Ya hemos hablado de la importancia que el Cloud Computing tiene y tendrá en nuestras vidas y en general de sus riesgos, pero me gustaría pormenorizar en aspectos concretos.
Descripción del problema
En el uso de el cloud computing, el usuario gestiona sus datos fuera de su terminal informática y estos se almacenan en servidores de segundas o incluso terceras empresas. Esto evidentemente supone riesgos que ya vimos en el post sobre riesgos del cloud computing.
El usuario tiene derecho a:
1. Disponer de la información relativa a sus datos personales (consultar, modificar o borrar la misma).
2. Conocer en todo momento quien tiene esos datos, donde y con que finalidad.
Este último aspecto puede ser un problema ya que nos encontramos que los datos no los trata la empresa con la que hemos contratado o suscrito un servicio, sino un tercero. ¿Quien es entonces el responsable? ¿En que medida? ¿Pueden estos datos acabar en un país con un nivel de protección menor?
La LOPD y su ámbito de aplicación
El art. 2 de la Ley Orgánica de Protección de Datos (LOPD) y su reglamento aprobado por el Real Decreto 1720/2007 en el art. 3 establecen su ámbito de aplicación y haré algún comentario respecto al cloud computing:
- Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
¿Que es un establecimiento en el caso del cloud computing? El artículo parece referirse a un centro de procesamiento físico, lo cual puede ser hasta irrelevante en el caso del cloud computing.
- Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
Por interpretación del siguiente apartado se circunscribe al ámbito comunitario sujeto a la Directiva 95/46/CE.
- Cuando el responsable del tratamiento no este establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.
El Documento de Trabajo WP56 de 2002 del Grupo de Trabajo sobre el artículo 29 ya dictaminó que el uso de cookies (almacenados en el ordenador del usuario) servía para considerarlo medio utilizado para el tránsito.
- Cuando el establecimiento no se encuentre ubicado en territorio español, pero pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento.
En este título VIII se establece el cumplimiento obligatorio de determinadas medidas de seguridad.
-Si el responsable del tratamiento no está establecido en el territorio de la Unión Europea, pero utiliza medios situados en territorio español, este responsable del tratamiento debe designar un representante establecido en territorio español.
Lo que de ser efectivo facilita la identificación del responsable.
-Y por establecimiento hay que entender cualquier instalación que permita el ejercicio efectivo y real de una
actividad, con independencia de la forma jurídica adoptada.
actividad, con independencia de la forma jurídica adoptada.
Así, la determinación del responsable esta bastante delimitada legalmente, lo cual no significa que sea fácil o incluso posible de forma efectiva en todos los casos, pero ¿qué sucede cuando los datos son tratados por un tercero?
El art. 12 de la LOPD y los arts. 20 a 22 de su Reglamento regulan la relación entre el responsable y ese tercero.
La cesión de datos esta admitida legalmente en el 12.1: "no se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento", mediante un contrato en el que se especificará "únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas".
El art 20.2 nos dice que será el responsable del tratamiento el que deberá controlar que el tercero que trate estos datos lo hace conforme al reglamento, incluso si este tercero, habilitado por el propio responsable, subcontrata a otra empresa para tal función.
Es decir, seguimos teniendo al responsable identificado y este será enjuiciable en España.
En breve, una referencia al Movimiento Internacional de Datos.
Para saber mas:
WP56 de 2002 del Grupo de Trabajo sobre el artículo 29
No hay comentarios:
Publicar un comentario