Unidos de América. 26 de julio de 2000.
- [2] SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala). “En el asunto C‑362/14, que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por la High Court (Irlanda)”. 6 de octubre de 2015.
STJUE_Safe_Harbor
- [3] TJUE. “COMUNICADO DE PRENSA nº 117/15”. Luxemburgo, 6 de octubre de 2015. Sentencia en el asunto C-362/14. Maximillian Schrems / Data Protection Commissioner.
- [4] BOE núm. 109. “Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia”. 07/05/2002.
LO 11/2002
- [5] BOE núm. 109. “Ley Orgánica 2/2002, de 6 de mayo, reguladora del control judicial previo del Centro Nacional de Inteligencia”. 07/05/2002.
LO 2/2002
- [6] MICROSOFT. “Microsoft Online Services Privacy Statement”. Actualización de junio de 2015,
- [7] Public Law 109–177 (109th Congress). Mar. 9, 2006. “USA PATRIOT IMPROVEMENT AND REAUTHORIZATION ACT OF 2005”.
- [8] CONGRESSIONAL RECORD --- SENATE. December 27, 2012. “FISA AMENDMENTS ACT REAUTHORIZATION ACT OF 2012”. S8384.
FISA 2012 ACT
- [9] ELECTRONIC FRONTIER FOUNDATION. January 10, 2013. “A New Year, a New FISA Amendments Act Reauthorization, But the Same Old Secret Law”. By Mark Rumold.
NEW FISA
- [10] 112TH CONGRESS 1ST SESSION. 29 November, 2011. “To provide for the sharing of certain cyber thread intelligence. . .”. DISCUSSION DRAFT.
- [11] COMISIÓN EUROPEA. “Decisión 2010/87/UE, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo.
- [12] Julián Prieto Hergueta - Subdirector General del Registro General de Protección de Datos en la AEPD. “Transferencias Internacionales de Datos: las garantías de las normas corporativas vinculantes (BCR)”.
BCR y TID
- [13] José Luis Colom. “CLÁUSULAS CONTRACTUALES EN ENTORNOS DE CLOUD COMPUTING”. Blog “Aspectos profesionales”. Publicado en Octubre de 2012 y actualizado en Junio de 2015.
- Se añade el apartado “6. ¿QUÉ DEBE HACERSE AHORA CON LAS TID IMPLEMENTADAS HACIA USA?”.
- También se añade la referencia [11] en el apartado de bibliografía, referente a las “Cláusulas tipo”.
- Se justifican jurídicamente las soluciones relacionadas en el apartado 6 y se añade la referencia bibliográfica [12] y [13] sobre BCR y Cláusulas contractuales.
Publicado por Jose Luis Colom en 22:39
Etiquetas: AEPD, CISA, CISPA, CLOUD, CLOUD COMPUTING, CNI, COLOM, FISA, PRIVACIDAD, PROTECCION DE DATOS, safe harbor