Desde Delvy, abogados especialistas en protección de datos, te explicamos de manera detallada todo lo que tienes que saber sobre la protección de datos en general y conceptos a tener en cuenta a la hora de elaborar un contrato de prestación de servicios en la nube.
Protección de datos: Todo lo que debes saber
¿Qué son los datos personales?
Los datos personales se refieren a cualquier información sobre una persona física identificada o identificable.
Es decir, cualquier persona cuya identidad se pueda determinar, directa o indirectamente, en particular por medio de un identificador, como un nombre, un número de identificación, los datos de ubicación, un identificador en línea o uno o más elementos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
¿Qué se entiende por tratamiento de datos?
El tratamiento de datos es la denominación que se ha escogido para nombrar cualquier actividad que hagamos con esos datos (acceder a ellos, eliminarlos, bloquearlos, enviarlos, etc.). Cualquier acceso o manipulación con los datos se denominará “tratamiento de datos”.
En cualquier caso, y sin perjuicio del cumplimiento de las previsiones que contiene la legislación, y en particular las relativas al respeto a los principios de la Ley de Protección de Datos y a la garantía de los derechos de los afectados (derechos de acceso, rectificación, supresión, limitación, portabilidad y, oposición), el artículo 28 del Reglamento (UE) 2016/679 (en adelante, “RGPD”), referente al encargado del tratamiento, pueden ofrecer soluciones adaptadas a la realidad del entorno online.
¿Qué es un contrato de protección de datos o de tratamiento?
El contrato de protección de datos es un acuerdo que las empresas o profesionales deben formalizar, con aquellos proveedores que les brindan servicios. Este es obligatorio en el caso de que la prestación de servicios requiera de acceso directo o indirecto a datos personales.
Es un acuerdo regulado en el artículo 28 RGPD mediante el cual el responsable del tratamiento de los datos permite el acceso a un tercero para el cumplimiento de fines directamente relacionados con el servicio prestado por este tercero el cual actúa por tanto como encargado del tratamiento. Por ejemplo: una gestoría externa que lleva las nóminas de mi empresa.
La obligación de este contrato se encuentra en el artículo 28 RGPD, así como en el artículo 33 de la nueva Ley de protección de datos, la Ley Orgánica sobre Protección de Datos Personales y Garantía de Derechos Digitales (LOPD o LOPDGDD), publicada el día 6 de Diciembre de 2018.
¿Qué difgerencia existe entre LOPD y RGPD?
Las siglas LOPD hacen referencia a la Ley Orgánica de Protección de Datos, una ley de carácter nacional que se creó en 1999 y se actualizó en 2018, adaptándose a la transformación digital y las nuevas necesidades de los usuarios que hacen uso del entorno online.
En cambio, el RGPD, o Reglamento europeo de Protección de Datos es una regulación europea con naturaleza de aplicación directa, es decir, que no necesita de ninguna ley para ser implementada.
Por lo tanto, el RGPD es el marco común de la Unión Europea en lo que respecta a la regulación del uso de datos personales, y define derechos y obligaciones comunes en todos los estados miembros.
La importancia del cumplimiento del contrato de protección de datos personales
En este marco, el contrato de protección de datos personales por cuenta de terceros tendrá una gran importancia. Es por ello que contar con el asesoramiento de un abogado especialista en protección de datos podrá evitarte muchos problemas si tienes una empresa que trata con datos personales a diario.
El derecho a la protección de datos personales no es un derecho absoluto, sino que se debe considerar en relación con su función en la sociedad y mantener así el equilibrio con otros derechos fundamentales, de acuerdo al principio de proporcionalidad.
¿Quién sanciona el incumplimiento de la protección de datos?
Para garantizar el cumplimiento de la mencionada Ley Orgánica de Protección de Datos (LOPD) y controlar su aplicación, se creó la Agencia Española de Protección de Datos.
La Agencia mencionada es una autoridad pública independiente encargada de velar por la privacidad y la protección de datos de los ciudadanos. Su objetivo es, por un lado, fomentar que los ciudadanos conozcan sus derechos y las posibilidades que la Agencia les ofrece para ejercerlos y, por otro, velar por el cumplimiento de la normativa de protección de datos y controlar su aplicación por parte de los sujetos obligados.
Es en la AEPD dónde la parte interesada deberá presentar una reclamación frente a quien haya vulnerado sus derechos respecto a los datos personales.
Protección de datos sobre contratos de servicios en la nube
¿Qué es la nube informática o Cloud Computing?
Hablamos de la nube informática o Cloud Computing para referirnos a un modelo de prestación de servicios tecnológicos a través del cual nuestros archivos y programas se almacenan en un conjunto de servidores a los que podemos acceder vía online. A modo de ejemplo, plataformas como Dropbox, Facebook, Gmail o Hotmail atesoran los datos de usuario en dicha nube informática.
Para acceder a ellos y utilizarlos simplemente debemos conectarnos a Internet e identificarnos con un nombre de usuario y contraseña.
¿Cuáles son las características del Cloud Computing?
Las cinco características básicas del Cloud Computing son:
- El usuario puede acceder a la información siempre que lo necesite.
- El usuario puede acceder a la información a través de cualquier dispositivo conectado a la red.
- Los recursos que ofrece la nube informática son compartidos por múltiples usuarios.
- Para obtener más espacio en la nube informática simplemente necesitas comprar una licencia superior, es decir, la plataforma crece o decrece de forma automática según las necesidades del cliente.
- El proveedor es capaz de medir, a determinado nivel, el espacio virtual entregado a cada usuario, de forma que tanto el cliente como el proveedor tienen acceso transparente al consumo real de los recursos, lo que posibilita el pago por el uso efectivo.
¿Cómo se aplica la ley de protección de datos a los servicios de la nube?
A la hora de contratar servicios en la nube informática, como responsable de los datos, debes acudir a un abogado experto en protección de datos.
El responsable del tratamiento de datos que contrate un servicio en la nube informática deberá definir la finalidad, la modalidad, el contenido y el uso del tratamiento. Por su parte, la ley asigna al prestador de servicios de la nube informática, el tratamiento de los datos; pues en definitiva almacena datos personales por cuenta del responsable.
¿Cómo es un contrato de servicios en la nube?
Se trata de un contrato de prestación de servicios (generalmente de adhesión) que incorpora entre sus cláusulas las garantías que estipula la Ley Orgánica de Protección de Datos: tipos de datos que se van a tratar, medidas de seguridad exigibles, esquema de subcontratación (si lo hay), localización de los datos, portabilidad de los mismos y cualquier otro aspecto de adecuación a la regulación española y a las restricciones que esta regulación implica.
¿Qué normativa resulta aplicable al Cloud Computing?
Si bien es cierto que tanto el proveedor de la nube informática como los datos almacenados pueden estar en cualquier parte del mundo, (nosotros, como responsables del tratamiento de datos originados por una actividad en territorio español y el prestador de servicios como encargado del tratamiento de estos), la legislación aplicable tanto para uno como para otros es la legislación española de protección de datos.
Debido al constante desarrollo de las nuevas tecnologías y, más específicamente, de la normativa aplicable en materia de protección de datos, se hace cada vez más necesario contar con el conocimiento de un abogado especialista en protección de datos personales.
Despacho de abogados Delvy Law & Finance: Abogados Protección de Datos
